Umsetzung Code of Conduct Datenschutz bei der Projektarbeit

Transkript

1 Umsetzung Code of Conduct Datenschutz bei der Projektarbeit 1. Der Datenschutzkodex Spätestens seit dem Boom der Kommunikationsplattformen und sozialen Netzwerke ist ein Bewusstsein für die Sensibilität personenbezogener Daten entstanden. Für die private Wirtschaft in Deutschland wird die Verarbeitung personenbezogener Daten im Wesentlichen durch das Bundesdatenschutzgesetz 1 (BDSG) geregelt. Zweck dieses Gesetzes ist es, den Einzelnen vor Beeinträchtigungen seines Persönlichkeitsrechtes zu schützen. Personenbezogene Daten sind Einzelangaben über persönliche oder sachliche Verhältnisse einer bestimmten oder bestimmbaren natürlichen Person (i. e. des Betroffenen). Gesundheitsdaten fallen zusätzlich unter die besonderen Arten personenbezogenen Daten, die einem noch strengeren Schutz als die Stammdaten unterliegen. Um das zu versichernde Risiko einzuschätzen oder um eine Leistungspflicht zu überprüfen, sind Versicherungsunternehmen darauf angewiesen, mit personenbezogenen Daten sowohl von Kunden als auch von Geschädigten und weiteren Leistungsempfängern zu arbeiten. Der Datenschutz hat dabei nach Aussagen der Versicherungsunternehmen höchste Priorität. Der Gesamtverband der Deutschen Versicherungswirtschaft (GDV) hat daher gemeinsam mit Daten- und Verbraucherschützern die Verhaltensregeln für den Umgang mit personenbezogenen Daten durch die deutsche Versicherungswirtschaft (im Folgenden kurz Datenschutzkodex genannt) im März 2013 veröffentlicht. Ein Großteil der GDV-Mitglieder ist diesem häufig auch als Code of Conduct Datenschutz bezeichneten Datenschutzkodex bereits beigetreten. Mit dem Datenschutzkodex werden die im Bundesdatenschutzgesetz festgeschriebenen allgemeinen Datenschutzregeln für die Versicherungswirtschaft branchenspezifisch ausgefüllt und präzisiert. Als Beispiele für branchenspezifische Ergänzungen seien hier die Festlegungen zum Datenaustausch mit anderen Versicherern und zur Datenübermittlung an Rückversicherer genannt. Die zuständigen Aufsichtsbehörden für den Datenschutz haben den vereinbarten Verhaltensregeln zugestimmt. Die Verhaltensregeln ersetzen dabei nicht die gesetzlichen Regelungen. Für die Versicherungsunternehmen bietet aber die Umsetzung der im Datenschutzkodex vereinbarten Regeln eine hohe Sicherheit, dass damit auch die Anforderungen des Bundesdatenschutzgesetzes berücksichtigt werden. 2. Auswirkungen der vereinbarten Verhaltensregeln Die vereinbarten Verhaltensregeln beziehen sich ebenso wie das Bundesdatenschutzgesetz auf das Erheben, Verarbeiten und Nutzen der personenbezogenen Daten. Für diese Daten ist Vertraulichkeit zu gewährleisten. Sie dürfen nur von dem befugten Personenkreis gelesen und verarbeitet werden, für den die entsprechenden Zugriffsrechte festgelegt und dokumentiert worden sind. Bei den folgenden Überlegungen differenzieren wir zwischen einem operativen und einem projektbezogenen Umgang mit den Daten. 1 "Bundesdatenschutzgesetz in der Fassung der Bekanntmachung vom 14. Januar 2003 (BGBl. I S. 66), das zuletzt durch Artikel 1 des Gesetzes vom 14. August 2009 (BGBl. I S. 2814) geändert worden ist" consulo GmbH Stand: Seite 1 von 5

2 Der operative Umgang beinhaltet im Wesentlichen das zweckgebundene Nutzen der erhobenen Daten m Rahmen der Vertragsverwaltung. Wir gehen davon aus, dass sich hier keine oder nur wenige Änderungen ergeben. Die Projektarbeit, wie etwa der Ausbau und die Weiterentwicklung von Verwaltungssystemen oder die Bestandsmigration, muss in Bezug auf den Datenschutz dagegen näher betrachtet werden. Der Datenschutzkodex legt fest, dass personenbezogene Daten grundsätzlich im Rahmen der den Betroffenen bekannten Zweckbestimmung verarbeitet oder genutzt werden müssen. Eine Änderung oder Erweiterung der