Technische Herausforderungen

Transkript

1 im Umgang mit Betroffenenrechten Dr. Bernhard Karning Bundesministerium für Digitalisierung und Wirtschaftsstandort Die Inhalte des Vortrages geben ausschließlich die persönliche Meinung des Vortragenden wieder.

2 Grundsätze DSGVO (Art. 5) Rechtmäßigkeit (Zulässigkeit) Verarbeitung nach Treu und Glauben (nachvollziehbare Weise) Transparenz (Informationsverpflichtungen) 3

3 Grundsätze DSGVO (Art. 5) Zweckbindung Nutzung für einen festgelegten, eindeutigen und legitimen Zweck, keine Weiterverarbeitung für einen mit diesem Zweck nicht zu vereinbarenden Zweck, ausgenommen für öffentliche Archivzwecke, Forschungszwecke und statistische Zwecke Datenminimierung (für den Zweck notwendige Maß) Richtigkeit (Daten am neuesten Stand) 4

4 Grundsätze DSGVO (Art. 5) Speicherbegrenzung (zeitliche Dauer festlegen) Integrität und Vertraulichkeit (z.b. Schutz vor unbefugter oder unrechtmäßiger Verarbeitung und vor unbeabsichtigtem Verlust) Rechenschaftspflicht (Verantwortliche ist für die Einhaltung der Grundsätze verantwortlich und muss dessen Einhaltung nachweisen können) 5

5 Rechtmäßigkeit der Verarbeitung Einwilligung der betroffenen Person in die Verarbeitung (Art. 7) Erfüllung eines Vertrages mit der betroffenen Person Erfüllung einer rechtlichen Verpflichtung um lebenswichtige Interessen der betroffenen Person oder einer anderen natürlichen Person zu schützen 6

6 Rechtmäßigkeit der Verarbeitung liegt im öffentlichen Interesse oder erfolgt in Ausübung einer öffentlichen Gewalt (jedenfalls Staatsaufgaben in der Hoheitsverwaltung) Bedarf spezifischer Rechtsgrundlagen zur Wahrung berechtigter Interessen des Verantwortlichen oder eines Dritten erforderlich, sofern nicht Datenschutzinteressen überwiegen; nicht für Behörden anwendbar 7

7 Betroffenenrechte Informationspflicht bei Erhebung (Art. 13, 14) Auskunftsrecht (Art. 15) Recht auf Berichtigung (Art. 16) Löschungspflicht ( Recht auf Vergessen ) (Art. 17) Recht auf Einschränkung (Art. 18) Recht auf Datenübertragbarkeit (Art. 20) nur auf Basis Einwilligung oder Vertrag 8

8 : Auskunftsrecht Auffindbarkeit der betreffenden Daten Suche in ELAK-Akten (nicht nur Betreff auch Inhaltsdokumente) DMS (Word, Excel, PDF, Outlook, ) Fachsystemen Register lokale Festplatten, USB-Sticks eindeutige Zuordnung der Daten zur anfragenden Person (oft nicht automatisiert) 9

9 : Auskunftsrecht Kopie der die Person betreffenden Daten in einem gängigen Format zur Verfügung stellen zulässig (sicherer) Online-Speicher Datenträger muss allenfalls vom Auskunftswerber beigestellt werden Papier 10

10 : Auskunftsrecht wenn Auskunft in das Recht Dritter eingreift: Intellektuelle Auswahl erforderlich Schwärzung von Namen in Dokumenten In ELAK wird Schwärzungswerkzeug integrierte, wodurch ein zusätzliches, neues Dokument entsteht (irreversibel) keine Auskunft z.b. Überwachungsvideo mit mehreren Personen 11

11 : Löschungspflicht Speicherung zulässig und Löschbegehren darf abgelehnt werden, wenn: Zweck der Speicherung gegeben solange für die Behörde von Bedeutung Aufbewahrungspflichten z.b. steuerrechtlich nach 132 Abs. 1 BAO: 7 Jahre personalrechtlich im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder statistische Zwecke 12

12 : Löschungspflicht unverzügliche Löschung, wenn: Daten sind nicht mehr erforderlich Einwilligung der Datenverwendung wird widerrufen Betroffener legt Widerspruch ein Daten werden unrechtmäßig verarbeitet Löschung auf Grund rechtlicher Vorschriften 13

