Protect what you value. Die aktuellen Datenschutzbestimmungen

Transkript

1 Protect what you value. Die aktuellen Datenschutzbestimmungen verstehen

2 Die aktuellen Datenschutzbestimmungen verstehen Behörden sowie private Unternehmen weltweit haben die Notwendigkeit eines effektiven Datenschutzes erkannt. In dem Maß, in dem das Volumen an vertraulichen und elektronisch erfassten Daten zunimmt, steigt gleichzeitig das Interesse, diese Informationen auch wirksam zu schützen. Datenschutz ist eine nahezu universelle Forderung und die Gesetzgebung wird ständig weiterentwickelt, um den Datenschutz sicherzustellen. Im Folgenden finden Sie eine Übersicht weltweit geltender gesetzlicher Bestimmungen, die Richtlinien für das Speichern und Versenden von vertraulichen Daten darstellen und darauf abzielen, einen umfassenden Datenschutz zu gewährleisten. US-Gesetze und -Bestimmungen zur Benachrichtigungspflicht im Falle von Sicherheitsverletzungen bei personenbezogenen Daten Obwohl die US-amerikanische Regierung auf Bundesebene bisher noch keine Gesetze zur Benachrichtigungspflicht bei Sicherheitsverletzungen verabschiedet hat, sind bereits seit 2002 in den meisten US-Bundesstaaten solche Gesetze in Kraft. Diese Gesetze wurden als eine Reaktion auf die wachsende Zahl von Sicherheitsverletzungen bei Datenbanken geschaffen, die personenbezogene Informationen von Verbrauchern enthalten. Bisher haben 43 Bundesstaaten*, der District of Columbia und Puerto Rico ein Gesetz verabschiedet, das besagt, dass Verbraucher darüber informiert werden müssen, falls Sicherheitsverletzungen bei personenbezogenen Daten stattgefunden haben. Das kalifornische Verbraucherdatenschutzgesetz, California SB 1386 (auch unter der Bezeichnung Consumer Data Protection Act bekannt), diente als Vorlage für ähnliche Gesetze in anderen US-Bundesstaaten. Das Gesetz California SB 1386 besagt, dass eine Behörde, eine Person oder ein Unternehmen, die oder das geschäftliche Tätigkeiten in Kalifornien durchführt und elektronische Daten mit personenbezogenen Inhalten besitzt oder den Zugang zu Daten lizenziert, die persönliche Informationen, wie bereits definiert, enthalten, jeden Angriff auf die Datensicherheit, wie bereits definiert, jedem Einwohner Kaliforniens gemäß bestehender Bestimmungen melden muss, wenn davon ausgegangen wurde bzw. wird, dass eine unbefugte Person Zugriff auf seine unverschlüsselten Personendaten erlangt hat. Personenbezogene Daten beinhalten hierbei die Sozialversicherungs-, Führerschein-, Konto-, Kreditkartenund Scheckkartennummer sowie den Sicherheitscode oder das Kennwort für den Zugriff auf ein Bankkonto. Die geltenden gesetzlichen Bestimmungen auf der Ebene einzelner Bundesstaaten und die Gesetzentwürfe zeichnen sich mehrheitlich durch die folgenden gemeinsamen Merkmale aus: Personenbezogene Information: Personenbezogene Informationen werden in der Regel als die Kombination des Namens (d. h. des Vor- und des Nachnamens) mit einem weiteren den Nutzer identifizierenden Datenelement definiert. Solche Datenelemente sind beispielsweise die Sozialversicherungs-, Führerschein-, Personalausweis-, Konto- oder Kreditkartennummer mit Zugangscode oder Kennwort sowie das Geburtsdatum oder biometrische Daten. Benachrichtigungsvorgaben: Jedes Unternehmen bzw. jede Person