Datenschutz by Design Aus der Theorie in die Praxis

Transkript

1 Aus der Theorie in die Praxis Marit Hansen Symposium Forum Privatheit Berlin, ein alter Hut? Überblick 2. Alles neu mit der Datenschutz- Grundverordnung 3. Vom Minimum zum Optimum Bild: Ashtyn Renee 4. Fazit

2 Schon seit den 1980er Jahren diskutiert, aktive Forschungs-Community Datenschutz by Design John Borking: PETs Privacy-Enhancing Technologies (1995) Ann Cavoukian: Privacy by Design mit Entschließung der Internationalen Konferenz der Datenschutzbeauftragten (2010) Aber wie genau? Wer soll was tun? Bisherige Ansätze laufen großenteils leer 3a BDSG Datenvermeidung und Datensparsamkeit Die Erhebung, Verarbeitung und Nutzung personenbezogener Daten und die Auswahl und Gestaltung von Datenverarbeitungssystemen sind an dem Ziel auszurichten, so wenig personenbezogene Daten wie möglich zu erheben, zu verarbeiten oder zu nutzen. Insbesondere sind personenbezogene Daten zu anonymisieren oder zu pseudonymisieren, soweit dies nach dem Verwendungszweck möglich ist und keinen im Verhältnis zu dem angestrebten Schutzzweck unverhältnismäßigen Aufwand erfordert. Und wenn nicht? 9 BDSG + Anlage (zu 9 Satz 1 BDSG): xy-kontrolle na ja. Keine Sanktion.

3 Privacy by Design à la Ann Cavoukian Nicht konkret. Für umfassenden Datenschutz-by-Design vielfältige Disziplinen nötig Recht: Zulässigkeit Technik: Engineering Wirtschaftswiss.: Organisatorische Prozesse Geschäftsmodelle Bild: Kevin Dooley Psychologie++: Nutzerinteraktion, Organisationskultur Ethik & Sozial- / Politikwissenschaften

4 Gewährleistungsziele im Standard-DS-Modell Vertraulichkeit Nicht-Verkettbarkeit Klassische Schutzziele der IT-Sicherheit + Datensparsamkeit Integrität Intervenierbarkeit Transparenz Verfügbarkeit 1. ein alter Hut? Überblick 2. Alles neu mit der Datenschutz- Grundverordnung 3. Vom Minimum zum Optimum 4. Fazit

5 Wichtigkeit von by Design Erwägungsgrund 4 der Datenschutz-Grundverordnung The processing of personal data should be designed to serve mankind. [ ] Adressaten: Verantwortliche Auftragsverarbeiter Hersteller! Gesetzgeber! Technischer Datenschutz der DSGVO als Game Changer Marktortprinzip (Art. 3 DSGVO) Verordnung (EU) 2016/679 Datenschutz by design (Art. 25(1) DSGVO) Datenschutz by default (Art. 25(2) DSGVO) Datenschutz-Folgenabschätzung (Art. 35 DSGVO Rechte und Freiheiten natürlicher Personen ) Zertifizierung (Art DSGVO) Bußgelder & Sanktionen (Art DSGVO) Source: Johan Aulin Gerichte Mächtige Toolbox, wenn entsprechend implementiert

6 Datenschutz durch Technikgestaltung Artikel 25 Datenschutz durch Technikgestaltung [ ] (1) Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere der mit der Verarbeitung verbundenen Risiken für die Rechte und Freiheiten natürlicher Personen trifft der Verantwortliche sowohl zum Zeitpunkt der Festlegung der Mittel für die Verarbeitung als auch zum Zeitpunkt der eigentlichen Verarbeitung geeignete technische und organisatorische Maßnahmen wie z. B. Pseudonymisierung trifft, die dafür ausgelegt sind, die Datenschutzgrundsätze wie etwa Datenminimierung wirksam umzusetzen und die notwendigen Garantien in die Verarbeitung aufzunehmen, um den Anforderungen dieser Verordnung zu genügen und die Rechte der betroffenen Personen zu schützen. Viele möglicherweise begrenzende Bedingungen! bedingungslos Übersetzungsfehler Datenschutz durch datenschutzfreundliche Voreinstellungen Artikel 25 [ ] durch datenschutzfreundliche Voreinstellungen (2) Der Verantwortliche trifft geeignete technische und organisatorische Maßnahmen, die sicherstellen, dass durch Voreinstellung grundsätzlich nur personenbezogene Daten, deren Verarbeitung für den jeweiligen bestimmten Verarbeitungszweck erforderlich ist, verarbeitet werden. Diese Verpflichtung gilt für die Menge der erhobenen personenbezogenen Daten, den Umfang ihrer Verarbeitung, ihre Speicherfrist und ihre Zugänglichkeit. Solche Maßnahmen müssen insbesondere sicherstellen, dass personenbezogene Daten durch Voreinstellungen nicht ohne Eingreifen der Person einer unbestimmten Zahl von natürlichen Personen zugänglich gemacht werden.

