Risikoanalysen und Datenschutzfolgeabschätzung

Der Schutzbedarf von personenbezogenen Daten hängt davon ab, wie umfangreich oder kritisch die verarbeiteten Daten sind. Analysieren Sie deswegen für jede Verarbeitung:

• Art und Umfang der Verarbeitung
• Betroffene Personengruppe
  
• Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten betroffener Personen

Sollten Sie besonders umfangreiche und/oder besonders kritische Daten verarbeiten,  müssen die Schutzmaßnahmen entsprechend hoch sein. Sie erinnern sich, kritische Daten sind vor allem die so genannten "Artikel 9 Daten". Artikel 9 DSGVO beschreibt „besondere Kategorien personenbezogener Daten“:

Art. 9 DSGVO Verarbeitung besonderer Kategorien personenbezogener Daten

1. Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.
2. […]

Darüber hinaus verdienen Kinder nach der DSGVO einen besonderen Schutz, „da Kinder sich der betreffenden Risiken, Folgen und Garantien und ihrer Rechte bei der Verarbeitung personenbezogener Daten möglicherweise weniger bewusst sind“ (Erwägungsgrund 38).

Risikoanalyse

Ist auf den ersten Blick nicht klar, wie hoch das Risiko der Datenverarbeitung ist, muss der Verantwortliche eine umfassendere Untersuchung durchführen, z.B. in Form einer Risikoanalyse. Dabei hinterfragt er mit seinem Team die Verarbeitung der personenbezogenen Daten kritisch, implementiert angemessene und geeignete Schutzmaßnahmen und führt im Zweifelsfall eine Risikoabwägung durch. Eine Vorlage dafür finden Sie im Kurs "Werkzeuge und Tools".

Datenschutzfolgeabschätzung

Spätestens wenn die Verarbeitung aufgrund der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat, muss eine Datenschutzfolgeabschätzung (DSFA) durchgeführt werden. Eine Datenschutzfolgeabschätzung bewertet die Notwendigkeit und Verhältnismäßigkeit einer geplanten Verarbeitung und definiert klare Sicherheitsvorkehrungen und Verfahren, zum Schutz der personenbezogenen Daten. 

Diese Maßnahme ist aber nur bei wirklich umfangreichen und kritischen Datenverarbeitungen notwendig. Falls es Sie interessiert, wie eine Datenschutzfolgeabschätzung aussieht, eine Gruppe Interessierter hat eine DSFA für die Corona App im Jahr 2020 erstellt, die öffentlich verfügbar ist: https://www.researchgate.net/publication/341097723_Data_Protection_Impact_Assessment_for_the_Corona_App.

Quelle: Mohamed Hassan auf Pixabay