Internationales Datenschutzaudit/Cert

Transkript

1 Internationales Datenschutzaudit/Cert Thilo Weichert, Leiter des ULD 3. GDD-Fachtagung Datenschutz international , Berlin, Palace Hotel Inhalt Unabhängiges Landeszentrum für Datenschutz ULD Erwägungen Datenschutzaudit in Deutschland Datenschutzaudit in anderen Staaten Datenschutzaudit in der EU European Privacy Seal EuroPriSe Geschichte, Kriterien, Ablauf, Akkreditierung Perspektiven in Europa und weltweit Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 2

2 Unabhängiges Landeszentrum für Datenschutz Datenschutzkontrollbehörde im öffentlichen und nichtöffentlichen Bereich ( 39 LDSG SH, 38 BDSG) Information und Ausbildung (u.a. Datenschutzakademie Schleswig-Holstein) Kooperation mit Verbraucherschutz (VZ SH, vzbv) Beratung u. Gutachtenerstellung ( 43 III LDSG SH, 38 I BDSG) Zuständig für Informationsfreiheit nach IFG SH Forschung und Entwicklung im Bereich Datenschutz Datenschutz-Gütesiegel und Audit ( 4 II, 43 II LDSG SH) Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 3 Erwägungen Weiterentwicklung des Datenschutzes vom repressiven Ordnungs- zum freiwilligen Marktinstrument Nutzung des Wettbewerbs zum digitalen Grundrechtsschutz Förderung des Vertrauens bei Hersteller, Käufer, Nutzer, Aufsichtsbehörde, Öffentlichkeit Zertifizierung durch eine unabhängige Stelle unter Kontrolle der Öffentlichkeit Deduktive (und permanente Weiter-) Entwicklung von Datenschutzstandards (rechtlich, technisch) Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 4

3 Datenschutzaudit in Deutschland 1996: provet-gutachten für Online-Multimedia-Dienste 1997 Programmregelung 17 MediendiensteStV 2000 Landesdatenschutzgesetz SH ( 4 II, 43 II) 2001 Gutachten Modernisierung des Datenschutzrechts a BDSG 2002/03 EU-Förderung DS-Gütesiegel und Audit u. Auszeichnung durch EU 2000er zunehmende Zertifizierungsangebote durch Private 2007 erstmals Zertifizierung von ausländischen (US-)Produkten 2007 Start European Privacy Seal 2009 Scheitern eines Bundesdatenschutzauditgesetzes 2009 Schwarz-gelbe Koalitionsvereinbarung: Stiftung Datenschutz Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 5 Datenschutzaudit an anderen Staaten USA: seit 90er Jahre Privacy Seal Programs (z.b. BBB, TRUSTe), technisch orientiert, kein DS-Gesetz Japan: seit 1986 Zertifizierung statt Gesetz Schweiz, seit Ende 90er private Zertifizierung, 2007 Verordnung über die Datenschutzzertifizierungen Frankreich: gesetzliche Regelung ohne Praxis, 2009 Senatsbericht begrüßt und unterstützt EuroPriSe EU: Kommission fördert Zertifizierung und erwägt Regulierung Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 6

4 European Privacy Seal EuroPriSe I Von EU in Höhe von 1,3 Mio. Euro gefördertes Projekt Juni 2007 Februar 2009 Konsortium 9 Partner aus 8 EU-Staaten BORKING CONSULTANCY Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 7 EuroPriSe II Anpassung des DS-Gütesiegels SH an europ. Rahmen 1. Kriterienkatalog Kommentierung EU-DS-Recht 2. Festlegung Zulassungsverfahren Gutachter, Ausbildung 3. Pilotzertifizierungen (13 aus NL, Lux, D, ES, S, USA) Erfolgreiche Marktvalidierung für ein europäisches Datenschutzgütesiegel Seit März 2009 Wirkbetrieb durch ULD derz. 25 laufende Verfahren (EU, Nord- u. Südamerika) 86 zugelassene Gutachter aus 12 Ländern Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 8

5 EuroPriSe - Prüfkriterien Europäische Richtlinien und Regeln zum Datenschutz (EU- DSRL, eprivacy-directive, Art. 29-Arbeitspapiere, Rspr. EuGH usw., evtl. nat. Anforderungen) Internationale Datensicherheitsstandards (BSI- Grundschutzhandbuch, Common Criteria, ISO 27000) Prüfkomplexe, beschrieben im Anforderungskatalog: 1. grundsätzliche Fragestellungen 2. Rechtmäßigkeit der Datenverarbeitung 3. Techn. und organisator. Datensicherheitsmaßnahmen 4. Betroffenenrechte Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 9 EuroPriSe - Ablauf Evaluierung IT-Produkt od. Dienstleistung (ToE Target of Evaluation) durch rechtl. und technischen Gutachter Überprüfung des Gutachtens durch unabhängige Zertifizierungsstelle (Vollständigkeit, Nachvollziehbarkeit, Datenschutzkonformität) Evtl. Rückkoppelung nach Nachbesserung Zertifizierung für 2 Jahre, vereinfachte Rezertifizierung, Veröffentlichung Kurzgutachten, Werbemöglichkeit Monitoring bei Dienstleistungen/Diensten nach 8/16 Mon. Freiwilliger Update-Check für Produkte und Dienste Im Beschwerdefall Klärung mit Gutachter und Anbieter Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 10

6 EuroPriSe-Akkreditierung Akkreditierung für die Bereiche Recht und Technik Nachweis der Unabhängigkeit und Fachkunde durch Dokumente Teilnahme an Ausbildungsworkshop, Erstellung eines Trainingsgutachtens Akkreditierung für einen oder beide Bereiche für drei Jahre Verlängerung um zwei Jahre bei erfolgreicher Begutachtung od. weiterer Workshopteilnahme Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 11 EuroPriSe - Perspektiven Zertifizierungsstellen in anderen EU-Staaten Aufbau eines EuroPriSe-Advisory Boards (Kooperation mit nationalen und EU-Kontrollstellen) Baukastenzertifizierung: Grundzertifikat EuroPriSe, Aufbauzertifikat national Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 12

7 Globale Perspektiven Entwicklung globaler Datenschutzstandards auf der Basis der Madrid Resolution November 2009 Einführung von Datenschutzanforderungen im Rahmen der ISO-/IEC-Standardisierung Förderung der Zertifizierungsidee im Rahmen internationaler Normen und Standards Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 13 Internationales Datenschutzaudit/Cert Dr. Thilo Weichert Unabhängiges Landeszentrum für Datenschutz Schleswig- Holstein (ULD) Independent Center for Privacy Protection Schleswig-Holstein (ICPP) Holstenstr. 98, D Kiel mail@datenschutzzentrum.de Weichert - Int.Datenschutzzeritifizierung - GDD Berlin Folie 14