Die (ersten) Schritte zur Compliance. Rainer Sternecker

Transkript

1 Die DSGVO mit SAS Die (ersten) Schritte zur Compliance Rainer Sternecker

2 Worum geht es? EU-Datenschutz-Grundverordnung (DSGVO) Die Verordnung ist am 24. Mai 2016 in Kraft getreten und wird zum 25. Mai 2018 wirksam. Die Reform stärkt Grundrechte der EU-Bürger im digitalen Raum mit Fokus auf personenbezogene Daten. Die Verordnung fordert Techniken wie Anonymisierung (PD* entfernen), Auditing, Monitoring und Data Lineage. europa.eu/rapid/press-release_memo _de.htm *) personenbezogene Daten

3 Inhalte (Auszug) 1. Verantwortung und Nachweispflicht a. Data Protection Impact Assessments (DPIA) b. Privacy by Design und Privacy by Default 2. Einverständnis a. Eine valide Einverständniserklärung muss explizit für die gesammelten Daten und ihren Verwendungszweck vorliegen. b. Datenverantwortliche müssen Einverständnis nachweisen können (Opt-in); das Einverständnis kann widerrufen werden. 3. Datenschutzbeauftragter (Data Protection Officer) a. verantwortlich für Sicherstellung der Compliance im Unternehmen 4. Datenschutzverletzungen a. Wie reagieren Sie bei einer Verletzung des Datenschutzes/ der Datensicherheit? b. Rechtliche Verpflichtung, die Aufsichtsbehörden unmittelbar zu informieren 5. Löschpflichten a. Recht auf Vergessenwerden / Löschen 6. Datenübertragbarkeit a. Übertragung der personenbezogenen Daten von einem elektronischen Verarbeitungssystem in ein anderes b. Grenzüberschreitende Datenübermittlung Company Confidential - For Internal Use Only, Copyright 2016, SAS Institute Inc. All rights reserved.

4 Die DSGVO und wir: Vor- und Nachteile für Bürger: Vorteile Datenschutz Recht auf Vergessen Datenzugriff Recht auf Auskunft Nachteile keine für Unternehmen: 1 Regelung statt 28 1 Aufsicht statt 28 1 Recht für alle Datenzugriff keine endlich unternehmensweite DQ/DG!!!

5 Themenfelder mit Bauchweh und Handlungs-/Klärungsbedarf Informationspflicht Datenübertragbarkeit Berichtigung Löschen/Sperren Einschränkung der Verarbeitung Automatisierte Entscheidung Informationen an die betroffene Person bezüglich der verarbeiteten Daten, des Verantwortlichen, des Zwecks sowie der entsprechenden Aufbewahrungspflichten. Die betroffene Person hat das Recht, die sie betreffenden Daten in einem strukturierten, gängigen und maschinenlesbarem Format zu erhalten. Personenbezogene Daten müssen korrekt sein und berichtigt werden (spätestens nach Aufforderung der betroffenen Person). Die Möglichkeit, personenbezogene Daten nach Ablauf aller entsprechenden Aufbewahrungsfristen zu löschen. Die betroffene Person hat in bestimmten Fällen das Recht, von dem Verantwortlichen die Einschränkung der Verarbeitung zu verlangen. Die betroffene Person hat bei der automatischen Entscheidung das Recht, das Eingreifen eines Menschen zu verlangen. Welche Daten sind nochmal betroffen? Alle Daten. Wirklich alle Daten? Ja, alle Daten.

6 EU-Datenschutz-Grundverordnung (DSGVO) Eine Person gilt als bestimmbar, wenn sie direkt oder indirekt identifiziert werden kann. Indirekt = Zuordnung zu einem oder mehreren spezifischen Elementen, die Ausdruck ihrer physischen, physiologischen, psychischen, wirtschaftlichen, kulturellen oder sozialen Identität sind.

7 Big Data versus Datenschutz Studie A recent MIT study looked at records of three months of credit card transactions for 1.1 million people and claimed that, using the dates and locations of four purchases, it was possible to identify 90 percent of the people in the dataset. It may not be possible to establish with absolute certainty that an individual cannot be identified from a particular dataset[ ] The issue is not about eliminating the risk of re-identification altogether, but whether it can be mitigated so it is no longer significant. Copyright SAS Institute Inc. All rights reserved.

8 Autarke Systeme versus Data Governance Ein neues Dilemma Artificial Intelligence Self-/Deep-Learning Dezentrale Systeme Compliance Datenschutz Transparenz Kontrolle Copyright SAS Institute Inc. All rights reserved.

