DSGVO bedeutet DSGVO – Haben Sie Ihren SAR-Plan erstellt?

Die EU-DSGVO wird vom Vereinigten Königreich unabhängig vom Brexit übernommen, sodass jetzt Maßnahmen erforderlich sind. Für Unternehmen, die verantwortungsvoll prüfen, wie sie die Anforderungen dieser europäischen Verordnung erfüllen, werden Subject Access Requests (SARs) zweifellos Teil ihrer Überlegungen sein.

Nach der neuen EU-DSGVO müssen Organisationen auf Verdachtsmeldungen „ohne unangemessene Verzögerung und spätestens innerhalb eines Monats“ reagieren. Dies ist ein kürzerer Zeitrahmen als im bestehenden DPA, der 40 Tage vorsieht. Vielleicht noch anspruchsvoller ist, dass dem Antragsteller neben seinen personenbezogenen Daten auch ergänzende Informationen zur Verfügung gestellt werden müssen. Dazu gehören, soweit möglich, Angaben zum „vorgesehenen Zeitraum, für den die Daten gespeichert werden oder, falls dies nicht möglich ist, die Kriterien für die Festlegung dieses Zeitraums“.

Darüber hinaus sind weitere Informationen zur Erläuterung der Rechte des Antragstellers erforderlich, die Berichtigung oder Löschung seiner Daten zu verlangen, Widerspruch gegen Verarbeitungsvorgänge einzulegen und Beschwerden einzureichen Datenschutzbehörden. Organisationen müssen angeben, woher sie die personenbezogenen Daten der Antragsteller beziehen, wenn diese nicht direkt von der Person erhoben wurden. Antragsteller haben außerdem das Recht, Einzelheiten zu den angewendeten Garantien zu erfahren, wenn ihre Daten außerhalb des Europäischen Wirtschaftsraums übermittelt werden.

Laut Das Information Commissioner's Office (ICO) Jahresbericht für das Geschäftsjahr 2015/16*, 42 % von caMit ihnen aufgewachsene Menschen konzentrierten sich auf SAR. Dies verdeutlicht die Schwierigkeiten, die Unternehmen bereits bei der Einhaltung der bestehenden, weniger strengen Vorschriften haben. Dies zeigt, dass Unternehmen noch einiges vor sich haben, um die Erwartungen von Kunden, Mitarbeitern und Aufsichtsbehörden zu erfüllen!

Der Plan

Unter den ICOs Vorbereitung für die Allgemeine Datenschutzverordnung (DSGVO) – 12 Schritte, die Sie jetzt unternehmen sollten**, der 5. beschreibt die Notwendigkeit von Verfahren und einem Plan, wie eine Organisation mit Verdachtsmeldungen umgehen wird.

Angesichts der neuen Anforderungen ist es wichtig, dass die Mitarbeiter ausreichend geschult sind, um zu erkennen, was eine Anfrage ausmacht und wie sie damit umgeht. Es ist riskant, mehrere Tage zu warten, bis der Prozess gestartet und die Daten aus den Systemen abgerufen werden, da die Geldstrafen wahrscheinlich hoch sind strenger unter DSGVO.

• Legen Sie fest, wie Sie Ihr DSGVO-Projekt verwalten werden, mit klarer Sicht auf alle Arbeiten, die erledigt werden müssen, um dies zu erreichen Beweiskonformität.
• Vereinbaren Sie intern Richtlinien, die Ihre pragmatischen Vorgehensweisen und Prozesse beschreiben.
• Identifizieren Sie, wer geschult werden muss und wie Sie nachweisen können, dass die Schulung stattgefunden hat.
• Verpflichten Prüfung und Bewertung der Auswirkungen auf die Privatsphäre.
• Informationsquellen identifizieren und adressieren, physische und gesetzliche Datenschutzrisiken.
• Legen Sie eine Methode zur Zuweisung von SARs an geschulte Personen fest, zusammen mit Fristen und Warnungen, und behalten Sie gleichzeitig die Transparenz und Managementberichterstattung bei.

Die DSGVO könnte also eine bedeutende Rolle spielen Risiko für Organisationen und einen Plan zur Bewältigung SARs und alle anderen Aspekte der Anforderungen sind erforderlich:

• Stellen Sie sicher, dass sie über einen klaren Arbeitsablauf verfügen, mit dem sie den Überblick über ihre Arbeit behalten können.
• Geben Sie ihnen die Möglichkeit, schnell auf versionierte Antwortvorlagen mit standardisiertem Wortlaut zuzugreifen (mit den zusätzlichen Details, die zusammen mit den Daten des Antragstellers offengelegt werden müssen).
• Statten Sie Ihre Mitarbeiter mit Tools aus, mit denen sie andere Teammitglieder einfach und effektiv mit der Ausführung ihres Teils des Prozesses beauftragen können.
• Integrieren Sie Ihre DSGVO-Arbeit in Ihre umfassendere ISMS oder Informationssicherheit Standards.
• Zeigen Sie einer Aufsichtsbehörde im Falle einer Untersuchung eine wirksame Governance.

Zweifellos werden die Regulierungsbehörden auch eine starke Haltung zum Nachweis der Sicherheit personenbezogener Daten durch Verantwortliche und Auftragsverarbeiter anstreben. Deshalb unsere Softwarelösung, ISMS.online, umfasst alle Tools und Frameworks zur Verwaltung der DSGVO-Compliance und Informationssicherheit gemäß den Anforderungen der ISO 27001.

Jahresbericht und Jahresabschluss 2015/16 des Informationskommissars

Leitfaden zur Datenschutz-Grundverordnung (DSGVO)