Datenschutz-Folgenabschätzung

Transkript

1 Datenschutz-Folgenabschätzung Ein neues Instruments aus der DS-GVO Dr. Michael Friedewald, Fraunhofer ISI Trivadis Schwarzwaldgipfel 30. März 2017, Novotel, Freiburg

2 Überblick Folgenabschätzungen Datenschutz-Grundverordnung und Datenschutz-Folgenabschätzung Fazit 2

3 Ursprung und Ziel von Technikfolgenabschätzungen Bei Langzeitrisiken Über den gesamten Lebenszyklus Auch für Risiken im Katastrophenfall Ziel: Aufdeckung versteckter Risiken Aber IT ist doch nicht mit Kernkraft zu vergleichen! TA informiert Gesellschaft und Politik TA soll zu zu Maßnahmen führen 3

4 Eine TA für den Datenschutz? Technik als Bedrohung?! 4

5 Datenschutz IT-Sicherheit Datenschutz beobachtet, beurteilt und bearbeitet die organisierte Informationsverarbeitung und Kommunikation in der asymmetrischen Machtbeziehung zwischen Organisationen und Personen. IT-Sicherheit: Jede Person kann ein Angreifer (auf die Organisation) sein. Datenschutz: Jede Organisation kann ein Angreifer sein Alice & Bob 5

7 Ganz kurz: Datenschutz-Grundverordnung Verkündet am 04. Mai 2016 Ab Mai 2018 anwendbar, lo st die Datenschutz-Richtlinie von 1995 ab Datenschutz-Richtlinie war Grundlage fu r die meisten Vorschriften in BDSG/LDSG Datenschutz-Grundverordnung gilt direkt, wird nur vereinzelt von BDSG/LDSG erga nzt Datenschutz-Folgenabschätzung (Art 35): Pflichten des Verantwortlichen Sanktionen bei Verstößen (10 Mio. EUR, 2 % Welt-Jahresumsatz) Amtsblatt der Europäischen Union Ausgabe in deutscher Sprache Inhalt I Rechtsvorschriften Gesetzgebungsakte VERORDNUNGEN Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) ( 1 ) 1 RICHTLINIEN L Jahrgang 4. Mai 2016 Richtlinie (EU) 2016/680 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten durch die zuständigen Behörden zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung sowie zum freien Datenverkehr und zur Aufhebung des Rahmenbeschlusses 2008/977/JI des Rates Richtlinie (EU) 2016/681 des Europäischen Parlaments und des Rates vom 27. April 2016 über die Verwendung von Fluggastdatensätzen (PNR-Daten) zur Verhütung, Aufdeckung, Ermittlung und Verfolgung von terroristischen Straftaten und schwerer Kriminalität Eigentlich müssten zum Stichtag DSFAen vorliegen. DE ( 1 ) Text von Bedeutung für den EWR Bei Rechtsakten, deren Titel in magerer Schrift gedruckt sind, handelt es sich um Rechtsakte der laufenden Verwaltung im Bereich der Agrarpolitik, die normalerweise nur eine begrenzte Geltungsdauer haben. Rechtsakte, deren Titel in fetter Schrift gedruckt sind und denen ein Sternchen vorangestellt ist, sind sonstige Rechtsakte. 7

8 Begriff Datenschutz-Folgenabschätzung Datenschutz-Folgenabschätzung Nicht: Folgen durch Datenschutz Sondern: Abschätzung von Folgen für Datenschutz Eigentlich nicht nur Technikfolgen Instrument, um in Verfahren oder Systemen die Risiken für Datenschutz und Privatheit von Individuen zu erkennen und zu bewerten Basis für Gegenmaßnahmen à Art. 25 Datenschutz durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen 8

9 Art. 35 Abs. 2 Verantwortlichkeit Der Verantwortliche führt durch Der DSB berät (2) Der Verantwortliche holt bei der Durchführung einer Datenschutz-Folgenabschätzung den Rat des Datenschutzbeauftragten, sofern ein solcher benannt wurde, ein. Art 36 Abs. 1: Der Verantwortliche konsultiert vor der Verarbeitung die Aufsichtsbehörde, wenn aus einer Datenschutz- Folgenabschätzung gemäß Artikel 35 hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft. Empfehlungen Auch Verbot möglich 9

