Source: http://docplayer.org/4093465-Isaca-svir-19-11-2013-isaca-svir-veranstaltung-fit-vom-ukunft-die-pruefung-des-datenschutzes-im-veraenderten-umfeld-lic.html
Timestamp: 2018-05-25 15:00:25
Document Index: 255502522

Matched Legal Cases: ['Art. 2', 'Art. 7', 'Art. 5', 'Art. 10', 'Art. 7', 'Art. 8', 'Art. 8', 'Art. 9', 'Art. 9']

ISACA/SVIR ISACA/SVIR-VERANSTALTUNG FIT VOM UKUNFT? Die Prüfung des Datenschutzes im veränderten Umfeld. lic. - PDF
ISACA/SVIR ISACA/SVIR-VERANSTALTUNG FIT VOM UKUNFT? Die Prüfung des Datenschutzes im veränderten Umfeld. lic.
Download "ISACA/SVIR 19.11.2013 ISACA/SVIR-VERANSTALTUNG FIT VOM UKUNFT? Die Prüfung des Datenschutzes im veränderten Umfeld. lic."
1 ISACA/SVIR ISACA/SVIR-VERANSTALTUNG VOM FIT FÜR DIE ZUKUNFT UKUNFT? Die Prüfung des Datenschutzes im veränderten Umfeld lic. iur. Barbara Widmer, LL.M./CIA
2 REFERAT IM KONTEXT DES TAGUNGSTHEMAS Fit für die Zukunft im Umfeld von «Big Data», «Cloud Computing», «any time and any place», extremem Anstieg der produzierten Informationsmengen, unvorstellbarer Beschleunigung der technischen Kommunikation usw. Gemeinsamkeit und Objekt der Begierde: IT-betriebene Datensammlungen (DS) 2
3 INHALTSÜBERSICHT 1. Grundlagen 2. Datenschutzrechtliche Risiken IT-betriebener DS 3. Risiken von erhöhter Bedeutung 3.1 Auslagerung Bearbeitung von DS an Dritte 3.2 Ungenügende Ausgestaltung IT-Systeme/ IT-Umfeld 4. Erkenntnisse 5. Fit für die Zukunft aus Datenschutzsicht 3
4 LERNZIELE Erkennen/Einschätzen datenschutzrechtlicher Risiken bei IT-betriebenen DS; Kenntnis rechtliche Grundlagen für Auslagerung der Bearbeitung IT-betriebener DS und Erkennen möglicher Gefahren; Kenntnis rechtliche Grundlagen für Ausgestaltung von IT-Systemen/IT-Umfeld und Erkennen möglicher Gefahren; Vorstellung darüber, was Revision tun kann und wo aus Datenschutzsicht zukünftig Schwerpunkte zu setzen sind. 4
5 1. GRUNDLAGEN (1/4) DATENSCHUTZ UND IS ISICHERHEIT ICHERHEIT Datenschutz interessiert sich nur für Personen- daten (Art. 2 DSG). Personendaten müssen durch angemessene technische und organisatorische Massnahmen vor unbefugtem Bearbeiten geschützt werden (Art. 7 Abs. 1 DSG) Kein Datenschutz ohne Informationssicherheit (IS) aber IS ohne Datenschutz! 5
6 1. GRUNDLAGEN (2/4) PERSONENDATEN Zwei Arten von Personendaten: Normale Personendaten z.b. Personalien Besondere Personendaten z.b. Daten über Gesundheit, Intimsphäre, religiöse und politische Ansichten, strafrechtliche Verfolgung usw. Persönlichkeitsprofile als Spezialform: Zusammenstellung von Daten, die Beurteilung wesentlicher Aspekte der Persönlichkeit erlaubt. 6
7 1. GRUNDLAGEN (3/4) RICHTIGKEIT DER PERSONENDATEN Wer Personendaten bearbeitet, hat sich über deren Richtigkeit zu vergewissern (Art. 5 DSG) Problem bei Big Data und Verknüpfung von DS. Unrichtige Personendaten sind entweder zu berichtigen oder zu vernichten. Betroffene Personen können verlangen, dass über sie in DS vorhandene unrichtige Daten berichtigt werden. 7
