Am 9. Juli 2019 hat die belgische Aufsichtsbehörde die Bundesgesundheitsbehörde verwarnt, da die Behörde nicht auf ein Auskunftsersuchen reagiert hat.
Der Sachverhalt
Der Fall betrifft einen Angehörigen der Gesundheitsberufe, dessen Ernennung zum stellvertretenden Mitglied der PGC Limburg (Provincial Medical Commission of Limburg) durch eine Entscheidung zurückgezogen wurde, die seine vorherige Ernennung korrigiert.
Der Beschwerdeführer beschloss nach der Veröffentlichung, von seinem Recht auf Zugang zu seinen personenbezogenen Daten Gebrauch zu machen, um den Grund für die Streichung seiner Position zu erfahren. Er stellte ein Auskunftsbegehren gem. Art 15 DSGVO.
Die Gesundheitsbehörde erteilte keine Auskunft. Die betroffene Person wandte sich mit einer Beschwerde an die Aufsichtsbehörde.
Die (erste) Entscheidung der Aufsichtsbehörde – eine Anweisung
Im Oktober 2018 wies die Streitkammer der Behörde die Behörde an, auf die Anfrage des Beschwerdeführers zu antworten. Auch dieser Aufforderung kam die Gesundheitsbehörde nicht nach.
Der Beschwerdeführer reichte im Jahr 2019 ein zweites Mal eine Beschwerde ein.
Im Verfahren hat die Gesundheitsbehörde die Fakten anerkannt, und mitgeteilt, dass es zu Problemen mit den internen Abläufen gekommen sei.
Die (zweite) Entscheidung der Aufsichtsbehörde – der Verweis bzw. die Verwarnung
Nach Anhörung beider Parteien kam die Aufsichtsbehörde zu dem Schluss, dass das die Gesundheitsbehörde fahrlässig war, und beschloss, eine Verwarnung gegen die betreffende Behörde zu erlassen und die Entscheidung einschließlich der Namen der Parteien (mit der Zustimmung des Beschwerdeführers) zu veröffentlichen.
Die Datenschutzbehörde hält es auch für wichtig, dass das die Gesundheitsbehörde kurzfristig interne Verfahren einführt, damit es seine Verpflichtungen aus der DSGVO wirksam erfüllen kann.
Hielke Hijmans, Präsident der Streitkammer der Aufsichtsbehörde, erklärte:
«Das Verfahren hat ergeben, dass die Gesundheitsbehörde keine internen Verfahren eingeführt hat, um die Anforderungen der DSGVO zu erfüllen, wobei die Verordnung bereits im Mai 2016 veröffentlicht wurde und seit Mai 2018 in Kraft getreten ist. Die Gesundheitsbehörde hat auch den Grundsatz der Verantwortlichkeit (accountability) des für die Verarbeitung Verantwortlichen nicht eingehalten. »
Damit die Betroffenen ihre Rechte nach der DSGVO wirksam ausüben können, müssen Organisationen, die personenbezogene Daten verarbeiten, interne Verfahren vorsehen, die es ihnen ermöglichen, Anfragen innerhalb der gesetzlich festgelegten Frist zu beantworten, beispielsweise über eine im Voraus bestimmte Kontaktperson für die Betroffenen anzugeben und zu implementieren.
Die Entscheidung der Aufsichtsbehörde in französischer Sprache.
Information in englischer Sprache auf der Website des Europäischen Datenschutz Ausschuss.
27.07.2019, Autor:
Michael Schweiger, zert DSBA
Kommentar schreiben