Compliance - 6-Schritte-Methode der CNIL

Die französische Datenschutzbehörde (CNIL) hat am 15.3.2017 die "methodologie en 6 etapes" (6-Schritte-Methode, 6 steps methodology) veröffentlicht.


Die französische Datenschutzbehörde CNIL hat am 15.3.2017 eine 6-Schritte-Methode zur Vorbereitung auf die DSGVO veröffentlicht. Diese soll es Unternehmen ermöglichen, sich rechtzeitig auf die Verpflichtungen und Vorgaben der DSGVO vorzubereiten, und die Vorgaben korrekt umzusetzen.

Dieser „Fahrplan“ stellt eine (inoffizielle) Übersetzung und Zusammenfassung der Veröffentlichung der CNIL dar; die Übersetzung wurde mit Links zu www.dataprotect.at versehen.

Die „methodologie en 6 etapes“ („6-Schritte-Methode“) umfasst:

 

Datenschutzbeauftragen bestellen („Désigner un pilote“)        
Datenstruktur erheben („Cartographer“)          
Maßnahmen priorisieren („Prioriser“)
Risiko managen („Gerer le risques“)
      
Organisieren („Organiser“)       

Dokumentieren („Documenter“)

Schritt 1: Datenschutzbeauftragen bestellen („Désigner un pilote“)

 

Es wird empfohlen eine verantwortliche Person (als DSB) zu benennen, die Informations-, Beratungs- und Kontrollaufgaben wahrnimmt.

 

Die verantwortliche Person soll die Compliance mit der DSGVO sicherstellen.

 

Auch wenn das Unternehmen nicht verpflichtet sein sollte (nach Art. 37 DSGVO) einen DSB zu bestellen, sei es sinnvoll, jemanden zu benennen, der als verantwortliche Person tätig ist.

 

Die verantwortliche Person soll als „Pilot“ die Umsetzung der Verpflichtungen der DSGVO auf Basis einer Verpflichtungserklärung ermöglichen, und das Unternehmen hat ihm/ihr die notwendigen Ressourcen zur Verfügung zu stellen.

 

 

Anmerkung:

Auch wenn ein DSB nicht verpflichtend zu bestellen ist, sollte sich die Organisation damit auseinandersetzen und dokumentieren, aus welchen Überlegungen kein DSB (verpflichtend) Bestellt werden muss.

 

Der "Pilot" sollte mE nicht "Datenschutzbeauftragter" genannt werden.

Schritt 2: Datenstruktur erheben („Cartographer“)

 

In diesem Schritt soll die Organisation die Daten im Detail identifizieren, und zwar in der Form, dass ein Verzeichnis von Verarbeitungstätigkeiten iSd Art 30 DSGVO erstellt wird.

 

Es ist eine umfassende Dokumentation der Datenverarbeitungen notwendig, die in ein Verzeichnis von Verarbeitungstätigkeiten aufgenommen wird. Die CNIL hat eine Vorlage für ein Verzeichnis von Verarbeitungstätigkeiten entwickelt.

 

Zum nächsten Schritt können Organisationen übergehen, wenn

 

sie die Stellen und/oder Einheiten (in der Organisation) kontaktiert hat, die (personenbezogene) Daten innerhalb der Datenstruktur erheben und verarbeiten
sie ein Verzeichnis der Verarbeitungstätigkeiten mit den (Haupt-)Zwecken der Verarbeitungen und den Kategorien von personenbezogenen Daten erstellt haben
sie die Lieferanten/
Auftragsdatenverarbeiter, die in die Verarbeitungsaktivitäten involviert sind, identifiziert habenund wissen, dass ihre (personenbezogenen) Daten übermittelt werden und an wen, und wo und wie lange die Daten gespeichert werden.

 

Schritt 3: Maßnahmen priorisieren („Prioriser“)

Nach Erstellung des Verzeichnis von Verarbeitungstätigkeiten ist es notwendig, die Maßnahmen zu definieren, die erforderlich sind, um die Compliance mit der geltenden Rechtslage und der DSGVO herzustellen. Diese Maßnahmenfestlegung erfolgt unter Berücksichtigung der Risken in Bezug auf die Rechte und Freiheiten der betroffenen Personen.