8 1. GRUNDLAGEN (4/4) BEARBEITEN Bearbeiten = jeder Umgang mit Personendaten Z.B. Beschaffen, Lesen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren, Vernichten usw. Wichtigster Bearbeitungsgrundsatz: Eine Person ist berechtigt, Personendaten zu bearbeiten, soweit dies zur Erfüllung ihrer Aufgabe notwendig ist! 8
9 2. DATENSCHUTZRECHTLICHE RISIKEN IT-BETRIEBENER DS (1/3) DS ist aus Datenschutzsicht von Bedeutung, wenn sie Personendaten enthält. Datenschutzrechtliches Risiko steigt exponentiell, wenn DS: besondere Personendaten/Persönlichkeitsprofile enthält; normale Personendaten aber grosse Datenmenge enthält; 9
10 DATENSCHUTZRECHTLICHE RISIKEN IT-BETRIEBENER DS (2/3) mit grosser Wahrscheinlichkeit und/oder in wesentlichem Umfang unrichtige Daten enthält; zur Bearbeitung an Dritte ausgelagert wird; in ungenügend ausgestaltetem IT-System/ IT-Umfeld betrieben wird; gehandelt wird. Prüfschema in Unterlagen 10
11 DATENSCHUTZRECHTLICHE RISIKEN IT-BETRIEBENER DS (3/3) TABELLE Tabelle zur Risikobewertung Bezeich- nung DS Bes. PD oder PP Norm. PD aber grosse Daten- menge Aus- lagerung der Bear- beitung IT- System/ IT- Umfeld Han- del mit DS WK der Datenrich- tigkeit Datenschutz- rechtliches Risiko Adress- datenbank Case Manage- ment MA nein ja ja (Serverstandort Ausland) ja nein ja (Server- Standort CH) gut ja mittel hoch mangelhaft nein hoch sehr hoch Legende: MA = Mitarbeitende PD = Personendaten PP = Persönlichkeitsprofile DS = Datensammlung WK = Wahrscheinlichkeit 11
12 3.1 AUSLAGERUNG AN DRITTE (1/5) GESETZLICHE GRUNDLAGE Nach Art. 10a DSG zulässig wenn Daten durch Dritten nur so bearbeitet werden, wie der Auftraggeber selbst es tun dürfte und keine gesetzliche oder vertragliche Geheimhaltungspflicht es verbietet. 12
13 3.1 AUSLAGERUNG AN DRITTE (2/5) GESETZLICHE GRUNDLAGE Dritte: Jede vom Auftraggeber verschiedene natürliche oder juristische Person oder von diesem verschiedenes öffentliches Organ. Bearbeitung gleich wie Auftraggeber: Es gelten für Dritten unabhängig von dessen Standort/Sitz die selben datenschutzrechtlichen Regelungen wie für den Auftraggeber Überbindung durch schriftlichen Vertrag!!! 13
14 3.1 AUSLAGERUNG AN DRITTE (3/5) GESETZLICHE GRUNDLAGE Gesetzliche / vertragliche Geheimhaltungspflicht: Gesetzliche: Steuer-, Bank-, Fernmelde-, Sozialversicherungs- oder Amtsgeheimnis sowie Arztund Anwaltsgeheimnis. Vertragliche: z.b. Vertraulichkeitserklärungen, Geschäftsgeheimnisse. 14
15 3.1 AUSLAGERUNG AN DRITTE (4/5) PROBLEME AUS DER PRAXIS Keine Vorstellung darüber, dass Vorgang eine Auslagerung der Bearbeitung an Dritte beinhaltet; Mangelhafte Vertragsausgestaltung; Unbekannte und/oder wechselnde Serverstandorte/Serverstandorte im Ausland; Verträge mit Subunternehmern; Mangelnde Verhandlungsmacht im Verhältnis zu Grossanbietern (Google, Amazon, Apple usw.). 15
16 3.1 AUSLAGERUNG AN DRITTE (5/5) WAS KANN DIE REVISION TUN? Datensammlungen auf Auslagerungshinweise an Dritte prüfen; Bei vorhandenen Auslagerungshinweisen prüfen, ob schriftliche Vereinbarung vorliegt; Inhalt der Vereinbarung auf ausl. Serverstandorte und Subvertragsverhältnisse prüfen; Bei Unsicherheiten Rechtsdienst und/oder Compliance Abteilung beiziehen. Prüfschema in Unterlagen 16
