Auf einen Blick
Eine Bildungseinrichtung wurde vom Garante Privacy mit einer Geldstrafe von 4.000 Euro belegt, weil sie sensible personenbezogene Daten von Mitarbeitenden, darunter Ausweisdokumente und Gewerkschaftszugehörigkeit, ohne gültige Rechtsgrundlage online auf ihrer Website verbreitet hatte. Die Behörde befand die Schule für den Fehler eines ihrer Angestellten verantwortlich und betonte, dass Tarifverträge die Datenweitergabe nicht rechtfertigen, sofern diese nicht durch ein spezifisches Gesetz vorgesehen ist.
Was zu tun ist
- Überprüfen Sie umgehend den Bereich „Gewerkschaftliches Schwarzes Brett“ oder jeden anderen Bereich Ihrer Website, in dem personalbezogene Akten veröffentlicht werden, und stellen Sie sicher, dass keine vollständigen Dokumente mit übermäßigen oder sensiblen personenbezogenen Daten ohne ein spezifisches Gesetz, das dies erfordert, öffentlich zugänglich gemacht werden.
- Überarbeiten Sie die internen Verfahren für die Online-Veröffentlichung von Dokumenten. Stellen Sie sicher, dass das beauftragte Personal genau weiß, welche Informationen wie lange und in welchem Format veröffentlicht werden dürfen (vermeiden Sie beispielsweise die Veröffentlichung von Kopien von Ausweisdokumenten oder vollständigen Kandidaturformularen).
- Konsultieren Sie Ihren internen Kalender für RSU-Wahlen oder andere Verfahren, die die Veröffentlichung von Personal-Listen oder -Dokumenten vorsehen, um sicherzustellen, dass die Daten nicht länger online bleiben, als es für den Wahlprozess und eventuelle Rechtsbehelfe unbedingt erforderlich ist.
Was zu vermeiden ist
- Veröffentlichen Sie niemals vollständige Kandidaturformulare oder Kopien von Ausweisdokumenten von Mitarbeitenden auf einer öffentlichen Website, auch wenn die Absicht Transparenz ist, es sei denn, dies ist ausdrücklich gesetzlich vorgeschrieben.
- Nutzen Sie „etablierte Praktiken“ oder Tarifverträge nicht als einzige Rechtfertigung für die Weitergabe sensibler personenbezogener Daten wie der Gewerkschaftszugehörigkeit; es ist eine solidere Rechtsgrundlage, wie ein Gesetz oder eine Verordnung, erforderlich.
- Lassen Sie Dokumente mit personenbezogenen Daten nicht unbegrenzt online. Entfernen Sie sie, sobald der Zweck ihrer Veröffentlichung erfüllt ist.
Hintergrund
Ein Institut für höhere Bildung erhielt eine Beschwerde wegen einer mutmaßlichen Verletzung der Datenschutzbestimmungen. Die Beschwerde betraf die Online-Verbreitung personenbezogener Daten der Beschwerdeführenden auf der institutionellen Website des Instituts. Insbesondere waren in der Rubrik „Gewerkschaftliches Schwarzes Brett“ der Website die von den Beschwerdeführenden unterzeichneten Kandidaturannahmeformulare für die Wahlen der RSU des Instituts (Einheitliche Gewerkschaftsvertretung) zusammen mit ihren jeweiligen Ausweisdokumenten einsehbar. Aus diesen Dokumenten konnte auch die Gewerkschaftszugehörigkeit der Beschwerdeführenden abgeleitet werden. Das Institut legte Beweismittel für die veröffentlichten Dokumente vor, darunter Wahllisten mit Namen, Qualifikationen, Geburtsorten und -daten, Unterschriften; Kandidaturformulare mit Wohnadresse und beigefügten Vorder- und Rückseiten von Ausweisdokumenten. Das Institut räumte einen „bloßen materiellen Fehler“ ein, der vom Digital Animator begangen wurde, und erkannte an, dass die vollständige Veröffentlichung der Formulare und Anhänge weitere personenbezogene Daten als unbedingt für die Transparenz des Wahlverfahrens erforderlich allgemein im Web zugänglich machte. Die Dokumente waren 19 Tage lang auf der Website sichtbar, über den Zeitraum hinaus, der genau der Durchführung der Wahlen entsprach, und wurden nach einer Mahnung durch die Beschwerdeführenden entfernt. Das Institut erklärte zudem, dass es ein neues Verfahren für das gewerkschaftliche Schwarze Brett einführe und das Online-Schwarze Brett (für die amtliche Bekanntmachung) von der gewerkschaftlichen Pinnwand (für interne Mitteilungen) getrennt habe.
