Ein neues Jahr im Zeichen der Erwartung

Legal Watch Nr. 42 – Dezember 2021

Ein neues Jahr im Zeichen der Erwartung

Das beginnende Jahr bringt in Sachen Datenschutz keine großen Neuerungen, sondern eher eine Weiterentwicklung und möglicherweise strategische Weichenstellungen zu aktuellen Themen mit sich.

Konzentrieren wir uns auf drei davon: die Umsetzung der DSGVO durch Aufsichtsbehörden, Gesundheitsfragen und die Regulierung digitaler Giganten.

Eines der immer wiederkehrenden Themen seit Inkrafttreten der DSGVO betrifft die Ernsthaftigkeit ihrer Umsetzung durch die nationalen Datenschutzbehörden. und die große Kluft zwischen der Anzahl und der Schwere der verhängten Sanktionen, je nachdem, ob sich die verantwortliche Person beispielsweise in Irland oder Spanien befindet.

Letzteres Land scheint zu jenen Ländern zu gehören, die die meisten Sanktionen verhängt haben, während Luxemburg und die CNIL die höchsten Geldbußen gegen GAFAM verhängen können (man erinnere sich an die Geldbuße von 746 Millionen Euro, die Luxemburg gegen das Unternehmen Amazon verhängt hat).

Am anderen Ende des Spektrums steht die irische Datenschutzbehörde, die von einigen ihrer Kollegen sowie vom Vizepräsidenten der Europäischen Kommission wegen ihrer Nachlässigkeit gegenüber den großen Internet-Playern offen kritisiert wurde.

Um die Kohärenz und Wirksamkeit der Kontrollverfahren innerhalb Europas zu stärken, wird über eine Stärkung der Befugnisse des Europäischen Datenschutzausschusses (EDSA) diskutiert.

Das Thema wird auf einer Konferenz behandelt, die der Europäische Datenschutzbeauftragte am 16. und 17. Juni in Brüssel organisiert.

Die Verarbeitung von Gesundheitsdaten stellt im Zuge der Gesundheitskrise ein weiteres großes Problem dar..

Sind besorgt

• Fragen zu medizinischen Forschungsbedingungen,
• Die Verarbeitung genetischer Daten und die Risiken des Weiterverkaufs der im Rahmen von Screening-Tests gesammelten Daten durch bestimmte Labore, wie der jüngste britische Fall des Unternehmens Signpost Diagnostics zeigt,
• Verfolgung von Personen über Apps und andere Gesundheitspässe, 

• Und schließlich die Risiken im Zusammenhang mit der Datensicherheit: Wir denken hier insbesondere an den Datendiebstahl bei den Covid-Testergebnissen des Unternehmens FranceTest, das im vergangenen Oktober von der CNIL offiziell zur Sicherung seiner Daten verpflichtet wurde, oder an das Datenleck bei der Assistance Publique-Hôpitaux de Paris.

Obwohl die CNIL regelmäßig ihre Stellungnahmen zu diesem Thema veröffentlicht, weisen wir darauf hin, dass sie in ihrer Parlamentsberatung vom 30. November zum Ausdruck brachte, dass sie auf die Bereitstellung von Elementen durch die Regierung warte, die die Wirksamkeit der implementierten Akten und Kontrollmittel unterstützen sollen.

Ein drittes aktuelles Thema betrifft die Regulierungsinitiativen der Europäischen Union im Bereich digitaler Dienste und künstlicher Intelligenz.

Neben der Cookie-Verwaltung, die weiterhin im Visier der nationalen Behörden steht, ist der europäische Gesetzgeber besorgt über die wachsende Macht der Webgiganten, also dieser Vermittler mit beherrschender Stellung, die Messaging- und Social-Networking-Dienste anbieten.

Ein weiteres Thema ist der Einsatz von Biometrie und künstlicher Intelligenz für zunehmend aufdringliche Profilierungszwecke sowie die Manipulation von Internetnutzern ohne deren Wissen (Dark Patterns) durch die Präsentation gezielter Inhalte.

Auf europäischer Ebene befinden sich mehrere Texte im Verabschiedungsprozess, darunter zwei Vorschläge der Europäischen Kommission zu digitalen Märkten und digitalen Diensten sowie ein Vorschlag zur künstlichen Intelligenz. 

Das Europäische Parlament hat am 5. Dezember seine Position zum Vorschlag zu digitalen Märkten angenommen.

Zu den am Text vorgenommenen Änderungen gehört die Hinzufügung einer Anforderung zur Interoperabilität zwischen den Diensten der wichtigsten Instant-Messaging- und Social-Networking-Plattformen. Ziel ist es, den Benutzern einen einfachen Wechsel des Dienstanbieters zu ermöglichen und marktbeherrschende Stellungen zu bekämpfen.

Zu Beginn der französischen EU-Ratspräsidentschaft hat der Europäische Datenschutzbeauftragte der französischen Regierung seine besten Wünsche für viel Erfolg übermittelt. Dabei betonte er die Bedeutung dieser drei großen Themen im Zusammenhang mit der digitalen Technologie und der künstlichen Intelligenz und kündigte an, dass er die Entwicklungen in diesen Bereichen aufmerksam verfolgen werde.

Während einige Prioritäten bereits klar definiert zu sein scheinen, hoffen wir, dass das neue Jahr uns allen viele schöne Überraschungen und endlich auch viel frischen Wind beschert.

Und auch

Frankreich:

Die CNIL hat das Unternehmen am 6. Januar sanktioniert Google in Höhe von 150 Millionen Euro, und das Unternehmen Facebook bis zu 60 Millionen Euro, wegen Nichteinhaltung gesetzlicher Bestimmungen zu Cookies.

