Source: http://docplayer.org/29513226-Modul-3-13-oktober-dsgvo-geltungsbereich-bearbeitungsgrundsaetze-informationspflichten-david-rosenthal.html
Timestamp: 2018-10-23 11:55:27+00:00

Document:
Modul 3, 13. Oktober DSGVO Geltungsbereich, Bearbeitungsgrundsätze, Informationspflichten. David Rosenthal - PDF
Download "Modul 3, 13. Oktober DSGVO Geltungsbereich, Bearbeitungsgrundsätze, Informationspflichten. David Rosenthal"
Innozenz Cornelius Fromm
1 Modul 3, 13. Oktober 2016 DSGVO Geltungsbereich, Bearbeitungsgrundsätze, Informationspflichten. David Rosenthal Massnahmen zur Datensicherheit, Meldepflicht im Zusammenhang mit Data Breaches, Möglichkeiten und Grenzen der Anonymisierung und Pseudoanonymisierung von Daten
2 Datensicherheit? Worum geht es? Datensicherheit im klassischen Sinne (Vertraulichkeit, Integrität, Verfügbarkeit, Belastbarkeit) "Security" Schutz vor unbefugten Zugriffen (z.b. durch Zugangskontrolle) Abgrenzen zur "safety" Schutz vor Verlust (z.b. durch Backups) Im Kontext des Datenschutzes Schutz vor unrechtmässiger Verarbeitung (z.b. Verletzung der Bearbeitungsgrundsätze wie etwa Zweckbindungsgrundsatz oder Grundsatz der Verhältnismässigkeit) Schutz vor unbeabsichtigtem Verlust oder unbeabsichtigter Zerstörung oder Schädigung Entdeckung von Verletzungen der Datensicherheit Technische Massnahmen Verschlüsselung/Pseudonymisierung, Zugangskontrollen, Audit-Trails, Backups, IDS, etc. Organisatorische Massnahmen Reglemente und Weisungen, Definition von Prozessen, Schulungen, Kontrollen, etc.
3 Wo geregelt?
4 Wo geregelt?
5 Wo geregelt? Zum Vergleich im DSG: Art. 7 DSG Abs. 1: Personendaten müssen durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden. Konkretisierung in VDSG Vgl. auch Art. 29 (Aufsicht über Auftragsdatenbearbeiter), Art. 30 (Verzeichnis der Datenbearbeitungen), Art. 33 f. (Data Breach Notifications) Art. 10a DSG Abs. 3: Der Auftraggeber muss sich insbesondere vergewissern, dass der Dritte die Datensicherheit gewähleistet.
6 Was bedeutet das? Nicht viel Neues! Anforderungen (Art. 5, 24, 25, 28, 32 DSGVO) Technische und organisatorische Massnahmen sind zu treffen Damit die Einhaltung des Datenschutzes gewährleistet wird Müssen (nur, aber immerhin) angemessen sein, d.h. unter Berücksichtigung des Stands der Technik, des Aufwands und der Datenschutzrisiken erfolgen Pflicht besteht sowohl für den "Verantwortlichen" wie auch den "Auftragsverarbeiter", die wiederum dafür sorgen müssen, dass ihre Mitarbeiter die Daten nur nach Weisung bearbeiten Massnahmen sind wenn erforderlich zu überprüfen und zu aktualisieren (Art. 24 DSGVO) Massnahmen sind zu dokumentieren (auch nach Art. 5, 24, 28 und 30 DSGVO) Unter anderem, wo angemessen, Massnahmen (Art. 32 DSGVO) Um "Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme" gewährleisten Um Verfügbarkeit der Daten nach einem Zwischenfall "rasch" wiederherzustellen Um Wirksamkeit der Massnahmen regelmässig zu überprüfen, bewerten und evaluieren Zur Verschlüsselung und Pseudonymisierung von Personendaten
7 Was bedeutet das? Nicht viel Neues! Es muss nachgewiesen werden können, dass die Massnahmen den Anforderungen der DSGVO genügen (Art. 5 Abs. 2 DSGVO) z.b. durch Codes of Conduct (Art. 40 f.) und Zertifizierung (Art. 42 DSGVO) Reine Data-Security-Zertifizierungen (z.b. ISO 27001) können helfen, zeigen aber nicht, ob der datenschutzrechtlich erforderliche Schutzgrad und der erforderliche Scope gewählt wurde Ungenügende Datensicherheit wird sanktioniert, jedoch keine einheitliche Regelung Sanktionsrahmen bis 4% (bei Verletzung von Art. 5 DSGVO) Verstösse gegen die anderen Normen können mit bis zu 2% sanktioniert werden Fazit: Anforderungen sind nicht grundsätzlich anders als unter dem bestehenden (Schweizer) Recht Es gilt ein risikobasierter Ansatz
8 Pseudonymisierung / Anonymisierung Begriffe nach Art. 4 DSGVO: Anonymisierung selbst wird nicht definiert, sondern ergibt sich nur aus dem Umkehrschluss zum Begriff der Personendaten (vgl. Erwägung 26)
