Autoriteit Persoonsgegevens verhängt 450.000 Euro Bußgeld gegen UWV

Niederlande: Die niederländische Datenschutzbehörde nahm Ermittlungen gegen den Arbeitnehmerversicherer auf, nachdem ihr dieser neun Datenpannen gemeldet hatte. Die Datenpannen betrafen der Versand von Gruppennachrichten über den „My Workbook“-Bereich der UWV-Website. Bei diesem handelt es sich um eine persönliche Umgebung, über die seitens der UWV unter anderem Kontakt mit Arbeitssuchenden stattfindet. Zwischen August 2016 und September 2018 wurden in neun Fällen über den Bereich von der UWV an Arbeitssuchende verschickte Gruppennachrichten den falschen Empfängern (anderen Arbeitssuchenden) zugestellt. Dadurch wurden personenbezogene Daten von über 15.000 Nutzern in umfassender Weise gegenüber Dritten (anderen arbeitssuchenden Nutzern der Seite) exponiert.
Die einzelnen Datenpannen variierten bzgl. der Informationen, die sie über die Betroffenen preisgaben, enthielten insgesamt jedoch die folgenden Angaben: Name, Geburtstag, Geschlecht, Alter, postalische und E-Mail-Adresse, Bildungsgrad, Sozialversicherungsnummer, niederländische Bürgerservicenummer (BSN), Angaben zum letzten Beschäftigungsverhältnis, zum Bezug von Arbeitslosengeld, zur Nationalität, zum Führerschein und zu sprachlichen Fertigkeiten sowie Ergebnisse einer Befragung zu möglichen Hürden bei der Jobsuche. Letztere enthielt dabei auch Angaben zur psychischen und physischen Gesundheit der Betroffenen, etwa ob sie sich zu krank fühlen, um eine bestimmte Tätigkeit aufnehmen zu können.
Im Rahmen ihrer Untersuchung gelangte die Datenschutzbehörde zu dem Schluss, dass es zu den Pannen gekommen war, weil der Bußgeldempfänger keine adäquaten technischen und organisatorischen Maßnahmen implementiert hatte, um ein angemessenes Schutzniveau für den Versand von Gruppennachrichten über den „My Workbook“-Bereich seiner Website zu gewährleisten. UWV hatte bestehende Sicherheitsmaßnahmen weder ausreichend überwacht noch einer regelmäßigen Evaluierung unterzogen. 
Angesichts des Risikos für die Betroffenen kritisierte die Datenschutzbehörde in diesem Zusammenhang, dass UWV nicht sofort nach der ersten Datenpanne, sondern erst Ende 2018, entsprechende Maßnahmen ergriffen hatte, um ähnliche Datenpannen in Zukunft zu verhindern. Zum Zeitpunkt der ersten Panne waren bereits 4,5 Millionen Niederländer bei UWV registriert, darunter Arbeitssuchende, Kranke und Arbeitsunfähige.
Darüber hinaus hatte der Bußgeldempfänger seine Informationspflicht verletzt, indem er die Betroffenen nicht ordnungsgemäß über die Verarbeitung ihrer personenbezogenen Daten informiert hatte. .

Verwandter Beitrag  AEPD verhängt 1.000 Euro Bußgeld gegen IMPORTACIONES CRBD, S.L.

Veröffentlicht am: 09-07-2021

Quelle von dsgvo-portal.de