sowie üblicherweise auch jede staatliche Behörde, das oder die personenbezogene Daten besitzt, den Zugang zu solchen Daten lizenziert oder für diese verantwortlich ist und den begründeten Verdacht hat, dass diese Daten von einer unbefugten Person eingesehen wurden, muss die betroffenen Bewohner des jeweiligen Bundesstaats benachrichtigen. Benachrichtigungsverfahren: Betroffene müssen über den Missbrauch ihrer personenbezogenen Daten informiert werden. Benachrichtigungsfristen: Viele Gesetze schreiben nur eine Benachrichtigung innerhalb eines angemessenen Zeitraums vor, einige setzen allerdings bestimmte Fristen fest. Verschlüsselung nach dem Safe Harbor-Prinzip Die Vorgaben für eine Offenlegung von Verletzungen der Datensicherheit variieren von Bundesstaat zu Bundesstaat, alle Gesetze beinhalten aber eine Safe Harbor -Bestimmung zu verschlüsselten Daten. Diese besagt, dass wenn Unternehmen personenbezogene Daten durch eine Verschlüsselung schützen, sie nicht dazu verpflichtet sind, bei Verlust, Diebstahl oder unberechtigten Zugriff auf solche Daten die Vorgaben zur öffentlichen Benachrichtigung zu befolgen. Im Allgemeinen müssen die Unternehmen Verletzungen der Datensicherheit jedoch dem Gesetzgeber melden. Datenschutz in der Europäischen Union Die Forderung nach Datenschutz wird in der Europäischen Union (EU) allgemein als elementares Menschenrecht angesehen. Der Schutz der persönlichen Daten jedes Einzelnen und der Umgang mit den personenbezogenen Daten der EU-Bürger werden sehr ernst genommen. In der EU gelten als personenbezogene Daten alle Daten, die Aufschluss über die Identität eines Individuums geben. Die EU hat eine umfassende Datenschutzrichtlinie (DSR) (94/46/EG) erlassen, um den Schutz der personenbezogenen Daten aller EU-Bürger zu gewährleisten. Diese Richtlinie bestimmt, wie jedes Unternehmen, das EU-Bürger beschäftigt oder Geschäftsbeziehungen mit ihnen pflegt, mit deren Daten umzugehen hat. Die DSR legt einen gesetzlichen Rahmen fest, der das Ziel verfolgt, ein Gleichgewicht zwischen dem hohen Schutzniveau der persönlichen Daten des Einzelnen und dem freien Verkehr von personenbezogenen Daten innerhalb der EU zu schaffen. Die Richtlinie setzt der Erfassung und dem Gebrauch von personenbezogenen Daten genau definierte Grenzen. Jeder Mitgliedstaat wird dazu aufgefordert, eine für den Schutz dieser Daten zuständige, eigenständige Behörde auf nationaler Ebene einzurichten. Ein weiterer Abschnitt *Arizona, Arkansas, California, Colorado, Connecticut, Delaware, Florida, Georgia, Hawaii, Idaho, Illinois, Indiana, Iowa, Kansas, Louisiana, Maine, Maryland, Massachusetts, Michigan, Minnesota, Montana, Nebraska, Nevada, New Hampshire, New Jersey, New York, North Carolina, North Dakota, Ohio, Oklahoma, Oregon, Pennsylvania, Rhode Island, South Carolina, Tennessee, Texas, Utah, Vermont, Virginia, Washington, West Virginia, Wisconsin, und Wyoming 2