10 Art.35, Abs. 7 Elemente einer DSFA Beschreibung (7) Die Folgenabschaẗzung entha lt zumindest Folgendes: Bewertung a) eine systematische Beschreibung der geplanten Verarbeitungsvorga nge und der Zwecke der Verarbeitung b) eine Bewertung der Notwendigkeit und Verha ltnisma ßigkeit der Verarbeitungsvorga nge in Bezug auf den Zweck; c) eine Bewertung der Risiken fu r die Rechte und Freiheiten der betroffenen Personen gema ß Absatz 1 und d) die zur Bewa ltigung der Risiken geplanten Abhilfemaßnahmen, Maßnahmen + Dokumentation 10

11 Praktische Anforderungen Reproduzierbar- und Überprüfbarkeit: Für Dritte Bürger wie Aufsichtsbehörden wird es möglich, zu kontrollieren, ob rechtliche Vorgaben eingehalten werden. à Zielgruppe: Öffentlichkeit, Aufsichtsbehörden Vergleichbarkeit: Kunden und Bürger können an Hand standardisierter DSFA Lösungen untereinander vergleichen. Für Anbieter können Wettbewerbsvorteile entstehen. à Zielgruppe: Öffentlichkeit, Kunden Effizienz: Standardisiertes, technologieneutrales Verfahren verringert den Aufwand zusätzlicher DSFAen (Lerneffekte) und steigert so die Akzeptanz à Zielgruppe: Verantwortliche

12 1. Vorbereitungsphase Prüfung Relevanzschwelle Prüfplanung, u.a. Teambildung Beschreibung des Prüfgegenstandes Identifikation der Akteure und Betroffenen Identifikation der maßgeblichen Rechtsgrundlagen 5. Fortschreibung und Überprüfung im Rahmen des Risiko- und Datenschutz- Managements 4. Berichtsphase DSFA- Prozess 2. Bewertungsphase Konsultation von Betroffenen Identifikation von Schutzzielen Identifikation möglicher Risikoquellen Bestimmung von Eingriffsintensität und Schutzbedarf Bewertung des Risikos Erstellung des DSFA-Berichts Veröffentlichung des Berichts bzw. einer Kurzfassung (Unabhängige Überprüfung der DSFA- Ergebnisse) 3. Maßnahmenphase Identifikation und Auswahl passender Schutzmaßnahmen Implementierung von Schutzmaßnahmen Test und Dokumentation der Wirksamkeit von Schutzmaßnahmen Dokumentation der Bewertungsergebnisse inkl. Restrisiken Nachweis der Einhaltung der DS-GVO insgesamt

13 1. Vorbereitungsphase 13

14 Art. 35 Abs. 1 Relevanzschwelle (1) Hat eine Form der Verarbeitung, insbesondere bei Verwendung neuer Technologien, aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge, so führt der Verantwortliche vorab eine Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten durch. Für die Untersuchung mehrerer ähnlicher Verarbeitungsvorgänge mit ähnlich hohen Risiken kann eine einzige Abschätzung vorgenommen werden. Bei voraussichtlich hohem Risiko Verfahren nicht genau vorgegeben 14

15 Art. 35 Abs. 3 Relevanzschwelle (3) Eine Datenschutz-Folgenabschätzung gemäß Absatz 1 ist insbesondere in folgenden Fällen erforderlich: a) systematische und umfassende Bewertung persönlicher Aspekte natürlicher Personen, die sich auf automatisierte Verarbeitung einschließlich Profiling gründet und die ihrerseits als Grundlage für Entscheidungen dient, die Rechtswirkung gegenüber natürlichen Personen entfalten oder diese in ähnlich erheblicher Weise beeinträchtigen; b) umfangreiche Verarbeitung besonderer Kategorien von personenbezogenen Daten gemäß Artikel 9 Absatz 1 oder von personenbezogenen Daten über strafrechtliche Verurteilungen und Straftaten gemäß Artikel 10 oder c) systematische umfangreiche Überwachung öffentlich zugänglicher Bereiche. Bei invasiver Datenverarbeitung 15