 

Folgende Maßnahmen sind durchzuführen bzw. Prinzipien einzuhalten:

 

Datenminimierung, sohin Sicherstellung, dass nur die personenbezogenen Daten erhoben und in der Folge verarbeitet werden, die zur Erfüllung des Zweckes der Datenverarbeitung notwendig sind.Festlegung der Rechtsgrundlage der Verarbeitung der personenbezogenen DatenReview der bestehenden Datenschutzerklärungen, um sicherzustellen, dass diese den Anforderungen der DSGVO entsprechenPrüfung, ob alle Lieferanten / Auftragsdatenverarbeiter mit den neuen Aufgaben und Verpflichtungen der DSGVO vertraut sind und dass angemessene Datenschutzklauseln in den Vereinbarungen enthalten sindFestlegung von Prozessabläufen bei Ausübung der Rechte einer betroffenen PersonPrüfung, ob Datensicherheitsmaßnahmen implementiert sind


Schritt 4: Risiko managen („Gerer le risques“)

 

Wenn sich während der bisherigen Schritte herausgestellt hat, dass eine Verarbeitung ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge haben kann, dann ist eine Datenschutz-Folgenabschätzung

iSd Art. 35 DSGVO durchzuführen.

 

Mehr zur Datenschutz-Folgenabschätzung finden sie auf dataprotect.at.

 

Schritt 5: Organisieren („Organiser“)

 

In diesem Schritt müssen die Organisationen Prozesse festlegen, die es gewährleisten, dass jederzeit während der Laufzeit einer Datenverarbeitung unter Berücksichtigung aller möglichen Ereignisse (z.B. Sicherheitsverletzungen, Anfragen von betroffenen Personen, Veränderungen der erhobenen Daten, Veränderungen bei Lieferanten etc…) der Schutz der personenbezogenen Daten gegeben ist.

 

Im Einzelnen erfordert dies:

  • Berücksichtigung von Datenschutzprinzipien bei der Einführung einer Verarbeitung oder Verarbeitungstätigkeit.

  • Erhöhung des Bewusstseins von Mitarbeitern und Sicherstellung, dass datenschutzrelevante Informationen zu den korrekten Ansprechpartnern kommen (Training, Kommunikations-leitlinien etc…)

  • Richtlinien zur Behandlung von Datenschutzanfragen

  • Antizipieren von Datenschutzverletzungen und Sicherstellung, dass Data Breach Notifications durchgeführt werden können, und auch die Zeitlimits (z.B. 72 Stunden) eingehalten werden können, wobei die CNIL angibt, dass es ein Online-Meldesystem geben wird

In diesem Schritt müssen die Organisationen Prozesse festlegen, die es gewährleisten, dass jederzeit während der Laufzeit einer Datenverarbeitung unter Berücksichtigung aller möglichen Ereignisse (z.B. Sicherheitsverletzungen, Anfragen von betroffenen Personen, Veränderungen der erhobenen Daten, Veränderungen bei Lieferanten etc…) der Schutz der personenbezogenen Daten gegeben ist.

Schritt 6: Dokumentieren („Documenter“)

 

Für den letzten Schritt ist es notwendig, dass die Organisationen die datenschutzrechtliche Dokumentation zusammenstellen und aufbereiten.

Die Compliance-Aktivitäten und die Dokumente, die in jedem Schritt erstellt werden, müssen in periodischen Abständen geprüft und angepasst werden, um den kontinuierlichen Datenschutz zu gewährleisten.

Im Einzelnen enthält diese Dokumentation:

  1. Verzeichnis von Verarbeitungstätigkeiten iSd Art. 30 DSGVO
  2. Datenschutz-Folgenabschätzungen für Verarbeitungen mit hohen Risken oder die Dokumentation, weshalb keine hohen Risken gegeben sind.
  3. Dokumentation zu den Mechanismen der Datenübermittlungen (z.B. Standardvertragsklauseln, Binding Corporate Rules, Zertifizierungen, sofern anwendbar)
  4. Datenschutzerklärungen
  5. Formulare für die Einwilligungserklärungen von betroffenen Personen, und auch Nachweise, dass die betroffenen Personen die Einwilligung gegeben haben, in den Fällen, in denen die Einwilligung die Rechtsgrundlage darstellt.
  6. Prozesse, die implementiert wurden, um sicherzustellen, dass betroffene Personen ihre Rechte ausüben können;
  7. Vereinbarungen mit Lieferanten und Auftragsdatenverarbeitern; und
  8. Interne Prozesse nach einer Datenschutzverletzung (inkl. Data Breach Notification)

Fanpage-Betreiber - Berliner Landesbeauftragte eröffnet Verfahren

 

Die Berliner Beauftrage für den Datenschutz startete am 16.11.2018 Verfahren wegen Facebook Fanpages gegen deutsche Organisationen.

mehr lesen 0 Kommentare

Wird die juristische Person aus dem DSG entfernt?

 

 

 

 

Im Verfassungsausschuss stand am 14.11.2018 die Änderung des DSG auf der Tagesordnung …

 

… vertagt oder abgesagt?

