Der Europäische Datenschutzausschuss hat vor einem Monat genehmigt, dass relevante Gesundheitsinstitutionen und Arbeitgeber personenbezogene Daten von Personen im Kontext der durch die Pandemie verursachten Krise verarbeiten. Natürlich in Übereinstimmung mit den nationalen Gesetzen.
In der Vergangenheit vertraten Unternehmen im Allgemeinen die Auffassung, dass es kostengünstiger sei, Sanktionen zu riskieren, als in die Sicherheit der personenbezogenen Daten der Befragten, die sie verarbeiteten, zu investieren. Die Datenschutz-Grundverordnung (DSGVO), die im April 2016 verabschiedet und im Mai 2018 in Kraft trat, hat diesen Ansatz erheblich verändert. Indem sie den Aufsichtsbehörden erlaubt, sehr hohe Geldstrafen zu verhängen, hat die DSGVO die Gesellschaft und Unternehmen ermutigt, sich stark für die Einhaltung einzusetzen und diese zu fördern, und folglich, um Geldstrafen zu vermeiden.
—
—
Nach den vorherigen gesetzlichen Rahmenbedingungen, die den Schutz personenbezogener Daten regeln, wurde angenommen, dass Unternehmen personenbezogene Daten angemessen verarbeiten und schützen, selbst wenn sie sich nicht bewusst waren, dass sie diese verloren hatten. Die DSGVO stellt jedoch nun den Befragten an erste Stelle und schreibt streng die Bedingungen vor, unter denen personenbezogene Daten gesammelt werden können (die sogenannte Rechtsgrundlage) und wie und von wem sie verarbeitet werden können. Nach diesen bedeutenden regulatorischen Änderungen und einem so dramatischen Wandel in der Datenschutzregelung traten im letzten Jahr die ersten festgestellten Verstöße gegen personenbezogene Daten auf, und es wurden erhebliche Geldstrafen verhängt.
Zwei schwerwiegendste Fälle
Allerdings resonierten zwei Fälle am stärksten, gerade wegen der Höhe der verhängten Geldstrafen. In beiden Fällen wurde die Entscheidung über den Verstoß gegen personenbezogene Daten und die Geldstrafe im Juli 2019 von der britischen Aufsichtsbehörde (Information Commissioner’s Office – ICO) getroffen. Im ersten Fall wurde British Airways eine Geldstrafe von 183 Millionen Pfund auferlegt, aufgrund unzureichender technischer und organisatorischer Maßnahmen, die zu einem Verstoß gegen etwa 500.000 personenbezogene Daten seiner Dienstnutzer führten, aufgrund eines Cyberangriffs, dem das Unternehmen im September 2018 ausgesetzt war.
Im zweiten Fall wurde der Hotelgesellschaft Marriott International eine Geldstrafe von 99 Millionen Pfund auferlegt. Diese Gesellschaft erwarb 2016 Starwood, eine Hotelgruppe, die zuvor einem Cyberangriff ausgesetzt war. Die britische Aufsichtsbehörde rechtfertigte ihre Entscheidung über die Geldstrafe mit der Aussage, dass Marriott International die Geschäftstätigkeiten der Gruppe, die sie erwarb, nicht angemessen und ausreichend detailliert dargestellt habe. Es wird geschätzt, dass in diesem Fall personenbezogene Daten von bis zu 339 Millionen Gästen kompromittiert wurden.
Neue Richtlinien
Die zwei schwerwiegendsten Fälle von Verstößen gegen personenbezogene Daten (und die höchsten verhängten Geldstrafen!) zeigen, dass die DSGVO Unternehmen dazu verpflichtet, alle Segmente ihres Geschäfts mit den Anforderungen des Schutzes personenbezogener Daten in Einklang zu bringen. Angesichts der Welle neuer hoher Geldstrafen, die in der Europäischen Union verhängt wurden, und der aktuellen Situation, die durch die COVID-19-Pandemie verursacht wurde, ist es wichtig, über die aktuellen Richtlinien der relevanten EU-Organe zur Auslegung der Anwendung der DSGVO in Bezug auf personenbezogene Daten von Personen, die von COVID-19 betroffen sind und von nationalen Regierungen und Arbeitgebern verarbeitet werden, nachzudenken.
