Eine gesundheitliche Notlage hebt die geltenden Rechtsvorschriften über die Verarbeitung personenbezogener Daten nicht auf.

Mit dieser Stellungnahme verhängte die spanische Datenschutzbehörde (AEPD) eine Geldbusse in Höhe von 20 000 Euro bei sofortiger Zahlung auf 16 000 Euro gegen Laboratorien in Dénia, die von der Stadt Calpe mit der Durchführung von Blutuntersuchungen beauftragt wurden, um Fälle von Covid bei 25 Beschäftigten des Stadtrats für Soziales von Calp aufzuspüren.

Der Grund für die Sanktion war, dass die Laboratorien die Testergebnisse an die Stadträtin des Bezirks und aktuelle Sprecherin der PP, Noelia Ciscar, ohne die Erlaubnis von mindestens einer der Arbeiterinnen, die die Beschwerde eingereicht hatte, mitgeteilt hätten.
Die Stadtverwaltung, gegen die ebenfalls Ermittlungen angestellt wurden, obwohl in den öffentlichen Unterlagen der Agentur keine Massnahmen gegen sie verzeichnet sind, gab die Tests am 11. April 2020 in Auftrag, also während der ersten Welle des Coronavirus und zu einem Zeitpunkt, zu dem die Gesellschaft vor dem Ausbruch der Pandemie sehr alarmiert war. Tatsächlich galten die 25 Arbeitnehmer, die sich freiwillig den Tests unterziehen mussten, als Personen mit hohem Risiko, da sie im Haushalt mit schutzbedürftigen Personen in Berührung kamen.
Der untersuchte Sachverhalt
Das Problem kam am nächsten Tag, dem 16. April 2020. Eine Mitarbeiterin des Stadtrats von Calp, die die Agentur als Beschwerdeführerin bezeichnet, entdeckte nach Erhalt der Analyseergebnisse in ihrer E-Mail, dass es eine Kopie für ihre Chefin und politische Verantwortliche, Noelia Ciscar, gab. Die Mitarbeiterin bat sowohl die Stadtverwaltung als auch das Labor um Erklärungen, worauf sie eine E-Mail schickte, in der sie warnte, dass «sie mir und meiner Chefin die Testergebnisse geschickt haben und Sie nicht meine Zustimmung haben, diese sehr persönlichen Daten an irgendjemandem ausser mir weiterzugeben. »
Auf diese Beschwerde antwortete das Labor, das die Agentur als Gesundheitszentrum ansieht und daher verpflichtet ist, die Daten als solches zu verarbeiten, der Arbeitnehmerin mit folgendem Argument: «Der Auftraggeber der Dienstleistung [die Gemeinde] muss Kenntnis von dem Ergebnis haben, falls es einen positiven Fall gibt, geeignete Massnahmen ergreifen, falls der Arbeitnehmer bewusstlos ist und die Zeit der Ansteckung Die Menschen kommen immer noch zur Arbeit. » Wir müssen die Momente tiefer sozialer Unruhe hervorheben, die zu der Zeit des Ausbruchs der Gesundheitskrise herrschten.
Bei der Durchführung der verschiedenen Tests, die in der Sanktionsakte durchgeführt werden, hebt die AEPD jedoch zwei Dinge hervor: Erstens hat das Laboratorium von Denia der Gemeinderätin nicht nur die positiven, sondern auch die negativen Fälle oder zumindest das Negativ der Arbeitnehmerin, die schliesslich die Beschwerde eingereicht hatte, mitgeteilt. Tatsächlich antwortete die Gemeinde selbst der Agentur, dass diese Tests von Covid nicht positiv waren. Und die Meldung negativer Ergebnisse half nicht mehr, mögliche Fälle unter der städtischen Belegschaft zu kontrollieren.
