Violazione della protezione dei dati nel marketing diretto: confermata la multa di un milione di euro alla Posta Svizzera

La Posta austriaca ha trattato i dati sulle opinioni politiche senza una base legale e li ha utilizzati per il marketing diretto.
Categorie:

Il Tribunale amministrativo federale austriaco ha confermato una pesante multa nei confronti dell'Austrian Post. L'azienda aveva trattato i dati sulle opinioni politiche ("affinità") senza una base legale e li aveva utilizzati per il marketing diretto. La sentenza mostra gli errori che le aziende possono commettere nel trattamento dei dati sensibili e le conseguenze delle violazioni della legge sulla protezione dei dati. GDPR hanno.

Fatti e svolgimento del processo

Österreichische Post AG gestiva un ampio database con indirizzi di gruppi target, che veniva utilizzato per misure di marketing mirate. Venivano analizzate e memorizzate diverse caratteristiche personali per consentire campagne pubblicitarie personalizzate. Un elemento centrale era il calcolo delle cosiddette "affinità", che indicavano la probabilità che una persona optasse per la campagna pubblicitaria. Pubblicità di determinati partiti politici. Queste affinità sono state ricavate da dati socio-demografici, comportamenti di acquisto precedenti e altri criteri e sono state memorizzate nel database. I valori calcolati non sono stati utilizzati solo per scopi di analisi interna, ma sono stati anche venduti a società terze.

Inoltre, la società ha raccolto ulteriori Dati personalicomprese le informazioni sulla frequenza dei pacchi, ossia sulla frequenza con cui una persona ha ricevuto pacchi in un certo periodo di tempo. Questi dati sono stati ottenuti collegandoli ai servizi logistici. Inoltre, l'azienda ha analizzato le probabilità di trasferimento basandosi, tra l'altro, sugli ordini di spedizione. Queste informazioni sono state utilizzate per segmentare ulteriormente i gruppi target.

L'autorità per la protezione dei dati è venuta a conoscenza dell'azienda dopo le notizie diffuse dai media sul possibile abuso di dati sensibili. Nel gennaio 2019 ha avviato un'indagine sulla legalità del trattamento dei dati. L'indagine ha rivelato che l'azienda non Consenso delle persone interessate per la Elaborazione dei loro dati. Anche un Valutazione dell'impatto sulla protezione dei dati non era stato eseguito correttamente.

Sulla base di questi risultati, è stato avviato un procedimento penale amministrativo che si è concluso con una multa considerevole. L'autorità per la protezione dei dati ha imposto una multa per le violazioni del GDPR una multa di 18 milioni di euro. L'azienda ha successivamente Reclamo al Tribunale amministrativo federale, che ha riesaminato il caso ed esaminato in dettaglio il quadro giuridico per il trattamento dei dati. Di conseguenza, l'importo della multa è stato adeguato, mentre le violazioni della protezione dei dati individuate sono state sostanzialmente confermate.

Elaborazione affinità politiche viola GDPR

Il tribunale ha ritenuto che il Elaborazione di affinità politiche contro l'art. 9 GDPR è violato. Questa disposizione vieta in generale la Elaborazione di dati personali che rivelino opinioni politiche. A meno che uno dei motivi elencati nell'art. 9, par. 2, non sia stato inserito in un elenco di dati personali. GDPR eccezioni di cui sopra. Poiché non esiste un'esplicita Consenso dell'interessato e non vi era alcun altro fondamento giuridico legittimo per il Elaborazione è stato classificato come non autorizzato. L'azienda aveva utilizzato metodi statistici per calcolare le probabilità delle preferenze politiche e le aveva inviate ai clienti a scopo di pubblicità elettorale mirata. Terza parte trasmessi. Questo non è solo un Violazione contro il divieto di Elaborazione dati sensibili, ma viola anche il principio di trasparenza e il principio di correttezza ai sensi dell'art. 5 par. 1 GDPR.

Un altro grave Violazione riguardava il Elaborazione di frequenza dei pacchi. L'azienda ha utilizzato i dati sui pacchi ricevuti dalla divisione di consegna dei pacchi per creare proiezioni a fini di marketing. Questi dati sono stati raccolti all'insaputa o Consenso dell'interessato per una nuova finalità, originariamente non prevista. Il tribunale ha ritenuto che si trattasse di un cambiamento di finalità non autorizzato ai sensi dell'articolo 6, paragrafo 4. GDPRpoiché il nuovo uso dei dati non era compatibile con lo scopo originario della consegna dei pacchi.

La determinazione della probabilità di trasferimento è stata altrettanto problematica. L'azienda utilizzava i dati degli ordini di spedizione per calcolare la probabilità che determinate persone o famiglie si trasferissero in futuro. Queste informazioni sono state poi utilizzate per un marketing diretto mirato. Poiché le persone interessate non avevano espressamente acconsentito a questo ulteriore trattamento e non avevano ricevuto informazioni chiare sull'uso dei dati, il tribunale ha ritenuto che anche questo fosse un reato. Violazione contro il GDPR. Particolarmente rilevante in questo contesto è stato l'art. 14 GDPRche obbliga le aziende a informare gli interessati sull'origine e sulle finalità dei dati utilizzati se non sono stati raccolti direttamente da loro. L'inadeguatezza delle informazioni fornite agli interessati costituisce pertanto una Violazione contro il Obbligo di informazione rappresentare.

