Privacy by design and default

Der Anspruch muss sein, den jeweils maximal möglichen Standard für die Vermeidung personenspezifischer Daten anzulegen.

Wenn personenspezifische Daten verarbeitet werden, sind sie maximal zu schützen.

Datenarten

Es gibt vier unterschiedliche Arten von Daten:

1. öffentliche Daten
2. anonyme Daten
3. pseudonyme Daten
4. personenbezogene Daten

personenbezogene Daten

Und bei den personenbezogenen Daten gibt es zusätzlich noch die besonders schützenswerten Daten wie z.B. Gesundheitsdaten.

besondere Kategorien

Art. 9 Verarbeitung besonderer Kategorien personenbezogener Daten

(1) Die Verarbeitung personenbezogener Daten, aus denen die rassische und ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, sowie die Verarbeitung von genetischen Daten, biometrischen Daten zur eindeutigen Identifizierung einer natürlichen Person, Gesundheitsdaten oder Daten zum Sexualleben oder der sexuellen Orientierung einer natürlichen Person ist untersagt.

(2) Absatz 1 gilt nicht in folgenden Fällen: a) Die betroffene Person hat in die Verarbeitung der genannten personenbezogenen Daten für einen oder mehrere festgelegte Zwecke ausdrücklich eingewilligt, es sei denn, nach Unionsrecht oder dem Recht der Mitgliedstaaten kann das Verbot nach Absatz 1 durch die Einwilligung der betroffenen Person nicht aufgehoben werden, e) die Verarbeitung bezieht sich auf personenbezogene Daten, die die betroffene Person offensichtlich öffentlich gemacht hat,

https://dejure.org/gesetze/DSGVO/9.html

Grundsätze für die Verarbeitung

Art, 5 hat folgende Muss-Anforderungen:

• Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz
• Zweckbindung
• Datenminimierung
• Richtigkeit
• Speicherbegrenzung
• Integrität und Vertraulichkeit

https://dejure.org/gesetze/DSGVO/5.html

Insbesondere der Schutz vor

• unbefugter oder unrechtmäßiger Verarbeitung
• unbeabsichtigtem Verlust
• unbeabsichtigter Zerstörung
• unbeabsichtigter Schädigung

(2) Der Verantwortliche ist für die Einhaltung des Absatzes 1 verantwortlich und muss dessen Einhaltung nachweisen können ("Rechenschaftspflicht").

https://dejure.org/gesetze/DSGVO/5.html

Konsequenzen

1. Personenbezogene Daten dürfen nur verschlüsselt gespeichert werden
2. Der Zugriff und jede Verarbeitung muss rechtssicher protokolliert werden.
3. Das Protokoll muss bei einem Audit vorgelegt werden können