Zweckbestimmung darf nur erfolgen, wenn sie rechtlich zulässig ist und die Betroffenen darüber informiert wurden oder wenn die Betroffenen eingewilligt haben. Projektarbeiten, wie etwa Ausbau und Weiterentwicklung von Verwaltungssystemen oder Bestandsmigration, stellen i. A. nicht die dem Betroffenen bekannt gemachte Verwendung der Daten dar. Bei der Erhebung von Gesundheitsdaten etwa werden als Zweck Risikoprüfung und Leistungsprüfung genannt. Projektarbeiten dagegen dienen häufig der Weiterentwicklung von Prozessen, Verfahren und Programmen, also nicht unmittelbar dem angegebenen Zweck. Eine Bewertung, ob im konkreten Fall eine Änderung oder Erweiterung der Zweckbestimmung vorliegt, muss für jedes Projekt erfolgen. Projektarbeit und Datenschutz stehen damit in einem ständigen Spannungsverhältnis. Von den üblichen Projektphasen Analyse Konzeption Realisierung Test Implementierung/Durchführung sind Analyse und Test sehr nah am Bestand. Damit sind für diese Teilaufgaben im Projekt besondere Maßnahmen erforderlich, wenn bei der Bearbeitung auch personenbezogene Bestandsdaten untersucht oder verwendet werden müssen. Der Datenschutzkodex geht nicht ausdrücklich auf entsprechende abweichende Verwendung der Daten in Projekten ein. In den Grundsätzen zur Qualität der Datenverarbeitung legt er jedoch fest, dass die Möglichkeiten zur Pseudonymisierung und insbesondere zur Anonymisierung genutzt werden müssen, soweit dies möglich ist. Bei der Pseudonymisierung werden kennzeichnende personenbezogene Daten durch einen Code (Pseudonym) ersetzt, um die Identifizierung des Betroffenen weitgehend auszuschließen oder wenigstens erheblich zu erschweren, bei der Anonymisierung sollen die Daten so verändert oder ersetzt werden, dass die Zuordnung zu einer bestimmten Person nicht mehr möglich ist. Was in den Projekten im Hinblick auf den Datenschutzkodex zu beachten ist, soll an Hand einiger Beispiele dargestellt werden: Vor der Entwicklung eines neuen zentralen Partnersystems sind die vorhandenen Bestände bzgl. ihrer Komplexität zu analysieren. Wenn dabei auch vorhandene Gesundheitsdaten hinsichtlich ihrer Qualität zu bewerten sind, ist sicherzustellen, dass Originaldaten im Projektverlauf nur von den Befugten und nur im erforderlichen Umfang eingesehen werden. Die resultierenden Analyseergebnisse dürfen weiteren Projektmitarbeitern nur in verdichteter Form und anonym vorliegen. Bei der Einführung eines neuen Verwaltungssystems für Lebensversicherungen kann es zunächst notwendig sein, personenbezogene Daten und Vertragsdaten zu trennen, um dann die personenbezogenen Daten in die Partner-Datenbank zu überführen. Der Test der entsprechenden Verfahren ist weitestgehend mit fiktiven Daten möglich. Ggf. ist aber auch ein Test mit problematischen Originaldaten erforderlich. Auch hier dürfen die personenbezogenen Originaldaten nur von den Befugten und nur im erforderlichen Umfang eingesehen werden. consulo GmbH Stand: Seite 2 von 5

3 Bei einer Dublettenbereinigung in einer Partner-Datenbank ist ein Zugriff auf die Originaldaten sowohl bei der Analyse des Istzustands als auch im Test der entwickelten Verfahren kaum zu umgehen. Die personenbezogenen Originaldaten dürfen auch wieder nur von den Befugten eingesehen werden. Darüber hinaus sollte geprüft werden, ob eine Änderung oder eine Erweiterung der Zweckbestimmung vorliegt und die Betroffenen daher über die vorgesehenen Arbeiten zu informieren sind. Die Vorgehensweise ist mit dem Datenschutzbeauftragten abzustimmen. 