AEPD verhängt 2.520.000 Euro Bußgeld gegen MERCADONA, S.A.

Spanien: Die spanische Datenschutzbehörde nahm Ermittlungen gegen das Unternehmen auf, nachdem Medien über ein vom Unternehmen implementiertes System zum Aufspüren von Personen mit rechtkräftigen Urteilen und einstweiligen Verfügungen gegen MERCADONA oder seine Beschäftigten berichtet hatten. Das Unternehmen hatte in 40 seiner Supermärkte ein System mit Gesichtserkennung angebracht und diese dazu verwendet, die Zielpersonen beim Betreten der Filialen zu identifizieren. Das System erfasste jeden, der die Läden betrat, einschließlich Minderjähriger und der Mitarbeiter von MERCADONA.
Die Behörde stellte dabei gleich mehrere Datenschutzverstöße rund um die Verwendung der Gesichtserkennung fest. So verletzte das System den Grundsatz der Datenminimierung, weil es vielfältige biometrische Daten – über den Zweck des Systems – hinaus verarbeiten konnte. Der Händler war jedoch nicht in der Lage nachzuweisen, dass sich jene Verarbeitung auf die minimal erforderlichen Daten beschränkte.
Ferner hatte das Unternehmen keine Maßnahmen ergriffen, um die Freiheiten und Rechte der Betroffenen mittels Technikgestaltung zu schützen. Ebenso hatte er keine Datenschutzfolgenabschätzung durchgeführt, obwohl dies aufgrund des Risikos für die Betroffenen erforderlich gewesen wäre.
Des Weiteren hatte MERCADONA seine Informationspflicht verletzt, indem es die Betroffenen nicht ordnungsgemäß über die Verarbeitung ihrer personenbezogenen Daten aufgeklärt hatte.
Bei der Festsetzung der Bußgeldhöhe wurde erschwerend berücksichtigt, dass der Vorfall mit biometrischen Daten eine besondere Kategorie personenbezogener Daten und teils Minderjährige und andere vulnerable Gruppen betraf. Ebenso negativ gewertet wurde der Umstand, dass die unrechtmäßige Verarbeitung systematisch und großflächig erfolgt war und dass MERCADONA vor der Implementierung des Gesichtserkennungssystems keine Beratung durch die Datenschutzbehörde in Anspruch genommen hatte. 
Das ursprüngliche Bußgeld von 3.150.000 EUR setzte sich zusammen aus 500.000 EUR aufgrund eines Verstoßes gegen Art. 5 Abs. 1 lit. c, 2.000.000 EUR aufgrund eines Verstoßes gegen Art. 6 und Art. 9 DSGVO, 100.000 EUR aufgrund eines Verstoßes gegen Art. 12 und Art. 13 DSGVO, 500.000 EUR aufgrund eines Verstoßes gegen Art. 25 Abs. 1 DSGVO und aus 50.000 EUR aufgrund eines Verstoßes gegen Art. 35 DSGVO. Wegen freiwilliger Zahlung wurde die Bußgeldhöhe auf 2.520.000 EUR reduziert. .

Verwandter Beitrag  Datatilsynet verhängt 46.660 Euro Bußgeld gegen Stadtverwaltung Rælingen

Veröffentlicht am: 28-07-2021

Quelle von dsgvo-portal.de