Embed Size (px)
Citation preview
Revision des DSG - Handlungsanweisungen zur Compliance im risikobasierten Ansatz
EuropaInstitut an der Universität Zürich, 11. Tagung zum Datenschutz – Jüngste Entwicklungen
Jutta Sonja Oberlin, 25. Januar 2018
© 2018 Deloitte AG
Der Revisionsverlauf des DSG
Was bisher geschah…
EU-DS-GVO in Kraft
Ende VernehmlassungVeröffentlichung
Vorentwurf DSG (VE-DSG)
Mai 2018April 2017
2
Veröffentlichung
Entwurf E-DSG
Veröffentlichung Botschaft plus Entwurf-DSG
Sept. 2017
Kein komplettiertes «Swiss Finish»
Mitteilung durch Sekretariat der Kommission: Revision Datenschutz in 2 Etappen
Januar 2018
Phase der Rechtsunsicherheit
Verabschiedung Totalrevision DSG «ohne Zeitdruck» ?
MöglichesUmsetzungsdatum der notwendigen Anpassungen bzgl. der Anforderungen des Schengen Abkommens
2019Dez 2016 Feb 2017
Die DS-GVO verpflichtet die EU Kommission, ab dem 25. Mai 2018, alle Gleichwertigkeitsanerkennungen auf die neuen Voraussetzungen zu prüfen 1
Die Gleichwertigkeitsanerkennungen ist Voraussetzung für Schweizer Unternehmen, um personenbezogene Daten von der EU in die CH transferieren zu dürfen, ohne weitere Auflagen (Schutzvorkehrungen) erfüllen zu müssen.
© 2018 Deloitte AG
• Anpassung an die neuen technischen Gegebenheiten
• Stärkere Möglichkeit der Selbstbestimmung der betroffenen Personen über deren Daten
• Die Schweiz seitens der EU auch weiterhin als adäquater Drittstaat gilt: GesamtwirtschaftlicheSicht und so den reibungslosen Datenaustausch mit EU Staaten zu garantieren ( Stärkung desWirtschaftsstandorts Schweiz)
• Anpassung DSG an die Anforderungen der auf die Schweiz verbindlichenDatenschutzkonvention des Europarates SEV108
Warum die Totalrevision?
3
© 2018 Deloitte AG
Überblick über die zentralen Inhalte der Norm
Geltungsbereich
Strafbestimmungen
- Schutz der natürlichen Personen- Juristische Personen gelten nicht mehr als Datensubjekte gemäss Art. 4 E-DSG (zu beachten: Mitarbeiterdaten im Anwendungsbereich!)- Anwendungsbereich nur innerhalb Schweizer Staatsgebiet - kein exterritorialer Anwendungsbereich (Gegenteilig zur DS-GVO)
- Höchststrafe im Vergleich zum VE-DSG auf 250.000 CHF abgesenkt (Art. 54 E-DSG)- Strafen gegen Individualpersonen (bspw. Datenschutzberater Art. 9 E-DSG)
- Informationspflicht Art. 17 E-DSG- Informationspflicht bei automatisierter Datenverarbeitung gemäss Art. 15 E-DSG- Auskunftsrecht gemäss Art. 23 E-DSG & Daten müssen vernichtet werden, sobald sie zum Zweck der Bearbeitung nicht mehr
erforderlich sind Art. 5 Abs. 4 E-DSG- «Recht auf Vergessenwerden» für Verstorbene Art. 16 E-DSG
Ausweitung der
Rechte von
Individualpersonen
Ausweitung der
Pflichten für
Unternehmen
Stärkung der
Bedeutung
staatlicher
Kontrollorgane
- Pflicht zur Meldung von Datensicherheits-Verletzungen gemäss Art. 22 E-DSG (Data Breach Notification)- Privacy by Design/Default Art. 6 E-DSG- Datenschutz-Folgeabschätzung (DPIA) gemäss Art. 20 E-DSG- Verzeichnis der Bearbeitungstätigkeiten Art. 11 E-DSG- Die Ernennung eines Datenschutzberaters (DPO) bleibt auf freiwilliger Basis erhalten – führt jedoch zur Privilegierung bei der Datenschutz-
Folgeabschätzung
- Deutliche Stärkung der Stellung des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB)- Bisher nach geltendem Recht: blosse Empfehlungen des EDÖB- Neu: Eröffnung von Untersuchungen & Einleitung vorsorglicher Massnahmen & nach Untersuchung sogar Erlass von Verfügungen (Art.
