Il Tribunale amministrativo federale austriaco ha confermato una pesante multa nei confronti dell'Austrian Post. L'azienda aveva trattato i dati sulle opinioni politiche ("affinità") senza una base legale e li aveva utilizzati per il marketing diretto. La sentenza mostra gli errori che le aziende possono commettere nel trattamento dei dati sensibili e le conseguenze delle violazioni della legge sulla protezione dei dati. GDPR hanno.
Fatti e svolgimento del processo
Österreichische Post AG gestiva un ampio database con indirizzi di gruppi target, che veniva utilizzato per misure di marketing mirate. Venivano analizzate e memorizzate diverse caratteristiche personali per consentire campagne pubblicitarie personalizzate. Un elemento centrale era il calcolo delle cosiddette "affinità", che indicavano la probabilità che una persona optasse per la campagna pubblicitaria. Pubblicità di determinati partiti politici. Queste affinità sono state ricavate da dati socio-demografici, comportamenti di acquisto precedenti e altri criteri e sono state memorizzate nel database. I valori calcolati non sono stati utilizzati solo per scopi di analisi interna, ma sono stati anche venduti a società terze.
Inoltre, l'azienda ha raccolto ulteriori Dati personali, tra cui informazioni sulla frequenza dei pacchi, ovvero con quale frequenza una persona ha ricevuto pacchi in un determinato periodo. Questi dati sono stati ottenuti grazie a un collegamento con i servizi logistici. Inoltre, l’azienda ha analizzato le probabilità di trasloco, basandosi, tra l’altro, sulle richieste di inoltro della corrispondenza. Queste informazioni sono state utilizzate per un’ulteriore segmentazione dei gruppi target.
L'autorità per la protezione dei dati è venuta a conoscenza dell'azienda dopo le notizie diffuse dai media sul possibile abuso di dati sensibili. Nel gennaio 2019 ha avviato un'indagine sulla legalità del trattamento dei dati. L'indagine ha rivelato che l'azienda non Consenso delle persone interessate per la Elaborazione dei loro dati. Anche un Valutazione d'impatto sulla protezione dei dati non era stata eseguita correttamente.
Sulla base di questi risultati, è stato avviato un procedimento penale amministrativo che si è concluso con una multa considerevole. L'autorità per la protezione dei dati ha imposto una multa per le violazioni del GDPR una multa di 18 milioni di euro. L'azienda ha successivamente Reclamo al Tribunale amministrativo federale, che ha riesaminato il caso ed esaminato in dettaglio il quadro giuridico per il trattamento dei dati. Di conseguenza, l'importo della multa è stato adeguato, mentre le violazioni della protezione dei dati individuate sono state sostanzialmente confermate.
Il trattamento dei dati relativi alle affinità politiche viola il GDPR
Il tribunale ha ritenuto che il Elaborazione di affinità politiche contro l'art. 9 GDPR è violato. Questa disposizione vieta in generale la Elaborazione di dati personali che rivelino opinioni politiche. A meno che uno dei motivi elencati nell'art. 9, par. 2, non sia stato inserito in un elenco di dati personali. GDPR eccezioni di cui sopra. Poiché non esiste un'esplicita Consenso dell'interessato e non vi era alcun altro fondamento giuridico legittimo per il Elaborazione è stato classificato come non autorizzato. L'azienda aveva utilizzato metodi statistici per calcolare le probabilità delle preferenze politiche e le aveva inviate ai clienti a scopo di pubblicità elettorale mirata. Terza parte trasmessi. Questo non è solo un Violazione contro il divieto di Elaborazione dati sensibili, ma viola anche il principio di trasparenza e il principio di correttezza ai sensi dell'art. 5 par. 1 GDPR.
Un altro grave Violazione riguardava il Elaborazione di frequenza dei pacchi. L'azienda ha utilizzato i dati sui pacchi ricevuti dalla divisione di consegna dei pacchi per creare proiezioni a fini di marketing. Questi dati sono stati raccolti all'insaputa o Consenso dell'interessato per una nuova finalità, originariamente non prevista. Il tribunale ha ritenuto che si trattasse di un cambiamento di finalità non autorizzato ai sensi dell'articolo 6, paragrafo 4. GDPRpoiché il nuovo uso dei dati non era compatibile con lo scopo originario della consegna dei pacchi.
La determinazione della probabilità di trasferimento è stata altrettanto problematica. L'azienda utilizzava i dati degli ordini di spedizione per calcolare la probabilità che determinate persone o famiglie si trasferissero in futuro. Queste informazioni sono state poi utilizzate per un marketing diretto mirato. Poiché le persone interessate non avevano espressamente acconsentito a questo ulteriore trattamento e non avevano ricevuto informazioni chiare sull'uso dei dati, il tribunale ha ritenuto che anche questo fosse un reato. Violazione contro il GDPR. Particolarmente rilevante in questo contesto è stato l'art. 14 GDPRche obbliga le aziende a informare gli interessati sull'origine e sulle finalità dei dati utilizzati se non sono stati raccolti direttamente da loro. L'inadeguatezza delle informazioni fornite agli interessati costituisce pertanto una Violazione contro il Obbligo di informazione rappresentare.