3 der Richtlinie ruft die Mitgliedstaaten dazu auf, die Bedingungen, unter denen die Verarbeitung dieser Daten als legal angesehen wird, genau zu bestimmen. Laut der DSR müssen personenbezogene Daten: Ordnungsgemäß und im Rahmen des Gesetzes verarbeitet werden Für spezifische, explizite und rechtmäßige Zwecke erhoben werden In einem angemessenen und sachbezogenen Rahmen bleiben sowie ausschließlich dem Zweck dienen, für den sie ermittelt wurden So aufbewahrt werden, dass eine Identifizierung der von der Datenerhebung Betroffenen nicht länger als erforderlich möglich ist Safe Harbor-Bestimmung für US-Organisationen, die personenbezogene Daten aus der EU erfassen Die USA und die EU haben das gemeinsame Ziel, die persönlichen Daten ihrer Bürger zu schützen, allerdings verfolgen sie dabei verschiedene Ansätze. Um diese Unterschiede auszugleichen und es den US- Organisationen einfacher zu machen, die Vorgaben der DSR zu erfüllen, hat das US-Handelsministerium in Abstimmung mit der Europäischen Kommission die Safe Harbor-Rahmenbedingungen erarbeitet. Safe Harbor ist ein freiwilliges Programm, das von der US-Handelsbehörde, der U.S. Federal Trade Commission (FTC) eingeführt wurde. Um die Safe Harbor-Vorteile nutzen zu können, müssen die Organisationen gegenüber dem US- Handelsministerium jedes Jahr aufs Neue eine schriftliche Selbstverpflichtungserklärung abgeben, in der sie versichern, dass sie gewillt sind, die Anforderungen von Safe Harbor zu erfüllen. Diese Anforderungen schließen Aspekte wie Benachrichtigung, Auswahl, Zugang und Umsetzung mit ein. Die Unternehmen müssen in ihrer Datenschutzerklärung ebenfalls aufführen, dass sie dem Safe Harbor-Programm beigetreten sind. Das US- Handelsministerium führt eine Liste aller Unternehmen, die schriftliche Selbstverpflichtungserklärungen einreichen. Diese Liste und die Selbstverpflichtungserklärungen können öffentlich eingesehen werden. Die Datenschutzgesetzgebung in Australien Im Jahr 1988 verabschiedete Australien ein Datenschutzgesetz. Dieses Gesetz legte nationale Datenschutzprinzipien (NPP - National Privacy Principals) fest, die mit denen Bestimmungen der DSR in der EU im Einklang stehen. Diese Datenschutzprinzipien beziehen sich auf: Die Regierungsbehörden des Commonwealth und des Australian Capital Territory (A.C.T.) Mit einem Gläubigermeldeverfahren arbeitende Organisationen Alle Unternehmen aus dem privaten Sektor mit einem jährlichen Umsatz von über 3 Mio. AUD Krankenversicherungsgesellschaften Unternehmen, die personenbezogene Daten vertreiben Lieferanten der australischen Regierung, sofern ihre Tätigkeiten dem Zweck der Vertragserfüllung dienen Als Strafe sieht das australische Datenschutzgesetz in erster Linie Bußgelder vor. Eine Gefängnisstrafe kann in einigen Fällen verhängt werden, z. B. wenn ein Beschuldigter einer vom Datenschutzbeauftragten einberufenen Sitzung fernbleibt, zur Anhörung vor dem Datenschutzbeauftragten nicht erscheint, der Aufforderung zur Abgabe einer Erklärung nicht nachkommt und falsche oder keine Informationen liefert. Die Datenschutzgesetzgebung in Kanada In Kanada trat der Personal Information Protection and Electronic Documents Act (PIPEDA) am 1. Januar 2001 in Kraft. Er bezieht sich auf von der Regierung überwachte Unternehmen, wie z. B. Fluggesellschaften, Banken und Rundfunkgesellschaften. Alle anderen Unternehmen kamen am 1. Januar 2004 hinzu. Die im PIPEDA verankerten Rechte des Individuums stehen im Einklang mit denen der DSR der EU. Zusätzlich zu möglichen weiteren Hilfsmitteln definiert das PIPEDA spezifische, dem Gericht zur Verfügung stehende Rechtsmittel. Nämlich: Das Unternehmen dazu anzuweisen, seine Praktiken zu