Auf einen Blick
Die Regionale Arbeitsagentur der Emilia Romagna erhielt vom Garante Privacy eine Geldbuße von 30.000 Euro, weil sie die Namen von etwa 700 Bewerbern in einer Auswahlliste für öffentlich-rechtliche Beschäftigungsverhältnisse online veröffentlicht und für Suchmaschinen indexierbar gemacht hatte, ohne eine angemessene Rechtsgrundlage für diese Verbreitung zu besitzen.
Was zu tun ist
- Überprüfen Sie, dass jede von Ihrer Organisation online veröffentlichte Auswahlliste eine klare und spezifische Rechtsgrundlage für die Verbreitung im Web und deren Indexierung besitzt.
- Kontrollieren Sie Personal-Auswahldokumente, die in den letzten Jahren online veröffentlicht wurden, um sicherzustellen, dass sie keine vollständigen Namen von Bewerbern enthalten, für die eine solche Verbreitung nicht vorgesehen ist.
- Wenn Ihre Auswahlverfahren geschützte Kategorien oder besondere Bedingungen umfassen, stellen Sie sicher, dass die Art der Online-Veröffentlichung der Ranglisten keine Rückschlüsse auf diese Bedingungen zulässt, oder erwägen Sie die Anonymisierung.
Was zu vermeiden ist
- Gehen Sie nicht davon aus, dass alte Transparenznormen automatisch die Online-Veröffentlichung und Indexierung personenbezogener Daten durch Suchmaschinen rechtfertigen.
- Veröffentlichen Sie keine Wettbewerbsranglisten online, ohne die Informationen sorgfältig zu prüfen, die indirekt sensible Details über das Privatleben der Bewerber preisgeben könnten.
- Beschränken Sie sich nicht darauf, ein Dokument vor Ort auszuhängen, wenn die Norm nicht ausdrücklich die Veröffentlichung im Internet mit Klarnamen vorsieht.
Hintergrund
Eine Beschwerdeführerin forderte den Garante Privacy auf, ihre Daten aus einer Auswahlliste für die unbefristete Einstellung bei der Universitätsklinik Bologna IRCCS zu löschen. Diese Liste war von der Regionalen Arbeitsagentur der Emilia Romagna online veröffentlicht und von Suchmaschinen indexiert worden. Die Agentur hatte die Löschung unter Berufung auf Transparenzgründe abgelehnt. Die Untersuchung des Garante stellte fest, dass die Verfügung, die die Namen von etwa 700 Teilnehmern des Verfahrens enthielt, auf der institutionellen Website der Agentur veröffentlicht und indexiert war. Die Agentur argumentierte, die Veröffentlichung sei aufgrund eines umfassenden Rechtsrahmens für Auswahlverfahren im öffentlichen Dienst rechtmäßig, indem sie das Verfahren mit einem Wettbewerbsverfahren gleichsetzte und sich auf Vorschriften zur Transparenz und Veröffentlichung von Akten berief.
Die Entscheidung
Der Garante stellte fest, dass die Regionale Arbeitsagentur der Emilia Romagna eine unrechtmäßige Verbreitung personenbezogener Daten von etwa 700 betroffenen Personen vorgenommen hatte, indem sie deren Namen in einer Online-Auswahlliste 'im Klartext' veröffentlichte, was zu deren Indexierung durch Suchmaschinen führte. Der Garante stellte fest, dass keine spezifische Rechtsgrundlage für diese Art der Online-Verbreitung bei Auswahlverfahren gemäß Art. 16 des Gesetzes Nr. 56 von 1987 vorlag, und unterschied diese von Wettbewerbsverfahren, die ausdrücklich die Online-Veröffentlichung der endgültigen Ranglisten vorsehen. Er betonte, dass die traditionellen Formen der 'Bekanntmachung', die in den sektorspezifischen Vorschriften vorgesehen sind (wie der Aushang am schwarzen Brett), nicht automatisch die unbegrenzte Verbreitung über das Internet erlauben, da dies eine besonders invasive und unverhältnismäßige Form der Verarbeitung darstellt. Er stellte ferner fest, dass die Teilnahme an solchen Auswahlverfahren indirekt besondere Kategorien von Daten (z. B. Grad der Invalidität) offenbaren kann, deren Verbreitung untersagt ist. Obwohl die Agentur in gutem Glauben gehandelt und die Daten umgehend entfernt sowie die De-Indexierung beantragt hatte, stellte der Garante die Rechtswidrigkeit der Verarbeitung fest und beschloss, eine Geldbuße zu verhängen, jedoch keine weiteren Korrekturmaßnahmen anzuordnen, da das rechtswidrige Verhalten eingestellt wurde.