7 Three cases for (pre-)configurability by design by design by design Ex.: anonymous use, no tracking Ex.: choice of payment system Ex.: encrypted communication Geeignete Basis für echten Datenschutz-by-Design? Hersteller sind nicht unmittelbar adressiert Indirekte Effekte möglich: sollten die Hersteller der Produkte, Dienste und Anwendungen ermutigt werden (ErwGr 78) Öffentliche Ausschreibung (ErwGr 78) Verpflichtung der Verantwortlichen zum Nachweis der DSGVO- Compliance, z.b. Datenschutz-Folgenabschätzung bei hohem Risiko (Art. 35 DSGVO) und bei Zertifizierung (Art. 42 DSGVO): DSGVO-Compliance und Informationen der Hersteller und Dienstleister müssen eingefordert werden Staatliche Unterstützung durch Förderung sinnvoll

8 Geeignete Basis für echten Datenschutz-by-Design? Stand der Technik kann obere und untere Grenze sein Wer definiert Stand der Technik und schreibt fort? Technology Readiness Level ohne Quality sinnlos: Arbeiten zu PET Maturity Lücke zwischen Forschung und Praxis Wünschenswert: Repositories mit Konzepten und Implementierungen (2015) Geeignete Basis für echten Datenschutz-by-Design? Ziel der Technikneutralität: Mindesthaltbarkeit der DSGVO: mehrere Jahrzehnte Wirklich technikneutral? Wünschenswert? Sehr abstrakt: Rechtsunsicherheit für alle Beteiligten Die Gerichte werden s richten Erreicht? Wirkung in Bezug auf technischen Datenschutz: fördernd / hemmend / neutral?

9 1. ein alter Hut? Überblick Bild: Martin Cox 2. Alles neu mit der Datenschutz- Grundverordnung 3. Vom Minimum zum Optimum 4. Fazit Bild: Paul B Sicht der Anwender Bild: Martin Cox Minimum: Für Optimum zusätzlich: Bild: Paul B Defensive Interpretation der gesetzlichen Regelungen Dokumentation von internen Strategien und Maßnahmen Kommende Anforderungen der Aufsichtsbehörden abwarten und darauf reagieren Klare Verantwortlichkeit (Vorstand; möglichst unterstützt von betriebl. DSB) Proaktiv agieren Lösungsraum kennen und erweitern Zertifizierung anstreben Datenschutz-Managementsystem für gesamten Lebenszyklus einsetzen Mit anderen Akteuren und Disziplinen interagieren: Technik und Prozesse

10 Gesetzgeber, Regierung, Aufsichtsbehörden Ganzheitliche Sicht Bild: Martin Cox Minimum: Für Optimum zusätzlich: Bild: Paul B Warten, was Europa macht Priorisierung von anderen Baustellen der DSGVO Vorschläge der Anwender und der Wirtschaft entgegennehmen Nicht aktiv gegen Datenschutz by Design arbeiten!! Öffentlicher Sektor als Vorbild Lösungsraum kennen und erweitern: Wissenschaft einbeziehen Transparenz über gute Lösungen und aktive Förderung Gesetzgeberische Impulse: Hersteller Standardisierung 1. ein alter Hut? Überblick 2. Alles neu mit der Datenschutz- Grundverordnung 3. Vom Minimum zum Optimum 4. Fazit Bild: Rob Pongsajapan

11 Fazit Datenschutz by Design unbefriedigend: Status Quo europarechtlich nationalgesetzlich Ungenutzte Spielräume Interdisziplinäre Ansätze Brückenschlag Aufsichtsbehörden Wissenschaft nötig Bild: Rob Pongsajapan Fundamentale Aufgabe unserer Informationsgesellschaft