 

mehr lesen

Personaldatenverarbeitung und Datenschutz-Folgenabschätzung

 

Die Datenschutz-Folgenabschätzung Ausnahmeverordnung (DSFA-V) wurde am 9.11.2018 im BGBl Nr. 278/2018 veröffentlicht.

Diese betrifft u.a. Verarbeitungsvorgänge, die sich mit der „umfangreichen regelmäßigen und systematischen Überwachung“ von Personen beschäftigen.

 

mehr lesen

Datenschutz-Folgenabschätzung

Recht auf Datenübertragbarkeit bei Postings in Blogs?

 

Blogeinträge, Kommentare und Datenübertragbarkeit.

 

Gibt es bei einem Blog ein Recht auf Datenübertragbarkeit von User-Kommentaren?

 

mehr lesen

DSB: kein subjektives Recht auf bestimmte Datensicherheitsmaßnahmen

 

 

Die Datenschutzbehörde hat in einer Entscheidung (DSB-D123.070/0005-DSB/2018, 13.09.2018 rk) die Frage beurteilt, ob betroffene Personen einen Rechtsanspruch aus die Durchsetzung von Datensicherheitsmaßnahmen / technischen und organisatorischen Maßnahmen gem. Art 32 DSGVO hat.

 

mehr lesen

… keine Notifikation von arbeitsrechtlichen Bestimmungen in Durchführung der DSGVO in Österreich

 

Was ist die Folge?

 

Ist eine fehlende Betriebsvereinbarung iSd §§ 96ff ArbVG ein Anlass zu einer Geldbuße iSd Art 83 (3) lit dDSGVO?

 

 

Einige Bestimmungen der DSGVO verpflichten die Mitgliedstaaten nach Umsetzung oder Ausnutzung einer Öffnungsklausel, die relevanten nationalen Bestimmungen der EU-Kommission mitzuteilen ("Notifikation")

 

mehr lesen

Datenschutz-Folgenabschätzung: Gibt es schon eine Endversion der „Black-List“ in Österreich?

 

Die Datenschutzbehörde hat vor einiger Zeit, den Entwurf zur Datenschutz-Folgenabschätzung Verordnung („DSFA-V“) an die Amtsparteien versendet. Der Europäische Datenschutz-Ausschuss hat dazu Stellung genommen. Eine Veröffentlichung der DSFA-V im Bundesgesetzblatt ist noch nicht erfolgt. Was ist zu erwarten?

 

mehr lesen

Auch Bayern bestätigt: Steuerberater ist kein Auftragsverarbeiter

 

 

Die Diskussion, ob Steuerberater oder Lohnverrechner Auftragsverarbeiter oder eigene Verantwortliche sind, geht weiter. Nun hat sich auch das Bayerische Landesamt für Datenschutz zu Wort gemeldet. 

 

mehr lesen

Steht eine weitere Änderung des Datenschutzgesetzes bevor?

 

Das Grundrecht auf Datenschutz des § 1 DSG schützt ab 1.1.2020 nur mehr die natürliche Person.

mehr lesen

DSB bestätigt: Bewerberdaten dürfen 7 Monate aufbewahrt werden.

Ein Bewerber verlangte die Löschung seiner Daten.

 

Die Österreichische Datenschutzbehörde bestätigte in einer ersten Entscheidung eine Speicherdauer von 7 Monaten 

mehr lesen 0 Kommentare

Das Klingelschild und der Datenschutz

Das Klingelschild und der Datenschutz schafften es prominent in die Medien …

Wie ist das aus datenschutzrechtlicher Sicht, wenn der Name auf dem Klingelschild "veröffentlicht" wird?

 

 

 

Wiener Wohnen – mit insgesamt mehr als 220.000 verwalteten Wohnungen – sah sich mit einer Beschwerde bezüglich der „Veröffentlichung des Namens eines Mieters“ auf dem Klingelschild konfrontiert.

 

Der Verantwortliche geht einen pragmatischen Weg und geht dem Datenschutz „aus dem Weg“.

 

mehr lesen 5 Kommentare

erste Entscheidung zur Einwilligung in AGB nach DSGVO vom OGH

 

Marketing:


Eine Einwilligung  in AGB kann den Transparenzgrundsätzen des § 6 Abs 3 KSchG entsprechen, aber sie widerspricht dem Kopplungsverbot

 

mehr lesen 0 Kommentare

erste Entscheidung zur Verwedung von GPS-Ortung durch Dienstgeber nach DSGVO

 

Die DSB in Österreich hatte sich bereits mit der Frage der Zulässigkeit und Rechtsgrundlage des GPS-Einsatzes im beruflich genutzten PKW zu beschäftigen.

mehr lesen

DSB-Entscheidung zur Einwilligung im Juli 2018

mehr lesen