16 Art. 35 Abs. 4-5 Relevanzschwelle Bsp.: Sensorik, Scoring, Biometrie, Verarbeitung sensibler Daten (4) Die Aufsichtsbehörde erstellt eine Liste der Verarbeitungsvorgänge, für die gemäß Absatz 1 eine Datenschutz- Folgenabschätzung durchzuführen ist, und veröffentlicht diese. Die Aufsichtsbehörde übermittelt diese Listen dem in Artikel 68 genannten Ausschuss. (5) Die Aufsichtsbehörde kann des Weiteren eine Liste der Arten von Verarbeitungsvorgängen erstellen und veröffentlichen, für die keine Datenschutz-Folgenabschätzung erforderlich ist. Die Aufsichtsbehörde übermittelt diese Listen dem Ausschuss. Ausschluss-Liste m.e. nicht sinnvoll 16

17 Art. 35 Abs. 7 Beschreibung des ToE (7) Die Folgenabschätzung enthält zumindest Folgendes: (a) eine systematische Beschreibung der geplanten Verarbeitungsvorgänge und der Zwecke der Verarbeitung, gegebenenfalls einschließlich der von dem Verantwortlichen verfolgten berechtigten Interessen; Prüfgegenstand und Akteure Daten, Formate, Protokolle IT-Systeme und Schnittstellen Prozesse Funktionsrollen Schon heute (BDSG): Verpflichtung zur Führung eines Verfahrensverzeichnis 17

18 2. Bewertungsphase 18

19 Risikobewertung Art. 35 Abs. 7: Die Folgenabschätzung enthält zumindest Folgendes: a) b) eine Bewertung der Risiken für die Rechte und Freiheiten der betroffenen Personen gemäß Absatz 1 und Erwägungsgrund 76: Eintrittswahrscheinlichkeit und Schwere des Risikos fu r die Rechte und Freiheiten der betroffenen Person sollten in Bezug auf die Art, den Umfang, die Umsta nde und die Zwecke der Verarbeitung bestimmt werden. 19

20 Bewertung des Risikos Risiko ist ein möglicher Schaden in der Zukunft Bewertung konkreter Verarbeitungsvorgänge (z.b. Online-Shop, digitale Patientenakte, Bewerbungsverfahren,...) Risiko für die Rechte der Betroffenen Risiko für die verarbeitende Stelle Eintrittswahrscheinlichkeit und Schwere: Relation von Angriffsszenarien und Schutzbedarf DSGVO nennt Beispiele für Schäden in Erwa gungsgrund 75: Diskriminierung, Identitaẗsdiebstahl oder -betrug, finanzieller Verlust, Rufscha digung, Verlust der Vertraulichkeit von dem Berufsgeheimnis unterliegenden personenbezogenen Daten oder andere erhebliche wirtschaftliche oder gesellschaftliche Nachteile 20

21 Risikoquellen Aus Betroffenenperspektive ist rechtma ßige Datenverarbeitung bereits Eingriff Risikoquellen liegen innerhalb und außerhalb der Organisation Organisation selbst Unternehmen, z.b. Dienstleister Staatliche Stellen, z.b. Sicherheitsbeho rden, Leistungsverwaltung Gesundheitsdienstleister Forschungsstellen Risiken sind Vernichtung, Verlust, Veränderung von Daten Offenlegung von oder Zugang zu Daten unbeabsichtig unrechtmäßig unbefugt 21

22 Das Standard-Datenschutzmodell Datenschutzrechtliche Anforderungen Þ 6 Gewährleistungsziele (neues Schutzziel Belastbarkeit, resilience?) 3 Verfahrenskomponenten: Daten, IT-Systeme und Prozesse 3 Schutzbedarfsabstufungen der Daten aus Betroffenenperspektive Katalog mit standardisierten Referenz-Schutzmaßnahmen Work in progress (Aktuell V.1.0 Erprobungsfassung ) Datenschutz-Folgenabschätzung 22

23 Sechs Gewährleistungsziele Vertraulichkeit Nicht-Verkettbarkeit Klassische Schutzziele der IT-Sicherheit + Datensparsamkeit Integrität Intervenierbarkeit Transparenz Verfügbarkeit Quelle: Pfitzmann, Rost, Hansen, Bock: verschiedene DuD Artikel Datenschutz-Folgenabschätzung 23

24 Drei Schutzbedarfsabstufungen Normal : personenbezogene Daten Hoch : besondere personenbezogene Daten und/oder erhebliche Konsequenzen für betroffene Personen möglich und/oder keine effektiven Interventionsmöglichkeiten Sehr hoch : hoch plus existenzielle Abhängigkeit der betroffenen Personen und keine Transparenz für sie Außerdem Kumulierungseffekte 24

