Die Allgemeine Datenschutzverordnung (DSGVO) führte mehrere Änderungen in der Art und Weise ein, wie Organisationen über Datenschutz nachdenken. Eine davon ist die gesetzliche Verankerung von "Privacy by Design" (PbD) in Artikel 25.
Aber was bedeutet "Privacy by Design", warum verlangt die DSGVO dies und wie können Sie es umsetzen?
Lesen Sie weiter und finden Sie es heraus!
Was ist "Privacy by Design"?
Privacy by Design (PbD) ist das Konzept, dass der Datenschutz von Anfang an in Systeme und Prozesse integriert werden sollte, um die Privatsphäre der Nutzer zu schützen und massive Datenschutzverletzungen zu verhindern.
Es wurde erstmals in den 1990er Jahren von Ann Cavoukian, der ehemaligen Datenschutzbeauftragten von Ontario, vorgeschlagen und hat sich seitdem als bewährtes Verfahren durchgesetzt, das von Datenschutzbehörden in der ganzen Welt unterstützt wird.
Die Einbeziehung von PbD in Systeme und Prozesse in den frühen Phasen Ihres Projekts (sowie während des gesamten Lebenszyklus) bietet große Vorteile:
- Sie kann Datenschutzverletzungen verhindern, indem sie proaktiv Schutzmaßnahmen für den Datenschutz in Systeme einbaut, die das Risiko von Datenschutzverletzungen mindern.
- Sie kann dazu beitragen, dass Sie die rechtlichen und regulatorischen Anforderungen erfüllen.
- So können Sie zeigen, dass Sie sich für den Schutz der Privatsphäre Ihrer Kunden einsetzen, was wiederum das Vertrauen der Kunden stärkt.
Die Umsetzung von PbD erfordert die Verankerung des Datenschutzes in Ihrer Unternehmenskultur.
Sie können dies erreichen, indem Sie das Bewusstsein für Datenschutzfragen schärfen und ihnen Vorrang einräumen, den Datenschutz in die Entwurfsphase der Produkt- oder Dienstleistungsentwicklung integrieren und ihn in jeder Phase des Prozesses berücksichtigen.
Privacy By Design und die DSGVO
Die Website DSGVO gilt für jede Verarbeitung personenbezogener Daten, bei der der für die Verarbeitung Verantwortliche oder die betroffene Person (die Person, auf die sich die Daten beziehen) in der EU ansässig ist oder bei der die Verarbeitung physisch in einem EU-Land stattfindet.
Sie enthält zwei Gruppen von Anforderungen, die als "Datenschutz durch Technik" und "Datenschutz durch Voreinstellungen" bezeichnet werden und beide eine klare Umsetzung des eingebauten Datenschutzes darstellen.
Artikel 25 besagt Folgendes:
Der für die Verarbeitung Verantwortliche hat sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der Verarbeitung selbst geeignete technische und organisatorische Maßnahmen, wie z. B. die Pseudonymisierung, zu ergreifen, die darauf abzielen, die Datenschutzgrundsätze, wie z. B. die Datenminimierung, wirksam umzusetzen und die erforderlichen Garantien in die Verarbeitung einzubeziehen, um die Anforderungen dieser Verordnung zu erfüllen und die Rechte der betroffenen Personen zu schützen.
Was "zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung" bedeutet, ist, dass Sie den Datenschutz berücksichtigen müssen, wenn Sie Ihre Systeme und Verfahren für die Erhebung und Verarbeitung von Daten entwickeln, und nicht erst, wenn Sie sie haben.
Die DSGVO ist nicht mehr das einzige Datenschutzgesetz, das Grundsätze des eingebauten Datenschutzes enthält.
Der Personal Information Protection and Electronic Documents Act(PIPEDA) in Kanada verlangt von Unternehmen, dass ein Mitarbeiter für die Datenverarbeitung verantwortlich ist, die gesammelten Daten begrenzt werden und Verfahren zur Vernichtung nicht mehr benötigter Daten eingeführt werden.
