Auf einen Blick
Der Garante Privacy hat den Comune di San Genesio e Uniti mit 2.000 Euro sanktioniert, weil er die Gewerkschaftszugehörigkeit einer ehemaligen Mitarbeiterin ohne gültige Rechtsgrundlage an eine andere Stelle weitergegeben hat. Der Comune hatte irrtümlich angenommen, dass die andere Stelle diese Information bereits kannte. Diese Entscheidung macht deutlich, dass auch öffentliche Verwaltungen sehr sorgfältig vorgehen müssen und personenbezogene Daten, insbesondere sensible Daten wie die Gewerkschaftszugehörigkeit, nicht weitergeben dürfen, es sei denn, ein Gesetz erlaubt dies ausdrücklich.
Was zu tun ist
- Überprüfen Sie immer, ob eine gültige Rechtsgrundlage (wie ein spezifisches Gesetz) vorliegt, bevor Sie personenbezogene Daten, insbesondere sensible, an andere Stellen oder Personen weitergeben.
- Überprüfen Sie Ihre internen Verfahren zur Verwaltung von Mitarbeiterdaten sorgfältig, insbesondere beim Übergang von einer Stelle zur anderen.
- Stellen Sie sicher, dass Ihr Personal geschult ist, um zu verstehen, welche Daten übermittelt werden dürfen und welche nicht.
Was zu vermeiden ist
- Gehen Sie nicht davon aus, dass eine andere Stelle bestimmte Daten bereits kennt oder dass diese vermeintliche Kenntnis deren Weitergabe rechtfertigt.
- Geben Sie keine sensiblen Daten (wie Gewerkschaftszugehörigkeit oder Gesundheitsinformationen) weiter, es sei denn, es liegt eine klare gesetzliche Erlaubnis oder die Zustimmung der betroffenen Person vor.
- Verwechseln Sie nicht Daten, die in einem Arbeitsverhältnis verwaltet werden, mit denen eines anderen Verhältnisses, auch wenn es sich um dieselbe Person handelt.
Hintergrund
Eine ehemalige Mitarbeiterin des Comune di San Genesio e Uniti (der „Comune“) reichte Beschwerde beim Garante Privacy ein. Die Beschwerdeführerin bemängelte, dass der Comune, in Beantwortung ihres Antrags auf Freigabe für eine freiwillige Versetzung an eine andere Stelle (die „aufnehmende Stelle“), personenbezogene Daten besonderer Kategorien, insbesondere ihre Gewerkschaftszugehörigkeit, an Letztere übermittelt hatte. Die Beschwerde bezog sich auch auf die Weitergabe der persönlichen Angaben, der E-Mail-Adresse und der Gewerkschaft des Gewerkschaftsvertreters, der die Beschwerdeführerin vertreten hatte. Der Comune rechtfertigte die Übermittlung damit, dass zwischen den beiden Stellen eine vertragliche Beziehung zur Nutzung der Arbeitsleistungen der Beschwerdeführerin bestand und dass die aufnehmende Stelle bereits zur Verarbeitung ihrer Daten für steuerliche, sozialversicherungsrechtliche und Gehaltszwecke befugt war. Der Comune behauptete ferner, gutgläubig angenommen zu haben, dass die aufnehmende Stelle die übermittelten Informationen bereits kannte, auch weil die Beschwerdeführerin bereits eine Nebentätigkeit (außerhalb der regulären Arbeitszeit) bei ihr ausübte und die aufnehmende Stelle die Übermittlung der Personalakte der Mitarbeiterin verlangte. Der Comune bezeichnete die Übermittlung als unbeabsichtigte und entschuldbare Vorabübermittlung, die keine konkreten Auswirkungen hatte und auf institutionelle Akteure beschränkt war.