verbessern Das Unternehmen dazu anzuweisen, jegliche Maßnahme bzw. jeglichen Vorschlag für Maßnahmen zur Verbesserung seiner Praktiken zu veröffentlichen Dem Kläger eine Entschädigung zu zahlen, einschließlich Entschädigungen für jegliche Erniedrigung, die der Kläger erlitten hat Die Datenschutzgesetzgebung in Japan Der japanische Personal Information Protection Act (PIPA) trat am 1. April 2005 in Kraft. Dem PIPA unterliegen personenbezogene Informationen oder Daten, die eine lebende Person betreffen, und die es ermöglichen, diese Person zu identifizieren. Darunter können Daten wie der Name der Person, das Geburtsdatum oder anderweitige Informationen fallen. Informationen über Ausländer, unabhängig davon, ob sie im Land ansässig sind oder nicht, werden ebenfalls als personenbezogene Daten betrachtet. Das PIPA bezieht sich auf sogenannte Personal Information Handlers (PIHs), d. h. Unternehmen oder Personen, die personenbezogene Daten verarbeiten und (mindestens einmal im Zeitraum von 6 Monaten) Datenbanken mit den persönlichen Daten von mehr als Einzelpersonen nutzen, um ihre Geschäfte in Japan zu betreiben. Eine ausländische Firma mit Niederlassungen in Japan kann als ein solche Daten verarbeitendes Unternehmen angesehen werden. Eine ausländische Firma, die über keine Niederlassungen in Japan verfügt, wird hingegen nicht als solches definiert. Ein Daten verarbeitendes Unternehmen muss im Hinblick auf den Umgang mit personenbezogenen Daten eine Reihe von Auflagen erfüllen. Diese Auflagen stehen im Einklang mit denen der DSR der EU. 3

4 Im Falle eines Verstoßes gegen die Bestimmungen des PIPA hat das für die Überwachung der Daten verarbeitenden Unternehmen zuständige Ministerium bzw. die zuständige Behörde die Befugnis, besagte Firma dazu aufzufordern, das rechtswidrige Vorgehen einzustellen. Wenn das Unternehmen darauf nicht reagiert und ein Verstoß gegen wesentliche persönliche Rechte droht, dann kann das Ministerium die Unterlassung der rechtswidrigen Tätigkeit anordnen. Falls das Unternehmen weiterhin nicht reagiert, kann der zuständige leitende Angestellte oder Mitarbeiter besagten Unternehmens mit einer Gefängnis- oder Geldstrafe belegt werden. Die Datenschutzgesetzgebung in anderen Ländern Asien und Ozeanien Hongkong Personal Data (Privacy) Ordinance, 1996 Neuseeland Privacy Act, 1993 Südkorea Act on Promotion of Utilization of Information and Communications Network and Data Protection, 2005 Taiwan Computer-Processed Personal Data Protection Law, 1995 Mittel- und Südamerika Argentinien Personal Data Protection (Gesetz ), 2000 Bermuda Electronic Transactions Act, 1999 Chile Law for the Protection of Private Life (Nr ), 1999 Paraguay Data Protection Act, 2001 Europa, Nahost und Afrika Belgien (EU-Mitgliedstaat) Gesetz vom 8. Dezember 1992 zum Datenschutz bei der Verarbeitung von personenbezogenen Daten, abgeändert durch das Gesetz vom 11. Dezember 1998, welches wiederum die Richtlinie 95/46/EG umsetzte Bulgarien Personal Data Protection Act, 2002 Dänemark (EU-Mitgliedstaat) Gesetz 429 über die Verarbeitung personenbezogener Daten, 2000 Estland (EU-Mitgliedstaat) Personal Data Protection Act, 2003 Finnland (EU-Mitgliedstaat) Personal Data Act (Gesetz 523), 1999 Frankreich (EU-Mitgliedstaat) Gesetz vom 6. August 2004 zur Änderung