Datenschutz und Sicherheit brauchen dieselbe Landkarte
Die brasilianische LGPD definiert Grundsätze, Rechte und Pflichten; Informationssicherheit stellt Kontrollen für Vertraulichkeit, Integrität und Verfügbarkeit bereit. Werden beide Themen getrennt behandelt, entstehen Lücken zwischen dem, was eine Organisation erklärt, und dem, was sie tatsächlich umsetzen kann.
Beginnen Sie bei Prozessen, die personenbezogene Daten nutzen. Erfassen Sie Zweck, Daten- und Personenkategorien, Rechtsgrundlage, Systeme, Zugriffe, Weitergaben, Aufbewahrung und Löschung. Diese Übersicht unterstützt rechtliche und technische Entscheidungen.
- Zweck und Erforderlichkeit
- Rechtsgrundlage und Transparenz
- Zugriff und Nachvollziehbarkeit
- Weitergaben und Verträge
- Aufbewahrung und Löschung
- Vorfälle und Betroffenenrechte
Angemessene und überprüfbare Kontrollen
Minimalberechtigungen, starke Authentifizierung, Updates, Backups, geeignete Verschlüsselung, Endgeräteschutz, Protokolle und Sensibilisierung bilden eine Grundlage. Die Auswahl richtet sich nach Risiko und Kontext; Nachweise zeigen, dass eine Kontrolle vorhanden und wirksam ist.
Eine Richtlinie sollte Verantwortliche, Häufigkeit und Nachweise benennen. ‚Backups durchführen‘ ist eine Absicht. Umfang, Aufbewahrung, Schutz, Überwachung und Wiederherstellungstests machen daraus eine umsetzbare Kontrolle.
Das Risiko folgt den Daten bis zu den Lieferanten
Cloud-, Support-, Kommunikations-, Buchhaltungs- und Plattformanbieter können Daten verarbeiten oder darauf zugreifen. Prüfen Sie, was aus welchem Grund geteilt wird, wo es gespeichert ist, welche Schutzmaßnahmen gelten, wie Vorfälle gemeldet und wie Daten am Vertragsende zurückgegeben oder gelöscht werden.
Vertragsklauseln sind wichtig, ersetzen jedoch keine Sorgfaltsprüfung. Kritikalität und Zugriff sollten Tiefe und Häufigkeit der Bewertung bestimmen.
Die Reaktion vorbereiten, bevor sie benötigt wird
Ein Notfallplan sollte Technik, Leitung, Recht, Datenschutz und Kommunikation verbinden. Definieren Sie Erkennung, Eindämmung, Beweissicherung, Folgenabschätzung, Meldeentscheidungen und Auswertung.
Organisationen sollten die aktuellen Vorgaben der ANPD zur Meldung von Vorfällen verfolgen und verlässliche Informationen vorhalten, um relevante Risiken oder Schäden für betroffene Personen zu bewerten. Planspiele decken Entscheidungslücken auf, ohne den Betrieb zu unterbrechen.
Rechenschaftspflicht ist nachweisgestützte Governance
Pflegen Sie Inventare, Entscheidungen, Risikobewertungen, Schulungsnachweise, Verträge, Zugriffsprüfungen, Tests und Maßnahmenpläne. Ein hilfreicher Nachweis ist aktuell, verständlich und einer verantwortlichen Person zugeordnet.
Reife zeigt sich, wenn eine Organisation beantworten kann: Welche Daten haben wir, warum benötigen wir sie, wer darf zugreifen, wie schützen wir sie, wie lange speichern wir sie und was geschieht, wenn etwas schiefgeht?
Praktische Anwendung
Mindeststandard für nachweisbare Verantwortung
Nutzen Sie diese Liste als Ausgangspunkt und passen Sie sie an das tatsächliche Risiko an:
Offizielle Quellen
Externe Links zu offiziellen Quellen. Berücksichtigen Sie stets die aktuelle Fassung und den konkreten Kontext Ihrer Organisation.
Informative Inhalte. Sie ersetzen keine spezifische technische, rechtliche oder regulatorische Bewertung.