Integration von Datenschutz in Systeme, Prozesse und Dienste
Datenschutz durch Technikgestaltung („Privacy by Design“) und durch datenschutzfreundliche Voreinstellungen („Privacy by Default“) sind Anforderungen nach Artikel 25 Datenschutz-Grundverordnung, die als die verschiedenen technischen und organisatorischen Massnahmen beschrieben werden können, die ein Verantwortlicher im Rahmen seines Gesamtansatzes zum Schutz der Rechte und Freiheiten natürlicher Personen in Bezug auf die Verarbeitung von personenbezogenen Daten umsetzen muss. Diese Massnahmen sollen darauf ausgelegt sein, die Datenschutzgrundsätze sowohl zum Zeitpunkt der Festlegung der Verarbeitungsmethoden als auch zum Zeitpunkt der Verarbeitung selbst wirksam umzusetzen. Dazu gehört auch die Einbeziehung etwaiger erforderlicher Garantien in die Verarbeitungstätigkeiten. Unter „Garantien“ ist eine Absicherung zu verstehen, dass der Verantwortliche die Datenschutzgrundsätze und Rechte der betroffenen Personen umsetzt. Das kann z. B. in Form von Weisungen oder externen Audits erfolgen.
Was ist „Privacy by Default“?
Der Datenschutz durch datenschutzfreundliche Voreinstellungen knüpft an die datenschutzrechtlichen Grundprinzipien der Datenminimierung und Zweckbindung an. Beim Datenschutz durch datenschutzfreundliche Voreinstellungen müssen Sie sicherstellen, dass Sie nur personenbezogene Daten verarbeiten, die zur Erreichung Ihres spezifischen Zwecks erforderlich sind. Dabei müssen Sie Folgendes berücksichtigen:
- Übernahme von Standard-Datenschutzeinstellungen auf Systemen;
- Transparenz gegenüber Ihren Kunden und Mitarbeitern hinsichtlich Ihrer Datenverarbeitungsaktivitäten und -praktiken;
- Verarbeitung von Daten, die im Verhältnis zum Zweck stehen; und
- Bereitstellung von Informationen und Optionen für Einzelpersonen zur Ausübung ihrer Rechte.
Was ist „Privacy by Design“?
Organisationen, die sich für die Bereitstellung einer Umgebung zum Schutz personenbezogener Daten einsetzen, müssen den Datenschutz in das Design und den gesamten Lebenszyklus jeder Technologie, jedes Geschäftsprozesses, Produkts oder Dienstes einbinden, z. B.:
- Nutzung einer neuen Art der Datenspeicherung (wie z. B. Cloud)
- Neue Nutzung vorhandener Daten zur Verbesserung eines Produkts oder einer Dienstleistung
- Einbindung von Dritter zur Verwaltung und Wartung eines IT-Systems
- Auslagerung der Datenbearbeitung an Dritte
- Neuer oder sich ändernder Geschäftsprozess
Privacy by Design besteht hauptsächlich aus zwei unterschiedlichen Elementen:
- Datenschutz-Folgenabschätzung (Data Privacy Impact Assessment, DPIA): Ein Tool zur Identifizierung von Datenschutzrisiken bei Verarbeitungsaktivitäten, zur Bewertung der Auswirkungen und zur Gestaltung von Kontrollen zur Minderung der identifizierten Risiken und zur Umsetzung von Datenschutzanforderungen.
- Datenänderungsmanagement: Ein Prozess, der während des gesamten Zyklus einer Verarbeitung sicherstellt, dass geeignete Massnahmen getroffen werden, um die Datenschutzgrundsätze wirksam umzusetzen.
„Privacy by Design“ erfordert Folgendes:
- geeignete technische und organisatorische Massnahmen zur Umsetzung der Datenschutzgrundsätze zu ergreifen; und
- Integrieren Sie Kontrollen in Ihre Verarbeitungsaktivitäten, damit Sie die gesetzlichen Anforderungen erfüllen und die Rechte des Einzelnen schützen.
Welche Massnahmen sollten eingesetzt werden?
Allgemeine Massnahmen und somit eine Orientierungshilfe bieten die Leitlinien des Europäischen Datenschutzausschusses (EDSA). Konkret könnten solche Massnahmen u. a. darin bestehen, dass
- die Verarbeitung personenbezogener Daten minimiert wird
- personenbezogene Daten so schnell wie möglich anonymisiert oder pseudonymisiert werden
- Transparenz in Bezug auf die Funktionen und die Verarbeitung personenbezogener Daten hergestellt wird
- automatisierte Löschroutinen eingesetzt werden
- Single-Sign-on-Technologien mit MFA eingesetzt werden
Weitere allgemeine Anforderungen können der ISO 31700 „Consumer protection – Privacy by design for consumer goods and services” entnommen werden.