Die Entscheidung
Der Garante stellte fest, dass das Institut auf seiner Website in der Rubrik „Gewerkschaftliches Schwarzes Brett“ Dokumente zu den Wahlen der Einheitlichen Gewerkschaftsvertretung veröffentlicht hatte, die personenbezogene Daten der Kandidierenden (einschließlich der Beschwerdeführenden) und anderer Personen enthielten. Diese Dokumente umfassten Namen, Geburtsorte und -daten, Wohnadressen und Kopien von Ausweisdokumenten, aus denen die Gewerkschaftszugehörigkeit hervorging. Der Garante hielt das Institut für die unrechtmäßige Verbreitung verantwortlich, obwohl der Fehler einem Angestellten zugeschrieben wurde, da der Verantwortliche die Pflicht zur Überwachung hat. Es wurde keine geeignete Rechtsgrundlage für die Online-Verbreitung solcher Daten an eine unbestimmte Öffentlichkeit festgestellt, was gegen Art. 5 Abs. 1 lit. a), Art. 6 und 9 der DSGVO sowie Art. 2-ter des Codice Privacy verstößt. Der Garante stellte klar, dass etablierte Praktiken und Tarifverträge keine ausreichende Rechtsgrundlage darstellen, um die Rechtsordnung im Bereich der Datenverarbeitung zu ändern. Obwohl das Institut die Inhalte unverzüglich entfernt und Maßnahmen zur Vermeidung zukünftiger Verstöße ergriffen hatte, stufte der Garante die Verstöße nicht als „geringfügig“ ein, unter Berücksichtigung der Art der verbreiteten Daten. Daher wurde eine Geldbuße von 4.000,00 Euro verhängt und die Veröffentlichung der Entscheidung auf der Website des Garante angeordnet.
Verletzte DSGVO-Artikel
| Artikel | Beschreibung | Relevanz |
|---|---|---|
|
5 par.1 lett.a GDPR |
Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz der Verarbeitung personenbezogener Daten. | die online-verbreitung personenbezogener daten erfolgte ohne geeignete rechtsgrundlage, wodurch die verarbeitung unrechtmäßig und intransparent war. |
|
6 GDPR |
Voraussetzungen für die Rechtmäßigkeit der Verarbeitung, die für jede Verarbeitungstätigkeit eine spezifische Rechtsgrundlage erfordern. | die veröffentlichung der personenbezogenen daten erfolgte ohne eine geeignete rechtsgrundlage, die ihre undifferenzierte verbreitung erlaubte. |
|
9 GDPR |
Verbot der Verarbeitung besonderer Kategorien personenbezogener Daten (z. B. rassische oder ethnische Herkunft, politische Meinungen, Gewerkschaftszugehörigkeit) außer in spezifischen Ausnahmefällen. | die gewerkschaftszugehörigkeit der kandidaten, die zu den besonderen kategorien von daten gehört, wurde ohne gültige rechtsgrundlage für diese operation online verbreitet. |
|
2-ter Codice Privacy |
Rechtsgrundlagen für die Verarbeitung personenbezogener Daten durch öffentliche Stellen, die für eine rechtliche Verpflichtung oder eine Aufgabe im öffentlichen Interesse auf der Grundlage einer gesetzlichen oder regulatorischen Bestimmung erforderlich sein müssen. | das institut hat als öffentliche einrichtung personenbezogene daten ohne eine spezifische gesetzlich oder durch verordnung vorgesehene rechtsgrundlage verbreitet, die diese verbreitung autorisierte. |
Auferlegte Maßnahmen
Zahlung einer Geldbuße von 4.000,00 Euro; Veröffentlichung des Anordnungsbescheids auf der Website des Garante; Eintragung der Verstöße und der ergriffenen Maßnahmen im internen Register der Behörde.
Sanktion
Der Garante ordnete der Hochschule Della Corte Vanvitelli die Zahlung einer Geldbuße von 4.000,00 Euro wegen Verstoßes gegen Art. 5 Abs. 1 lit. a), Art. 6 und 9 der DSGVO sowie Art. 2-ter des Codice Privacy an. Er ordnete außerdem die Veröffentlichung der Entscheidung, die den Bußgeldbescheid enthielt, auf der Website des Garante an, aufgrund der Art der veröffentlichten Daten.