9 Personal Data Protection Merkmale Bank Account o Bank Identifier Code (BIC) o IBAN Kreditkartennummer o American Express o VISA o MasterCard o Dinners Club o Discover o JCB Demographische Daten o Name o Geschlecht o Geburtsdatum o Alter o Nationalität Kanäle o Telefonnummer o Adresse o Stadt o Land o Addresse Behörden Identifizierungsmerkmal o Passnummer o Sozialversicherungsnummer o Fahrgestellnummer o Führerschein Digitale Identifizierungsmerkmale o IP Adresse (V4, V6) o MAC Adresse o X/Y Geographische Koordinaten Sociale Medien o Twitter Account o URL FaceBook o URL Linkedin o URL Pinterest o URL Instagram Organisation Sensitive Daten o o o o o o o o o Gesundheit Politisch Religiös Philosophisch Genetisch Biometrisch Ethnisch Kinder Mitgliedschaften Copyright 2016, SAS Institute Inc. All rights reserved.

10 DSGVO Analyse Operative Systeme DWH Datenprozesse Reports / Analysen User Data Stores IDV - CI - Analytics Web ERP CRM SCM Operative Entscheidungen Dieses Produkt dem Kunden anbieten? Strategische Entscheidungen In neue Märkte investieren? Offenlegungen Behörden Stakeholder Partner Copyright SAS Institute Inc. All rights reserved.

11 DSGVO Analyse (1) Erkennen von PD Operative Systeme DWH Datenprozesse Reports / Analysen User Data Stores IDV - CI - Analytics Web ERP CRM SCM Operative Entscheidungen Dieses Produkt dem Kunden anbieten? Strategische Entscheidungen In neue Märkte investieren? Offenlegungen Behörden Stakeholder Partner Copyright SAS Institute Inc. All rights reserved.

12 ACCELERATOR FOR EU DATA PROTECTION Beispiel: Aufspüren und Extrahieren mithilfe vordefinierter DQ-Regelwerke (SAS Quality Knowledge Base) Copyright 2016, SAS Institute Inc. All rights reserved.

13 DSGVO Analyse (2) Identifizieren und (3) Zuordnen Operative Systeme DWH Datenprozesse Reports / Analysen User Data Stores IDV - CI - Analytics Web ERP CRM SCM Operative Entscheidungen Dieses Produkt dem Kunden anbieten? Strategische Entscheidungen In neue Märkte investieren? Offenlegungen Behörden Stakeholder Partner Copyright SAS Institute Inc. All rights reserved.

14 ACCELERATOR FOR EU DATA PROTECTION Verknüpfung von Systemen, Prozessen und Verantwortlichen entlang der Datenflüsse Copyright 2016, SAS Institute Inc. All rights reserved.

15 ACCELERATOR FOR EU DATA PROTECTION Automatisiertes Glossar der personenbezogenen Daten Definition von Begriffen und Geschäftsobjekten, um eine Zusammenarbeit von Fachabteilung und IT zu gewährleisten Klare Übersicht der Rollen und Verantwortlichkeiten Copyright 2016, SAS Institute Inc. All rights reserved.

16 DSGVO Analyse (5) Überwachen Operative Systeme DWH Datenprozesse Reports / Analysen User Data Stores IDV - CI - Analytics Web ERP CRM SCM Operative Entscheidungen Dieses Produkt dem Kunden anbieten? Strategische Entscheidungen In neue Märkte investieren? Offenlegungen Behörden Stakeholder Partner Copyright SAS Institute Inc. All rights reserved.

17 DSGVO mit SAS Data Quality Lineage Business Data Network Federation Server Visual Analytics Erkennen Identifizieren Zuordnen Absichern Überwachen Identifizieren personenbezog. Feldinhalte (DQ- Exploration und Scan) Inventurliste PD-kritischer Felder Verbinden mit den Datenfluss- Metadaten zur Dokumentation der Prozesse Visualisierung der Lineage Rollenbasiertes Glossar mit Verantwortlichen Verknüpfung fachlicher Verfahren mit technischem Data Dictionary Zentrale Zugriffsbeschränkung mit dynamischen User- Rechten Federation Pseudonymisierung Anonymisierung DSB-Dashboard Auditing-Logs Monitoring Eskalieren und Nachhalten von Verstößen per Workflow Copyright SAS Institute Inc. All rights reserved.

18 Zusammenfassung Anforderungsaufnahme Definierter Umfang Kurze Projektlaufzeit - Schneller Erfolg End-to-End Unterstützung durch SAS Quickstart Service individuell erweiterbar Installation Implementierung Access Identify Govern Protect Audit Coaching / Training Anbindung einer Datenquelle Exemplarische Vergabe von Zugriffsrechten Profiling Identifikation persönlicher Daten Erste DQ-Analyse (z.b. Duplikate- Check) Dokumentation von Datenflüssen Analyse von Auswirkungen und Abhängigkeiten Erstellung eines Glossars Anonymisierung (PD entfernen) / Pseudonymisierung (PD ersetzen) / Verschlüsselung Erstellung eines Beispielberichts der Benutzerzugriffe