Verletzte DSGVO-Artikel
| Artikel | Beschreibung | Relevanz |
|---|---|---|
|
5 par.1 lett.a DSGVO |
Grundsätze der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz der Verarbeitung. | die undifferenzierte online-veröffentlichung der namen ohne spezifische rechtsgrundlage erfolgte in einer weise, die den erwartungen der betroffenen personen nicht transparent entsprach. |
|
5 par.1 lett.c DSGVO |
Grundsatz der Datenminimierung, wonach Daten angemessen, relevant und auf das für die Zwecke erforderliche Maß beschränkt sein müssen. | es wurden mehr daten (klarnamen, indexierung) verbreitet, als für den zweck der gewährleistung der bekanntmachung gemäß traditionellen normen erforderlich war, welche die online-verbreitung nicht vorsahen. |
|
6 DSGVO |
Rechtmäßigkeit der Verarbeitung, die eine spezifische Rechtsgrundlage erfordert. | es fehlte eine spezifische und gültige rechtsgrundlage für die online-veröffentlichung personenbezogener daten, insbesondere für die unbegrenzte verbreitung über suchmaschinen. |
|
9 DSGVO |
Verarbeitung besonderer Kategorien personenbezogener Daten, mit spezifischen Verboten und Anforderungen. | die teilnahme am auswahlverfahren konnte indirekt behinderungen oder wirtschaftliche nachteile offenbaren, die besonderen daten gleichzusetzen sind und deren verbreitung strengeren verboten und garantien unterliegt. |
|
2-ter Codice Privacy |
Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch öffentliche Stellen bei der Erfüllung einer Aufgabe von öffentlichem Interesse oder in Ausübung öffentlicher Gewalt. | die online-verbreitung der daten durch die regionale agentur fand im nationalen recht keine spezifische und verhältnismäßige grundlage für die erfüllung einer aufgabe von öffentlichem interesse. |
|
2-septies lett.8 Codice Privacy |
Verbot der Verbreitung von Gesundheitsdaten. | die veröffentlichung der namen riskierte, auch indirekt (z.b. über den in den kriterien für die erstellung der ranglisten vorgesehenen 'invaliditätsgrad'), den gesundheitszustand der betroffenen personen offenzulegen, was gegen das verbot der verbreitung solcher daten verstößt. |
Sanktion
Der Garante verhängte eine Geldbuße gegen die Regionale Arbeitsagentur der Emilia Romagna wegen der unrechtmäßigen Verbreitung personenbezogener Daten von etwa 700 betroffenen Personen, die in einer Auswahlliste für unbefristete Einstellungen enthalten waren. Die Online-Veröffentlichung auf der institutionellen Website und die anschließende Indexierung durch Suchmaschinen erfolgten ohne geeignete Rechtsgrundlage und unter Verstoß gegen die Grundsätze der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz und Datenminimierung. Trotz des guten Glaubens der Agentur und der fehlerhaften Auslegung älterer Vorschriften wurde das Verhalten sanktioniert, obwohl die Agentur die Daten umgehend entfernt und mit der Behörde zusammengearbeitet hatte, was die Begründung für das Fehlen weiterer Korrekturmaßnahmen darstellte.
Fristen: innerhalb von dreißig Tagen nach Zustellung dieser Anordnung
Praktische Auswirkungen
Öffentliche Verwaltungen müssen die spezifische Rechtsgrundlage für die Online-Verbreitung personenbezogener Daten, auch im Rahmen von Personalauswahlverfahren, sorgfältig prüfen. Ältere Rechtsvorschriften, die Formen der 'Bekanntmachung' (wie den Aushang am schwarzen Brett) vorsehen, legitimieren nicht automatisch die Veröffentlichung auf der institutionellen Website und die anschließende Indexierung durch Suchmaschinen. Die Online-Verbreitung ist eine besonders invasive Form der Verarbeitung. Sie erfordert ein Gleichgewicht zwischen den Transparenzanforderungen und den Rechten der betroffenen Personen, wobei die Grundsätze der Datenminimierung und Verhältnismäßigkeit anzuwenden sind. Bei der Verarbeitung von Daten, die indirekt besondere Kategorien von Daten offenbaren können, sind größere Schutzmaßnahmen, wie Anonymisierung oder Pseudonymisierung, erforderlich, um eine unrechtmäßige Verbreitung zu vermeiden.
Zu vermeidende Fehler
- Transparenznormen nicht extensiv auslegen, um die Online-Veröffentlichung personenbezogener Daten ohne explizite Rechtsgrundlage zu rechtfertigen.
- Keine sensiblen Daten oder Daten, die indirekt besondere Bedingungen der betroffenen Personen offenbaren könnten, online veröffentlichen.
- Nicht annehmen, dass die Veröffentlichung auf physischen Anschlagtafeln automatisch die Online-Verbreitung ohne eine Analyse der Datenschutzrisiken autorisiert.
Fragen zur Selbsteinschätzung
- Gibt es eine explizite Rechtsvorschrift, die die Online-Veröffentlichung unserer Ranglisten/Personal-Auswahllisten mit Klarnamen vorschreibt oder erlaubt?
- Haben wir die Datenschutzrisiken der Online-Veröffentlichung der Namen der betroffenen Personen, einschließlich der Indexierung durch Suchmaschinen, bewertet?
- Sind in unseren Ranglisten Daten vorhanden, die indirekt Behinderungen oder wirtschaftliche Nachteile der Kandidaten offenbaren könnten, und wie schützen wir diese bei der Verbreitung?
Verweise
EDPB-Leitlinien: Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR
Nationales Recht: d.lgs. 30 giugno 2003, n. 196 · Legge n. 56 del 1987 · Decreto del Ministero del lavoro e delle politiche sociali dell’11 gennaio 2018, n. 4 · D.lgs. 165/2001 · D.Lgs. n. 33 del 2013 · d.P.R. 445/2000 · D.P.R. 487 del 1994 · L. 68/99 · legge n. 689/1981 · d.lgs. n. 150 del 1° settembre 2011
Anmerkungen
Der Garante erkannte den guten Glauben des Verantwortlichen und den Kontext veralteter und schwer interpretierbarer Branchenvorschriften an. Dennoch stufte er das Verhalten aufgrund des Fehlens einer spezifischen Rechtsgrundlage für die Online-Verbreitung und Indexierung personenbezogener Daten als rechtswidrig ein.