17 3.2 UNGENÜGENDE IT-SYSTEME (1/5) GESETZLICHE GRUNDLAGEN Grundsatz (Art. 7 Abs. 1 DSG): Personendaten sind durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten zu schützen. Präzisierende Regelungen: Öff. Verwaltung: massgebl. Informationssicherheitserlasse, interne Vorgaben. Private: Art. 8 ff. DSV sowie für anwendbar erklärte (internationale) Regelwerke. 17
18 3.2 UNGENÜGENDE IT-SYSTEME (2/5) GESETZLICHE GRUNDLAGEN Systembetreiber sorgt für Vertraulichkeit, Verfügbarkeit und Integrität der Daten (Art. 8 Abs. 1 DSV). Systeme mit automatisierter Bearbeitung von Personendaten müssen folgende Elemente aufweisen (Art. 9 Abs. 1 DSV): Zugangskontrollen, Personendatenträgerkontrollen, Transportkontrollen, Bekanntgabekontrolle, 18
19 3.2 UNGENÜGENDE IT-SYSTEME (3/5) GESETZLICHE GRUNDLAGEN Speicherkontrolle, Benutzerkontrolle, Zugriffskontrolle, Eingabekontrolle. Auskunfts- und Berichtigungsrecht der Betroffenen muss gewährleistet sein (Art. 9 Abs. 2 DSV). 19
20 3.2 UNGENÜGENDE IT-SYSTEME (4/5) PROBLEME AUS DER PRAXIS Kein oder mangelnder Einbezug der datenschutzund ISrechtlichen Vorgaben bei Entwicklung neuer Systeme; Zu wenig flexible Ausgestaltung der IT-Systeme; Mangelndes Verständnis auf Ebene GL/VR oder Regierung für datenschutz- und ISrechtliche Vorgaben. 20
21 3.2 UNGENÜGENDE IT-SYSTEME (5/5) WAS KANN DIE REVISION TUN? Prüffokus auf anwendbare datenschutz- und ISrechtliche Vorgaben; Begleitung der Entwicklung neuer IT-Systeme; Zusammenarbeit mit Datenschutz- und ISbeauftragten; Bei GL/VR oder Regierung Verständnis für datenschutz- und ISrechtlichen Vorgaben schärfen. Prüfschema in Unterlagen 21
22 4. ERKENNTNISSE (1/2) Bedeutung von Datenschutz und IS nimmt aufgrund der aktuellen Entwicklung (Big Data, Cloud-Computing usw.) exponentiell zu; Datenschutz und IS können aufwendig und kostenintensiv sein, aber - durch vorausschauende Planung Schlimmeres verhindern - mit guter Kommunikation als Wettbewerbsvorteil eingesetzt werden; 22
23 4. ERKENNTNISSE (2/2) Revisionsstelle, die datenschutzrechtliche Risiken erkennen und bei Bedarf Fachspezialisten beiziehen kann, schafft für Unternehmen/Staat Mehrwert; Revision wird in diesem veränderten Umfeld zunehmend vom Einzel- zum Team- und vom Breiten- zum Spitzensport. 23
24 5. FIT FÜR DIE ZUKUNFT AUS DATENSCHUTZSICHT (1/2) sind Sie wenn, Sie erkannt haben, dass Datenschutz und IS die Zukunft sind durchziehen gesamtes Business (Prozesse) und deren Wichtigkeit steigt aufgrund aktueller Entwicklung exponentiell an. Sie Sie die Grundzüge der massgeblichen datenschutz- und informationssicherheitsrechtlichen Vorgaben kennen und deren Entwicklung mitverfolgen; Sie 24
25 5. FIT FÜR DIE ZUKUNFT AUS DATENSCHUTZSICHT (2/2) Sie die Zusammenarbeit mit der Rechts- und Compliance-Abteilung sowie dem Datenschutzund ISbeauftragten suchen und pflegen. Sie Sie regelmässig den Blick über den Tellerrand wagen internationale Entwicklungen, neue EU-Vorgaben erfassen, analysieren und allenfalls antizipieren. Sie 25
26 SCHLUSSFOLIE Fragen? Besten Dank für Ihre Aufmerksamkeit! Kontakt: Barbara Widmer, Datenschutz Kanton Basel-Stadt, oder 061/