Wie man für Datenschutz sorgen kann: Teil 2

Im ersten Teil dieses Blogartikels wurde beschrieben, welche Vorteile man in Datenanalysen erzielt, wenn die Erhebung der Daten umfassender gestaltet wird.

Die Daten können effizientere Lösungen bieten und sogar in anderen Anwendungsfällen flexibel eingesetzt werden. Diese können auch interessante Muster beinhalten, die unerwartete Ergebnisse liefern können.

Zum ersten Teil dieses Blogs gelangen Sie hier.

Die Erhebung personenbezogener Daten durch Datacontroller (Institutionen und Unternehmen, die Zugriff auf personenbezogene Daten haben und für ihre gesetzeskonforme Speicherung und Verarbeitung zuständig sind) stellt aber ein Risiko für diejenigen dar, auf deren Person sich die Daten beziehen. Je umfassender die Datenmengen sind, desto höher ist das Risiko, das die Datensubjekte tragen müssen. Dieses Risiko ist sogar von der Absicht der Datenerhebung unabhängig. Durch das Erteilen eigener Informationen übergibt man heute Organisationen die Macht über die eigenen Daten und vertraut ihnen mit der Verantwortung die eigenen Daten nicht zu missbrauchen und vor Unbefugten zu schützen. Diese Gefahr kann große Konsequenzen für die Individuen haben.

 

Murphys Gesetz

Eine große Gefahr ist die Diskriminierung von Individuen. Beispielsweise könnte man durch die eigene Krankengeschichte in einem neuen Krankenhaus oder auf dem Arbeitsmarkt anders behandelt werden. Zudem können solche Nachteile entstehen, wenn die Daten in weiteren Anwendungen eingesetzt werden, die nicht Zweck der Erhebung gewesen sind. Individuen, die ungerechterweise benachteiligt werden, möchten solche Nachteile vermeiden.

Darüber hinaus muss man nicht genau das Verhalten aufweisen, welches die Diskriminierung seitens der Datacontroller theoretisch "rechtfertigen" sollte. Selbst wenn man unverwandte aber identische Merkmale zu Personen in der "zu benachteiligenden" Gruppe hat, ist es möglich, dass man selbst auch benachteiligt wird. Die Analyse von Daten ist kein exakter Prozess und wird immer weiter optimiert. Befindet man sich in der Datenmenge eines sich verbessernden Prozesses, so sollte die Analyse nicht auf die eigenen Kosten verbessert werden.

Ein weiterer Aspekt ist das Recht auf die eigene Privatsphäre. Es gibt Verschiedenes im eigenen Privatleben, das man vor der Öffentlichkeit geheim halten möchte, wie zum Beispiel Einkommen, Sexualorientierung, Krankengeschichte, Schulden, Abschlussnoten usw. Das Verbergen dieser Information deutet nicht darauf hin, dass ein finanzieller Schaden durch das Preisgeben solcher Daten stattfindet oder dass man eine Ordnungswidrigkeit planen möchte; einige Dinge möchte man eben für sich behalten.

Es kann auch das Risiko bestehen, dass man anhand der Personendaten nachverfolgt werden kann. Dies ist besonders kritisch für politische Flüchtlinge bzw. Menschen im Zeugenschutzprogramm. Die Gefahr besteht aber auch für Menschen, die nicht auf der Flucht sind. Wenn Datenmengen aus verschiedenen Quellen, die allein keine Gefahr darstellen, kombiniert werden, so können wiederum Muster entstehen, die Individuen gefährden können und so sind sie für die oben beschriebenen Risiken anfällig. Der Schutz von Personendaten vor staatlichen Behörden stieß 2013 aus diesem Grund in der Medienberichterstattung auf zunehmendes Interesse.

Das zuletzt geschilderte Risiko kann auch mit dem Fortschritt der Gesellschaft in Konflikt stehen. Bei Umfragen und Studien, die versuchen, Krankheitserreger zu identifizieren oder den Hintergründen krimineller Tätigkeiten nachzugehen, muss den Teilnehmern zugesichert werden, dass diese Daten vertraulich behandelt und nicht zur Nachverfolgung verwendet werden. Hierbei kann es sich um genetische Daten, Daten zur Ernährung und zum Lebensstil oder sogar Daten über das familiäre Umfeld handeln. Besteht ein Zweifel über den Datenschutz, so können solche Analysen nicht effektiv gestaltet werden. Weiterhin können die Befragten anhand ihrer Teilnahme nachverfolgt und benachteiligt werden.

