GPDP verhängt 40.000 Euro Bußgeld gegen Azienda ospedaliera di Perugia

Italien: Die italienische Datenschutzbehörde hat bei verschiedenen italienischen Unternehmen den Einsatz von Whistleblowing-Systemen auf seine Datenschutzkonformität untersucht. Besonders im Fokus stand dabei die Frage nach der Vertraulichkeit von Meldungen.
Wie die Behörde im Zuge ihrer Ermittlungen feststellte, war die Anonymität von Whistleblowern in einem vom Bußgeldempfänger betriebenen Krankenhaus nicht gewährleistet. Der Zugriff auf die webbasierte Open-Source-Anwendung, die zum Melden von Missständen innerhalb der Klinik verwendet worden war, erfolgte dort von nicht ordnungsgemäß konfigurierten Geräten. Diese zeichneten die Browsing-Daten der Nutzer auf und speicherten sie, wodurch etwaige Whistleblower identifiziert werden konnten.
Außerdem hatte der Leiter der Abteilung für Korruptionsprävention und Transparenz, der als einziger Zugang zu über die Plattform eingereichten Berichten hatte, beim Scheiden aus dem Amt die Zugangsdaten zum System nicht ordnungsgemäß verwaltet. So hatte er beide Zugangsschlüssel (einen zur Verifizierung der Identität der Whitleblower und einen für die Verwaltung der Meldungen) seinem designierten Nachfolger noch während der Übergangsphase in einem einzigen Brief übergeben.
Dabei hatte Azienda ospedaliera di Perugia vor der Inbetriebnahme des Whistleblowing-Systems weder eine Datenschutz-Folgenabschätzung durchgeführt noch die damit einergehende Verarbeitung personenbezogener Daten in das Register seiner Verarbeitungstätigkeiten eingetragen. Auch waren die Mitarbeiter des Krankenhauses nicht ordnungsgemäß über die Verarbeitung ihrer Daten informiert worden.
Gegen ISWEB S.p.A., den Entwickler der Anwendung, wurde in einem separaten Verfahren ebenfalls ein Bußgeld in Höhe von 40.000 EUR verhängt. .

Veröffentlicht am: 12-05-2022

Quelle von dsgvo-portal.de