13 : Löschungspflicht Speicherbegrenzung: nur so lange, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. auf das unbedingt erforderliche Mindestmaß beschränkt Verantwortliche sollte Fristen für die Löschung oder regelmäßige Überprüfungen vorsehen 14

14 : Löschungspflicht Was muss gelöscht werden? Aktivsystem Archiv Sicherungskopien Back-up (Herauslösen bestimmter Daten oft schwierig!) 15

15 : Löschungspflicht verzögerte Löschung gem. 4 Abs. 2 DSG (ab ) Kann die Löschung nicht unverzüglich erfolgen, weil diese aus wirtschaftlichen oder technischen Gründen nur zu bestimmten Zeitpunkten vorgenommen werden kann, so ist die Verarbeitung bis zu diesem Zeitpunkt einzuschränken. spätestens mit der ersten technischen bzw. wirtschaftlichen Möglichkeit müssen auch diese Daten aus Back-ups entfernt werden. 16

16 : Löschungspflicht Sollte es technisch tatsächlich nicht möglich sein, Daten zu löschen (Aufwand nicht relevant) dann sollten diese Daten zumindest anonymisiert werden. 17

17 : Löschungspflicht löschen = vernichten? Begriffsbestimmungen in Art. 4 Z 2 DSGVO ( Verarbeitung ) unterscheiden zwischen löschen und vernichten OGH vom , 6Ob107/12x: [Verpflichtung] Daten physisch zu löschen, also so unkenntlich zu machen, dass eine Rekonstruktion nicht mehr möglich ist; eine Änderung der Datenorganisation dahingehend, dass ein gezielter Zugriff auf die betreffenden Daten ausgeschlossen ist, reicht hingegen nicht aus. 18

18 : Löschungspflicht löschen = vernichten? Datenschutzkommission vom , K /0012-DSK/2008: Es ist bei der Beurteilung einer Datenlöschung von einem durchschnittlichen Benutzer des in Rede stehenden Datenträgers auszugehen, der übliche Methoden der Datenabfrage bzw. Informationsgewinnung zur Anwendung bringt. Für einen solchen Benutzer muss ein Ausgeben der Daten unmöglich sein. Keinesfalls aber muss eine gesetzmäßige Datenlöschung einer von einem Spezialisten mit wissenschaftlichen (forensischen) Methoden durchgeführten Suche nach Daten auf einem Datenträger standhalten. 19

19 : Recht auf Einschränkung Richtigkeit wird bestritten und zwar für eine Dauer, die es dem Verantwortlichen ermöglicht, die Richtigkeit der personenbezogenen Daten zu überprüfen Verarbeitung unrechtmäßig ist und die betroffene Person die Löschung der Daten ablehnt und stattdessen die Einschränkung der Nutzung der Daten verlangt 20

20 : Recht auf Einschränkung Verantwortliche die personenbezogenen Daten für die Zwecke der Verarbeitung nicht länger benötigt, die betroffene Person sie jedoch zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt Widerspruch gegen die Verarbeitung eingelegt hat, solange noch nicht feststeht, ob die berechtigten Gründe des Verantwortlichen gegenüber denen der betroffenen Person überwiegen 21

21 : Recht auf Einschränkung Erwägungsgrund 67: Methoden zur Beschränkung ausgewählte Daten vorübergehend auf ein anderes Verarbeitungssystem übertragen werden für Nutzer gesperrt werden veröffentliche Daten vorübergehend von einer Website entfernt werden 22

22 : Recht auf Einschränkung In automatisierten Dateisystemen [ ] durch technische Mittel so erfolgen, dass die personenbezogenen Daten in keiner Weise weiterverarbeitet werden und nicht verändert werden können. Auf die Tatsache, dass die Verarbeitung [ ] beschränkt wurde, sollte in dem System unmissverständlich hingewiesen werden. 23

23 Pflichten Verantwortlicher (Auftragsverarbeiter) Privacy by Design (Art. 25) proaktiv Privacy by Default (Art. 25) Datenschutzfreundliche Standardeinstellung Sicherheit der Verarbeitung (Art. 32) Pseudonymisierung, Verschlüsselung 24

24 Danke für die Aufmerksamkeit! Dr. Bernhard Karning Bundesministerium für Digitalisierung und Wirtschaftsstandort Österreich Stubenring Wien 25