CNIL verhängt 400.000 Euro Bußgeld gegen Régie autonome des transports parisiens

Frankreich: Bei Régie autonome des transports parisiens (RATP) handelt es sich um den Betreiber des öffentlichen Nahverkehrs in Paris. Im Mai 2020 hatte eine Gewerkschaft bei der französischen Datenschutzbehörde CNIL eine Beschwerde gegen die Verkehrsbetriebe eingereicht, da RATP die Anzahl der Tage, an denen Beschäftigte an Streikts teilgenommen hatten, aktenkundig gemacht und bei Beförderungsentscheidungen berücksichtigt haben soll. 
Die Untersuchungen, welche die CNIL daraufhin in mehreren von RATP betriebenen Buszentren durchgeführt hatte, bestätigten diese Praxis. Die Behörde erkannte darin einen Verstoß gegen den Grundsatz der Datenminimierung, da für die Bewertung der Leistung und der Beförderungsaussichten von Beschäftigten zwar die Gesamtzahl ihre Fehltage notwendig war, nicht jedoch auch, ob diese Tage mit der Teilnahme an Streiks im Zusammenhang standen. Ebenso stellte die Behörde fest, dass die Verkehrsbetriebe bei der Speicherung von Beschäftigtendaten gegen den Grundsatz der Speicherbegrenzung verstoßen hatten. So waren Akten nach der Beurteilung von Mitarbeitern durch die Beförderungskommission für mehr als drei Jahre aufbewahrt worden, obwohl die hierfür angesetzte Frist eine Aufbewahrung von nur 18 Monaten vorsah.
Des Weiteren hatte RATP bzgl. Datenzugriffen in seinen Systemen nicht ordnungsgemäß zwischen verschiedenen Berechtigungsstufen seiner Mitarbeiter differenziert, wodurch mehr Mitarbeiter als nötig Zugang zu bestimmten Daten erhalten hatten. Die Behörde wertete dies als eine Verletzung der Pflicht von RATP, technische und organisatorische Maßnahmen zu implementieren, die ein dem Risiko für die Betroffenen angemessenes Sicherheitsniveau gewährleisten. .

Veröffentlicht am: 22-11-2021

Quelle von dsgvo-portal.de