43 ff. E-DSG)- EDÖB ist nicht befugt Verwaltungssanktionen zu erlassen !!!- EDÖB kann Verhaltenskodizes überprüfen (Art. 10 E-DSG)
Vergleich zur DS-
GVO
- E-DSG ist mit der DS-GVO vergleichbar – jedoch nicht «copy/paste» (keine Einwilligung, kein Recht auf Datenportabilität; CH-Datenschutz-Folgeabschätzung geht über die DS-GVO hinaus)
Übergangs-
bestimmungen- Fortdauernde Bearbeitungen, sowie die neuen Informationspflichten müssen erst nach 2 Jahren nach Inkrafttreten angepasst sein (Art. 62 ff. E-DSG)
4
Analyse & erste Implementationsschritte
Ideen für den Rechtsanwender
© 2018 Deloitte AG
Datenschutz MethodologieEs werden hierbei 6 verschiedene Schritte analysiert, in welchen Kontrollen identifiziert werden, um so ein angemessenen Datenschutz Kontroll-Framework zu implementieren
Audit en compliance
Verzeichnis der Bearbeitungstätigkeiten
Data Management
Daten Transfer
Strategie
Policies & Richtlinien
Ggf. Zertifizierung
Privacy byDesign
DatenschutzOrganisation
Kommunikation, Training, Awareness
Datenschutz-Folgeabschätzung
6
© 2018 Deloitte AG
Wichtige Massnahmen für Umsetzung des V-DSG
E-DSG Readiness Assessment (GAP Analyse & Draft erste Roadmap)
E-DSG Transformations Programm (Finalisierung Roadmap und Start Implementation) inkl. Evaluation Risiko Appetit
Verzeichnis der Bearbeitungstätigkeiten
Privacy by Design / DPIA
Drittparteienmanagement
E-DSG Readiness
Assessment
E-DSG Transformation
Program
Data Processing Inventory
Privacy byDesign & DPIA
Third Party Procedures
Start GAP Analyse:
Inkrafttreten der Norm
7
© 2018 Deloitte AG
Der Schlüsselfaktor bzgl. der Vorbereitung der Implementationsphase
Was ist eine Compliance GAP-Analyse?
Heatmap
Draft
Fragenkatalog
Projekt Initiierung:
Analyse Phase1
Gap Analyse &
Risiko Assessment2 Massnahmenkatalog3Planung der
Implementationsphase4
Interne
Stakeholder
?
??
?
Drittparteien???
Applikationen?
??
Prozesse ?
Rechtlicher
Anwendungs-
bereich
«Schlüssel-
entscheidungen»
Scope
Frage 1
Frage 2
Frage 3
Frage 4
Prinzipien
Drittparteien
Datentransfer
Data
Governance
IT Security
Compliance
P P A T
Applikationen
Prozesse
Interne
Interessen-
gruppen
Evaluation der
Relevanz
(must, need,
nice)
Koordination
Massnahme 1
Massnahme 2
….M3
M4
…M5
M6
…
…
Katalog
Systems
DSMS
Daten &
Applikationen
Process
Geschäfts-
prozesse
Applikationen
Strategy
Risikoappetit
R §
Wahl eines
einfachen
Szenarios
Integration in
die Prozesse
- RM
- IR
- Legal
- Reporting
- ICS
Szenarien XPlanning theimplementationphase
Oberflächlicher
Projektplan
Projekt-
organisation
Oberflächliche
Ressourcen-
planung
Training
Projekt-
mitglieder
DatensammlungGap Analyse &
Evaluation
Massnahmen &
PriorisierungenSzenario-basierter-
LösungsansatzDSG Konzept
Implementations-
planung
Preparation &
Training
Initialisierung des
Rahmenwerkes
Dokumentation
Interessen-
gruppen
Risikobasiert?
