Über die reine Checkliste hinaus: Aufbau einer datenschutzorientierten Sicherheitsstrategie gemäß DPDPA

Über diese Folge

In dieser „Stunde der Privatsphäre“-Sitzung Seqrite Apurva Saxena von KPMG Indien ist zu Gast, um den praktischen Übergang von der Betrachtung des Datenschutzes als bloße Compliance-Hürde hin zu einem zentralen Geschäftsrahmen zu erörtern. Digitaler Schutz personenbezogener Daten (DPDP) Das Gesetz tritt vollständig in Kraft.

Das Gespräch betont, dass indische Organisationen nun eine „Datenschutz-zuerst“-Sicherheitsstrategie verfolgen müssen. Daten schützen Schulleiter und vermeiden erhebliche Strafen.

Die folgenden FAQs basieren auf den strategischen und operativen Erkenntnissen, die während der Sitzung ausgetauscht wurden.

Häufig gestellte Fragen (FAQs)

Wie stärkt das DPDPA die Rechte indischer Bürger (Datenverantwortliche)?

Das Gesetz stärkt die Rechte der Nutzer im Vergleich zu früheren Gesetzen erheblich. Zu den wichtigsten Neuerungen gehören das Recht zur Benennung eines Bevollmächtigten (einer Person, die im Falle von Tod oder Geschäftsunfähigkeit die Rechte wahrnimmt) und ein klarer Beschwerdemechanismus. Organisationen müssen Beschwerden nun innerhalb von 90 Tagen bearbeiten, wie von der Regierung vorgeschrieben.

Ist der „Consent Manager“ für alle Organisationen verpflichtend?

Nein. Ein weit verbreiteter Irrtum ist, dass jedes Unternehmen einen Consent Manager benötigt. Bestehende Consent-Systeme sind oft ausreichend. Consent Manager, die als Aggregatoren oder Integratoren fungieren, werden hauptsächlich für komplexe Szenarien mit Validierungen durch Dritte benötigt, wie z. B. Bonitätsprüfungen oder Identitätsverifizierung (ähnlich wie bei DigiLocker).

Wie sollten Organisationen Anfragen betroffener Personen (Data Subject Requests, DSRs) effektiv bearbeiten?

Viele bearbeiten Anfragen derzeit noch manuell, doch ein robustes digitales System ist für den Ausbau unerlässlich. Dies umfasst:

• Ein DSR-System zur Erfassung von Anfragen.
• Eine darunterliegende Datenermittlungsschicht zum Auffinden strukturierter und unstrukturierter Daten.
• Mithilfe von ROPA (Record of Processing Activities) wird erfasst, wo Daten gespeichert sind und woher sie stammen, um sicherzustellen, dass die Berichte korrekt und nachvollziehbar sind.

Kann eine Organisation Daten „automatisch“ löschen, sobald ein Zweck erfüllt ist?

Automatisierung ist zwar möglich, kann aber gefährlich sein, wenn sie nicht sorgfältig implementiert wird. Die Löschlogik muss verschiedene Einschränkungen berücksichtigen, wie zum Beispiel:

• Sektorale Gesetze: Die Vorgaben der RBI können eine Aufbewahrungsdauer von mehreren Jahren unabhängig vom DPDPA erfordern.
• Rechtliche AufbewahrungsfristenDie derzeit Gegenstand von Gerichtsverfahren sind, müssen gesichert werden.
• BackupsBei der Löschung müssen auch Daten berücksichtigt werden, die sich auf Bändern oder Backup-Servern befinden.

Was ist eine Datenschutz-Folgenabschätzung (DPIA) und warum ist sie für Treuhänder bedeutender Daten (Significant Data Fiduciaries, SDFs) wichtig?

A Datenschutz Die Folgenabschätzung (DSFA) ist eine risikobasierte Bewertung, die sich auf die Auswirkungen der Datenverarbeitung auf die betroffene Person konzentriert. Sie hilft datenschutzrechtlich verantwortlichen Stellen, Risiken wie Identitätsdiebstahl, Reputationsschäden oder finanzielle Verluste zu identifizieren und diese mit spezifischen technischen und organisatorischen Risikominderungsmaßnahmen zu verknüpfen.

Welchen Einfluss hat KI auf den Datenschutz?

KI erhöht die Komplexität der Unternehmensführung. Organisationen, die KI einsetzen, sollten Folgendes beachten:

• Anonymisieren von Eingabeaufforderungen: Logische Kriterien anwenden, um personenbezogene Daten zu kürzen, bevor sie in ein LLM gelangen.
• Human-in-the-Loop: Sicherstellen einer „Überprüfung der KI-Ergebnisse durch einen Menschen“, um Verzerrungen und Fehler zu vermeiden.
• Lieferantenkontrolle: Prüfen Sie, ob Backend-Anbieter (wie Microsoft oder OpenAI) Ihre Daten zum Trainieren ihrer Modelle verwenden.

Welcher neue Zeitplan gilt für die Meldung von Datenschutzverletzungen gemäß dem DPDPA?

Im Gegensatz zu früheren informellen 72-Stunden-Zeiträumen, DPDPA Organisationen sind verpflichtet, den Vorstand und die betroffenen Personen nach Feststellung einer Datenschutzverletzung „so schnell wie möglich“ (ASAP) zu benachrichtigen. Innerhalb von 72 Stunden muss anschließend ein detaillierter Bericht folgen.

Was ist der erste Schritt für ein Unternehmen, das heute seine Reise zum Thema Datenschutz beginnt?

Der wichtigste Schritt ist die Einstellung der richtigen Mitarbeiter. Es wird außerdem dringend empfohlen, die Rolle des Datenschutzbeauftragten (DSB) von der des CISO (Chief Information Security Officer) zu trennen, um Transparenz zu gewährleisten und interne Interessenkonflikte bei der Meldung von Problemen zu vermeiden.

Diese Sitzung dient IT- und Rechtsverantwortlichen als Leitfaden für die operative Umsetzung ihrer data privacy Rahmenwerke, die über die Einhaltung von Vorschriften hinausgehen und echtes digitales Vertrauen aufbauen.