Wichtig ist die Erkenntnis, dass solche Personendaten auch von Dritten ausgenutzt werden können. Data-Leaks, sogenannte Datenpannen, gehören heute zum Alltag. Das Ziel von Cyberangriffen ist oft nicht Geld, sondern Identitäten, Konsum- und Kreditverhalten, Browsingverhalten und Bewegungsdaten. Daher ist das Risiko eines Datenverstoßes unabhängig von der Absicht der Datacontroller, sondern eher abhängig von den Maßnahmen und Prozessen. Somit haben Individuen allerdings theoretisch keine Chance, Maßnahmen gegen diese Risiken zu ergreifen, obwohl sie Schaden davontragen können.

 

EU, we have a problem.

Um genau diese Risiken zu mindern, ist die DSGVO am 25. Mai 2018 in Kraft getreten. Sie versucht gegen diese Situationen, die für die Gesellschaft ein Problem darstellen, pragmatische Lösungen einzuführen. Mit der DSGVO sind auch strenge Konsequenzen eingeführt worden, welche aus Sicht der Europäischen Union für den Einsatz von Datenschutzrichtlinien auf organisatorischer Ebene europaweit sorgen sollten. Die DSGVO versucht, den Datensubjekten eine Art Kontrolle über ihre Daten zu schaffen.

Die DSGVO gibt klar vor, welche Daten als personenbezogen zu betrachten sind und wie der genaue Umgang mit diesen Daten in jedem Schritt auszusehen hat. Sie zwingt Unternehmen und andere Organisationen dazu, Maßnahmen gegen die obigen Risiken zu treffen.

Laut der Verordnung dürfen z.B. nur zum Zweck relevante Personendaten gesammelt werden. Der Zweck und die genaue Auswertung müssen zusätzlich vor der Datenerhebung klar sein. Eine weitere Verarbeitung der Daten ist der Verordnung nach nur mit Zustimmung der Datensubjekte zulässig. Dadurch soll verhindert werden, dass Personendaten ohne die Zustimmung und das Wissen der Individuen gespeichert bzw. ausgewertet werden. Dementsprechend sollen auch die Gefahren vermieden werden, die die Kombinationen von Datenmengen aus verschiedenen Quellen ermöglichen, da die Daten schwieriger zu verlinken sind. Zudem sollte dadurch der potenzielle Schaden bei einem Datenschutzvorfall minimiert werden. Wenn die Personendaten einfach nicht erhoben werden, müssen diese dann nicht mehr reguliert werden.

Die DSGVO verhindert auch die Übergabe von Personendaten an Dritte, wenn diese den Datensubjekten nicht kommuniziert worden ist und nicht dem Zweck der Erhebung entspricht. Weiterhin sollte der Zugriff auf die Personendaten unter den Datacontrollern nach Ockhams Rasiermesser erteilt werden. Das bedeutet, dass nur möglichst wenige Controller über den Zugriff auf die gesamte Datenmenge verfügen sollten. Durch solche Maßnahmen wird der Umgang mit gespeicherten Personendaten gesichert.

Es gibt aber noch weitere Pflichten für die Datacontroller, wie z.B. die Lösch- und Auskunftspflichten. Hierbei sind personenbezogene Daten aus dem System des Datacontrollers nach Ablauf fest definierter Fristen zu entfernen, nachdem diese Daten nicht mehr für den Zweck der Erhebung relevant sind. Weiterhin haben Datensubjekte das Recht, das Ergebnis von Entscheidungen, die auf den eigenen Personendaten basierend getroffen wurden, sich erklären zu lassen, um eine mögliche Diskriminierung zu vermeiden.

Wenn man beispielsweise einen befristeten Vertrag vor langer Zeit abgeschlossen hat und diese Personendaten weder für den Vertrag relevant sind, noch innerhalb der gesetzlichen Aufbewahrungsfrist liegen, dann müssen diese Personendaten aus dem EDV-System entfernt werden. Außerdem können Individuen von Datacontrollern fordern, eine Zusammenfassung der ihnen zur Verfügung stehenden Personendaten über diese Individuen vorzulegen. Bekommt weiterhin eine Person eine abgelehnte Kreditentscheidung, so kann vom Datacontroller ggfs. gefordert werden, den Zusammenhang der Entscheidung zu den Personendaten zu ermitteln, um einen möglichen Missbrauch der Daten zu verhindern.