Planung der
Analyse
Aspects
of
GD
PR r
equirem
ents
Richtlinien &
Wesiungen
Management
Reporting
«Governance»
Personen-
daten
Phase 1 Phase 2
© 2018 Deloitte AG
Gap Analyse & Risk Assessment Tools
Deloitte. E-DSG Current State Assessment Framework
To Do`s vor der Interviewphase:
Interview Partner auswählen
Tiefe des Fragebogens bestimmen (gemäss Risiko Appetit)
Interviewbögen an Risiko Appetit anpassen (must, should, nice)
Interview Partner schulen
© 2018 Deloitte AG
Next steps – Beispiel einer Implementations Roadmap
2019 2020
Verzeichnis der Bearbeitungstätigkeiten
Privacy by Design
Datenschutz-Folgeabschätzung
Meldung Datenschutzverstoss
Rechte des Datensubjektes
Drittparteienmanagement
10
© 2018 Deloitte AG
Die Hauptanforderungen in der Implementationsgraphik
E-DSG Workstreams
Data Retention
Rechte des Datensubjektes
Datenschutzweisung
Data Breach management
Verzeichnis Bearbeitungs-tätigkeiten
DPIA
Sicherheit
Privacy by Design
Vertrag Drittpartei
Daten-transfer
Sub-Data Processing Agreement
11
© 2018 Deloitte AG
Der risikobasierte Ansatz
Wie ist mit der Komplexität im Unternehmen umzugehen?
Limitierung
Limitierung der zu evaluierenden Prozesse und Applikationen ( nur Applikationen mit 1000+ Datensätze)
Transfer von personenbezogenen Daten
Evaluation nur der wichtigsten Personendaten verarbeitenden Prozesse
Unstrukturierte Daten
Die unstrukturierten Daten ausser Acht lassen
“nur” auf Applikationsebene
Reduktion des Assessmentbereichs auf die Applikationsebene
Drittparteien
Evaluation der wichtigsten Drittparteien
Kurz Assessment
Ein kurzes oberflächliches Assessment, welches die wichtigsten Geschäftsprozesse und Applikationsprozesse analysieren und bewerten soll
12
© 2018 Deloitte AG
Der risikobasierte Ansatz
Reduzierung des UmfangsAuf der Grundlage der vom Unternehmen vorgenommenen Bewertung, wird sich „nur“ auf die Anwendungen konzentriert, die ein hohes Risiko aus Sicht des DSG aufweisen. Zu diesen Bedingungen werden „nur“ die Anwendungen betrachtet, die mehr als 1000 Datensätze oder sensible personenbezogene Daten verarbeiten.
Ausführung eines Daten Assessments basierend auf einem knapp ausgestalteten RahmenwerkesDas Ergebnis des Assessments ist eine Liste mit Prozessen, die aus Sicht des DSG ein höheres Risiko beinhalten. Die Bewertung enthält eine Liste der bestehenden Lücken, die nach der Umsetzungsfrist für die Einhaltung der Mindestanforderungen behandelt werden müssen, und gibt einen Überblick über den Datenfluss und der Daten generell innerhalb des Unternehmens.
Erweiterung des Geltungsbereiches für Anwendungen und ProzesseCross-Checking von Prozessen und Anwendungen beider Seiten. Alle Prozesse mit hohem Risiko und Prozesse mit geringem Risiko. Alle Anwendungen mit einem hohen Risikograd oder die in einem Prozess mit hohem Risiko verwendet werden, sind im Anwendungsbereich.
2nd level assessment von ApplikationenListe der GAPs in den Anwendungen, welche nach der Umsetzungsphase zur Einhaltung der Mindestanforderungen erfüllt werden müssen
12
34
Wie ist mit der Komplexität im Unternehmen umzugehen?
13
Die einzelnen Implementationsmassnahmen
14
© 2018 Deloitte AG
Das Vorgehen – das Clustering der personenbezogenen Daten im Unternehmen
FUNCTIONEN
SERVICES
PRODUKTE
Beispielsweise Kreditkarten, Leasingservices, Versicherungen, Bankkonten, Smartphone Applikationen
Beipielsweise Anti Financial Crime, Compliance, Tax, Legal und Auftragsdatenverarbeiter(Drittparteien)
Beispielsweise Back Office, IT und Human Resources und falls vorhanden externe Provider
Date
nverarb
eit
un
gsvo
rg
än
ge
Basierend auf verschiedenen Aktivitäten zur Verarbeitung
personenbezogener Daten ist
Dokumentation für jedes Produkt oder jede Produktfamilie, jeden Service und
jede Funktion erforderlich!