3. Konsequenzen für die Projektarbeit Projektarbeit wie die Weiterentwicklung von Prozessen, Verfahren und Programmen gehört nicht zu dem Zweck der Verwendung von Personendaten, die in der Regel einem Betroffenen mitgeteilt wird. Standardformulierungen weisen hier nur auf die Antragsprüfung und die Begründung, Durchführung oder Beendigung des Versicherungsvertrages hin. Für Projekte, die mit personenbezogenen Daten in Berührung kommen, müssen daher aus dem Datenschutzkodex weitere Maßnahmen für den Umgang mit diesen Daten abgeleitet werden. Bei Projekten im Zusammenhang mit Verwaltungssystemen kann grundsätzlich unterschieden werden zwischen reinen funktionalen Erweiterungen des Systems und denjenigen Projekten, die sich vorrangig mit den Daten befassen (Beispiel Migration). Auch wenn bei funktionalen Erweiterungen personenbezogene Daten eine wesentliche Rolle spielen können, sind dabei die Originaldaten in der Regel nicht erforderlich. Die Projektarbeit kann sich in auf fiktive Daten stützen. Wenn wie bei einer Bestandsanalyse die Ergebnisse ausschließlich in verdichteter Form vorliegen, sind keine weitergehenden Maßnahmen erforderlich. Andernfalls sind Verfahren zur Anonymisierung der personenbezogenen Daten zu verwenden und einzuplanen. Diejenigen Projekte, die sich vorrangig mit Daten befassen, sollen hier näher zu betrachtet werden. Das kann eine kleine Änderung im Datenmodell der Partnerdatenbank sein, oder auch der Aufbau einer neuen Partnerdatenbank mit entsprechender Migration. Wie bereits erwähnt, sind hier vor allem die Phasen Analyse und Test relevant. Das Projekt muss genau festlegen, bei welchen Schritten und in welchem Umfang der Zugriff auf personenbezogene Bestandsdaten zugelassen wird. Dabei ist auch zu differenzieren zwischen den Stammdaten und den personenbezogenen Daten besonderer Art. Der korrekte Umgang mit den Gesundheitsdaten muss gewährleistet werden. Ist ein Zugriff auf personenbezogene Originaldaten erforderlich, etwa um besondere Konstellationen von einzelnen Datensätzen zu untersuchen, dürfen die Daten wie oben beschrieben nur von Befugten und nur im erforderlichen Maß eingesehen werden. Die Befugten müssen bestimmt und dokumentiert werden. Diese Mitarbeiter müssen auch in der Lage sein, ggf. eine qualifizierte technische Analyse durchzuführen. Das kann bei Datenbankfehlern oder bei Problemen im Zusammenwirken von unterschiedlichen Systemteilen der Fall sein. Im Projekt sind Vorkehrungen einzuplanen und umzusetzen, die einen (auch unbeabsichtigten) unbefugten Zugriff auf die relevanten Daten ausschließen, ohne die Projektarbeit zu gefährden. Bei der Weiterentwicklung von Online-Systemen, bei denen mit Originaldaten gearbeitet werden muss, können z. B. nutzerabhängig einzelne Felder, Maskenbereiche oder ganze Masken ausgeblendet oder unlesbar gestaltet werden. Die im Datenschutzkodex vereinbarten Grundsätze der Datensicherheit wie Integrität, Authentizität, Revisionsfähigkeit oder Transparenz, sind bei der Verarbeitung personenbezogener Daten ebenfalls zu beachten. Insbesondere Revisionsfähigkeit und Transparenz sind in Projekten relevant. Revisionsfähigkeit ist wichtig bei Veränderung der consulo GmbH Stand: Seite 3 von 5

4 Daten, etwa im Zuge einer Dublettenbereinigung; Transparenz wird bei Migration durch die vollständige Dokumentation der verwendeten Verfahren sichergestellt. Bei Migrationsprojekten ist die Analyse von Bestandsfehlern des Altbestands notwendig. Um die Fehlersituation nicht zu verschleiern, sind hier weder Pseudonymisierung noch Anonymisierung möglich. Diese Maßnahmen sind in dieser Situation aber ohnehin nicht gefordert, weil Datenintegrität ein Grundsatz der Datensicherheit ist; Korrekturen sind nicht nur erlaubt, sondern vorgeschrieben. Aber auch hier ist der Zugriff auf personenbezogene Daten nur durch Befugte vorzunehmen. Beim Test kann oft mit fiktiven Daten gearbeitet werden. Dadurch wird aber nur ein Teil der im Bestand auftretenden Vielfalt abgebildet. Damit ein aussagekräftiger Testpool im Projekt zur Verfügung steht, muss rechtzeitig festgelegt werden, welche Schritte mit fiktiven