Fristen: Innerhalb von 30 Tagen nach Zustellung der Entscheidung
Praktische Auswirkungen
Diese Anordnung unterstreicht die entscheidende Bedeutung der Schaffung einer soliden und spezifischen Rechtsgrundlage für jede Verarbeitung personenbezogener Daten, insbesondere wenn es um deren Online-Verbreitung durch öffentliche Stellen geht. Es reicht nicht aus, dass eine Verarbeitungstätigkeit für eine Aufgabe im öffentlichen Interesse erforderlich ist; es muss eine gesetzliche oder regulatorische Bestimmung diese Verbreitung ausdrücklich spezifizieren oder zulassen. Der Fehler eines einzelnen Mitarbeiters entbindet den Verantwortlichen nicht von seiner Verantwortung, da diesem die Pflicht obliegt, zu überwachen und angemessene Verfahren sowie eine effektive Schulung zu implementieren. Ein relevanter Aspekt ist die wiederholte Feststellung des Garante, dass Tarifverträge keine geeignete Rechtsgrundlage darstellen können, um Datenverarbeitungen einzuführen, die nicht gesetzlich vorgesehen sind, noch um die Verbreitung sensibler Daten an eine unbestimmte Öffentlichkeit zu rechtfertigen. Dies zwingt öffentliche Verwaltungen und alle im Arbeitskontext tätigen Organisationen, die Tragweite ihrer internen Vereinbarungen im Hinblick auf die geltenden Datenschutzbestimmungen streng zu bewerten und sicherzustellen, dass sie die gesetzlich festgelegten Grenzen nicht überschreiten. Organisationen müssen effektive Kontrollmechanismen für die Online-Veröffentlichung von Informationen, insbesondere solchen, die personenbezogene Daten enthalten, implementieren und die Aufbewahrungs- und Sichtbarkeitsdauer dieser Daten klar definieren.
Empfohlene Maßnahmen
- Überprüfen Sie alle geltend gemachten Rechtsgrundlagen für die Online-Verbreitung personenbezogener Daten und stellen Sie sicher, dass diese auf spezifischen gesetzlichen oder regulatorischen Bestimmungen beruhen.
- Implementieren und dokumentieren Sie klare und detaillierte Verfahren für die Veröffentlichung jeglicher Inhalte auf der institutionellen Website, mit besonderem Augenmerk auf Dokumente, die personenbezogene Daten enthalten.
- Schulen Sie das Personal, das an der Verwaltung und Veröffentlichung von Online-Inhalten beteiligt ist, in den Grundsätzen des Datenschutzes, der Natur sensibler Daten und den Folgen von Verstößen.
- Überprüfen Sie Kollektivverträge und interne Praktiken, um sicherzustellen, dass sie nicht als einzige Rechtsgrundlage für Datenverarbeitungen verwendet werden, die eine höhere Rechtsquelle erfordern würden.
Zu vermeidende Fehler
- Verbreiten Sie keine personenbezogenen Daten, insbesondere sensible oder identifizierende Daten (wie Ausweisdokumente und Adressen), an ein unbegrenztes Publikum ohne eine explizite und spezifische Rechtsgrundlage.
- Betrachten Sie Tarifverträge nicht als eigenständige Rechtsgrundlage für die Einführung neuer personenbezogener Datenverarbeitungen, die nicht gesetzlich vorgesehen oder erlaubt sind.
- Unterschätzen Sie nicht die Verantwortung des Verantwortlichen für Fehler, die von seinen Mitarbeitenden im Rahmen ihrer Aufgaben begangen werden, auch wenn diese den formalen Rahmen ihrer Zuständigkeiten überschreiten.
- Lassen Sie personenbezogene Daten nicht über den für den Veröffentlichungszweck unbedingt erforderlichen Zeitraum hinaus online, ohne eine klare Aufbewahrungsrichtlinie.
Fragen zur Selbsteinschätzung
- Welche spezifischen Rechtsgrundlagen (Gesetz oder Verordnung) ermächtigen die Online-Verbreitung jeder Kategorie personenbezogener Daten, die von unserer Organisation verarbeitet werden?
- Haben wir ein internes Protokoll, das den Prozess des Hochladens und Veröffentlichens von Dokumenten auf der Website regelt, einschließlich der Überprüfung personenbezogener Daten und der Definition von Sichtbarkeitsdauern?
- Hat unser zur Online-Veröffentlichung berechtigtes Personal eine spezifische und aktualisierte Schulung zu den Datenschutzvorschriften und den Risiken im Zusammenhang mit der unbefugten Datenweitergabe erhalten?
- Wurden unsere internen Vereinbarungen oder Tarifverträge bewertet, um sicherzustellen, dass sie keine personenbezogenen Datenverarbeitungen vorsehen, die über die gesetzlichen Bestimmungen hinausgehen?
Verweise
EDPB-Leitlinien: Linee guida 4/2022 sul calcolo delle sanzioni amministrative pecuniarie ai sensi del GDPR del 24 maggio 2023 · Raccomandazione del 1° aprile 2015, CM/Rec(2015)5, sul trattamento di dati personali nel contesto occupazionale
Nationales Recht: D.Lgs. 196/2003 · L. 24 novembre 1981, n. 689 · D.Lgs. 165/2001 · D.Lgs. 1° settembre 2011, n. 150