Merke:
Um die Einhaltung der Regulation zu gewährleisten, muss die IT Landschaft für die Verarbeitung personenbezogener Daten auf der Grundlage von Produkten, Dienstleistungen und Funktionen in der Lage sein, jederzeit eine Sicht auf das Rechtssubjekt generieren zu können.
15
© 2018 Deloitte AG
Wozu braucht es ein solches Mapping?
Mapping der Datenverarbeitungsprozesse und Applikationen
Aus Sicht des E-DSG unterstützt uns die
„Verarbeitungslandschaft“ (in einer Rolle als Controller und
in einigen Fällen als Prozessor), konform zu
werden
Zum Beispiel wäre es nicht möglich, die Einhaltung der Regeln für
grenzüberschreitende Datenübertragungen sicherzustellen,
ohne zu wissen, welche Arten von Daten wir an welche Empfänger in
welchen Ländern weitergeben. Oder wie können wir unsere Daten
angemessen sichern, wenn wir nicht genau wissen, welche Daten wir haben
und wer Zugriff darauf hat?
Das Verständnis unserer Datenflüsse ist eine
wesentliche Voraussetzung für jede Datenschutz-
Compliance-Strategie. Ohne zu verstehen, welche Daten
wir sammeln und verarbeiten und wo diese Daten hin und her fließen, ist es unmöglich sicherzustellen, dass unsere
Datenverarbeitungs-aktivitäten den geltenden
Datenschutzgesetzen und -bestimmungen entsprechen.
16
© 2018 Deloitte AG
Bezeichnung Datensatz
Identität des Verant-wortlichen
Bearbeitungs-zweck und Bearbeitungs-prozess
Kategorie BetroffenePersonen
Kategorie Personen-daten
Kategorie der Empfänger
Aufbewahrungs-frist und Kriterien zur Festlegung dieser Frist
Getroffene Technische und organisatorischeMassnamen
Bekanntgabe ins Ausland ja/nein, wenn ja inkl. Garantien gemäss Art. 13 Abs. 2
Auftrags-bearbeiter ja/nein
HR OnboardingDaten
Firma XYZ Einstellung neuer Mitarbeiter, Erhebung der Daten, Transfer der erhobenen Daten nach Indien
Mitarbeiter der Firma XYZ
Personendaten und besonders schützenswerte PersonendatenReligion,
Mitarbeiter, Auftrags-verarbeiter, Behörden
10 Jahre aufgrund Geschäftsbücher-verordnung
Datenverschlüsselungin Microsoft Lock Box, Assessment Drittparteien
Ja – Garantien gemäss Datenschutzklauseln in einem Vertrag gemäss Art. 13 Abs. 2 lit. b E-DSG und ausdrückliche Einwilligung des Datensubjektes gemäss Art. 14 Abs. 1 lit. A E-DSG
Ja – HROnboardingService (Indien)
…die Mindestanforderungen...
Verzeichnis der Bearbeitungstätigkeiten gemäss Art. 11 E-DSG
Awareness & Compliance auf allen Ebenen
17
© 2018 Deloitte AG
Was gilt es zu beachten…
Drittparteienmanagement unter dem E-DSG
Unternehmen
(Verantwortlicher)
…ist, wer über den Zweck und die Mittel der Verarbeitung entscheidet…
Vorgaben zur Auftrags-
bearbeitung Art. 8
Datensubjekt= betroffene Person
Drittpartei
(Auftragsverarbeiter)
…ist, wer im Auftrag des Verantwortlichen bearbeitet…
Pflichten
Bekanntgabe ins Asland gegenüber Drittparteien kann nicht durch überwiegendes Interesse gerechtfertigt werden Art. 14 Abs. 2
Was müssen wir als Drittpartei beachten?
Haben wir auch
Pflichten?
Daten-sicherheit Art. 6, 7
Kooperation mit
Aufsichtsbehörden
DPIA (Unter-
stützung) Art. 20
Vorgaben für Übermittlung ins Ausland Art. 13 f.
Verzeichnis Bearbeitungs-tätigkeiten Art.