Nämlich hat der Europäische Datenschutzausschuss (EDPB) Richtlinien für die Verarbeitung personenbezogener Daten als professionelle Antwort auf die Maßnahmen herausgegeben, die von zahlreichen europäischen Regierungen und relevanten nationalen Gesundheitsinstitutionen im Kampf gegen die durch COVID-19 verursachte Pandemie ergriffen wurden (Richtlinie). In der Einleitung betont der EDPB, dass die DSGVO als grundlegende Verordnung, die die Verarbeitung personenbezogener Daten regelt, nicht notwendigerweise und automatisch Maßnahmen verbietet, die im Kampf gegen die Pandemie ergriffen und angewendet werden, sondern betont, dass Datenverantwortliche und -verarbeiter die grundlegenden Prinzipien des Schutzes personenbezogener Daten unabhängig von der Pandemie einhalten müssen; daher muss die Verarbeitung in diesen Krisenzeiten rechtmäßig sein, und die ergriffenen Maßnahmen müssen an die Umstände angepasst werden.
Rechtmäßigkeit der Datenverarbeitung
Die durch die DSGVO festgelegten Regeln zur Verarbeitung personenbezogener Daten sind sehr weit gefasst und bieten Bedingungen für die Verarbeitung sogar in Situationen wie dieser Krise, die durch das Coronavirus verursacht wurde. Sie sieht somit die Befugnisse relevanter Gesundheitsinstitutionen und Arbeitgeber vor, personenbezogene Daten von Personen im Kontext der Pandemiekrise in Übereinstimmung mit den nationalen Gesetzen und den Richtlinien aus der Richtlinie zu verarbeiten, wenn eine solche Verarbeitung notwendig ist, um das nationale Interesse an der Gewährleistung der öffentlichen Gesundheit zu schützen. In solchen außergewöhnlichen Fällen kann die Verpflichtung, sich auf die Zustimmung des Befragten zu stützen, ausgeschlossen werden, vorausgesetzt, dass alle anderen Anforderungen für die gültige Verarbeitung personenbezogener Daten erfüllt sind.
In Fällen, in denen personenbezogene Daten während der Krise von öffentlichen Stellen (z. B. öffentlichen Gesundheitsinstitutionen) verarbeitet werden, einschließlich besonderer Kategorien personenbezogener Daten (Gesundheitsdaten), hält der EDPB die Verarbeitung innerhalb des rechtlichen Mandats der öffentlichen Stelle und in Übereinstimmung mit den nationalen Gesetzen und den grundlegenden Prinzipien der DSGVO für zulässig. Somit können personenbezogene Daten, die sich auf die Gesundheit beziehen (und andere besondere Kategorien personenbezogener Daten), die ansonsten nicht verarbeitet werden dürfen, verarbeitet werden, wenn eine solche Verarbeitung notwendig ist, um die öffentliche Gesundheit zu gewährleisten, grenzüberschreitende Gesundheitsbedrohungen zu verhindern oder hohe Standards für die Qualität und Sicherheit von Gesundheitsversorgung sowie Arzneimitteln und medizinischen Produkten sicherzustellen, vorausgesetzt, dass solche (außergewöhnlichen) Maßnahmen auf dem Gesetz basieren.
Telekommunikationsdaten
Hinsichtlich der Verarbeitung von Telekommunikationsdaten, wie zum Beispiel den Standortdaten der Befragten, wird die Verpflichtung zur Einhaltung der ePrivacy-Richtlinie betont. In diesem Sinne dürfen die vom Betreiber verarbeiteten Standortdaten nur verwendet werden, wenn sie anonymisiert sind oder wenn der Befragte seine Zustimmung zur Verarbeitung gegeben hat. Die Richtlinie erlaubt es den EU-Mitgliedstaaten jedoch, nationale Gesetze zu erlassen, die öffentliche Sicherheitsmaßnahmen vorsehen. Diese außergewöhnlichen nationalen Regelungen sind nur dann rechtmäßig, wenn die Maßnahmen zur Nutzung von Standortdaten im Verhältnis zu den Maßnahmen zum Schutz der demokratischen Ordnung stehen. In Fällen außergewöhnlicher Krisensituationen, wie einer Pandemie und einer durch das Coronavirus verursachten Krise, müssen die Maßnahmen strikt zeitlich begrenzt sein auf die Dauer der Krise, für die sie eingeführt wurden.
{embed_digitalno_izdanje}{/embed_digitalno_izdanje}