Die Entscheidung
Der Garante stellte fest, dass der Comune di San Genesio e Uniti personenbezogene Daten, einschließlich solcher besonderer Kategorien (Gewerkschaftszugehörigkeit) der Beschwerdeführerin und des Gewerkschaftsvertreters, ohne eine gültige Rechtsgrundlage und unter Verstoß gegen die Grundsätze der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz verarbeitet hat. Die Verteidigung des Comune, die auf der vermeintlichen Kenntnis der Daten durch die aufnehmende Stelle und dem Bestehen einer Arbeitsbeziehung zur Beschwerdeführerin basierte, wurde als unzureichend erachtet. Der Garante betonte, dass die Arbeitsverhältnisse mit den beiden Stellen getrennt waren und der Antrag auf Freigabe nur vertraulich an den Comune gesandt worden war. Das Versetzungsverfahren war zum Zeitpunkt der Mitteilung noch nicht abgeschlossen. Die rechtswidrige Verarbeitung bestand in der Übermittlung einer Mitteilung, die sensible Daten enthielt, auch an die aufnehmende Stelle, die nicht zu den ursprünglichen Empfängern des Antrags gehörte. Angesichts dieses Verstoßes gegen Art. 5 Abs. 1 lit. a), 6 und 9 der DSGVO sowie Art. 2-ter und 2-sexies des Codice Privacy, verhängte der Garante gegen den Comune eine Geldbuße von 2.000 Euro. Berücksichtigt wurden der episodische und fahrlässige Charakter des Verstoßes, die begrenzte Anzahl Betroffener (zwei), die geringe Größe des Comune und seine Zusammenarbeit sowie das Fehlen relevanter früherer Verstöße. Es wurden keine weiteren Korrekturmaßnahmen angeordnet, da das Verhalten seine Wirkung erschöpft hatte. Die Veröffentlichung der Entscheidung auf der Website des Garante wurde angeordnet.
Verletzte DSGVO-Artikel
| Artikel | Beschreibung | Relevanz |
|---|---|---|
|
5 par.1 lett.a GDPR |
Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz bei der Verarbeitung personenbezogener Daten. | die verarbeitung personenbezogener daten, einschließlich solcher besonderer kategorien, war weder rechtmäßig noch nach treu und glauben oder transparent, da es an einer gültigen rechtsgrundlage für die weitergabe an dritte fehlte. |
|
6 GDPR |
Rechtmäßigkeit der Verarbeitung, die eine spezifische Rechtsgrundlage erfordert. | der comune hat personenbezogene daten ohne eine der in artikel 6 der dsgvo vorgesehenen rechtsgrundlagen weitergegeben, da die verarbeitung nicht für rechtliche verpflichtungen oder aufgaben von öffentlichem interesse in bezug auf die aufnehmende stelle erforderlich war. |
|
9 GDPR |
Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten, außer in spezifischen Ausnahmefällen. | die weitergabe von daten über die gewerkschaftszugehörigkeit, einer besonderen kategorie von daten, erfolgte ohne die spezifischen rechtmäßigkeitsbedingungen gemäß artikel 9 der dsgvo, insbesondere in bezug auf das arbeitsrecht und das öffentliche interesse. |
|
2-ter Codice Privacy |
Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch öffentliche Stellen. | der comune hat als öffentliche stelle personenbezogene daten ohne eine angemessene rechtsgrundlage nach nationalem oder unionsrecht verarbeitet, insbesondere bei der weitergabe an eine andere öffentliche stelle. |
|
2-sexies Codice Privacy |
Spezifische Bedingungen für die Verarbeitung besonderer Datenkategorien durch öffentliche Stellen. | der comune hat daten besonderer kategorien (gewerkschaftszugehörigkeit) verarbeitet, ohne dass die spezifischen bedingungen oder geeigneten garantien vorlagen, die der codice privacy für öffentliche stellen vorsieht. |
Sanktion
Der Garante ordnete dem Comune di San Genesio e Uniti die Zahlung einer Geldbuße von 2.000 Euro wegen Verstoßes gegen Art. 5 Abs. 1 lit. a), 6 und 9 der DSGVO sowie Art. 2-ter und 2-sexies des Codice Privacy an. Die Strafe wurde unter Berücksichtigung verschiedener Faktoren bemessen, darunter der episodische Charakter des Verstoßes, der nur zwei Betroffene betraf, der fahrlässige Charakter des Verhaltens des Comune (der irrtümlich von der Kenntnis der Daten durch die aufnehmende Stelle überzeugt war) und die Tatsache, dass der Verstoß Daten besonderer Kategorien (Gewerkschaftszugehörigkeit) betraf. Als mildernde Umstände wurden die geringe Größe des Comune, das Fehlen relevanter früherer Verstöße und die im Rahmen des Ermittlungsverfahrens erfolgte Zusammenarbeit, einschließlich der Durchführung von Schulungen für das Personal zur Vermeidung zukünftiger Vorfälle, berücksichtigt. Die Strafe wurde als wirksam, verhältnismäßig und abschreckend erachtet. Zudem wurde die Veröffentlichung der Bußgeldentscheidung auf der Website des Garante angeordnet.
