Bozen – Am 25. Mai 2018, also in ziemlich genau einem Jahr, tritt die neue europäische Verordnung 2016/679 zur Privacy in Kraft. Diese Verordnung wird im italienischen Sprachraum häufig mit dem englischen Kürzel GDPR (General Data Protection Regulation) bezeichnet. Mit diesem Begriff wird in letzter Zeit vonseiten einiger Hersteller von Sicherheitslösungen eine Panikmache betrieben, indem einseitig auf die hohen Strafen hingewiesen wird. Auf der anderen Seite wird das Thema Privacy oft sträflich vernachlässigt.
Nachfolgend soll ein kurzer Einblick in die komplexe Materie und die wichtigsten Neuerungen gegeben werden
Was sind personenbezogene Daten? – In der neuen Verordnung wird der Begriff „personenbezogene Daten“ viel weiter gefasst. Zu den „personenbezogenen Daten“ zählen auch all jene Daten, aus welchen sich indirekt – auch über Umwege – Personen identifizieren lassen oder welche zur Profilbildung verwendet werden können.
Folglich muss ein Unternehmen eine neue Analyse durchführen, um zu verstehen, welche personenbezogenen Daten im Betrieb wirklich verarbeitet werden. Als Verarbeitung wird nach wie vor jegliche Art von Erhebung, Speicherung, Änderung, Bereitstellung, Verknüpfung usw. von Daten verstanden.
Wer ist von der neuen Regelung betroffen? – Die neue Regelung schützt die personenbezogenen Daten der Bürger in der EU. Deshalb sind nicht nur alle Unternehmen in der EU selbst davon betroffen, sondern auch jene globalen Unternehmen, welche Dienste in der EU anbieten und dabei personenbezogene Daten verarbeiten.
Die Voraussetzungen für die Verarbeitung – Die Grundsätze für die Rechtmäßigkeit der Verarbeitung bleiben im Wesentlichen erhalten. Die Verarbeitung der Daten kann nur stattfinden, wenn der Betroffene seine Einwilligung zur Verarbeitung gibt oder wenn Verträge zu erfüllen sind. Allerdings gibt es für den Einwilligungsprozess einige Neuerungen. So muss zum Beispiel das Informationsschreiben zusätzliche Elemente wie etwa die Dauer der Speicherung der Daten enthalten.
Aus diesem Grund sind alle vorhandenen Rechtstexte (Einwilligung, Informationsschreiben, Vertragsklauseln, AGBs usw.), welche sich momentan auf das Dekret 196/2003 beziehen, neu zu fassen. Dies kann schon jetzt durchgeführt werden.
Mehr Freiheiten beim Schutz der Daten, aber auch eine größere Verantwortung – In den neuen Bestimmungen sind die technischen und organisatorischen Maßnahmen zum Schutz der personenbezogenen Daten nicht mehr detailliert vorgegeben (wie z.B. Antivirus, Patching, Firewall). Es liegt vielmehr im Ermessen und in der Verantwortung des Unternehmens, die geeigneten Maßnahmen auszuwählen und zu implementieren. Diese Maßnahmen müssen dem Schutzbedürfnis der Daten, dem Stand der Technik und dem bestehenden Risiko angemessen sein. Bei der Auswahl der Maßnahmen können – im Gegensatz zur bisherigen Regelung – auch die Implementierungskosten berücksichtigt werden. Dieser Ansatz ist eine bedeutende Neuerung im GDPR: Der Verantwortliche – sprich die Firmenleitung – muss proaktiv alle geeigneten Schutzmaßnahmen ergreifen und darüber Rechenschaft ablegen (Dokumentationspflicht).
Der verantwortungsvolle Umgang bei der Verarbeitung, die Nachvollziehbarkeit der Entscheidungen und die Rechenschaftspflicht ziehen sich wie ein roter Faden durch den gesamten Gesetzestext.
In Richtung Konformität – Als erster Schritt wird daher empfohlen, unverzüglich eine Aufstellung aller Verarbeitungen von personenbezogenen Daten im Unternehmen zu verfassen. Anhand dieser Liste werden dann das Risiko, die Bedrohung, die aktuellen und die angemessenen Maßnahmen zum Schutz der Daten bewertet und in eine Prioritätenliste eingetragen. Daraus ergibt sich ein Handlungsprogramm, welches die wichtigsten Aktionen und Maßnahmen zum Schutz der Daten festschreibt.
Nach der Umsetzung der wichtigsten Maßnahmen ist eine Überprüfung angesagt; zum einen, um zu kontrollieren, ob die Aktionen wirklich effektiv sind, und zum anderen, um auf Änderungen zu reagieren. Es handelt sich also nicht um eine einmalige Aktion, sondern um einen kontinuierlichen Prozess.