Trascurare i principi fondamentali del GDPR
Inoltre, il tribunale ha constatato che l’azienda non disponeva di un sistema completo e conforme ai requisiti Elenco delle attività di trattamento aveva condotto. Secondo l'art. 30 GDPR mosto Persone responsabili un'analisi completa Documentazione relative alle loro attività di trattamento dei dati. Il presente registro presentava notevoli carenze, in particolare per quanto riguarda la descrizione delle categorie di dati e delle finalità del loro utilizzo. Un registro errato o incompleto Documentazione non solo rende più difficile il controllo da parte delle autorità di vigilanza, ma viola anche l'obbligo di rendicontazione di cui all'art. 5 par. 2 GDPR.
Il Valutazione d'impatto sulla protezione dei datiche, ai sensi dell'art. 35 GDPR richiesta per il trattamento dei dati con un rischio particolarmente elevato è stata ritenuta inadeguata. Il tribunale non ha condiviso la valutazione dell'azienda secondo cui non sussisteva un rischio elevato per i diritti e le libertà degli interessati. In particolare, il Elaborazione di affinità politica è stato classificato come ad alto rischio, in quanto è probabile che consenta di esercitare un'influenza politica mirata e, in caso di divulgazione non autorizzata, potrebbe avere un impatto significativo sull'azienda. Privacy delle persone interessate. La mancanza di un'analisi dei rischi completa e appropriata è stata quindi identificata come un'ulteriore Violazione contro il GDPR visto.
Conseguenze per le imprese
La sentenza dimostra che le violazioni della protezione dei dati possono avere notevoli conseguenze legali ed economiche. In particolare, la Elaborazione Il trattamento di dati sensibili (ad esempio, le affinità politiche) senza una chiara base legale comporta rischi considerevoli per le aziende. In questo caso, l'autorità per la protezione dei dati ha imposto una multa di 18 milioni di euro, che il Tribunale amministrativo federale ha confermato ma ridotto a 16 milioni di euro. La multa è stata comminata a causa di diverse gravi violazioni della normativa sulla privacy. GDPR imposto: in particolare per quanto riguarda l'illecito Elaborazione di dati sulle inclinazioni politiche, l'ulteriore elaborazione delle frequenze dei pacchetti e delle probabilità di ricollocazione, nonché l'inadeguata Valutazione d'impatto sulla protezione dei dati.
Le aziende devono assicurarsi che le loro valutazioni d'impatto sulla protezione dei dati coprano rischi realistici e siano basate su una solida base giuridica. Un'informazione trasparente per le persone interessate è essenziale per soddisfare i requisiti della direttiva. GDPR per soddisfare i requisiti. Il regolamento richiede una base giuridica chiara e dimostrabile per qualsiasi modifica delle finalità del trattamento dei dati. Diventare Dati personali senza un valido Consenso o un'altra base giuridica ammissibile, si rischia di incorrere in pesanti sanzioni pecuniarie e in possibili azioni civili da parte degli interessati.
Il BVwG ha anche stabilito che le aziende sono responsabili per le violazioni del GDPR possono essere ritenute responsabili senza che le violazioni siano direttamente attribuibili a una persona fisica. Questa decisione segue la giurisprudenza della Corte di giustizia europea (CGE) e chiarisce che le persone giuridiche possono essere ritenute pienamente responsabili delle violazioni della protezione dei dati, anche se nessuna persona fisica può essere ritenuta responsabile. responsabile possa essere identificata una persona fisica. Ciò sottolinea la necessità di una strategia completa e preventiva in materia di protezione dei dati all’interno delle aziende, al fine di evitare eventuali sanzioni pecuniarie e danni alla reputazione.
Suggerimento di lettura: Queste sono le sanzioni più elevate previste dal GDPR nel gennaio 2025
Requisiti GDPR elevati per il marketing diretto
La sentenza sottolinea gli elevati requisiti per il trattamento dei dati nel marketing diretto ed evidenzia le gravi conseguenze delle violazioni del Regolamento generale sulla protezione dei dati (GDPR). Le aziende devono non solo garantire che i loro processi di elaborazione dei dati siano conformi ai requisiti di legge, ma anche rivedere e adattare continuamente le loro misure di protezione dei dati.
Reati contro la GDPR non solo può comportare multe elevate, ma può anche causare gravi danni alla reputazione che hanno un impatto duraturo sulla fiducia dei clienti e dei partner commerciali. Particolarmente problematico è l'illecito Elaborazione dati sensibili, come le affinità politiche o le informazioni personali, dagli ordini di spedizione, in quanto ciò potrebbe mettere a repentaglio l'integrità del sistema. Privacy possono ledere in modo significativo i diritti delle persone interessate.
Le aziende dovrebbero quindi agire in modo proattivo e condurre valutazioni d'impatto complete in materia di protezione dei dati, al fine di individuare tempestivamente e ridurre al minimo i possibili rischi. Una comunicazione trasparente con gli interessati e il rispetto di tutte le Obbligo di informazione sono indispensabili. Inoltre, sono necessarie chiare linee guida interne e corsi di formazione per i dipendenti, al fine di garantire la corretta applicazione delle norme sulla protezione dei dati.
In definitiva, la sentenza dimostra che Protezione dei dati non puramente Conformità-non è solo un tema, ma rappresenta una sfida strategica per le aziende. Solo attraverso un’attuazione coerente e responsabile della GDPR le aziende possono mantenere la fiducia dei loro clienti a lungo termine ed evitare sanzioni legali.
Fonte: Sentenza (W258 2227269-1/39E) del Tribunale amministrativo federale austriaco
German 
English 
Italian 
French