Datenschutz in Organisationen
HSLU Informatik - DSO HS19
HSLU Informatik - DSO HS19
-
- 1 / 112
-
Cartes-fiches
Welche Art Einwilligung wird für den Persönlichkeitsschutz in der Privatsphäre benötigt?
Eine Verbale (Art. 28 ZGB)
Welche Art Einwilligung wird für den Persönlichkeitsschutz in der Intimsphäre benötigt?
Eine schriftliche (Art. 28 ZGB)
Wer liegt im Geltungsbereich des DSG?
- Private Personen
- Bundesorgane
- Ausgenommen die in Art. 2 Abs. 2 DSG aufgeführten
Welche Daten gelten als besonders schützenswert? Nenne 3 Beispiele
Art. 3 Zif. c DSG
- religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten
- Gesundheit, Intimsphäre oder Rassenzugehörigkeit
- Massnahmen der sozialen Hilfe
- administrative oder strafrechtliche Verfolgungen und Sanktionen
Wofür steht DPO?
Data Protection Officer
Wann muss eine Datensammlung angemeldet werden (Zeitpunkt)
Bevor sie eröffnet wird
Wer trägt die Verantwortung für die rechtmässige Datenbearbeitung?
Der Dateninhaber
Nenne die 7 Datenbearbeitungsprinzipien
- Treu & Glaube
- Transparenz
- Richtigkeit
- Zweckmässigkeit
- Auskunftsrecht
- Verhältnismässigkeit
- Rechtmässigkeit
Was muss eine Person tun, um Auskunft über die über ihn gesammelten Daten zu erhalten?
- Identität ausweisen
- Schriftliches Gesuch
Ein DPO ist hauptsächlich im _______prozess tätig
Unterstützungs
Was sind die Hauptaufgaben eines DPO? (6)
- Berater des Managements und der Geschäftsleitung
- Gibt Inputs zur Optimierung
- Überblick über die Strukturen
- Beeinflusst die Kultur im Umgang mit Daten
- Coacht Funktionen/Inhaber von Datensammlungen
- Anlaufstelle für Mitarbeiter bzg. Daten
Wann macht ein DPO Sinn? / Datenschutzbeauftragter ist obligatorisch wenn...?
Art. 11a DSG
- Beauftragter führt ein Register der Datensammlungen, das über das Internet zugänglich ist.
- Bundesorgane müssen sämtliche Datensammlungen beim Beauftragten zur Registrierung anmelden
- Private Personen müssen Datensammlungen anmelden, wenn
- regelmässig besonders schützenswerte Personendaten oder Persönlichkeitsprofile bearbeitet werden; oder
- regelmässig Personendaten an Dritte bekannt gegeben werden
- Ausnahmen Art 11a Zif. 5 DSG
Was muss der Inhaber einer Datensamlung beachten, wenn eine Person ordnungsgemäss Auskunft meldet?
- Schriftliche Auskunft
- Zweck der Datenbearbeitung mitteilen
- innert 30 Tagen
- i.d.R. kostenlos
Wann dürfen Auskünfte über Daten an Dritte gegeben werden?
- Antrag in Briefform
- Nur wenn Vollmacht oder gesetzlich erlaubt
Welche Massnahmen sind erforderlich, um Daten zu schützen?
Alle personellen, organisatorischen & technischen Massnahmen
Dürfen Daten laut DSG importiert werden?
Ja, da es keine Regelung im DSG bezüglich dem Import von Daten gibt
Unterliegen importierte Daten dem DSG?
Ja
Daten fallen beim Import automatisch in den Geltungsbereich des DSG
Was muss beim Export von Daten beachtet werden?
Art. 6 DSG
- Personendaten dürfen nicht ins Ausland bekannt gegeben werden, wenn dadurch die Persönlichkeit der betroffenen Personen schwerwiegend gefährdet würde, namentlich weil eine Gesetzgebung fehlt, die einen angemessenen Schutz gewährleistet.
