380.000 Euro Bußgeld gegen DOCTISSIMO
Mängel bei der Einwilligung zum Umgang mit Gesundheitsdaten und Verwendung von Cookies.
| fineID | Datum | Bußgeld | Empfänger | Land | Vergehen | href | Land |
|---|
Bußgeld Details
Das Unternehmen Doctissimo rückte in den Fokus der französichen Datenschutzbehörde, nachdem der Verein Privacy International eine Beschwerde eingereicht hatte.
Doctissimo betreibt eine Website unter dem gleichen Namen, auf welcher hauptsächlich Artikel, Tests, Quizze und Diskussionsforen zum Thema Gesundheit und Wohlbefinden angeboten werden. Das Angebot richtet sich dabei an die breite Öffentlichkeit.
Bei ihren Untersuchungen stellte die CNIL mehrere Mängel fest, insbesondere in Bezug auf die Aufbewahrungsfristen von Daten, die Erhebung von Gesundheitsdaten über Online-Tests, die Datensicherheit sowie die Verfahren zur Hinterlegung von Cookies auf dem Endgerät des Benutzers. Insgesamt erfasste die Behörde vier Verstöße gegen die DSGVO.
So bewahrte das Unternehmen die Daten zu den von Internetnutzern durchgeführten Tests 24 Monate lang und anschließend 3 Monate nach deren Abschluss auf. Die Behörde war der Ansicht, dass diese Aufbewahrungsfristen überzogen sind, da sie nicht dem strikten Bedarf des Unternehmens entsprechen, das die Testdaten sammelt, um dem Benutzer die Möglichkeit zu geben, die Testergebnisse zu lesen, sie zu teilen und aggregierte Statistiken zu erstellen. Auch bewahrte das Unternehmen die Daten von über drei Jahren inaktiven Accounts ohne Anonymisierungsverfahren auf.
Das Unternehmen hatte bei seinen Test außerdem keine besondere Warnung oder einen Mechanismus zur Einholung der Einwilligung bereitgestellt um sicherzustellen, dass der Nutzer sich der Verarbeitung seiner Gesundheitsdaten bewusst war und dieser zustimmt. Doctissimo hatte außerdem versäumt, im Rahmen der Verarbeitung personenbezogener Daten mit anderen Unternehmen die gemeinsamen Verantwortungsverhältnisse in einem Vertrag zu klären. So waren unter anderem Werbeflächen auf der Website vermarktet worden, ohne die Verteilung der Pflichten zwischen den für die Datenverarbeitung Verantwortlichen zu regeln.
Der Bußgeldempfänger hatte außerdem bis Oktober 2019, im Zeitraum der Überwachung durch die Behörde, das „http“-Kommunikationsprotokoll ohne SSL-Verschlüsselung verwendet. Dadurch wurden Nutzer potentiell dem Risiko von Computerangriffen oder Datenlecks aussetzt, da keine ausreichende Sicherheit gewährleistet werden konnte.
Zuletzt stellte die Behörde noch fest, dass die Website automatisch beim Betreten Werbecookies auf dem Endgerät des Nutzers hinterlegte, und auch nach dem Ablehnen aller Cookies zwei Werbecookies gesetzt blieben.
Das Bußgeld setzt sich aus zwei Teilen zusammen. 280.000 EUR wegen Verstößen gegen die DSGVO, 100.000 EUR für den Verstoß im Zusammenhang mit der Verwendung von Cookies.