des Gesetzes vom 6. Januar 1978 zum Schutz von Dateninhalten während der Verarbeitung von personenbezogenen Daten Deutschland (EU-Mitgliedstaat) Bundesdatenschutzgesetz oder BDSG, 2001 Griechenland (EU-Mitgliedstaat) Gesetz 2472/1997 zum Schutz des Individuums bei der Verarbeitung personenbezogener Daten abgeändert von den Gesetzen 2819/2000 und 2915/2000 Großbritannien (EU-Mitgliedstaat) Data Protection Act, 1998 Island Act on the Protection and Processing of Personal Data (Nr. 77), 2000 Israel Protection of Privacy Law, 1981 Irland (EU-Mitgliedstaat) Data Protection Act, 1988 (abgeändert 2003) Italien (EU-Mitgliedstaat) Italienisches Datenschutzgesetz (Erlass Nr. 196), 2003 Lettland (EU-Mitgliedstaat) Personal Data Protection Law, 2000 Liechtenstein Data Protection Act, 2002 Litauen (EU-Mitgliedstaat) Law on the Legal Protection of Personal Data, 1996 (abgeändert 2000 und 2003) Luxemburg (EU-Mitgliedstaat) Gesetz vom 2. August 2002 zum Schutz der Bürger bei der Verarbeitung personenbezogener Daten Malta (EU-Mitgliedstaat) Data Protection Act, 2001 Niederlande (EU-Mitgliedstaat) Personal Data Protection Act (Wet Bescherming Persoonsgegevens oder WBP), 2000 Norwegen Personal Data Act, 2000 Österreich (EU-Mitgliedstaat) Bundesgesetz über den Schutz personenbezogener Daten (Datenschutzgesetz oder DSG), 2000 Polen (EU-Mitgliedstaat) Act on Personal Protection of Data, 1997 (abgeändert 2004) Portugal (EU-Mitgliedstaat) Act on the Protection of Personal Data, 1998 Rumänien Gesetz Nr. 677/2001 zum Schutz der Bürger bezüglich der Verarbeitung von personenbezogenen Daten und der freien Verbreitung solcher Daten Russland Law of the Russian Federation on Information, Informatization and Information Protection, 1995 Schweden (EU-Mitgliedstaat) Personal Data Act,

5 Schweiz Bundesgesetz über den Datenschutz, 1993 Slowakei (EU-Mitgliedstaat) Coll. on Protection of Personal Data, 2002 (abgeändert 2005) Slowenien (EU-Mitgliedstaat) Personal Data Protection Act, 1999 Spanien (EU-Mitgliedstaat) Organisches Gesetz zum Schutz personenbezogener Daten Nr. 15/1999 Südafrika Informationsfreiheitsgesetz, 2000 Tschechische Republik (EU-Mitgliedstaat) Gesetz 101 über den Schutz personenbezogener Daten und über die Novellierung bestimmter sich darauf beziehender Gesetze, 2000 Ungarn (EU-Mitgliedstaat) Gesetz LXIII von 1992 zum Schutz von personenbezogenen Daten und zur Veröffentlichung von Daten öffentlichen Interesses, abgeändert durch das parlamentarische Gesetz Nr. XLVIII, 2003 Zypern (EU-Mitgliedstaat) Verarbeitung personenbezogener Daten (Schutz des Individuums) Gesetz 138(1), 2001 PCI DSS: Ein weltweit gültiger Branchenstandard Die in den vorangegangenen Abschnitten beschriebenen internationalen Gesetze beziehen sich auf den allgemeinen Schutz von personenbezogenen Daten. Angesichts einer steigenden Zahl von Kreditkartenbetrugsfällen hat die Zahlungskartenindustrie ihre eigenen Datensicherheitsbestimmungen geschaffen. Der Payment Card Industry Data Security Standard (PCI DSS) wurde ursprünglich als eine Richtlinie erarbeitet, die den Kreditkarteninstituten dabei helfen sollte, dem Kreditkartenbetrug, dem Knacken von Geheimzahlen und anderen Sicherheitsbedrohungen vorzubeugen. Dieser Standard wurde vom PCI Security Standards Council entwickelt, der