Trascurare le nozioni di base del GDPR

Inoltre, il tribunale ha riscontrato che la società non aveva presentato una documentazione completa e conforme alla normativa vigente. Registro delle attività di trattamento aveva condotto. Secondo l'art. 30 GDPR mosto Persone responsabili un'analisi completa Documentazione delle loro attività di trattamento dei dati. L'elenco esistente presentava notevoli lacune, in particolare nella descrizione delle categorie di dati e delle loro finalità. Un elenco errato o incompleto Documentazione non solo rende più difficile il controllo da parte delle autorità di vigilanza, ma viola anche l'obbligo di rendicontazione di cui all'art. 5 par. 2 GDPR.

Il Valutazione dell'impatto sulla protezione dei datiche, ai sensi dell'art. 35 GDPR richiesta per il trattamento dei dati con un rischio particolarmente elevato è stata ritenuta inadeguata. Il tribunale non ha condiviso la valutazione dell'azienda secondo cui non sussisteva un rischio elevato per i diritti e le libertà degli interessati. In particolare, il Elaborazione di affinità politica è stato classificato come ad alto rischio, in quanto è probabile che consenta di esercitare un'influenza politica mirata e, in caso di divulgazione non autorizzata, potrebbe avere un impatto significativo sull'azienda. La privacy delle persone interessate. La mancanza di un'analisi dei rischi completa e appropriata è stata quindi identificata come un'ulteriore Violazione contro il GDPR visto.

Conseguenze per le aziende

La sentenza dimostra che le violazioni della protezione dei dati possono avere notevoli conseguenze legali ed economiche. In particolare, la Elaborazione Il trattamento di dati sensibili (ad esempio, le affinità politiche) senza una chiara base legale comporta rischi considerevoli per le aziende. In questo caso, l'autorità per la protezione dei dati ha imposto una multa di 18 milioni di euro, che il Tribunale amministrativo federale ha confermato ma ridotto a 16 milioni di euro. La multa è stata comminata a causa di diverse gravi violazioni della normativa sulla privacy. GDPR imposto: in particolare per quanto riguarda l'illecito Elaborazione di dati sulle inclinazioni politiche, l'ulteriore elaborazione delle frequenze dei pacchetti e delle probabilità di ricollocazione, nonché l'inadeguata Valutazione dell'impatto sulla protezione dei dati.

Le aziende devono assicurarsi che le loro valutazioni d'impatto sulla protezione dei dati coprano rischi realistici e siano basate su una solida base giuridica. Un'informazione trasparente per le persone interessate è essenziale per soddisfare i requisiti della direttiva. GDPR per soddisfare i requisiti. Il regolamento richiede una base giuridica chiara e dimostrabile per qualsiasi modifica delle finalità del trattamento dei dati. Diventare Dati personali senza un valido Consenso o un'altra base giuridica ammissibile, si rischia di incorrere in pesanti sanzioni pecuniarie e in possibili azioni civili da parte degli interessati.

Il BVwG ha anche stabilito che le aziende sono responsabili per le violazioni del GDPR possono essere ritenute responsabili senza che le violazioni siano direttamente attribuibili a una persona fisica. Questa decisione segue la giurisprudenza della Corte di giustizia europea (CGE) e chiarisce che le persone giuridiche possono essere ritenute pienamente responsabili delle violazioni della protezione dei dati, anche se nessuna persona fisica può essere ritenuta responsabile. responsabile persona fisica può essere identificata. Ciò sottolinea la necessità di una strategia di protezione dei dati completa e preventiva nelle aziende, al fine di evitare potenziali multe e danni alla reputazione.

Suggerimento di lettura: Ecco le multe più alte del GDPR nel gennaio 2025

Requisiti GDPR elevati per il marketing diretto

La sentenza sottolinea gli elevati requisiti per il trattamento dei dati nel marketing diretto ed evidenzia le gravi conseguenze delle violazioni del Regolamento generale sulla protezione dei dati (GDPR). Le aziende devono non solo garantire che i loro processi di elaborazione dei dati siano conformi ai requisiti di legge, ma anche rivedere e adattare continuamente le loro misure di protezione dei dati.

Reati contro la GDPR non solo può comportare multe elevate, ma può anche causare gravi danni alla reputazione che hanno un impatto duraturo sulla fiducia dei clienti e dei partner commerciali. Particolarmente problematico è l'illecito Elaborazione dati sensibili, come le affinità politiche o le informazioni personali, dagli ordini di spedizione, in quanto ciò potrebbe mettere a repentaglio l'integrità del sistema. La privacy delle persone interessate.

Le aziende dovrebbero quindi agire in modo proattivo ed effettuare valutazioni complete dell'impatto sulla protezione dei dati per identificare e ridurre al minimo i rischi potenziali in una fase iniziale. Una comunicazione trasparente con le parti interessate e il rispetto di tutte le norme di legge. Obbligo di informazione sono essenziali in questo caso. Inoltre, per garantire la corretta applicazione delle norme sulla protezione dei dati, sono necessarie chiare linee guida interne e la formazione dei dipendenti.

In definitiva, la sentenza dimostra che Protezione dei dati non è solo un problema di conformità, ma una sfida strategica per le aziende. Solo attraverso un'implementazione coerente e responsabile della GDPR le aziende possono mantenere la fiducia dei loro clienti a lungo termine ed evitare sanzioni legali.

Fonte: Sentenza (W258 2227269-1/39E) del Tribunale amministrativo federale austriaco

Tag:
Condividi questo post :