Morgan Stanleys förmögenhetsförvaltning drabbades av böter på 35 miljoner dollar för dataskydd

Morgan Stanleys förmögenhetsförvaltningsarm, Morgan Stanley Smith Barney (MSSB), har drabbats av en straffavgift på 35 miljoner dollar av US Securities and Exchange Commission (SEC) för vad regulatorn beskriver som "häpnadsväckande" misslyckanden i kunddataskyddet.

SEC säger att MSSB, sedan 2015 och under en femårsperiod, misslyckats med att skydda den personliga identifieringsinformationen (PII) för cirka 15 miljoner kunder.

Företaget påstås ha anställt ett flytt- och lagringsföretag vid flera tillfällen utan någon "erfarenhet eller expertis" inom dataförstöringstjänster för att avveckla tusentals hårddiskar och servrar som innehåller PII från miljontals MSSB-kunder.

SEC-undersökningen fann att flyttfirman sålde tusentals sådana servrar och hårddiskar, fortfarande fyllda med okrypterad kunddata och annan PPI, till en tredje part som sedan såldes online.

Dessutom säger SEC att företaget misslyckades med att skydda PPI och göra sig av med konsumentrapportinformation på rätt sätt eftersom det genomgick ett program för att uppdatera hårdvaran.

Tillsynsmyndigheten tillägger att en övning som företaget genomförde under denna avvecklingsprocessen visade att 42 servrar, alla potentiellt innehållande okrypterad kund-PII och konsumentrapportinformation, saknades.

SEC säger att MSSB också fick reda på att de lokala enheterna som avvecklades hade utrustats med krypteringskapacitet, men att företaget hade misslyckats med att aktivera krypteringsmjukvaran på flera år.

Förmögenhetsförvaltningsföretaget erkände eller förnekade inte SEC:s resultat, men gick med på att betala straffavgiften på 35 miljoner dollar i sin helhet för att reglera anklagelserna.

SECs verkställighetsavdelningsdirektör Gurbir Grewal säger: "MSSB:s misslyckanden i det här fallet är häpnadsväckande. Kunder anförtror sin personliga information till finansprofessionella med förståelse och förväntning om att den kommer att skyddas, och MSSB kom bedrövligt till kort när de gjorde det.

"Om den inte skyddas ordentligt kan denna känsliga information hamna i fel händer och få katastrofala konsekvenser för investerare."