- Fehlt eine Gesetzgebung, die einen angemessenen Schutz gewährleistet, so können Personendaten ins Ausland nur bekannt gegeben werden, wenn:
- hinreichende Garantien, insbesondere durch Vertrag, einen angemessenen Schutz im Ausland gewährleisten;
- die betroffene Person im Einzelfall eingewilligt hat;
- die Bearbeitung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags steht und es sich um Personendaten des Vertragspartners handelt;
- die Bekanntgabe im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist;
- die Bekanntgabe im Einzelfall erforderlich ist, um das Leben oder die körperliche Integrität der betroffenen Person zu schützen;
- die betroffene Person die Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt hat;
- die Bekanntgabe innerhalb derselben juristischen Person oder Gesellschaft oder zwischen juristischen Personen oder Gesellschaften, die einer einheitlichen Leitung unterstehen, stattfindet, sofern die Beteiligten Datenschutzregeln unterstehen, welche einen angemessenen Schutz gewährleisten.
- Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (Beauftragte, Art. 26) muss über die Garantien nach Absatz 2 Buchstabe a und die Datenschutzregeln nach Absatz 2 Buchstabe g informiert werden. Der Bundesrat regelt die Einzelheiten dieser Informationspflicht.
Dürfen Daten, die unter dem Berufsgeheimnis stehen, exportiert werden?
Nur, wenn sie von der Geheimhaltungsverpflichtung entbunden sind.
Was gehört in ein Bearbeitungsreglement?
Personen & Prozesse
Was beinhaltet ein Bearbeitungsreglement (11 Punkte)
- Ausgangslage
- Organisationsstruktur & Zuständigkeiten
- Struktur des Informationssystems
- Konfiguration der Informatikmittel
- Empfänger & Bearbeiter der Daten
- Übersicht über technische & organisatorische Massnahmen
- Abläufe & Prozesse
- Anmeldung& Archivierung
- Auskunftsrecht
- Das verantwortliche Organ für den Datenschutz
Wer ist verantwortlich, wenn keine Person im Unternehmen mit dem Verbrechen oder Vergehen belastet werden kann?
Das Unternehmen (Bis 5 Mio Busse)
Gib die Strafe für das Verbrechen laut DSG an:
a) Verletzung von Auskunfts-, Melde- & Mitwirkungspflichten
b) Verletzung der beruflichen Schweigepflicht
c) Verletzung des Berufsgeheimnis
a) Busse bis CHF 10k
b) Busse bis CHF 10k
--> Bei beiden: Wenn Busse nicht bezahlt bis 3 Monate Gefängnis
c) 3 Jahre Gefängnis oder Geldstrafe
Wer trägt die Verantwortung über eine Datensammlung?
Der Inhaber der Datensammlung
Was müssen Sie als Mitarbeiter beachten, wenn jemachd Auskünfte über seine Daten will?
- Das Gesuch muss schriftlich erfolgen
- Der Gesuchtstellende muss sich identifizieren
- Die Auskünfte müssen schriftlich erfolgen
- Der Zweck der Datenbearbeitung muss mitgeteilt werden
- Die Auskünfte müssen innert 30 Tagen erfolgen
- Die Auskunft ist in der Regel kostenlos
- Auskünfte dürfen nur an Dritte weitergegeben werden, wenn diese eine Vollmacht über die betroffene Person hat oder Datenbekanntgabe gesetzlich erlaubt ist.
Wie wird Datensicherheit gewährleistet? Zählen Sie mind. zwei Massnahmen auf.
- Abschliessen von Schränken und Räumen
- Erlass von Weisungen und Richtlinien
- Schulung von Mitarbeiter
- Passwörter
- AV
- Firewall
- Zugriffsberechtigungen
Was muss bei einem Outsourcing beachtet werden?
Outsourcing gilt als Datenexport
- Beachtung der gesetzlichen Grundlagen
- Kein Entgegenstehen rechtlicher Bestimmungen bspw.
