Die Datenschutz-Grundverordnung (EU 2016/679) trat am 25. Mai 2018 in Kraft und fügte dem bestehenden Datenschutzregime neue Elemente und wesentliche Verbesserungen hinzu.
Rollen und Verantwortlichkeiten
Im Vorfeld der DSGVO haben Sie sich sicherlich überlegt, ob Sie einen Datenschutzbeauftragten (DSB) formell ernennen müssen – eine Notwendigkeit, wenn:
- Sie sind eine öffentliche Behörde oder Einrichtung; oder
- Ihre Kerntätigkeiten erfordern eine groß angelegte, regelmäßige und systematische Überwachung von Einzelpersonen; oder
- Ihre Kerntätigkeiten bestehen in der Verarbeitung großer Datenmengen besonderer Kategorien von Daten oder Daten im Zusammenhang mit strafrechtlichen Verurteilungen und Straftaten.
Viele Organisationen entscheiden sich dafür, die Verantwortung für Datenschutzaktivitäten einer Einzelperson oder Abteilung zu übertragen, ohne einen formellen Datenschutzbeauftragten (DSB) benennen zu müssen. Es ist eine zentrale Voraussetzung für die Einhaltung gesetzlicher Bestimmungen, sicherzustellen, dass die Rollen und Verantwortlichkeiten im Bereich Datenschutz in Ihrer Organisation bekannt und dokumentiert sind.
ROPA – Aufzeichnung der Verarbeitungstätigkeiten
Die Dokumentation der von Ihrem Unternehmen durchgeführten Datenverarbeitungstätigkeiten ist gemäß Artikel 30 der DSGVO (sowohl im Vereinigten Königreich als auch in der EU) erforderlich, wenn Ihr Unternehmen mehr als 250 Mitarbeiter beschäftigt. Sie ist auch für kleinere Unternehmen erforderlich, wenn die von Ihnen verarbeiteten Daten Folgendes umfassen:
- sind nicht gelegentlich
- dürften die Rechte und Freiheiten von Einzelpersonen beeinträchtigen; und
- dies beinhalten besondere Kategorien von Daten oder Daten über strafrechtliche Verurteilungen und Straftaten.
Ihre ROPA sollte eine Datenlandkarte Ihrer Systeme enthalten, die personenbezogene Daten enthalten, sowie Informationen über die Rechtsgrundlage der Verarbeitung, die Zwecke und Methoden der Datenverarbeitung, die Richtlinien und Verfahren zur Datenweitergabe und Datenaufbewahrung.
Es ist wichtig, regelmäßige Überprüfungen dieser Dokumentation durchzuführen, da im Laufe der Zeit Aktualisierungen wahrscheinlich sind.
Leitlinien des ICO zu bewährten Verfahren im Bereich ROPA gibt es
Richtlinien und Verfahren
Ihre Richtlinien und Verfahren sollten die Rollen und Verantwortlichkeiten in Ihrer Organisation in Bezug auf verschiedene datenschutzrelevante Bereiche klar definieren:
- Datenschutz und Dokumentenverwaltung
- Informationssicherheit einschließlich Sicherheitsverletzungen und Vorfallmanagement
- Die Bereitstellung von Informationen im Anschluss an Anfragen zur Geltendmachung individueller Rechte – wie beispielsweise Auskunftsersuchen und Informationsmitteilungen
- Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen gewährleisten, dass Probleme bei der Implementierung neuer Systeme, Dienste, Produkte und Prozesse oder bei der Änderung bestehender Systeme, Dienste, Produkte und Prozesse berücksichtigt und dokumentiert werden (Datenschutz-Folgenabschätzungen).
- Die Datenschutzerklärung auf Ihrer Website sollte regelmäßig überprüft und das Datum der letzten Aktualisierung deutlich angezeigt werden.
Lieferantenmanagement
Es ist unerlässlich, dass Verträge mit Organisationen bestehen, die Daten in Ihrem Auftrag verarbeiten. Die Verträge sollten die Details der Datenverarbeitung festlegen, einschließlich:
- Gegenstand der Verarbeitung
- Dauer der Bearbeitung
- Art und Zweck der Verarbeitung
- Art der personenbezogenen Daten und Kategorien der betroffenen Personen
- Falls Unterprozessoren verwendet werden.
Es bedarf eines Rahmens von Sorgfaltsprüfungen, um sicherzustellen, dass diese Organisationen die entsprechenden technischen und organisatorischen Anforderungen zur Einhaltung der DSGVO erfüllen.
Es wird empfohlen, die bestehenden Verträge und Datenweitergabevereinbarungen mit anderen Organisationen regelmäßig zu überprüfen.
Ausbildung
Es ist entscheidend, dass Ihre Mitarbeiter ihre Verantwortlichkeiten im Umgang mit personenbezogenen Daten kennen. Einführungs- und Auffrischungsschulungen sollten Informationen zum Datenschutz, zu potenziellen Sicherheitsbedrohungen sowie zu den Richtlinien und Strukturen Ihres Unternehmens im Bereich Informationsmanagement umfassen. Die Überwachung und Dokumentation der Schulungsteilnahme ist ein wichtiger Bestandteil, um die Einhaltung der Vorschriften nachweisen zu können.
Sonstige Gesetze und Vorschriften
Es gibt im Vereinigten Königreich verschiedene weitere Gesetze und Verordnungen, die sich auf die Datensicherheit auswirken. Dazu gehören:
- Die Datenschutz- und Telekommunikationsverordnung (PECR) von 2003 regelt Spam und Massenmarketing-E-Mails. Regelmäßig werden weitere Verordnungen auf Grundlage der PECR erlassen. Beispielsweise gibt es Regelungen zur Verwendung von Cookies auf Websites und seit 2016 die Pflicht, bei Werbeanrufen die Telefonnummer des Anrufers anzuzeigen.
- Urheberrechtsgesetz (Design- und Patentgesetz) – 2002 geändert, um auch Softwarediebstahl abzudecken
- Es können noch weitere IT-Standards und -Vorschriften gelten: Beispielsweise müssen Unternehmen, die Kreditkartentransaktionen verarbeiten, die Einhaltung der Payment Card Industry Data Security Standards (PCI DSS) .
Quellen und Links
ICO- Homepage für Organisationen
EU-DSGVO-Portal – www.gdpreu.org