Darüber hinaus enthalten neu erlassene Gesetze in Brasilien, Indien und der Schweiz auch einen "eingebauten Datenschutz".
Die 7 grundlegenden Prinzipien des "Privacy by Design
Das Konzept des "eingebauten Datenschutzes" basiert auf sieben Grundsätzen, die Ihnen helfen können, bessere Entscheidungen im Bereich der Datensicherheit zu treffen. Diese Grundsätze sind:
1. Proaktiv statt reaktiv; präventiv statt sanierend
PbD beginnt damit, dass der Wert und die Vorteile einer proaktiven, frühzeitigen und konsequenten Umsetzung von Datenschutzpraktiken erkannt werden.
Der erste Grundsatz besagt, dass der Datenschutz am Anfang des Planungsprozesses stehen muss. Bevor man ein System und einen Prozess für den Umgang mit Daten entwirft, muss man herausfinden, welche Risiken für die Privatsphäre durch den Umgang mit den Daten entstehen, entscheiden, welche Schritte erforderlich sind, um diese Risiken zu minimieren oder zu beseitigen, und sie in das System einbauen.
Wenn Ihre Sicherheitspraxis lediglich auf Sicherheitsverletzungen reagiert, wenn sie passieren, sind Sie reaktiv.
Kurz gesagt: Warten Sie nicht, bis Risiken für die Privatsphäre auftreten, sondern beugen Sie ihnen vor.
2. Datenschutz als Standardeinstellung
Der zweite Grundsatz besagt, dass die Privatsphäre bei allem, was Sie tun, an erster Stelle stehen muss, und Sie können sie maximieren, indem Sie sicherstellen, dass personenbezogene Daten automatisch geschützt werden.
Sie können dies erreichen, indem Sie die gemeinsame Nutzung von Daten einschränken, Systeme entwickeln, um die minimale Menge und den minimalen Umfang von Daten, die Sie benötigen, zu identifizieren und zu sammeln, und Daten, die Sie nicht mehr benötigen, löschen oder anonymisieren. Es bedeutet auch, dass Sie Opt-in- und Opt-out-Funktionen und Schutzmaßnahmen für Verbraucherdaten verwenden.
Wenn Sie beispielsweise planen, ein Datenanalysetool eines Drittanbieters zu verwenden, um die Wirksamkeit Ihrer Marketingkampagnen besser zu verstehen, und dieses Tool die Geräteinformationen Ihrer Website-Besucher erfasst, sollten Sie dies standardmäßig deaktivieren. Auf diese Weise halten Sie den Grundsatz der Datenminimierung ein und sammeln diese Daten erst, wenn Sie die Zustimmung erhalten haben.
Sie sollten den Verbrauchern ein Höchstmaß an Datenschutz bieten, das Risikoprofil für die Datensicherheit senken und praktische Maßnahmen ergreifen, um die Möglichkeit von Datenschutzverletzungen zu verringern.
3. In das Design eingebetteter Datenschutz
Beim dritten Grundsatz geht es darum, den Datenschutz von Anfang an in den Entwurf, die Entwicklung und die Implementierung eines Produkts, Prozesses oder Systems zu integrieren. Sie müssen den Datenschutz in die Gestaltung von IT-Systemen und Geschäftspraktiken einbeziehen, und Unternehmen sollten Verschlüsselung und Authentifizierung verwenden und regelmäßig Schwachstellen testen.
Wenn Sie sich beispielsweise für eine neue Plattform für das Kundenbeziehungsmanagement entscheiden, um personenbezogene Kundendaten zu speichern und zu verarbeiten, müssen Sie Prozesse und Kontrollen einrichten, um sicherzustellen, dass dieses neue Tool personenbezogene Daten in Übereinstimmung mit den Datenschutzgesetzen verarbeitet.
Dieser Grundsatz soll Sie daran erinnern, den Datenschutz als eine Kernfunktion des Produkts zu betrachten und ihn von Anfang an als integralen Bestandteil der Kernfunktionalität in Ihre Systeme einzubauen - ohne die Funktionalität zu beeinträchtigen.