11 BreachNotification
Art. 22
Einholung der Zustimmung für Unteraufträge Art. 8 Abs. 3
E-DSG konforme Verträge
Pflicht zur Führung eines Dateninventars Art. 11
Informationspflicht auf Anfrage bei Datenbekanntgabe ins Ausland Art. 14 Abs. 2
Keine Pflicht über die Information der Identität und weiterer Infos zum Auftragsverarbeiter (Art, 17 gestrichen)
Bearbeitungs-grundsätze
Art. 5
Muss sich vergewissern, dass Auftragsverarbeiter die Datensicherheit gewährleistet Art. 8 Abs. 2
18
© 2018 Deloitte AG
Recht auf Vergessen (“Right to be forgotten”)
Wenn die Aufbewahrung der personenbezogenen Daten nicht länger nötig ist
Ausgenommen wenn: “rechtmässiges Interesse” für die Aufbewahrung der Daten besteht, z.B. erforderliche Verarbeitung:
zur Erfüllung einer rechtlichen Verpflichtung; für im öffentlichen Interesse liegende Archivzwecke, wissenschaftliche oder historische
Forschungszwecke; zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen Die Bearbeitung für die Erfüllung des Zwecks unerlässlich ist
Daten müssen gelöscht
oder anonymisiert werden
Ohne unnötige Verspätung !Ohne Anfrage!
«Recht auf Vergessenwerden» Art. 5 Abs. 4 E-DSG
Neu: Recht auf Löschung von
Daten Verstorbener Art. 16 Abs. 3 E-DSG
Noch offen ist wie derSchweizer Gesetzgeber zu
dem juristischen Auslegungsansatz der relativen/absoluten
Begriffsauslegung bzgl. Anonymisierung und Verschlüsselung steht
© 2018 Deloitte AG
Informationspflicht Art. 17 E-DSG
Datensubjekt hat ein Recht auf die
Informationen die es braucht, damit er/sie ihre Rechte geltend
machen kann
Recht der Datensubjekte
Keine Formvorschrift
Für die direkte und indirekte Beschaffung
Innerhalb eines Monats
Personendaten müssen in sämtlichen Geschäftsbereichen und Applikationen bekannt sein
20
© 2018 Deloitte AG
Auskunftsrecht Art. 23 ff. E-DSG
Datensubjekt hat ein Recht auf die
Informationen die es braucht, damit er/sie ihre Rechte geltend
machen kann z.B. die Gewährleistung einer
transparenten Datenbearbeitung
Recht der Datensubjekte
Keine Formvorschrift
Kostenlos !
Innerhalb eines Monats
Personendaten müssen in sämtlichen Geschäftsbereichen und Applikationen bekannt sein
21
© 2018 Deloitte AG
DPIA – Datenschutz-Folgeabschätzung Art. 20 E-DSG
— Bei der Nutzung neuer Technologien
— Systematische und genaue Evaluierung der Risiken und Gefahren des Verarbeitungsvorgangs insbesondere
auch bei vollautomatischen Prozessen
— Profiling
— Wenn eine umfangreiche Bearbeitung von besonders schützenswerten Personendaten statt findet
— Wenn systematisch umfangreich öffentliche Bereiche überwacht werden
— Sind mehrere ähnliche Bearbeitungsvorgänge geplant, so kann eine gemeinsame Abschätzung erstellt
werden
— Durchführen eines Assessments das aufzeigt welche Gefahren für das Datensubjekt bei diesem konkreten
Verarbeitungsvorgang bestehen, insbesondere ist dabei die Natur, Art, der Zweck und der Kontext der
Datenverarbeitung zu beachten
— Die Datenschutz-Folgeabschätzung enthält eine Beschreibung der geplanten Bearbeitung, eine Bewertung
der Risiken für die Persönlichkeit oder die Grundrechte der betroffenen Person sowie die Massnahmen zum
Schutz der Persönlichkeit und der Grundrechte
— Derartige Assessments sollten gemeinsam mit oder durch den Datenschutzberater oder von den
Datenschutz Verantwortlichen durchgeführt und dokumentiert werden
Wann?
Was?
Wie ?