Fristen: innerhalb von 30 Tagen nach Zustellung dieser Entscheidung; Möglichkeit, den Streitfall durch Zahlung der Hälfte der verhängten Strafe innerhalb von 30 Tagen beizulegen
Praktische Auswirkungen
Diese Entscheidung bekräftigt die Bedeutung für öffentliche Verwaltungen, einen rigorosen Ansatz bei der Verwaltung und Weitergabe personenbezogener Daten zu verfolgen, insbesondere wenn es um besondere Kategorien wie die Gewerkschaftszugehörigkeit geht. Auch im Rahmen der Zusammenarbeit zwischen öffentlichen Stellen oder bei Personalversetzungen muss jede Datenweitergabe auf einer gültigen Rechtsgrundlage basieren und nicht auf Annahmen über Kenntnisse oder bestehende Beziehungen zwischen den Parteien. Ein entschuldbarer Fehler aufgrund einer irrigen Annahme entbindet den Verantwortlichen nicht von der Verantwortung. Öffentliche Verwaltungen müssen sich bewusst sein, dass Personalunterlagen, einschließlich derer, die sich auf Gewerkschaftsbeziehungen beziehen, spezifischen Vorschriften und Beschränkungen für ihre Offenlegung gegenüber Dritten unterliegen. Es ist unerlässlich, dass die Rechtsgrundlage für die Verarbeitung für jeden Zweck und für jeden Datenempfänger überprüft wird. Die Schulung des Personals in Bezug auf die Datenschutzvorschriften ist ein mildernder, aber nicht ausschlaggebender Faktor, wenn klare Verfahren und eine korrekte Risikobewertung fehlen.
Empfohlene Maßnahmen
- Die Rechtsgrundlage für jede Weitergabe personenbezogener Daten an Dritte, einschließlich anderer öffentlicher Stellen, überprüfen
- Interne Verfahren zur Verwaltung von Personalakten und zur Versetzung überarbeiten
- Klare Verfahren für die Bearbeitung von Anfragen betroffener Personen implementieren, um sicherzustellen, dass Mitteilungen nur an autorisierte Empfänger und auf gültiger Rechtsgrundlage erfolgen
- Das Personal in den Regeln der Rechtmäßigkeit der Verarbeitung schulen, insbesondere für Daten besonderer Kategorien
- Die Rechtsgrundlagen und Verarbeitungszwecke zwischen verschiedenen Arbeitsverhältnissen oder Stellen getrennt halten, auch wenn dieselbe betroffene Person betroffen ist
Zu vermeidende Fehler
- Annehmen, dass eine dritte Stelle bereits Kenntnis von personenbezogenen Daten hat oder dass diese Kenntnis die Verarbeitung rechtmäßig macht
- Personenbezogene Daten ohne eine spezifische, klare und dokumentierte Rechtsgrundlage weitergeben
- Nicht zwischen verschiedenen Arbeitsverhältnissen oder verschiedenen Stellen unterscheiden, auch wenn sie verbunden sind oder ein Personaltransfer bevorsteht
- Daten besonderer Kategorien über das unbedingt Notwendige oder gesetzlich Zulässige hinaus speichern oder offenlegen
Fragen zur Selbsteinschätzung
- Verfügt unsere Verwaltung über formalisierte Verfahren für die Weitergabe von Daten des Personals an andere Stellen?
- Was ist die spezifische Rechtsgrundlage für die Weitergabe von Daten besonderer Kategorien im Rahmen von Versetzungen oder behördenübergreifender Zusammenarbeit?
- Ist unser Personal ausreichend für den korrekten Umgang mit und die Weitergabe von sensiblen Daten geschult?
- Bewerten wir im Einzelfall die Notwendigkeit und Rechtmäßigkeit jeder Offenlegung personenbezogener Daten an Dritte?
- Decken unsere Datenschutzerklärungen die Zwecke und Empfänger jeder Art der Datenverarbeitung, einschließlich der Weitergabe an Dritte, klar ab?
Verweise
EDPB-Leitlinien: Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR del 24 maggio 2023
Nationales Recht: D.Lgs. 196/2003 · l. 24 novembre 1981, n. 689 · D.Lgs. 267/00 · d.lgs. n. 150/2011 · art. 166 Codice Privacy · art. 2-ter Codice Privacy · art. 2-sexies Codice Privacy
Anmerkungen
Die Entscheidung hebt hervor, dass auch ein 'entschuldbarer Fehler' oder 'Treu und Glauben' des Verantwortlichen keine Abweichung von der Notwendigkeit einer gültigen Rechtsgrundlage für die Verarbeitung darstellen können, insbesondere bei Daten besonderer Kategorien. Der Garante hat zudem die geringe Größe der öffentlichen Stelle und ihre Zusammenarbeit als mildernde Umstände anerkannt.