GPDP verhängt 800.000 Euro Bußgeld gegen Stadtverwaltung der Stadt Rom (Roma Capitale)

Italien: Die italienische Datenschutzbehörde hatte Ermittlungen gegen die Verwaltung der Stadt Rom, sowie die beiden Unternehmen Atac s.p.a. und Flowbird s.r.l. eingeleitet, nachdem sich ein Betroffener über neue Parkuhren beschwert hatte, die 2018 im Stadtgebiet installiert wurden. 
Atac s.p.a. war von der Stadt mit der Verwaltung der städtischen Parkplätze beauftragt worden. In dieser Funktion hatte das Unternehmen die Parkuhren technisch aufgerüstet, um neue Bezahlmethoden und Dienste (z. B. die Zahlung von Bußgeldern oder den Kauf bzw. die Erneuerung von Fahrscheinen für öffentliche Verkehrsmittel) anbieten zu können. Flowbird s.r.l. (ehemals Parkeon s.r.l.) lieferte dafür einen Teil der benötigten Ausrüstung. Mit der Aufrüstung der Parkuhren ging dabei auch eine Aktualisierung des zugehörigen Verwaltungssystems einher. Infolgedessen wurden alle Parkinformationen über ein zentrales System verwaltet, auf das auch die Mitarbeiter, die für die Kontrolle der Parkgebühren zuständig sind, über eine App zugreifen konnten.
Dabei identifizierte die Behörde mehrere Datenschutzverstöße aufseiten des Bußgeldempfängers. Die Stadtverwaltung hatte die Betroffenen nicht ordnungsgemäß über die Verarbeitung ihrer personenbezogenen Daten informiert und die Verarbeitungstätigkeit von Atac nicht in einem Vertrag über Auftragsverarbeitung geregelt. Auch die Verarbeitungstätigkeit von Flowbird, als einem von Atac beauftragten Subauftragsverarbeiter, hatte die Stadt nicht vertraglich reglementiert.
Des Weiteren hatte der Bußgeldempfänger seine Pflicht als Verantwortlicher verletzt, die Einhaltung der Datenschutzvorgaben durch seine Auftragsverarbeiter sicherzustellen. In diesem Zusammenhang stellte die Behörde neben Verstößen gegen die Rechenschaftspflicht und den Grundsatz der Speicherbegrenzung ebenso eine Verletzung der Pflicht des Bußgeldempfängers fest, technische und organisatorische Maßnahmen umzusetzen, um ein dem Risiko für die Betroffenen angemessenes Schutzniveau zu gewährleisten. 
Atac hatte weder eine maximale Speicherdauer für die von ihm verarbeiteten Daten definiert noch adäquate Sicherheitsmaßnahmen implementiert. So liefen beispielsweise einige Datenströme zu und von dem von Atac Spa verwendeten System über unsichere Kanäle. Außerdem hätten die Beschäftigten des Unternehmens jedes Nummernschild parkender Personen beliebig oft überprüfen können, ohne dass der Zugriff im Informationssystem nachvollziehbar gewesen wäre. Dadurch hätten sie theoretisch die Gewohnheiten und Aufenthaltsorte der Betroffenen ermitteln können. Keines der beiden Unternehmen hatte ein Verzeichnis seiner Verarbeitungstätigkeiten unterhalten. 
Gegen Atac s.p.a. und Flowbird s.r.l. wurden in separaten Verfahren Bußgelder in Höhe von 400.000 EUR und 30.000 EUR verhängt. .

Verwandter Beitrag  Persónuvernd verhängt 16.655 Euro Bußgeld gegen Reykjanesbærs

Veröffentlicht am: 10-09-2021

Quelle von dsgvo-portal.de