Von der DSGVO zum DPDP: Ein ehrlicher Leitfaden eines globalen Datenschutzbeauftragten Data Privacy in Indien

Über diese Folge

Wie wirkt sich ein juristischer Hintergrund auf die Umsetzung des DPDPA aus?

Eine juristische Perspektive ist für die erste Auslegung des Gesetzes unerlässlich, da sie die zu implementierenden technischen Kontrollmaßnahmen vorgibt. Da beispielsweise das DPDPA die Datenaufbewahrung an den „Zweck“ und nicht an eine feste Anzahl von Tagen knüpft, definiert die juristische Auslegung die konkreten Geschäftsfristen, die die IT- und Sicherheitsteams anschließend einhalten müssen.

Ist das DPDPA ein vollständiges Rahmenwerk oder nur ein Ausgangspunkt für Indien?

Es gilt als wichtiger Meilenstein. Auch wenn es noch nicht den gleichen Detaillierungsgrad wie die DSGVO aufweist, etabliert es Indien als Land mit angemessenen Datenschutzstandards. Dies ist ein entscheidender Schritt zur Schaffung von Glaubwürdigkeit für internationale grenzüberschreitende Datentransfers.

Wie lassen sich Risiken durch Drittanbieter am effektivsten managen?

Organisationen sollten über einfache Verträge hinausgehen und tiefgreifende „Lieferantenbewertungen“ durchführen. Dies beinhaltet einen Arbeitsablauf, der die Verarbeitungsrichtlinien eines Lieferanten, seine Praktiken zur Datenaufbewahrung und insbesondere den Umgang mit der Datenlöschung bei Beendigung eines Servicevertrags oder Ausscheiden eines Mitarbeiters überprüft.

Wie können Organisationen „Datenschutz durch Technikgestaltung“ in der Praxis umsetzen?

Privacy by Design bedeutet, Datenschutzprüfungen in die früheste Phase der Produktentwicklung zu verlagern. Anstatt die Einhaltung der Datenschutzbestimmungen erst kurz vor der Markteinführung zu überprüfen, sollten Datenschutzbewertungen in jedes Produktanforderungsdokument (PRD) integriert werden, um sicherzustellen, dass selbst kleinere Funktionsänderungen von Anfang an auf ihre Auswirkungen auf den Datenschutz geprüft werden.

Wie baut man eine „Datenschutzkultur“ in einem großen Unternehmen auf?

Der Aufbau einer entsprechenden Kultur braucht Zeit und erfordert mehr als eine einmalige jährliche Schulung. Zu den wirksamen Strategien gehören funktionsspezifische Schulungen (z. B. individuell zugeschnittene Schulungen für die Personalabteilung und die Entwicklungsabteilung) sowie die Ernennung von „Datenschutzbeauftragten“ in jeder Abteilung, die als Bindeglied zwischen ihrem Team und dem Datenschutzbeauftragten fungieren.

Kann ein Unternehmen einen einheitlichen globalen Rahmen für die Einhaltung der Vorschriften in mehreren Ländern nutzen?

Ja. Der effizienteste Ansatz besteht darin, einen robusten Standard (wie die DSGVO oder ISO 27001) als „Basisrahmen“ zu verwenden und dann lokale „Anpassungen“ oder Module für spezifische Rechtsordnungen hinzuzufügen, wie beispielsweise das ADEX-Mandat in Abu Dhabi oder spezifische Datenresidenzregeln in den VAE.

Wie sollten KI-Anbieter vorgehen? data privacy und Regierungsführung?

KI-Anbieter müssen sich auf datenschutzfreundliche Techniken konzentrieren. Vor dem Training von Modellen sollten Organisationen prüfen, ob sie anonymisierte oder segregierte Daten anstelle tatsächlicher personenbezogener Daten verwenden können. Die Einhaltung von Rahmenwerken wie ISO 42001 kann dazu beitragen, Prinzipien der Transparenz und Verantwortung im Bereich KI zu etablieren.

Was ist der erste Schritt für einen Datenschutzbeauftragten, der seine Reise zum Datenschutzgesetz (DSG) beginnt?

Der absolute Ausgangspunkt ist die Datenidentifizierung und -klassifizierung. Man kann nur schützen, was man kennt. Ein Datenschutzbeauftragter muss daher zunächst die von Kunden, Mitarbeitern und Lieferanten erhobenen Daten erfassen und den Zweck jeder Datenkategorie klar definieren.