PIA „Innovation à la française“ (2)

Fortsetzung und Ende des ersten Teils:

IV. PIA’s Assets – was kann PIA?

PIA hat drei Assets: ein höchst didaktisches Interface, eine angeknüpfte Wissensdatenbank, die das wichtigste Fachwissen aus den Bereichen Datenschutzrecht und Technik vereint, sowie eine hohe Anpassungsfähigkeit an Bearbeiter und Organisation.

1. Didaktisches Interface & Handhabung

Dank der hohen Bedienfreundlichkeit erlaubt PIA es dem Anwender, eine DSFA schnell und einfach durchzuführen. Aufgrund der selbsterklärenden, schrittweisen Führung durch das Tool eignet es sich auch hervorragend für Neueinsteiger in die Thematik. Nachdem man ein Dokument für eine DSFA angelegt hat und dieses öffnet, erscheint eine sehr übersichtliche Anzahl von Eingabefeldern.

Zudem enthält das jeweilige Feld eine Erläuterung, welche Eingaben hier gesucht sind („Eingabehilfe“). So lautet die Erläuterung zur Frage „Welche Verarbeitung ist geplant?“ z. B. wie folgt: „Geben Sie einen kurzen Überblick über die Verarbeitung: Name, Zweck, Einsatzgebiet, Nutzer usw.“ In einer rechten Leiste neben den Eingabefeldern ist gleichzeitig zusätzlich immer das passende Prinzip benannt, nach welchem diese Informationen erforderlich sind. Zusätzlich bietet die Wissensdatenbank in derselben Leiste Unterstützung in Form von Definitionen, die je nach zu bearbeitendem Feld rechts daneben aufspringen. Falls noch mehr Klärungsbedarf besteht, kann man auch über das Suchfeld am oberen Ende der rechten Leiste einzelne Definitionen suchen. Der aktuelle Bearbeitungsschritt ist zudem über eine Leiste auf der linken Seite, ähnlich einem Inhaltsverzeichnis, verfolgbar. Alle Abschnitte sind thematisch farblich unterschiedlich gestaltet und so auch optisch gut voneinander getrennt. Die Software speichert die eingegebenen Informationen zudem ganz automatisch. Wird das bearbeitete Dokument geschlossen, kann entweder über „Anschauen“ die Gesamtheit aller bereits gemachten Eingaben betrachtet werden oder über den Button „Bearbeiten“ weitergearbeitet werden. In der geschlossenen Ansicht des Dokumentes ist der Stand der Bearbeitung in Prozent sichtbar und nebst Dokumentenname auch der Bearbeiter, womit sich die Software auch besonders gut innerhalb großer Organisationen macht. Am Ende des Ausfüllprozesses wird der Benutzer mit verschiedenen Visualisierungstools belohnt, die alle eines zum Ziel haben: die möglichst anschauliche grafische Darstellung des aufgrund der gemachten Eingaben kalkulierten Risikos für die Rechte und Freiheiten der von der Datenverarbeitung betroffenen Personen.

1.1     Inhaltlicher Aufbau

Die Reihenfolge der einzugebenden Informationen in die jeweiligen Eingabefelder folgt einem logischen Aufbau. Hat man die Eingabefelder auf der vorstehenden Seite noch nicht ausgefüllt, kommt man allerdings nicht zur nächsten. Einen groben Überblick kann sich der Bearbeiter aber jederzeit über die Funktion „Vorschau“, welche in der mittleren Kolonne oben zu finden ist, verschaffen.

