Die Datenschutz-Grundverordnung, die bereits seit mehr als drei Jahren in Kraft ist, ist bei den Menschen beliebt. Für Datenwissenschaftler und Datenanalysten, die darin eine Einschränkung der Nutzung personenbezogener Daten sehen, bleibt dieser Text jedoch eine Quelle der Angst. Ist das wirklich der Fall? Sind DSGVO und Datenwissenschaft unvereinbar?
Zahlreiche Datenwissenschaftler und Datenanalysten werden die Komplexität der Aneignung des aktuellen europäischen gesetzlichen Regulierungssystems, das durch die DSGVO eingeführt wurde, bestätigen. Andere kritisieren auch die Unvereinbarkeit zwischen der Allgemeinen Datenschutzverordnung und der Datenverarbeitung.
Die Verarbeitung personenbezogener Daten im Rahmen dieses Textes ist jedoch durchaus angemessen, solange die Verarbeitung mit den Anforderungen der Datenschutz-Grundverordnung in Einklang steht. Zu diesen Anforderungen gehören beispielsweise die Verpflichtung, die Zustimmung der betroffenen Person zur Erhebung personenbezogener Daten einzuholen, sowie die Verpflichtung, den Zugang auf zugelassene Teams zu beschränken, die zuvor bestimmte Ziele erreicht haben.
Anonymisierung von Wissen, notwendig, aber nicht ausreichend
Die allgemeinen Datenschutzbestimmungen schreiben nicht vor, dass die gewonnenen personenbezogenen Daten geheim gehalten werden müssen. Die Anonymisierung bleibt jedoch eine faszinierende Möglichkeit, personenbezogene Daten zu nutzen und gleichzeitig die Rechte und Freiheiten des Einzelnen zu wahren. Mit anderen Worten: Personenbezogene Daten sollten nicht ohne weiteres auf die betroffene Person zurückgeführt werden können.
Bevor mit der Anonymisierung fortgefahren wird, muss als erste Maßnahme zur Erfüllung der Anforderungen der Datenschutz-Grundverordnung ein Audit der innerhalb der Organisation durchgeführten Verarbeitung durchgeführt werden. Folglich würde die Anonymisierung von Daten es Datenwissenschaftlern und Datenanalysten ermöglichen, die Daten zu verwenden, ohne gegen die DSGVO zu verstoßen, da die Daten nach ihrer Anonymisierung nicht mehr der DSGVO unterliegen.
Pseudonymisierung von Daten, wie von der DSGVO vorgeschlagen
Unabhängig davon, für welche Anonymisierungsmethode sich eine Organisation entscheidet, bleiben Sicherheitslücken bestehen. Die DSGVO empfiehlt, sich, wie in der Verordnung angegeben, für die Pseudonymisierung von Daten zu entscheiden: „die Verarbeitung personenbezogener Daten in einer Weise, dass sie ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer bestimmten betroffenen Person zugeordnet werden können, sofern sie getrennt gespeichert werden und technischen und organisatorischen Verfahren unterliegen, die gewährleisten, dass diese personenbezogenen Daten nicht zuordenbar sind.
Genauer gesagt, besteht diese Methode darin, einen Identifikator (oder allgemeiner gesagt, personenbezogene Daten) durch ein Pseudonym zu ersetzen. Im Gegensatz zur Anonymisierung ermöglicht diese Technik eine Re-Identifizierung.
Die CNIL rät, in dem Maße vorsichtig zu sein, in dem Teilwissen wieder identifiziert werden kann (zum Beispiel kann die Kombination von Stadt und Geburtsdatum ausreichen). Die verarbeiteten Daten müssen außerdem einer unglaublich strengen Schutz- und Datenspeicherungspolitik entsprechen.
Anforderungen, die auf den ersten Blick einfach zu befolgen scheinen, aber schnell kompliziert werden können, wenn Unternehmen bisher keine Tools zur Zentralisierung von Zugriffsrechten zur Kontrolle von Berechtigungen eingesetzt haben.
Unternehmen, die in der Lage sein wollen, ihre Daten unbesorgt zu nutzen, sollten zunächst ihr Unternehmen bewerten, um wirksame Lösungen und Schritte einzubauen. So müssen die Beschäftigten qualifiziert sein, um personenbezogene Daten in Übereinstimmung mit der DSGVO zu nutzen.
Zusammenfassend lässt sich sagen, dass die DSGVO, einschließlich der Verwendung von Daten, nicht widersprüchlich ist, wenn sich die beteiligten Stellen die Zeit nehmen, diese Beratung anzubieten. Ohne diese interne Änderung laufen Unternehmen, die personenbezogene Daten verarbeiten, Gefahr, die DSGVO nicht einzuhalten oder in ihrer Datennutzung leicht eingeschränkt zu werden.