Zweitens stellt die Agentur fest, dass das Protokoll nicht eingehalten wurde, nach dem die untersuchten Arbeitnehmer ihre Zustimmung dazu geben mussten, dass die Ergebnisse an die Stadträtin weitergeleitet werden. Das Labordokument, das von der Gemeinde Calpe akzeptiert wurde, enthielt zwar folgende Bedingung: «Die Beschäftigten müssen wissen, dass dieses Labor eine Kopie der Analyse an die Betriebsleitung [das Konsistorium] sendet, damit diese über den Gesundheitszustand ihrer Beschäftigten im Hinblick auf eine mögliche Infektion mit Covid 19 informiert wird. Wenn ein Arbeitnehmer nicht einverstanden ist (. . . ) muss er dies zum Zeitpunkt der Blutentnahme zum Ausdruck bringen. »
Diese Bedingung wäre jedoch nicht erfüllt gewesen: Die Behörde stellt fest, dass weder die Stadtverwaltung noch das Labor die Beschwerdeführerin darüber informiert hätten, dass ihr Ergebnis in die Hände der Gemeinderätin der Sozialfürsorge gelangen würde. Das Labor versicherte jedoch, dass am Tag der Probenahme den Mitarbeitern mitgeteilt wurde, «dass die Ergebnisse dem diensthabenden Stadtrat und dem Betreffenden übermittelt werden, ohne dass ein Arbeitnehmer seine mündliche oder schriftliche Stellungnahme zur Durchführung des Tests und zur Mitteilung der Ergebnisse vorlegt. » Aber es war nur eine mündliche Information, nicht die «informierte Einwilligung» der Gemeindebeamten, die durch das Allgemeine Datenschutzregister (DSGVO) festgelegt wurde. Das Gesundheitsunternehmen fügte gegenüber der AEPD hinzu, «dass die informierte Zustimmung des Patienten von der Stadt Calp erfolgen sollte», was jedoch nicht der Fall war.
Was vom Labor nicht eingehalten wurde
Nach diesen Beweismittel kam die spanische Datenschutzbehörde, die im Juli 2021 eine Sanktionsakte gegen das Labor anlegte, zu dem Schluss, dass gegen das Labor eine Geldbusse verhängt werden sollte. Er stellt zunächst fest, dass «die Verarbeitung personenbezogener Daten in gesundheitlichen Krisensituationen weiterhin erfolgt» und dass die Weitergabe «auf den vorgesehenen Zweck beschränkt bleiben» darf. Und das wurde nach Ansicht der Datenschutzbehörde vom Labor nicht eingehalten, indem es Daten über Tests preisgab und zwar ohne ausdrückliche Zustimmung der Beschwerdeführerin.
Um diese Stellungnahme zu begründen, informiert die Agentur über alle Vorschriften, die vom Unternehmen nicht eingehalten werden: erstens Artikel 5 der DSGVO, der vorsieht, dass «die personenbezogenen Daten in einer Weise verarbeitet werden, die ihre angemessene Sicherheit gewährleistet, einschliesslich des Schutzes vor unbefugter Verarbeitung. » Auch Artikel 5 des Organgesetzes über den Datenschutz verlangt ausdrücklich die Vertraulichkeit der Daten.
Darüber hinaus «ist die Pflicht zur Geheimhaltung der Ergebnisse, die Teil der Krankengeschichte ist», so die Agentur weiter, «auch in mehreren Artikeln des Gesetzes über die Autonomie des Patienten» verankert, in dem darauf hingewiesen wird, dass «jeder das Recht hat, die Vertraulichkeit seiner Gesundheitsdaten zu wahren und dass niemand ohne vorherige Genehmigung Zugang zu diesen Daten erhalten darf. » Dieses Recht muss durch «geeignete Massnahmen» gewährleistet sein.
Diesbezüglich vertritt die Agentur die Auffassung, dass das untersuchte Unternehmen diese Massnahmen nicht ergriffen hat. Diesbezüglich führte das Labor an, dass «der Patient, der eine Probe entnimmt, von seinem Unternehmen über den Zweck und die Behandlung dieser Analyse informiert wird und erklären kann, dass das Ergebnis nur ihm und nicht dem Auftraggeber zum Zeitpunkt der Probenahme zugesandt wird. » Die Agentur weist dieses Argument jedoch entschieden zurück: «Das ist unangemessen, da das Labor für die Aufbewahrung der Daten zuständig ist. Die Mitteilung der Ergebnisse in Form des vollständigen Prüfberichts sollte nicht standardmässig eingeführt, sondern nur dem Betroffenen übermittelt werden. Eine andere Frage ist es, die positiven Ergebnisse zu kommunizieren, wobei es auch nicht notwendig ist die vollständigen Ergebnisse zu übermitteln. »