PIA ist vergleichbar mit einem großen Fragebogen, der den Benutzer bedienfreundlich darauf aufmerksam macht, welche Informationen für die Risikoabschätzung eingegeben werden müssen. Der Vorteil ist sicherlich, dass keine notwendigen Schritte aus Unachtsamkeit oder aufgrund von Nichtwissen übergangen werden können. Man kann mit PIA getrost davon ausgehen, dass man alle erforderlichen Überlegungen für eine DSFA angestellt hat.

a) Abschnitt „Kontext“

Dieser gliedert sich in „Überblick, Daten, Prozesse und Unterstützung“. Hier werden alle notwendigen Informationen zwecks grober Skizzierung der gegenständlichen Verarbeitungstätigkeit aufgenommen. Die Punkte erinnern teilweise an den Soll-Inhalt eines Verarbeitungsverzeichnisses. Es geht neben dem Verarbeiter um die genaue Art der Daten (bspw. Name, Vorname, Adresse), die Lebenszyklen dieser und auch um externe Dritte, die am Verarbeitungsprozess beteiligt sein können, bis hin zu eingesetzten Betriebsmitteln. Ziel ist nun bereits den Gegenstand der Untersuchung zu identifizieren und zu beschreiben.

b) Abschnitt „Grundlegende Prinzipien“

Im Abschnitt „Grundlegende Prinzipien“ finden sich die Unterpunkte „Verhältnismäßigkeit und Notwendigkeit“ sowie „Maßnahmen zum Schutz der Persönlichkeitsrechte der betroffenen Personen“. Hier geht es nun in die Tiefe. Im Detail werden Punkte abgefragt wie die konkrete Rechtsgrundlage, die Zwecke, die mit der Verarbeitung erfüllt werden inklusive einer Begründung, warum die verarbeiteten Daten zu diesem Zwecke erforderlich sind, die Richtigkeit der Daten, die Speicherdauer. Ähnlich detailliert werden sodann die Maßnahmen zur Erfüllung der Betroffenenrechte abgefragt. „Wie werden die betroffenen Personen über die Verarbeitung informiert?“, „Wenn anwendbar, wie wird die Einwilligung der betroffenen Person eingeholt?“, „Wie können betroffene Personen ihr Recht auf Berichtigung und Löschung (Recht auf Vergessenwerden) ausüben?“ sind Fragen, die neben anderen hier gestellt werden.

c) Abschnitt „Risiken“

Dieser Abschnitt erfüllt nun die eigentliche Aufgabe einer DSFA: Die Identifizierung und Bewertung der Risiken, die mit der zuvor geschilderten Verarbeitungstätigkeit einhergehen. Dabei werden im ersten Schritt geplante oder bestehende Maßnahmen benannt. Hier ist weniger Ausfüllarbeit nötig als die Auswahl einzelner Maßnahmen durch Anklicken der in der rechten Leiste aufgeführten Optionen wie z. B. „Verschlüsselung“, „Anonymisierung“, „Logische Zugriffskontrolle“ u. v. m.

Dann geht es im Folgenden darum, Ursachen und Folgen von unrechtmäßigen Zugriffen auf Daten sowie deren Eintrittswahrscheinlichkeit und Schwere einzuschätzen. Dieselbe Einschätzung wird in Bezug auf eine unerwünschte Veränderung von Daten vorgenommen. Auch Ursachen und Folgen von Datenverlusten werden eingeschätzt. Für die Einschätzung stehen die Parameter „Nicht definiert – Geringfügig – Überschaubar – Substanziell – Groß“ zur Verfügung. Der Abschnitt „Risiken“ endet mit einer Risikoübersicht in Form einer grafischen Visualisierung. Hier werden die Auswirkungen der Schutzmaßnahmen auf die zuvor benannten Risiken sichtbar.

d) Abschnitt „Bestätigung“

Zum Schluss können die gemachten Eingaben bestätigt werden. Eine Visualisierung ermöglicht es, die Positionierung der Risiken vor und nach der Anwendung der jeweiligen ergänzenden Maßnahmen zu vergleichen („Risikokartierung“). Sodann gibt PIA einen Aktionsplan für die Bereiche Kontext, grundlegende Prinzipien und Risiken vor. Die Software bewertet außerdem die vom Bearbeiter gemachten Eingaben als „verbesserbare Maßnahmen“ oder „akzeptable Maßnahmen“. Der/Die Datenschutzbeauftragte (m/w/d) erhält gewissermaßen das letzte Wort. Das letzte Eingabefeld ist für die Stellungnahme dieses Funktionsträgers reserviert.