22
© 2018 Deloitte AG
Die Prozessmatrix
DPIA – Datenschutz-Folgeabschätzung Art. 20 E-DSG
DPIAIdentifikatio
n von Datenschut
z Risiken
Implementation von
technischen und
organisatorischen
Massnahmen
Überwachen der
Kontrollen
“First Point of Contact”: Screening Fragen
23
© 2018 Deloitte AG
Privacy by Design wurde von Dr. Ann Cavoukian, Kommissarin für Information und Datenschutz, Ontario, Kanada in den 1990er Jahren entwickelt und bezieht sich auf die Philosophie und den Ansatz der Integration von Privatsphäre in die Gestaltung von Technologie, Geschäftspraktiken und physischem Design.
Datenschutz durch Technik und datenschutzfreundliche Vorseinstellungen- Privacy by Design & Privacy by Default Art. 6 E-DSG
Was ?
— Man muss den “state of the art” beachten, die Natur, den Grund und den Zweck sowie den Kontext der Datenverarbeitung
beachten
— Implementierung von technischen und organisatorischen Massnahmen (z.B. pseudonomisierung)
— In die Datenverarbeitung müssen von Anfang an Schutz Mechanismen eingebaut werden
— Datenschutzprinzipien gemäss Art. 5 E-DSG müssen von Anfang an umgesetzt/eingebaut werden
— Datenschutzrisiken müssen von Beginn weg eingeschätzt und entsprechend angegangen werden
Wann ?
— Wenn der Prozess aufgebaut wird bzw. das System gestaltet wird
— Auch wenn die Verarbeitung schon stattfindet.
Wie ?
— Datenminimierung
— Beachtung der Grundsätze gemäss Art. 5 E-DSG
— Technische und organisatorische Massnahmen
— Dokumentation erstellen und aktuell halten24
© 2018 Deloitte AG
Die 7 fundamentalen Prinzipien
Privacy by Design
Proaktiv nicht Reaktiv; Präventiv nicht Abhilfe
Datenschutz als Standardeinstellung
Volle Funktionalität –“Positive-Sum not Zero Sum”
Datenschutz in der Designpahse berücksichtigen
End to End Security –Schutz des gesamten LebenszyklusSichtbarkeit und Transparenz
– “Keep it Open”
Respect for User Privacy –Benutzer- freundlich
0102
03 04
0506
07 Privacy by Design
25
© 2018 Deloitte AG
Zwingende Datenschutz Grundsätze vereinen sich mit dem Daten Lebenszyklus
Privacy by Design
Datenschutzrechtliche Massnahmen betreffend IT Art. 6, 7 E-DSG
Datenschutzweisung
Security Policy (Datenklassifizierung, Aufbewahrungsfristen und Löschung) Verzeichnis von Bearbeitungstätigkeiten Incident Response Datenflüsse inkl. Datentransfers ins Ausland
Datenschutz Grundsätze Art. 5 E-DSG
Rechtmässigkeit
Treu und Glauben Verhältnismässigkeit Erkennbarer Zweck der Datenverarbeitung Löschung oder Anonymisierung wenn Daten nicht mehr “gebraucht”
werden Richtigkeit und Vollständigkeit der Daten
Lebenszyklus der Daten
Erheben
Verarbeiten Bekanntgeben Aufbewahren Vernichten
Bekanntgabe
Aufbewahrung
Löschung
Erhebung
Bearbeitung
26
© 2018 Deloitte AG
Evaluation der möglichen Risikobereiche
Risiko-bereiche
Die Client Side kann eine erhebliche
Bedrohung für ein Unternehmen
darstellen. Mitarbeiter laden häufig
Kundendateien, Unternehmens-E-Mails
und rechtliche Dokumente zur
Verarbeitung auf ihren Computer herunter
Verschiedene Anwendungen werden
im Allgemeinen auf den Servern eines Unternehmens
installiert, und jede Anwendung vergrößert die Oberfläche, die für einen Angriff anfällig
sein kann
Der Datenschutz kann nur gewährleistet
werden, wenn passende Sicherheitsmaßnahmen getroffen wurden. Jedes Unternehmen sollte eine
Sicherheitsrichtlinie zusammen mit
Compliance- und IT Security
implementieren, um es durchzusetzen.
Applikationen können Malware enthalten. Die
Office-Productivity-Software ist
wahrscheinlich die am häufigsten verwendete
Art von Applikation. Aber selbst diese
Anwendungen können Viren, Keylogger,
Datensammler usw. enthalten
Das Netzwerk ist mit Client-Maschinen,
Servern, Routern, Hubs, Load-Balancern usw. verbunden. Jeder von diesen, könnte eine
Datenschutzverletzung verursachen
Die Speicherung von personenbezogenen
Daten an diversen Orten hat Vor- und Nachteile.