wiederum von American Express, Discover Financial Services, JCB International, MasterCard Worldwide und Visa Inc. gegründet wurde. Inzwischen ist der PCI DSS mehr als eine Richtlinie geworden. Jedes Unternehmen, das zur Geschäftsabwicklung Kreditkarten einsetzt sowie Unternehmen, die dem PCI Security Standards Council angehören oder Geschäftsbeziehungen mit diesem pflegen, müssen den PCI DSS umsetzen. Diese Unternehmen gehören bereits dazu: Visa MasterCard Diners Club American Express Discover Händler Drittanbieter von Diensten zur Datenverarbeitung Teilnehmende Banken (für Visa und American Express) Eine Nichteinhaltung des PCI DSS kann zu hohen Geldstrafen führen: Wenn die Daten des Karteninhabers noch keiner Gefährdung ausgesetzt wurden, stehen bei Nichteinhaltung Geldbußen von bis zu US- Dollar pro Vorfall an Hat bereits eine Gefährdung der Daten des Karteninhabers stattgefunden, stehen bei Nichteinhaltung Geldbußen von bis zu US- Dollar pro Vorfall an Entzug der Lizenz zur Abwicklung von Kreditkartenzahlungen Die US-Bundesstaaten Minnesota und Texas haben ein Gesetz auf der Grundlage der wesentlichen Bestimmungen des PCI DSS erlassen, und weitere Bundesstaaten ziehen ähnliche Gesetze in Erwägung. Auch in den US-Bundesstaaten, in denen das entsprechende Gesetz noch nicht in Kraft getreten ist, wird die Unkenntnis der Gesetzgebung nicht als Rechtfertigung akzeptiert. Zusammenfassung Es wurden bereits Milliardenbeträge für die Einführung von Systemen ausgegeben, die das Einhalten dieser Regelungen sichern sollen. Aber zahlreiche Unternehmen bleiben einen entsprechenden Nachweis schuldig. Denn zusätzlich zum Datenschutz muss auch der Nachweis geliefert werden, dass die Daten wirklich geschützt werden. Sei es als Bestandteil eines Audits oder einer offiziellen Ermittlung: Die Unternehmen müssen in der Lage sein, hieb- und stichfest darzustellen, wer, wann, wo und wie welche Daten geschützt hat, da sonst Bußgelder, Ersatzansprüche, Imageverlust, Misstrauen seitens der Kunden und weiteres drohen. Bei der Berücksichtigung dieser Regelungen und der Entscheidung, welche Lösungen für Ihr Unternehmen die richtigen sind, sollten Sie bedenken, dass eine Umsetzung ohne Nachweis gleichzeitig auch bedeutet, dass Ihnen ein wesentliches Puzzleteil für die Einhaltung der Vorschriften fehlt. Achten Sie darauf, Lösungen zu wählen, die es Ihnen erlauben, kurzfristig und zuverlässig einen Nachweis zu liefern, dass Ihre Daten immer angemessen geschützt waren. 5

6 McAfee GmbH Ohmstr Unterschleißheim Deutschland +49 (0) McAfee, Inc. Die Inhalte dieses Dokuments dürfen ohne vorherige schriftliche Genehmigung von McAfee weder ganz noch teilweise reproduziert werden. Die hier enthaltenen Informationen werden McAfee-Kunden ausschließlich für Fort- und Weiterbildungszwecke bereitgestellt. Diese Informationen können ohne Vorankündigung geändert werden. Ihre Bereitstellung erfolgt in der vorliegenden Form ohne Übernahme einer Garantie oder Gewährleistung im Hinblick auf ihre Richtigkeit oder Anwendbarkeit für eine bestimmte Situation oder einen bestimmten Umstand. McAfee, Avert und Avert Labs sind Marken oder eingetragene Marken von McAfee, Inc. in den USA und in anderen Ländern. Alle anderen Namen und Marken sind unter Umständen Eigentum anderer Rechtsinhaber. 6