4. Volle Funktionalität - Positivsumme, nicht Nullsumme
Der vierte Grundsatz des "eingebauten Datenschutzes" sieht vor, dass alle legitimen Interessen und Ziele im Sinne einer "Win-Win"-Situation berücksichtigt werden und nicht durch einen Nullsummen-Ansatz mit unnötigen Kompromissen.
Sie sollten den Datenschutz nicht als Kompromiss gegen andere Interessen betrachten. Sie können Datenschutz, Umsatz und Wachstum haben - Sie müssen nicht das eine für das andere opfern!
Die Einbindung des Datenschutzes in eine bestimmte Technologie, einen Prozess oder ein System sollte so erfolgen, dass die Funktionalität nicht beeinträchtigt wird und alle Anforderungen optimal erfüllt werden.
5. End-to-End-Sicherheit - Schutz über den gesamten Lebenszyklus
Gemäß dem fünften Grundsatz müssen Daten in jeder Phase sicher sein, von der Erhebung über die Verwendung bis hin zur Weitergabe und Vernichtung.
Verschlüsselung und Authentifizierung sind die Standards in jeder Phase, aber in anderen Phasen müssen Sie noch weiter gehen. Zum Beispiel sollten Sie nur Daten sammeln, die Sie benötigen und für die Sie eine Rechtsgrundlage haben.
Außerdem müssen Sie eine Reihe von Sicherheitsmaßnahmen ergreifen, einschließlich physischer, elektronischer und organisatorischer Einschränkungen.
So kann beispielsweise die Übermittlung personenbezogener Daten an Dritte ein Sicherheitsrisiko darstellen, da Cyber-Angreifer versuchen könnten, die Kommunikation abzuhören, um unbefugten Zugang zu den Daten zu erhalten. Ein Risikofaktor ist die Übertragung von Daten über unsichere öffentliche Netze. Unternehmen können interne Richtlinien und Kontrollen einführen und anwenden, um sicherzustellen, dass alle Mitarbeiter Daten nur mit bestimmten Geräten und über sichere Unternehmensnetzwerke übertragen.
Außerdem müssen Sie bei der Entsorgung von Daten DSGVO-konforme Lösch-/Vernichtungsmethoden für einen durchgängigen Schutz verwenden.
Denken Sie daran, dass der Datenschutz den Daten folgt, wohin sie auch gehen.
6. Sichtbarkeit und Transparenz - Keep It Open
Die Erhebung personenbezogener Daten ist mit einer Sorgfaltspflicht verbunden.
Der sechste Grundsatz beruht auf dem Gedanken, dass die Information der betroffenen Personen nicht nur deren Vertrauen stärkt, sondern auch dazu beiträgt, dass Sie für den Umgang mit den Daten verantwortlich sind. Er verdeutlicht die Notwendigkeit von eine gut formulierte Datenschutzpolitik und einen Mechanismus, mit dem betroffene Personen ihre Beschwerden vorbringen, Fragen stellen und Änderungen verlangen können.
Sichtbarkeit und Transparenz sind unerlässlich, um Verantwortlichkeit und Vertrauen zu schaffen. Daher sollten Ihre betroffenen Personen über Ihre Datenschutz- (und Verarbeitungs-)Praktiken Bescheid wissen und diese offenlegen, und die Informationen sollten offen und leicht zu verstehen sein.
7. Respekt für die Privatsphäre der Nutzer - Nutzerzentriertheit
Der letzte Grundsatz besagt, dass alles auf den Benutzer ausgerichtet bleiben muss.
Sie behauptet, dass die Daten, die sich im Besitz einer Organisation befinden, letztendlich dem Verbraucher gehören und dass Organisationen sicherstellen sollten, dass die betroffenen Personen ordnungsgemäß darüber informiert werden, wie ihre Daten gesammelt und verwendet werden.
Wenn Sie sich beispielsweise auf die Einwilligung zur Verarbeitung personenbezogener Daten stützen, sollten Sie den Betroffenen gegenüber fair sein, ihnen ausreichende Informationen auf leicht verständliche Weise zur Verfügung stellen und nicht versuchen, sie mit Tricks zur Einwilligung zu bewegen.