- Amtsgeheimnis
- Berufsgeheimnis
- Andere Geheimnispflichten oder rechtliche Bestimmungen
- Kein Entgegenstehen vertraglicher Vereinbarungen
Welche drei Anforderungen (sog. curae) muss ein Outsourcing-Partner genügen?
- Sorgfältige Auswahl bspw:
- Referenzen
- Zertifikate
- Sicherheitsstandards
- Vor-Ort Überprüfung
- Bonitätsprüfung
- Sorgfältige Instruktion bspw:
- Genaue/Präzise Formulierung der Aufgaben
- Benennung der ausführenden Person
- Ausformulierung des Security Konzepts
- Governance Konzept
- Bearbeitungsreglement
- Zugriffsreglung
- Schulungen
- Sorgfälltige Kontrolle bspw:
- Genaue Regelung der Kontrolle
- Regelmässige Kontrolle durch das öffentliche Organ
- Vorlegen internen Audit-berichten
Nennen Sie zwei Staaten, in welche keine Daten exportiert werden dürfen.
Iran, Irak. (Gefühlt alle Asiatischen (ausser Isreal), Afrikanischen und Südamerikanischen Ländern)
Nennen Sie zwei Staaten, in welche Daten exportiert werden dürfen.
Schweden, Finnland, Norwegen, Dänemark, Spanien usw. (die Meisten Europäischen Ländern ausser einige Balkan, Osteuropa & Ministaaten)
Nennen Sie die wichtigsten Auswirkungen der EU-DSGVO auf die Schweiz.
Da das DSGVO auch neben der EU gilt, wenn Daten von EU-Bürgern betroffen sind, müssen auch Schweizer Unternehmen sich daran halten (Extraterritorial)
Kann ein Verbrechen auch durch Versucht begangen werdne?
Ja
Zählen Sie fünf Elemente auf, die in ein Bearbeitungsreglement gehören
- Ausgangslage
- Organisationsstruktur & Zuständigkeiten
- Struktur des Informationssystems
- Konfiguration der Informatikmittel
- Empfänger & Bearbeiter der Daten
- Übersicht über technische & organisatorische Massnahmen
- Abläufe & Prozesse
- Anmeldung& Archivierung
- Auskunftsrecht
- Das verantwortliche Organ für den Datenschutz
Ja oder Nein:
Wenn im Unternehmen strafbare Handlungen geschehen, dann ist immer das Unternehmen direkt haftbar.
Nein
Organe und Mitarbeiter einer Gesellschaft haften aufgrund besonderer Pflichten
Ja oder Nein:
Wird ein Berufsgeheimnis verletzt, dann gibt es nur Bussen.
Nein
Bis 3 Jahre Gefängnis oder Geldstrafe
Ja oder Nein:
Prozesse und Abläufe müssen nicht in einem Bearbeitungsreglement aufgeführt werden.
Nein, sie gehören auch in das Bearbeitungsreglement
Ja oder Nein:
Gesetze aus dem Ausland, wie bspw. die EU-DSGVO spielen für ein Bearbeitungsreglement einer Schweizer KMU nie eine Rolle
Nein
Das EU-DSGVO gilt für alle Unternehmen mit Daten von EU-Bürgern
Nenne 4 Diszipline, auf die sich die DSGVO auswirkt.
- Sicherheit
- Risiko
- Compilace
- Legal
Erkläre das Bearbeitungsprinzip Verantwortung.
Unternehmen müssen in der Lage sein, die Einhaltung der Vorschriften nachzuweisen une einen Datenschutzbeauftragten zu ernennen.
Erkläre das Bearbeitungsprinzip Datenschutz von Design & Default
Unternehmen müssen geeignete technische und organisatorische Massnahmen ergreifen, um die erforderlichen Schutzmassnahmen zum Schutz der Rechte der betroffenen Personen zu integrieren.