Am 28. Dezember verhängte die CNIL eine Geldstrafe von 300.000 Euro gegen das Unternehmen. KOSTENLOSES MOBILTELEFON, insbesondere wegen der Missachtung der Rechte des Einzelnen und der Sicherheit der Daten seiner Nutzer.

Am selben Tag verhängte sie auch eine Sanktion gegen das Unternehmen SLIMPAY, das seinen Kunden Zahlungslösungen anbietet, wurde mit einer Geldstrafe von 180.000 Euro belegt, weil es die persönlichen Daten der Nutzer nicht ausreichend geschützt und sie nicht über eine Datenschutzverletzung informiert hatte.

Der Präsident der CNIL hat das Unternehmen am 26. November offiziell benachrichtigt CLEARVIEW AI die Erfassung von online verfügbaren Fotos und Videos einzustellen und die Daten innerhalb von 2 Monaten zu löschen.

Das Unternehmen hat eine Gesichtserkennungssoftware entwickelt, deren Datenbank auf der Extraktion öffentlich im Internet verfügbarer Fotos und Videos basiert.

A neue Version des CNIL-Entwicklerhandbuchs wurde gerade veröffentlicht. Dieser Leitfaden bietet neue Inhalte, die Web- und Anwendungsentwickler dabei unterstützen sollen, die Konformität ihrer Arbeit sicherzustellen.

Dort SNCF Im Dezember verlagerte das Unternehmen seine 7.000 Server und 250 Anwendungen in die Cloud von Amazon, genauer gesagt in drei Rechenzentren in der Region Paris.

Ziel des Unternehmens ist es zudem, den Einsatz künstlicher Intelligenz auszuweiten.

Europa

DER Europäischer Datenschutzausschuss hat am 14. Dezember Richtlinien veröffentlicht, die Datenverantwortlichen bei der Bewältigung von Sicherheitsverletzungen helfen sollen.

Der Text enthält zahlreiche Beispiele und entwickelt die je nach Art des Vergehens zu ergreifenden Maßnahmen.

Die Agentur der Europäischen Union für Grundrechte (FRA) veröffentlicht in Zusammenarbeit mit Datenschutzbehörden einen Leitfaden, der Asylsuchende und Migranten besser über die Verwendung ihrer Fingerabdrücke informieren soll.

Bei einer Kontrolle an der Außengrenze der Europäischen Union müssen sie ihre Fingerabdrücke abgeben, die in der Eurodac-Datei gespeichert werden.

Das Verwaltungsgericht Wiesbaden Am 1. Dezember ordnete ein deutsches Unternehmen an, dass die Hochschule RheinMain den Einsatz des Consent Managers „Cookiebot“ vollständig einstellen müsse. Grund dafür war die illegale Übermittlung von Website-Besucherdaten in die USA.

Die finnische Datenschutzbehörde Am 7. Dezember wurde ein Psychotherapieunternehmen mit einer Geldstrafe von über 600.000 Euro belegt, weil es die Sicherheit der Patientendaten nicht ausreichend gewährleistet und die Patienten nicht über zwei Sicherheitsverletzungen informiert hatte, die zu Erpressungen der betroffenen Patienten und des Unternehmens selbst geführt hatten.

Die norwegische Datenschutzbehörde verhängte eine Geldstrafe von 6.300.000 Euro gegen Grindr die Daten seiner Nutzer ohne deren Zustimmung zu Profilierungs- und Werbezwecken an Dritte weiterzugeben.

Die niederländische Steuerverwaltung wurde mit einer Geldbuße von 2.750.000 Euro belegt, weil die Datenverarbeitung ohne Rechtsgrundlage und unter Verstoß gegen den Grundsatz der Treu und Glauben (Artikel 5 Absatz 1 Buchstabe a und Artikel 6 Absatz 1 Buchstabe e DSGVO) erfolgte.

Das belgische Verteidigungsministerium wurde am 20. Dezember Opfer eines schweren Cyberangriffs durch die Schadsoftware Log4Shell, der die Aktivitäten der Verwaltung mehrere Tage lang beeinträchtigte. 

Die belgische Datenschutzbehörde Ein Unternehmen wurde mit einer Geldstrafe von 10.000 Euro belegt, weil es eine Datenbank für Direktmarketingzwecke gekauft hatte, ohne zu prüfen, ob die Daten rechtmäßig erhoben worden waren.

Das Unternehmen hat es außerdem versäumt, die betroffenen Personen über diese indirekte Datenerhebung zu informieren und auch nicht auf die Auskunftsersuchen einer Person zu reagieren.

Internationales:

Amazonas hat mehrere Patentanträge für biometrische Technologien eingereicht, die es Videotelefonkameras ermöglichen sollen, verdächtige Personen anhand verschiedener Kriterien zu erkennen: Geruch, Hautbeschaffenheit, Fingerabdrücke, Augen, Stimme und Gangart.

Dort Südkorea Seit dem 17. Dezember wird davon ausgegangen, dass das Land ein angemessenes Schutzniveau bietet. Die Entscheidung der Europäischen Kommission erfolgt wenige Monate nach dem Abschluss eines Freihandelsabkommens zwischen der Europäischen Union und Korea, das im Juli 2021 in Kraft trat.

Ab dem 15. Februar ist die Chinesische Regierung wird chinesische Unternehmen mit internationalen Geschäftsaktivitäten einer Reihe von Cybersicherheitskontrollen unterziehen.

Ziel der Kontrollen ist es, die Übermittlung strategischer Daten ins Ausland zu begrenzen.