Angewandtes Risikomanagement für die DSGVO - ein Leitfaden

Angewandtes Risikomanagement für die DSGVO – ein Leitfaden

  • 1. April 2018

Dieser Vorschlag eines Leitfadens wird Sie durch den Risikomanagementprozess führen, der für die DSGVO von Vorteil ist, um Risiken zu ermitteln, zu bewerten, zu verwalten und zu kontrollieren. Aber damit hört es nicht auf. Die Risikomanagementakte sollte als lebendes Dokument zur Überwachung der tatsächlichen Daten verwendet werden, und im Falle neuer Gefahren sollte diese Akte entsprechend aktualisiert werden. Kommt das Medizinprodukt- und Pharma-Experten bekannt vor? In der Tat ist der vorgeschlagene Risikomanagement für die DSGVO identisch, aber lassen Sie uns beim Anfang starten.

Warum sollte eine Risikomanagementakte im Rahmen der DSGVO geführt werden?

Um den Datenschutz gemäß der DSGVO nachhaltig und konform zu gestalten, sollte eine Bewertung aller erhobenen, verarbeiteten, verwendeten und gelöschten Daten durchgeführt werden. Damit kann das Unternehmen sicherstellen, dass die Datenbereiche identifiziert werden und potenzielle Risiken und Gefahren aufgelistet werden können, um einen robusten und nachhaltigen Prozess im Rahmen der DSGVO zu schaffen. Dieser risikobasierte Ansatz ermöglicht es Ihrem Unternehmen, sich zuerst auf die Hauptrisiken zu konzentrieren und anschliessend alle Lücken zu schliessen, um Produkte, Dienstleistungen und Geschäftsprozesse mit der DSGVO in Einklang zu bringen.

Wie bereits in ISO 14971 und in ICH Q9 beschrieben, könnte unmittelbar nach der Erstellung eines Plans für die Umsetzung der DSGVO innerhalb des Qualitätsmanagementsystem des Unternehmens eine vorläufige Gefährdungsbeurteilung (PHA) durchgeführt werden. Die vorläufige Gefährdungsbeurteilung sollte alle potenziellen Gefahren identifizieren, die sich aus den Datenbereichen ergeben und unter dem Aspekt der regelmässigen und missbräuchlichen Verwendung identifiziert wurden. Die PHA könnte die gleiche Identifikationsstrategie wie in MedTech und Pharma verwenden, i.e. ein Ishikawa oder Fischbone-Diagramm. Die anschliessende Risikobewertung kann über das Werkzeug Fehlermöglichkeits- und Einflussanalyse (FMEA) erfolgen und einem mehr sequenziellen Ansatz entlang der drei Säulen der Medizintechnik-Entwicklung folgen, i.e. Anwendbarkeit, Design und Prozess. Mit einem solchen Engineering-Ansatz werden Produkte, Dienstleistungen und Geschäftsprozesse risikobasiert mit hoher Wahrscheinlichkeit auf die Einhaltung der DSGVO ausgerichtet.

Bekannten Prozessen für das Risikomanagement folgen

Bei Produkten, die als Medizinprodukte klassifiziert sind, sind Anwendung-, Design- und Prozessrisikobewertungen höchstwahrscheinlich vorhanden und können als Leitfaden zur Bewertung von Datenschutzproblemen verwendet werden, i.e. in dem Fall, dass das Produkt personenbezogene Daten verwendet. In diesen Fällen kann die bestehende Risikobewertung auf Risiken für den Datenschutz ausgedehnt und mit den gleichen Schweregraden, Auftretenswahrscheinlichkeit und Detektion bewertet werden. Auf der anderen Seite würde eine solche Bewertung einem Patienten quasi einen Schaden mit gleichen Schweregrad zufügen, wie ein Schaden der von dem medizinischen Gerät stammt und eine lebensgefährliche Wirkung auf den Patienten haben könnte. Da dies für den Patienten möglicherweise nicht in der gleichen Grössenordnung liegt, könnte es aber für das Unternehmen dennoch sein, da die in der DSGVO definierten Geldbussen im Fall einer Datenverletzung sehr hoch sind, i.e. bis zu 20 Mio. Euro oder 4% des letzten globalen Jahresumsatzes des Unternehmens. Für Dienste wie Companion-Apps oder Software, die als Medizinprodukte reguliert werden, kann derselbe Ansatz angewendet werden. Ein Unterschied zum Ansatz könnte nur in Geschäftsprozessen innerhalb des Unternehmens bestehen. Wenn das Unternehmen jedoch den Risikomanagementprozess für Medizinprodukte oder Arzneimittel sehr gut versteht, kann dieselbe Ideologie auch auf Geschäftsprozesse angewendet werden.