Es ist wichtig, Richtlinien zu haben, die
jeden der Speichermechanismen
abdecken, um das Risiko einer
Datenschutz-verletzung zu minimieren
Speicher
Netzwerk
Applikationen
Client Side
Server Side
Weisungen
27
© 2018 Deloitte AG
Die Basis für die Implementation im Unternehmen
Die Implementierung von Privacy by Design
Phase
Zielsetzung
Überdenken Überarbeiten “Ins Leben rufen”
Identifizieren Sie Geschäft und
Datenschutzanforderungenin Verbindung mit
Zielsystem
Design und Entwicklungneuer Kontrollen, welche
einerseits auf die Regulation und andererseits auf das Business „aligned“ sind
Rollout verbessern,privacy-enhanced
system
Schlüssel-aktivitäten
Bestätigen / Festlegung von Geschäftsanforderungen
Bewerten Sie bestehende System-Datenschutzkontrollen bzgl. PbD-Prinzipien
Mängel identifizieren (Lückenanalyse)
Definieren Sie strategische Geschäftsziele, Kontrollanforderungen und erste Implementierungsstrategien
Entwerfen und erstellen von Kontrollen, die Geschäftsziele erfüllen und gleichzeitig PbD-Prinzipien unterstützen
Beseitigen Sie frühere, nicht konforme Kontrollen
Implementieren Sie neue Kontrollen
Testen Sie neue Kontrollen
Revalidierung des neu gestaltete Systems bzgl. PbD-Prinzipien
Bestätigen Sie die erfolgreiche Integration des neu gestalteten Systems
ResultatKlare Projektziele wurden
entwickelt
Neugestaltetes Zielsystem mit neuen
Datenschutzeinstellungen
Organisatorisch integriertZielsystem ausgerichtet bzgl.
PbD-Prinzipien
28
© 2018 Deloitte AG
Betroffene Person wird nur dann
informiert, wenn es zu ihrem Schutz
erforderlich ist oder der Beauftragte es
verlangt
Inhalt Meldung:
Mind. Art der Verletzung, Folgen und
Massnahmen
Meldung so rasch wie
möglich an den
Beauftragten
(Data Breach Notification)
Meldung von Verletzungen der Datensicherheit Art. 22 E-DSG
Achtung!
Auftragsverarbeiter müssen gemäss Art. 22 Abs. 3 E-
DSG dem Verantwortlichen so rasch als möglich eine
Verletzung der Datensicherheit melden
29
Vielen Dank.
Jutta Sonja Oberlin
Manager | Risk Advisory | Deloitte AG
General-Guisan-Quai 38, 8022 Zurich, Switzerland
D: +41 79 854 77 57
30
Diese Publikation ist allgemein abgefasst und wir empfehlen Ihnen, sich professionell beraten zu lassen, bevor Sie gestützt auf den Inhalt dieser Publikation Handlungen vornehmen oder unterlassen. Deloitte AG übernimmt keine Verantwortung und lehnt jegliche Haftung für Verluste ab, die sich ergeben, wenn eine Person aufgrund der Informationen in dieser Publikation eine Handlung vornimmt oder unterlässt.
Deloitte AG ist eine Tochtergesellschaft von Deloitte NWE LLP, einem Mitgliedsunternehmen der Deloitte Touche Tohmatsu Limited ("DTTL"), eine "UK private company limited by guarantee" (eine Gesellschaft mit beschränkter Haftung nach britischem Recht). DTTL und ihre Mitgliedsunternehmen sind rechtlich selbständige und unabhängige Unternehmen. DTTL und Deloitte NWE LLP erbringen selbst keine Dienstleistungen gegenüber Kunden. Eine detaillierte Beschreibung der rechtlichen Struktur finden Sie unter www.deloitte.com/ch/about.
Deloitte AG ist eine von der Eidgenössischen Revisionsaufsichtsbehörde (RAB) und der Eidgenössischen Finanzmarktaufsicht FINMA zugelassene und beaufsichtigte Revisionsgesellschaft.
© Deloitte AG 2018. Alle Rechte vorbehalten.