9 Relevanz der Pseudonymisierung? Erwähnung in Art. 6 Abs. 4 Bst. e DSGVO als ein möglicher Weg, um die Weiterverarbeitung von Personendaten zu einem anderem als dem ursprünglichen Zweck "vereinbar" zu machen Art. 32, 40 und 89 DSGVO als Instrument zur Einschränkung der Verarbeitung von Personendaten zwecks Erhöhung des Datenschutzes (und damit als technische Massnahme) Art. 25 DSGVO als Instrument zur Umsetzung des "Privacy by Design" Art. 11 DSGVO (implizit) indem Betroffenenrechte nicht gelten für den, der die Person nicht mehr identifizieren kann (eine Identifizierung muss ihm nicht möglich bleiben) Ihre ausdrückliche Erwähnung soll einen Anreiz für ihren Einsatz schaffen Stellt eine Bekanntgabe pseudonymisierter Daten (ohne Bekanntgabe des Schlüssels) noch eine Bekanntgabe von Personendaten dar? Schweizer Recht: Nein DSGVO: Ja, da die Person nach wie vor identifizierbar ist (Erwägung 26); sie macht weitere Massnahmen zur Datensicherheit nicht überflüssig (Erwägung 28)
10 Data Breach Notifications Hohes Risiko = Betroffenenmeldung Risiko = Behördenmeldung
11 Was ist ein Data Breach? Nicht jede Datenschutzverletzung Es muss erstens eine zur Datensicherheit gedachte Massnahme verletzt bzw. nicht befolgt worden sein Fehlende Datensicherheit kein Data Breach Verletzung einer organisatorischen Massnahme (z.b. Weisung) genügt aber Gewollte unerlaubte Bekanntgabe von Daten ist kein Data Breach, ungewollte schon Verletzung muss zweitens Datenherrschaft oder -integrität tangieren Unverhältnismässige oder zweckwidrige Datenbearbeitung genügt für sich nicht Zugriff durch unbefugte Mitarbeiter hingegen schon
12 Ordnungspflichten bei einem Data Breach Meldung an Behörde (Art. 33 Abs. 1-4 DSGVO) Falls Verletzung ein "Risiko" für den Betroffenen zur Folge hat Physischer, materieller oder immaterieller Schaden für die betroffene Person ist möglich z.b. Verlust der Datenkontrolle durch den Betroffenen, Rechte können nicht mehr ausgeübt werden, Rufschädigung, Diskriminierung, finanzieller Verlust, Verlust der Vertraulichkeit -Versand von Daten an falschen Empfänger? Postversand, welchen der Empfänger aber retourniert? Hackereinbruch? Verlust eines Notebooks mit verschlüsselten Daten? Wenn möglich innert 72 Stunden nach Entdeckung (sonst mit Begründung für die Verzögerung) Was ist passiert? Welche Daten und wer ist betroffen (auch wieviele Personen)? Was sind die wahrscheinlichen Folgen? Welche Massnahmen sind getroffen oder vorgesehen? Kontakt? Wo erforderlich schrittweise informieren (laufende Updates) Verzeichnis der Data Breaches führen (Art. 33 Abs. 5 DSGVO) Muss für alle geführt werden, auch solche, die nicht meldepflichtig sind (mit allen Fakten)
13 Ordnungspflichten bei einem Data Breach Meldung an betroffene Personen (Art. 34 DSGVO) Bei "voraussichtlich hohem Risiko" (ausser es konnte [ggf. nachträglich] wieder eliminiert werden) Keine Meldung i.d.r. wenn wirksam verschlüsselte Daten verloren gehen Behörde kann eine Meldung anordnen bzw. sollte betr. Vorgehensweise konsultiert werden Meldung muss "unverzüglich" erfolgen, aber nicht zwingend sofort nach Entdeckung (insb. wenn dies sonst ein Risiko weiterer Verletzungen mit sich bringen würde) Meldung nur mit Angaben zur Art der Verletzung (aber keine Details dazu), zu wahrscheinlichen Folgen, getroffenen Massnahmen und Kontaktangaben Falls die individuelle Information mit einem "unverhältnismässigen Aufwand" verbunden: Publikation oder andere Massnahme um betroffene Personen "vergleichbar wirksam" zu informieren Auftragsverarbeiter muss Data Breach nur dem Verantwortlichen melden (Art. 33 Abs. 2 DSGVO) Keine "Safe Harbor"-Klausel: Meldung kann später gegen den Verantwortlichen verwendet werden Verletzung der Ordnungspflichten werden mit bis zu 2% sanktioniert
14 Takeaways Anforderungen an die Datensicherheit gelten unverändert Es gilt (weiterhin) ein risikobasierter Ansatz und Eigenverantwortung bei der Wahl der technischen und organisatorischen Massnahmen Anforderungen an Dokumentation der Datensicherheit, einschliesslich ihrer Begründung bzw. Nachweis der Einhaltung der Vorgaben, ist jedoch erhöht Pseudonymisierung soll sehr viel breiter zum Einsatz kommen als bisher Mit Codierungen statt mit Klartext arbeiten, wo dies möglich ist Pseudonymisierte Daten bleiben aber weiterhin Personendaten (Abweichung gegenüber Schweizer Recht) Unternehmen müssen die interne Meldung und Erfassung von Data Breaches regeln und einen Prozess für etwaige Meldungen an Behörden und Betroffene vorsehen Kommt es zum Data Breach, bleibt nicht viel Zeit Data Breaches sind intern ebenfalls zu verzeichnen, selbst wo keine Meldung nötig ist
15 Besten Dank für Ihre Aufmerksamkeit! P800230v1 Homburger AG lic. iur. David Rosenthal Prime Tower Hardstrasse Zürich Tel Fax

References: Art. 7
 Art. 29
 Art. 30
 Art. 33
 Art. 10
 Art. 5
 Art. 5
 Art. 4
 Art. 6
 Art. 32
 Art. 25
 Art. 11