Anwendbarkeit, Design und Process – die medizintechnische Dreifaltigkeit.

Für Geschäftsprozesse kann die Anwendbarkeit als die relevanten Schritte interpretiert werden, die ein Benutzer ausführen muss, um den Prozess von Anfang bis Ende auszuführen. Bei jedem Hauptschritt oder jeder Aufgabe können Risiken identifiziert, bewertet, mitigiert und kontrolliert werden. Kommt Ihnen das bekannt vor und erinnert es Sie an eine Task Analyse? In der Tat sollte es dies. Wenn Sie alle nicht akzeptablen andwendungsbezogenen Risiken in die Gestaltung des Geschäftsprozesses einbeziehen, können Sie diese anwendungsbedingten Risiken durch das Design beurteilen. Designmerkmale können verwendet werden, um die vom Benutzer ausgehenden Risiken zu mindern.

Das Design eines Geschäftsprozesses kann so verstanden werden, dass es sich auf Designanforderungen und Designmerkmale stützt, i.e. bestimmte Funktionalitäten, Daten und ähnliches. Diese Anforderungen und Merkmale können zusammen mit der geltenden Liste von Normen und Vorschriften als Grundlage für die Bewertung des Designrisikos herangezogen werden. Hier ist es wichtig, alternative Designmerkmale zu bewerten, um den Gebrauch persönlicher Daten so weit wie möglich zu reduzieren. Dies spiegelt die Anforderung wider, Datenschutz durch Design anzuwenden. Beachten Sie, dass die DSGVO mit dem Qualitätsmanagementsystem des Unternehmens und anderen anwendbaren und manchmal widersprüchlichen Vorschriften verknüpft werden muss. Darüber hinaus sollen auch Standards für Datensicherheit und andere angewendet werden. Somit können diese Inputs die Risikoidentifikation sehr gut steuern. Als Ergebnis der Risikomitigierung kann das Geschäftsprozessdesign ausgelesen werden, einschliesslich Technologien, die relevant sind, um das Risiko einer Datenverletzung zu reduzieren. Dies könnte die Anforderung des Datenschutzes by Default genüge tragen, wenn der Ansatz zur Risikominderung darin besteht, die gefährlichen Situationen, i.e. die Erhebung personenbezogener Daten zu reduzieren, wann immer dies möglich ist. Denken Sie daran, sekundäre Risiken zu bewerten, die sich aus der Risikominderung ergeben. Die Integration der inakzeptablen Design-Risiken in die Prozessrisikobewertung, um diese durch Prozess-Checks und Prozess-Features zu mitigieren, ist auch der Medizinpordukte- und Pharma-Industrie bekannt. Hier kann der Geschäftsprozess-Workflow als Input genommen werden und für kritische Prozessschritte sollten Checks und Kontrollen installiert werden. Kritische Kontrollparameter können dann aus der Risikobewertung abgeleitet werden, um die Kontrollstrategie während der realen Geschäftsprozessnutzung zu erstellen.

Die ständige Überwachung der Risiken wird bei kritischen Ereignissen zu schnellen Reaktionszeiten beitragen.

Die von der Risikomanagement-Datei abgeleitete Kontrollstrategie ermöglicht während der realen Nutzung der Geschäftsprozesse, ebenso wie den Überwachungs- oder Vigilanz-Prozess, die Überwachung Ihrer datenschutzrelevanten Bereiche. Im Falle einer Datenschutzverletzung ist das Unternehmen in der Lage, die Kritikalität schnell zu verstehen und auf der Grundlage der Risikomanagementakte Gegenmassnahmen zur sofortigen Eindämmung und anschliessenden Korrekturmassnahmen zu ergreifen. Präventive Massnahmen könnten in einem dritten Schritt angewendet werden, um den Zyklus zu vervollständigen, der der Medizinprodukte- und Pharmaindustrie als CAPA-Prozess bekannt ist. Auch hier kann eine Ähnlichkeit zu den Prozessen in der Medizinprodukte- udn Pharma-Industrie erkannt werden. Ein weiteres Feature wird mit der Überwachung quasi kostenlos zur Verfügung gestellt. Die Reaktionszeit bei Datenschutzverletzungen wird auf das absolute Minimum reduziert, und die von der DSGVO geforderte maximale Zeitverzögerung bis zur Meldung an die Datenschutzbehörde von 72 Stunden nach der Entdeckung einer Datenschutzverletzung kann sogar ein Zeitraum sein, in dem Zeit für eine Tasse Kaffee ist.