GPDP verhängt 40.000 Euro Bußgeld gegen Aeroporto Guglielmo Marconi di Bologna S.p.a.

Italien: Die Identität von Hinweisgebern (Whistleblowern) bedarf aufgrund der Sensibilität der verarbeiteten Informationen und des hohen Risikos von Vergeltungsmaßnahmen und Diskriminierung am Arbeitsplatz eines besonderen Schutzes. Vor diesem Hintergrund verhängte die italienische Datenschutzbehörde das Bußgeld gegen das Flughafenunternehmen, weil es bei der von ihm eingesetzten Anwendung zur Meldung von Missständen Datenschutzverstöße festgestellt hatte. Die besagte Software war dabei vom Unternehmen aiComply S.r.l. bezogen worden.
So stellte sich im Laufe der Untersuchung heraus, dass der Zugriff auf die Anwendung ohne die Verwendung eines sicheren Netzwerkprotokolls (z. B. des https-Protokolls) erfolgte und dass die Anwendung selbst keine Verschlüsselung der Daten des Meldenden, der gemeldeten Informationen und der beigefügten Unterlagen vorsah. Dies wertete die Behörde als eine Verletzung der Pflicht von Aeroporto Guglielmo Marconi di Bologna S.p.a., technische und organisatorische Maßnahmen zu implementieren, die ein dem Risiko für die Betroffenen angemessenes Sicherheitsniveau gewährleisten. Ausgehend davon stellte sie ebenso einen Verstoß gegen den Grundsatz der Integrität und Vertraulichkeit aufseiten des Bußgeldempfängers fest. Hierbei betonte die Behörde, dass Aeroporto Guglielmo Marconi di Bologna S.p.a. als Verantwortlicher auch bei der Nutzung von Produkten oder Dienstleistungen Dritter dazu verpflichtet war, die Einhaltung der Datenschutzgrundsätze zu sicherzustellen.
Ferner verfolgte die Flughafengesellschaft anhand der von seinen Firewalls erstellten Protokolle den Zugriff der mit dem Unternehmensnetz verbundenen Mitarbeiter auf die Anwendung. Dadurch wurden die anderen Maßnahmen, die zum Schutz der Vertraulichkeit der Identität der Betroffenen ergriffen wurden, de facto unwirksam, insbesondere da nur wenige Verbindungen zu der fraglichen Anwendung hergestellt wurden. Eine Datenschutz-Folgenabschätzung war vom Bußgeldempfänger dabei nicht durchgeführt worden, obwohl dies in Anbetracht der Sensibilität der verarbeiteten Informationen sowie der Risiken für die Betroffenen erforderlich gewesen wäre.
Gegen aiComply S.r.l. wurde in einem separaten Verfahren ebenfalls ein Bußgeld verhängt. .

Verwandter Beitrag  AEPD verhängt 56.000 Euro Bußgeld gegen Vodafone España, S.A.U.

Veröffentlicht am: 04-08-2021

Quelle von dsgvo-portal.de