Baden-Württemberg: 1,2M EUR bírság a GDPR 32. cikk megszegéséért
Egy június 30-án kiadott közlemény szerint a Baden-Württembergi adatvédelemi biztos (LfDI, Hatóság) 1.240.000 EUR bírságot szabott ki a Baden-Württembergi Regionális Egészségbiztosítóra (AOK) a GDPR 32. cikk, az adatkezelés biztonságáról szóló cikkének megsértése miatt.
Az AOK 2015 és 2019 között számos online nyereményjátékot szervezett, melyek keretében kezelte a résztvevők személyes adatait, illetve azt az információt, hogy melyik egészségbiztosítóhoz tartoztak. Ezeket az adatokat később marketing célra kívánta felhasználni. Az AOK igyekezett megfelelő óvintézkedéseket tenni annak érdekében, hogy csak olyan érintettek esetében kerüljön sor személyes adat kezelésére, akik ehhez kifejezett hozzájárulásukat adták. Ennek elérésére szervezeti intézkedéseket, belső irányelveket hozott, valamint a személyzetet adatvédelmi oktatásban részesítette.
Ezen intézkedések ellenére az érintettek adatai jogszerűtlenül lettek felhasználva, aminek hatására körülbelül 500 olyan érintett személyes adatai is kezelésre kerültek, akik nem adták ehhez hozzájárulásukat. Az incidenst követően az AOK azonnal beszüntette a marketingtevékenységet és belső nyomozást indított az üggyel kapcsolatban.
A megállapított bírság összegével kapcsolatban a Hatóság hozzáfűzte, hogy adatvédelmi incidensek esetében a bírság mértékének arányosnak és visszatartó erejűnek kell lennie. Pozitívumként értékelte az LfDI, hogy az AOK törekedett a megfelelő intézkedések bevezetésére, és az incidenst követően elhivatott azok átalakítása mellett. A bírság kiszabásakor szintén figyelembe vették a szervezet méretét és működésének szükségességét a német egészségügyi ellátórendszerben.
A koronavírus által az egészségbiztosítóknak okozott különleges kihívások szintén szerepet játszottak az összeg megállapításakor. Dr. Stefan Brink a Hatóság Állambiztosa felhívta a figyelmet, hogy a cégeknek és szervezeteknek folyamatosan alkalmazkodniuk kell a változó körülményekhez, hogy a rájuk bízott adatok biztonságát garantálni tudják. Állítása szerint a Hatóság célja nem a különösen magas összegű bírságok kiszabása, hanem a magas színvonalú adatvédelem megteremtése.