25 Bewertung von Risiken Modellierung von Bedrohungen durch die Verknüpfung von Risiko-Quelle und Schadensszenarien Möglicher Schaden Diskriminierung durch fahrlässige Offenbarung interner Daten Identitätsdiebstahl im Online-Shop Finanzieller Verlust durch Malware Risiko- Quelle Eintrittswahrscheinlichkeit (Bsp) Schadenshöhe (Bsp) Risiko Mitarbeiter Vernachlässigbar Vernachlässigbar Normal Dienstleister wesentlich vernachlässigbar hoch Hacker hoch wesentlich sehr hoch Interner Admin wesentlich wesentlich hoch Hacker wesentlich begrenzt hoch Schwierig! 25

26 Risikobewertung Soll-Ist-Vergleich anhand von Referenz- Maßnahmen des Standard- Datenschutzmodells 26

27 Auswahl geeigneter Maßnahmen Referenzmaßnahmen Katalog der Referenzmaßnahmen muss die besten verfügbaren Techniken enthalten

28 3. Maßnahmenphase 28

29 Art. 35 Abs. 7 Maßnahmenphase (7) Die Folgenabschätzung enthält zumindest Folgendes: (a) (c) (d) die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird. Maßnahmen 29

30 Auswahl geeigneter Maßnahmen Referenzmaßnahmen Katalog der Referenzmaßnahmen muss die besten verfügbaren Techniken enthalten

31 4. Berichtsphase 31

32 Art. 35 Abs. 7 Berichtsphase (7) Die Folgenabschätzung enthält zumindest Folgendes: (a) (c) (d) die zur Bewältigung der Risiken geplanten Abhilfemaßnahmen, einschließlich Garantien, Sicherheitsvorkehrungen und Verfahren, durch die der Schutz personenbezogener Daten sichergestellt und der Nachweis dafür erbracht wird, dass diese Verordnung eingehalten wird, wobei den Rechten und berechtigten Interessen der betroffenen Personen und sonstiger Betroffener Rechnung getragen wird. Verarbeitung nur mit Dokumentation aber keine Vorgaben zur Art der Dokumentation, Veröffentlichung oder Überprüfung 32

33 Veröffentlichung? Prüfung? Veröffentlichung der DSFA Ergebnisse dennoch sinnvoll! Dokumentation des Prüfprozess Darstellung der Prüfergebnisse in standardisierter Form Darstellung geplanter Maßnahmen (inkl. Zuständigkeit, Zeitplan, Ressourcen) Ggf. öffentlicher und nicht-öffentlicher Teil Veröffentlichung und/oder Hinterlegung bei einer Aufsichtsbehörde DSFA sollten i.d.r. durch unabhängige Dritte geprüft werden Angemessener Umgang mit Interessenkonflikten Umfassende Berücksichtigung der Interessen der Betroffenen Wahrheitsgemäße und ausreichende Information der Öffentlichkeit Implementierung der Schutzmaßnahmen è Grundlage für Zertifizierung/Datenschutzgütesiegel nach Art

34 5. Fortschreibung/Überprüfung 34

35 Art. 35 Abs. 11 Berichtsphase = immer? (11) Erforderlichenfalls führt der Verantwortliche eine Überprüfung durch, um zu bewerten, ob die Verarbeitung gemäß der Datenschutz-Folgenabschätzung durchgeführt wird; dies gilt zumindest, wenn hinsichtlich des mit den Verarbeitungsvorgängen verbundenen Risikos Änderungen eingetreten sind. Erneuter Durchlauf des DSFA-Zyklus 35

37 Fazit Chancen Risikobewusstsein schärfen Informierte Debatten und Frühwarnsystem (für Unternehmen, Öffentlichkeit, Politik) Hilft Entscheider ungewollte Datenschutzrisiken zu erkennen àumfassende Datenschutzvorsorge Offen DSFA als Standard oder Ausnahme? Welche Verfahren nach DS-GVO anerkannt? Vergleichbarkeit? Gelebte Praxis (Kostenfaktor vs. Wettbewerbsvorteil? DSFA light?)

38 Empfehlungen Datenschutz-Folgenabschätzungen weiterentwickeln nicht nur Technik Auch Business-Modell- und Normen-Check Als Chance begreifen Grundlage für Data Protection by Design Kombination mit Datenschutz-Gütesiegel Standardisierung

39 Lesetipp Online unter: Rückfragen an: 39