Datenschutz News 13.12

Italien: Garante und ACN veröffentlichen technische Richtlinien zur Passwortspeicherung

Die italienische nationale Sicherheitsbehörde (ACN) und die italienische Datenschutzbehörde (Garante) haben am 12. Dezember 2023 Richtlinien für technische Maßnahmen zur Passwortspeicherung veröffentlicht. Die Leitlinien richten sich an Unternehmen und Verwaltungen, die Passwörter ihrer Nutzerinnen und Nutzer auf ihren Systemen speichern, an Personen, die auf Datenbanken von besonderer Bedeutung oder Größe zugreifen, oder an Nutzerinnen und Nutzer, die sensible oder juristische Daten verarbeiten.

Ziel der Leitlinien ist es, Empfehlungen für die sichersten technischen Funktionen zu geben, die für die Speicherung von Passwörtern implementiert werden sollten. Die Richtlinien erläutern, dass diese Maßnahmen verhindern sollen, dass Zugangsdaten von Cyberkriminellen missbraucht werden können. Zu den Techniken und Mindestparametern, die von den Richtlinien abgedeckt werden, gehören unter anderem die Verbesserung von Passwort-Hashing-Techniken und die Verwendung verschiedener Algorithmen.

Italien, 12. Dezember 2023

Grossbritannien: Berufungsgericht entscheidet, dass die Regierung die Ausnahmeregelung für Einwanderer im Datenschutzgesetz ändern muss

Am 11. Dezember 2023 gab das Information Commissioner's Office (ICO) bekannt, dass das Berufungsgericht (Court of Appeal) ein Urteil gefällt hat, das die Regierung des Vereinigten Königreichs dazu verpflichtet, die Ausnahmeregelung für Einwanderer im Datenschutzgesetz von 2018 zu ändern, um sie klarer zu gestalten. Das Urteil folgt insbesondere auf eine Klage von the3million und der Open Rights Group, in der es um die Frage ging, ob die Ausnahmeregelung für Einwanderer die Anforderungen von Artikel 23 der Datenschutz-Grundverordnung des Vereinigten Königreichs (DSGVO) für eine rechtmäßige Ausnahme von Datenschutzrechten erfüllt.

Wie entschied der Gerichtshof?

In seinem Urteil betonte das Gericht, dass jede gesetzgeberische Maßnahme, die eine Ausnahme von den Rechten nach der Datenschutz-Grundverordnung des Vereinigten Königreichs vorsieht, klar, spezifisch und rechtsverbindlich sein muss. Der Gerichtshof stellte fest, dass die Ausnahmeregelung für Einwanderer nicht im Einklang mit Artikel 23 Absatz 2 Buchstabe d der britischen Datenschutzgrundverordnung steht, da die erforderlichen Schutzmaßnahmen gegen Missbrauch oder unrechtmäßigen Zugang oder unrechtmäßige Offenlegung nicht in der Rechtsvorschrift selbst, sondern in einem unverbindlichen Strategiepapier festgelegt sind.

Darüber hinaus stellte das Gericht fest, dass die Ausnahmeregelung für Einwanderer nicht die Risiken für die Rechte und Freiheiten der betroffenen Person berücksichtigt, wie es nach Artikel 23 Absatz 2 Buchstabe g der britischen Datenschutz-Grundverordnung erforderlich ist.

Was sind die nächsten Schritte?

Das Gericht kam zu dem Schluss, dass die Ausnahmeregelung für Einwanderer nicht mit Artikel 23 der britischen Datenschutz-Grundverordnung vereinbar ist. Das Gericht setzte das Urteil jedoch für drei Monate aus, um der Regierung Zeit zu geben, ein Änderungsgesetz mit angemessenen Garantien zu verabschieden. Das ICO wies darauf hin, dass es seine eigenen Leitlinien zu gegebener Zeit aktualisieren werde.

Grossbritannien, 12. Dezember 2023

Polen: UODO verabschiedet Verhaltenskodex zum Schutz von Gesundheitsdaten

Am 11. Dezember 2023 gab die polnische Datenschutzbehörde (UODO) die Genehmigung des vom polnischen Krankenhausverband entwickelten Verhaltenskodex für das Gesundheitswesen (der Kodex) bekannt. Insbesondere bestätigte die UODO, dass der Kodex als erster Kodex in Europa, der sich sowohl an öffentliche als auch private Einrichtungen im Gesundheitswesen richtet, ein umfassendes Instrument für Verwalter und Einrichtungen darstellt, die personenbezogene Daten im Gesundheitswesen verarbeiten.

Welche Vorteile bietet der Kodex?

Die UODO stellt fest, dass der Kodex zahlreiche Vorteile für die beitretenden Einrichtungen im Hinblick auf die Verbesserung der Standards für den Schutz personenbezogener Daten von Patienten bietet:

• private und öffentliche Krankenhäuser können nachweisen, dass ihre Datenverarbeitungspraktiken im Einklang mit der Datenschutz-Grundverordnung stehen
• Gewährleistung der korrekten Anwendung spezifischer, von der Aufsichtsbehörde genehmigter Lösungen;
• die Überwachung der Verarbeitung personenbezogener Daten auf der Grundlage der im Kodex beschriebenen Überwachungsmechanismen und
• sicherzustellen, dass die Aufsichtsbehörde bei der Verhängung von Sanktionen gegen eine bestimmte Organisation in jedem Fall berücksichtigt, ob die Organisation den genehmigten Kodex korrekt umgesetzt hat.

Insbesondere hat die UODO die KPMG Advisory Spółka z ograniczoną odpowiedzialnością sp.k. als Aufsichtsbehörde akkreditiert, die die Anwendung des Kodex bei ihren Mitgliedern aus dem privaten Sektor überwacht.

Polen, 12. Dezember 2023