Stellen Sie sich vor, dass Nutzer, die sich auf Ihrer Website-Plattform für ein kostenloses Webinar anmelden und ein Formular ausfüllen, der Weitergabe ihrer Daten an Datenmakler zustimmen, weil am Ende des Anmeldeformulars ein schwer erkennbares Kästchen angekreuzt ist. Dies wäre eine unlautere Praxis, die die Nutzer ausnutzt. Darüber hinaus sollten Sie Einzelpersonen die Möglichkeit geben, ihre in verschiedenen Datenschutzgesetzen verankerten Rechte wie das Recht auf Auskunft und das Recht auf Löschung wahrzunehmen.
Die Befähigung der betroffenen Personen, eine aktive Rolle bei der Verwaltung ihrer eigenen Daten zu spielen, ist möglicherweise die wirksamste Maßnahme gegen den Missbrauch von Privatsphäre und personenbezogenen Daten.
Wer muss Privacy by Design berücksichtigen?
PbD ist besonders wichtig, wenn Sie ein für die Datenverarbeitung Verantwortlicher sind, der in den Anwendungsbereich von DSGVO fällt. DSGVO verlangt, dass die Datenschutzmerkmale sowohl für die von Ihnen verwendeten Verfahren als auch für die von Ihnen erhobenen Daten angemessen und geeignet sind.
In Artikel 25 Absatz 2 heißt es ausdrücklich:
Der für die Verarbeitung Verantwortliche sollte geeignete technische und organisatorische Maßnahmen ergreifen, um sicherzustellen, dass standardmäßig nur personenbezogene Daten verarbeitet werden, die für jeden spezifischen Zweck der Verarbeitung erforderlich sind.
Abgesehen von den Auswirkungen auf DSGVO gilt PbD heute als Best Practice für alle Organisationen, die Daten verarbeiten.
Die Umsetzung der Grundsätze des "Privacy by Design" zeigt, dass Sie den Wert personenbezogener Daten anerkennen und dass Sie die Privatsphäre und die persönliche Kontrolle über Daten als Freiheit bewahren wollen.
Wenn Sie den Datenschutz aus einer Design-Perspektive angehen, können Sie sicherstellen, dass er ein integraler Bestandteil Ihrer Abläufe ist, und Sie können Ihr Unternehmen sowohl aus Kunden- als auch aus rechtlicher Sicht zukunftssicher machen.
Zusammenfassung
Sind Sie bereit, PbD einzuführen? Das sollten Sie auf jeden Fall sein, denn die jüngsten Datenschutzstatistiken zeigen einen massiven Anstieg der Nachfrage der Verbraucher nach angemessenen Datenschutzpraktiken.
Wie oben dargelegt, besteht der Schlüssel darin, den Datenschutz in Ihre Verfahren und Systeme zur Datenerhebung und -verarbeitung einzubauen, anstatt ihn später hinzuzufügen.
Darüber hinaus müssen Sie Ihre Systeme mit Standardverfahren ausstatten, die die Datenerfassung und -verarbeitung auf ein Mindestmaß beschränken und so das Risiko unbeabsichtigter Datenverletzungen verringern.
Denken Sie daran, dass eine Datenschutzrichtlinie zeigt, dass Sie einen eingebauten Datenschutz verwenden, aber die tägliche Befolgung der Grundsätze des eingebauten Datenschutzes stellt sicher, dass Sie die Versprechen einhalten, die Sie in der Richtlinie machen.
Mehr über die Autorin
Geschrieben von Ali Talip Pınarbaşı, CIPP/E, & LLM
Ali ist ein in London ansässiger Anwalt für Datenschutzrecht mit einem Master of Laws-Abschluss in EU-Datenschutzrecht am King's College London. Er hat sechs Jahre Erfahrung in der Beratung von Unternehmen bei der Einhaltung von Datenschutzgesetzen. Mehr über die Autorin