Daten durchzuführen sind und bei welchen Schritten anonymisierte Originaldaten verwendet werden müssen. Wenn ein Test unveränderte Originaldaten erfordert, wie der abschließende Test einer Migration, ist festzulegen, wann und in welchem Umfang dieser Test durchzuführen ist. Dabei wird definiert, wer den Test durchführen darf und welche Daten ausgewertet werden müssen: Sind die Gesundheitsdaten für die Testdurchführung wirklich erforderlich oder reichen hierfür auch fiktive Daten? Können Daten anonymisiert oder wenigstens pseudonymisiert werden? Die zu treffenden Maßnahmen haben unter anderem Auswirkungen auf die Strukturierung des Tests: wie sind die Testdaten aufzubauen und zur Verfügung zu stellen -- wer darf was und zu welchem Zeitpunkt ansehen und prüfen wer wird für diese spezifischen Aufgaben im Projekt benötigt sind nur einige der festzulegenden Eckpunkte. Planung des Tests und Durchführung werden somit zu einer nicht neuen, aber aufgrund der neu hinzugekommenen Aufgabenstellungen aufwendigeren Aktivität als bisher. Wenn in Projekten personenbezogene Daten verwendet werden, ist stets zu prüfen, ob die Vorgehensweise z. B. für Analyse und Test mit dem Datenschutzbeauftragten abgestimmt werden muss. Das ist der Fall, wenn mit den unveränderten Daten gearbeitet werden muss oder wenn zumindest der Rückschluss auf die Originaldaten zu ermöglichen ist, um die Projektarbeit nicht zu behindern. Für Projekte sind zur Beachtung der Verhaltensregeln zusätzliche Aufgaben zu erledigen. Dazu gehören Dokumentieren und einplanen der Befugten restriktive Festlegung der für die Projektarbeit notwendigen unveränderten personenbezogenen Daten (werden alle Daten, auch die Gesundheitsdaten, benötigt?) Einplanung und Umsetzung organisatorischer und technischer Maßnahmen für den Zugriffsschutz Definition der Verfahren zur Pseudonymisierung und zur Anonymisierung von personenbezogenen Daten Bereitstellung geeigneter Datenpools für die Entwicklung und den Test zum richtigen Zeitpunkt Strukturierung von Analyse und Test im Hinblick auf die zu verwendenden personenbezogenen Daten (wann stehen welche Daten zur Verfügung und für wen?) Sicherstellen von Revisionsfähigkeit und Transparenz. Alle Maßnahmen und Entscheidungen sind zu dokumentieren, ebenso wie das generelle Vorgehen in Bezug auf Datenschutz. Durch die Planung muss sichergestellt sein, dass Einschränkungen bei der Projektarbeit so gering ausfallen wie möglich. Um den Projekten Sicherheit zu geben, bietet es sich an, mit den Datenschutzbeauftragten abgestimmte Checklisten für den Datenschutz in Projekten zur Verfügung zu stellen. consulo GmbH Stand: Seite 4 von 5

5 4. Fazit Die einzelnen Unternehmen müssen die Vereinbarungen des Datenschutzkodex in unternehmensspezifischen Regelungen konkretisieren. Die Durchführung von Projekten stellt dabei nur einen Teilaspekt der insgesamt notwendigen Anpassungen dar. Bei der Durchführung von Projekten sind alle personenbezogenen Daten den vereinbarten Regelungen entsprechend zu behandeln. Der Umgang mit den betreffenden Daten muss geplant und dokumentiert sein und den im Datenschutzkodex vereinbarten Grundsätzen der Datensicherheit entsprechen. Die dafür notwendigen Maßnahmen erfordern Zeit, Fachwissen und Arbeitskapazität und müssen als zusätzliche Projektaufgaben mit eingeplant werden. Dadurch werden entsprechende Projekte in Zukunft teurer, außerdem bedeuten neue Aufgaben stets auch ein erhöhtes Projektrisiko. Weiterhin ist vorzusehen, dass der Datenschutzbeauftragte des Unternehmens von Beginn mit einzubeziehen ist, wenn im Projekt personenbezogene Daten zu verarbeiten sind. Je nach Projekt kann das als Gutachter über die vorgesehenen Maßnahmen geschehen oder auch durch Mitarbeit in den fachlichen Steuerungsgremien des Projekts. consulo GmbH Stand: Seite 5 von 5