2. Recht- und Technik-Wissensdatenbank

Die Software basiert auf den gesetzlichen Vorgaben, die die Rechtmäßigkeit der Verarbeitung und Rechte der Betroffenen sicherstellen. Diese gesetzlichen Vorgaben sind neben technischen Maßnahmen auch jederzeit über die Wissensdatenbank per Stichwortsuche abrufbar. Gleichzeitig läuft die Wissensdatenbank kontextabhängig bei jedem Schritt der DSFA mit und zeigt zum jeweiligen Abschnitt passenden Content an. Dabei greift sie auf Inhalte aus der DSGVO, der PIA Guides und des Security Guide der CNIL zurück.

3. Hohe Anpassungsfähigkeit & Technik

Da PIA die Compliance des Verarbeiters sicherstellen soll, geht die Software flexibel auf dessen Bedürfnisse ein. So können die Inhalte an den jeweiligen Tätigkeitsbereich des Unternehmens, aber auch von Einrichtungen und Organisationen angepasst werden. Wenn dann eine Modellversion für den Tätigkeitsbereich steht, kann diese beliebig oft vervielfältigt und für gleich gelagerte Verarbeitungstätigkeiten genutzt werden. Da es sich um eine Open-Source-Software handelt, deren Quellcode frei verfügbar ist, kann dieser beliebig modifiziert werden, sodass sich die Software leicht in ein bestehendes Unternehmenssystem integrieren lässt. Ebenso kann der Quellcode dahingehend verändert werden, dass spezielle Features hinzugefügt werden.

PIA ist verfügbar als „portable Version“ und „Web-Version“. Die portable Version ist zum sofortigen Download bereit und für die gängigen Betriebssysteme Windows (32 und 64 bits), Linux (64 bits) und Mac OS verfügbar. Die Web-Version muss auf den Unternehmensservern aufgesetzt werden und ist verfügbar in einer Front-End- und Back-End-Version.

Es gibt ein Video-Tutorial zur Nutzung von PIA und ein FAQ auf der Homepage der CNIL. In regelmäßigen Abständen (alle vier bis sechs Monate) stellt die CNIL neuere Versionen zur Verfügung, die dann in einem Update integriert werden können. Nachteil: Updates müssen händisch durchgeführt werden. Dafür ist PIA vollkommen kostenlos! Wer dazu beitragen will, kann z. B. das Tool weiterentwickeln oder eine Übersetzung davon liefern. Wie genau das geht, ist in einem Tutorial, zu welchem man ebenfalls über die FAQ gelangt, erklärt.

V. Schwachstellen von PIA – was kann PIA nicht?

Wie bereits dargestellt, geht PIA sehr akribisch vor, was die Reihenfolge der zu machenden Eingaben angeht. Es können keine Felder bei der Eingabe übersprungen werden, aber dies macht eben auch Sinn, da die DSFA auf aufeinander aufbauenden aufbauenden Inhalten beruht.

Zuletzt ist das Update der Software nicht automatisch, sondern muss händisch bestätigt werden. Der Aufwand hält sich dabei aber in Grenzen.

VI. Ausblick

Wenn also schon die Aufsichtsbehörden zu solch innovativen Angeboten wie einer Open-Source-Software greifen, dann kann das nur zweierlei heißen:

• Datenschutz wird für alle zugänglich gemacht.
• Auch Behörden werden digital und programmieren jetzt sogar.

Vielleicht ist angesichts dieser Entwicklung weniger die in der Einleitung aufgeworfene Frage nach einem Leistungsvergleich französischer und deutscher Aufsichtsbehörden zu beantworten, als die erfreuliche Tatsache zu begrüßen, dass auch wir deutschen Anwender nebst vieler unserer europäischen Kollegen von den Arbeitsergebnissen der französischen CNIL profitieren können.

Mehr zu PIA: The open source PIA software helps to carry out data protection impact assesment | CNIL.[10]

Anmerkung: Die Reihe „Datenschutz international“ wird mit praxisrelevanten Abhandlungen fortgesetzt.

[10] Siehe „The open source PIA software helps to carry out data protection impact assessment”, abrufbar unter https://www.cnil.fr/en/open-source-pia-software-helps-carry-out-data-protection-impact-assesment.