Eine solche dokumentierte Vorgehensweise stellt einen Riesenschritt in Richtung Konformität zum GDPR dar: Zum einen ist das Register über die Verarbeitungstätigkeiten verpflichtend, und zum anderen kommt man der Rechenschaftspflicht über die eingesetzten Maßnahmen nach.
Die Business-Daten sind genauso wichtig – Während das GDPR den Schutz für die personenbezogenen Daten vorschreibt, sind aus der Sicht des Unternehmens aber alle anderen Daten (Business-Daten) mindestens genauso wichtig und damit schützenswert. In diesem Punkt gehen die Interessen des GDPR und der Unternehmensleitung also Hand in Hand, und die gesetzlichen Auflagen sind eigentlich nur eine formelle Regelung für den Schutz der Informationen in einem Unternehmen.
Im Gegensatz zur bestehenden Privacy-Regelung wird mit dem GDPR der Schritt von der reinen Bürokratie zu einem reellen Schutz der Daten vollzogen.
Schutz über Unternehmensgrenzen hinweg – Der Schutz der Daten endet aber nicht beim eigenen Unternehmen. Bei einem Datenaustausch mit Partnern muss sichergestellt werden, dass die Daten über die ganze Verarbeitungskette hinweg den notwendigen Schutz erfahren. Die Firmenleitung muss sich schon vor einem Datenaustausch vergewissern, dass der Partner die notwendigen Garantien in Hinblick auf das GDPR bieten kann. Im Schadensfall haften nämlich alle Beteiligten.
Dies ist eine besonders weitreichende Konsequenz des GDPR. Über kurz oder lang sind damit alle Unternehmen gezwungen, vor allem auch aus wirtschaftlichen Gründen, die Konformität zum GDPR zu erreichen. Firmen, welche keine ausreichenden Garantien zum Datenschutz geben können, sind in Zukunft keine vertrauenswürdigen Partner mehr.
Mit der zunehmenden Digitalisierung der Arbeitsabläufe und mit der Vernetzung der Wirtschaft wird der Datenaustausch zwischen den Betrieben um ein Vielfaches ansteigen, und die ausgetauschten Datenströme enthalten mit Sicherheit personenbezogene Daten. Wer also in Zukunft noch ein attraktiver Partner im Wirtschaftskreislauf sein will, tut gut daran, sich schleunigst um den Datenschutz nach dem GDPR zu bemühen.
Der „Datenschutzbeauftragte“ – Nach wie vor ist für die Einhaltung der Bestimmungen im GDPR die Ernennung eines sogenannten „Datenschutzbeauftragten“ („Data Protection Officer“ oder DPO) vorgesehen. Diese Bestimmung wurde aber etwas gelockert, und sie gilt nur mehr für Unternehmen, welche in ihrer Haupttätigkeit personenbezogene Daten in großem Stil und systematisch verarbeiten (etwa Krankenhäuser, öffentlicher Personentransport, Banken und Versicherungen, Telefongesellschaften, öffentliche Körperschaften). Für den normalen Dienstleistungsbetrieb oder das normale produzierende Gewerbe ist damit die Ernennung des Datenschutzbeauftragten nur mehr fakultativ.
Datenpannen – Unter einer Datenpanne („Data Breach“) versteht man eine unrechtmäßige oder unbeabsichtigte Verletzung des Schutzes der personenbezogenen Daten. Dies kann ein telematischer Einbruch, eine unbeabsichtigte Verbreitung oder ein Verlust von Daten sein. Beim Erkennen von Datenpannen ist die Firmenleitung verpflichtet, den Vorfall innerhalb von 72 Stunden an die zentralen Aufsichtsbehörden zu melden. Ein Unternehmen muss sich also organisatorisch auf diesen Meldevorgang vorbereiten.
Neue Rechte für die Bürger – Die Bestimmungen des GDPR räumen den Bürgern in der EU neue Rechte ein. Dazu zählen unter anderem ein „Recht auf Vergessen“ und ein „Recht auf Datenübertragbarkeit“. Mit der Datenübertragbarkeit hat der betroffene Bürger das Recht, die ihn selbst betreffenden Daten in einem maschinenlesbaren Format zu erhalten.
Die Firmenleitung muss sich darauf vorbereiten, eventuelle Anfragen vonseiten der Bürger rechtzeitig zu beantworten.
Was ist jetzt zu tun? – Zusammenfassend nochmals die drei wichtigsten Vorkehrungen, um dem 25. Mai 2018 gelassen entgegenblicken zu können.
1. Erhebung aller Prozesse mit personenbezogenen Daten im Unternehmen
2. Bewertung des Risikos der jeweiligen Daten und Definition/Umsetzung von entsprechenden Sicherheitsmaßnahmen
3. Anpassung aller Rechtstexte