Damit sollten EU-Bürger jetzt die Möglichkeit haben, gegen die mit der Speicherung von personenbezogenen Daten verbundenen Risiken Maßnahmen zu ergreifen. Sie können sogar den Stand der eigenen Personendaten vor der Einführung der DSGVO von Institutionen und Unternehmen fordern und können sich einen Überblick verschaffen, wem welche Daten zur Verfügung stehen. Weiterhin können Sie von diesen Organisationen fordern, die Personendaten zu löschen, soweit es nicht rekonstruierbar ist, dass sie jemals im System erfasst wurden.

Die EU-Kommission möchte, dass Datenschutz zu einem zentralen Teil von EDV-Systemen und nicht einfach als Hintergedanke gesehen wird. Diese Einstellung bezeichnet sie mit dem Begriff "Privacy by Design". Durch eine aufmerksame Betrachtung der DSGVO lässt sich weiter feststellen, wie die Regelung versucht, die Risiken im Einzelnen oder in Kombination zu bekämpfen. Die Kritiker dieser Verordnung bemängeln z. B. die assoziierten Kosten der Umsetzung der DSGVO und sehen die DSGVO als eine Art "Lobbying" durch Großkonzerne gegen Kleinunternehmen. Zudem wird behauptet, dass es sich um eine zu rasante Änderung handele.

Die Perspektive der Kritiker ist nicht unbegründet. Andererseits hat die EU-Kommission die Datacontroller bei der Analyse und Erstellung eines Leitfadens unterstützt. Viele Regelungen mit ähnlichem Inhalt zum Datenschutz sind in den einzelnen Mitgliedsstaaten bereits vor der DSGVO eingeführt worden. Die DSGVO versucht aber innerhalb der EU die gleichen Regelungen einzuführen, damit personenbezogene Daten europaweit identisch zu betrachten sind. Darüber hinaus stehen die Ankündigungen und weitere Ressourcen zur Unterstützung Jahre vor Einführung der Regelung zur Verfügung. Die WP29 (die von der EU-Kommission beauftragte Arbeitsgruppe 29) bestand aus den DS-Beauftragten der Mitgliedsstaaten und hat schon seit 2013 viel zum Thema der Realisierung der Gesetzeskonformität veröffentlicht (Mit dem Inkrafttreten der Datenschutzgrundverordnung wurde die Artikel-29-Datenschutzgruppe durch den Europäischen Datenschutzausschuss abgelöst).

Zusammen mit diesen Ressourcen kann man durch innovative IT-Lösungen (wie z. B. Pseudonymisierung, Anonymisierung und Metadatenmodelle) diese Pflichten einhalten. Diese müssen geschickt entworfen und die Algorithmen können abstrahiert werden, sodass die Realisierung auch für Organisationen mit begrenzten Ressourcen für die "DSGVO-Umsetzung" ermöglicht wird. Mit diesem Entwurfsprozess beschäftigen wir uns bei IT-P und arbeiten gerne mit unseren Kunden zusammen, um eine DSGVO-konforme Lösung für ihr System zu finden. Für uns ist das Ziel nicht nur die Konformität, sondern auch die tatsächliche Minimierung der Risiken sowie die gleichzeitige Funktion der Arbeitsprozesse, so wie sie unsere Kunden gewohnt sind.

In weiteren Teilen dieses Blogs gehe ich darauf ein, welche Techniken und Tools die Umsetzung der DSGVO vereinfachen und gleichzeitig die mit der Speicherung von Personendaten assoziierten Risiken minimieren können, ohne dabei die Geschäftsprozesse wesentlich ändern zu müssen. Zum Schluss wird auch beschrieben, dass Data-Analytics durchaus in manchen Fällen profitieren kann und was ein zusätzlicher Anreiz sein kann, sich über Informationssicherheit Gedanken zu machen.

Bharat Ahuja
Bharat Ahuja
Oracle Consultant
Competence Center Oracle
T.: +49 511 61 68 04 -320
E.: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!

Cookies erleichtern die Bereitstellung unserer Dienste. Mit der Nutzung unserer Dienste erklären Sie sich damit einverstanden, dass wir Cookies verwenden.
Weitere Informationen Ok