CNIL verhängt 1.750.000 Euro Bußgeld gegen SGAM AG2R LA MONDIALE

Frankreich: Die französische Datenschutzbehörde CNIL hat 2019 eine Inspektion bei der Unternehmensgruppe AG2R LA MONDIALE, einem französischen Privatversicherer mit Sitz in Paris, durchgeführt. Ziel dessen war es, die Ordnungsmäßigkeit der Verarbeitung zu überprüfen, die im Rahmen der Verwaltung der Zusatzrenten für Arbeitnehmer des privaten Sektors sowie der Versicherungstätigkeit durchgeführt wird. Dabei stellte die CNIL Datenschutzverstöße aufseiten von SGAM AG2R LA MONDIALE fest. Bei diesem handelt es sich um ein Unternehmen der Gruppe, welches mit der Koordinierung des Vorsorge-, Abhängigkeits-, Kranken-, Spar- und Zusatzrentenversicherungsgeschäfts der Gruppe beauftragt ist. 
Der Verantwortliche hatte das Prinzip der Speicherbegrenzung verletzt, indem er personenbezogene Daten von Millionen von Personen über einen übermäßig langen Zeitraum gespeichert hatte. Zwar waren Aufbewahrungsfristen für die Archive des Unternehmens definiert, SGAM AG2R LA MONDIALE hatte sie jedoch nicht in seinen IT-Systemen implementiert.
In Bezug auf die Daten von Interessenten hat der Versicherer die im Referenzrahmen und im Verarbeitungsregister der Gruppe festgelegte maximale Aufbewahrungsfrist von drei Jahren überschritten. Dadurch blieben die Daten von fast 2.000 Kunden gespeichert, obwohl diese seit mehr als drei, teilweise fünf Jahren keinen Kontakt mehr zum Unternehmen hatten. Bezüglich Kundendaten hat das Unternehmen hingegen die im französischen Versicherungsgesetzbuch und Handelsgesetzbuch vorgesehene, maximale Aufbewahrungsfrist nicht eingehalten, indem es die Daten von mehr als 2 Millionen Kunden, die zum Teil sensibel (Gesundheitsdaten) oder spezifisch (Bankdaten) waren, für länger als fünf Jahre nach Vertragsende aufbewahrt hatte. Während die Daten von 1,3 Mio. Betroffenen mit einer Gesundheitsversicherung über zehn Jahre aufbewahrt wurden, blieben die Daten mehrerer Tausend Kunden über 30 Jahre lang gespeichert.
Des Weiteren hatte SGAM AG2R LA MONDIALE seine Informationspflicht verletzt, da Betroffene im Rahmen telefonischer Akquisekampagnen nicht ordnungsgemäß über die Verarbeitung ihrer personenbezogenen Daten aufgeklärt worden waren. So zeichneten die mit der Durchführung der Kampagnen beauftragten Subunternehmen die mit den Betroffenen geführten Gespräche auf, ohne dass diese über die Aufnahme sowie über ihr Widerspruchsrecht informiert wurden. Darüber hinaus wurden den kontaktierten Personen keine weiteren Informationen über die Verarbeitung ihrer personenbezogenen Daten oder ihre sonstigen Rechte zur Verfügung gestellt. Ebenso wurde den Betroffenen keine Möglichkeit geboten, umfassendere Informationen abzurufen, z. B. durch Aktivierung einer Taste auf ihrem Telefon oder durch Senden einer E-Mail.
Während der Ermittlungen hatte SGAM AG2R LA MONDIALE sowohl bzgl. der Speicherbegrenzung als auch bzgl. seiner Informationspflicht Änderungen vorgenommen oder dokumentierte Zusagen gemacht, um seine Verarbeitungspraxis datenschutzkonform zu gestalten. .

Verwandter Beitrag  Datatilsynet verhängt 6.721 Euro Bußgeld gegen Gemeinde Lolland

Veröffentlicht am: 23-07-2021

Quelle von dsgvo-portal.de