Datenschutz auf Hochtouren

Legal Watch Nr. 20 – 10. Februar 2020

Aus den ersten Wochen dieses neuen Jahres, mit zahlreichen Debatten anlässlich bedeutender Ereignisse, sind uns folgende Erinnerungen geblieben:

• Internationaler Datenschutztag am 28. Januar
• Die internationale Datenschutzkonferenz, die letzte Woche in Brüssel vom akademischen Sektor organisiert wurde, und
• Das Internationale Cybersicherheitsforum in Lille in den letzten Januartagen.

Auch im Februar wird die Konferenz zum Thema „Intensiver Datenschutz“ in Paris, die von der International Association of DPOs (IAPP) organisiert wird, nicht fehlen.

Unter den vielen behandelten Themen stechen zwei hervor: die Intensivierung der Debatten rund um die Gesichtserkennung und die besondere Situation von Kleinstunternehmen und KMU im Hinblick auf die DSGVO.

Gesichtserkennung in Frage gestellt

Was Ende Januar den Zündfunken entzündete, war die in einem Weißbuch der Europäischen Kommission aufgestellte Hypothese einer Moratorium zur Gesichtserkennung an öffentlichen Orten.

Dieses Dokument war im Entwurfsstadium nicht zur Verbreitung bestimmt und die Kommission hat inzwischen angekündigt, dass sie die Möglichkeit eines Moratoriums aufgibt und anderen Regulierungsansätzen den Vorzug gibt.

Am 19. Februar wird sie ihr Paper zum Thema Künstliche Intelligenz vorstellen.

Die Idee, die automatische Erkennung von Personen an bestimmten Orten strenger zu regeln oder sogar zu verbieten, findet seinen Weg bei Regulierungsbehörden sowie im privaten und öffentlichen Sektor und sogar über Europa hinaus.

Zu diesem Thema haben sich unter anderem der Europäische Datenschutzbeauftragte (EDSB) und der Datenschutzbeauftragte des Europarats geäußert.

Auch der Europäische Datenschutzausschuss (EDSA) befasst sich in seinen jüngsten, Ende Januar verabschiedeten Leitlinien mit dem Thema.

Immer mehr Städte, wie beispielsweise San Francisco und Cambridge, haben diese Technologie aus ihren öffentlichen Räumen verbannt.

Die möglichen Verwendungszwecke der Daten schaffen eine solche Unsicherheit, dass auch Technologiegiganten wie Microsoft mehr Klarheit fordern.

Unter den vorgebrachten Argumenten bemerken wir insbesondere die Diskriminierungsrisiken aufgrund ethnischer Herkunft und anderer Vorurteile, was zu zu vielen „falsch positiven“ Ergebnissen führt.

Die Aussicht auf einen öffentlichen Raum unter totaler Überwachung wirft auch angesichts der aktuellen Möglichkeiten der Datenerfassung Fragen auf: Wir denken an die Datenbank von Clearview, dem Unternehmen, das in allen sozialen Netzwerken zugängliche Gesichter speichert, um sie an die Strafverfolgungsbehörden in den USA zu verkaufen, und das Anfang dieses Jahres Schlagzeilen machte.

Auch die internationale Dimension des Problems verdient es, hervorgehoben zu werden.

Dies zeigt die jüngste parlamentarische Anfrage auf europäischer Ebene zum in Serbien entwickelten Projekt „Safe City“, das auf chinesischer Gesichtserkennungstechnologie basiert. 

Die Situation von Kleinstunternehmen und KMU

Die Debatten im Rahmen der verschiedenen Veranstaltungen im Januar verdeutlichten die wichtigsten Herausforderungen für (sehr) kleine und mittlere Unternehmen.

Wenn sie den größten Teil der europäischen Wirtschaft ausmachen, sie sind die am meisten benachteiligten bei der Behandlung von Fragen zur Sicherheit ihrer IT-Plattform, zur Nutzung der Cloud, zum Outsourcing und zur Verwendung von Selbstbewertungstools (Audits).

Mit diesen Fragen konfrontiert, mehrere Initiativen haben das Licht der Welt erblickt. 

ENISA (die Cybersicherheitsagentur der Europäischen Union) hat am 28. Januar eine Online-Plattform gestartet, um Unternehmen, insbesondere KMU, bei der Sicherung ihrer Daten zu unterstützen.

Darüber hinaus gibt es zwei Initiativen zur Unterstützung von Website-Entwicklern: Der CNIL-Leitfaden und der der EDRI-Organisation zielen darauf ab, die Entwicklung von Websites in Übereinstimmung mit der DSGVO zu unterstützen.

Obwohl die Wahl einer sicheren (und idealerweise europäischen) Cloud nach wie vor komplex ist, sind die Bemühungen der europäischen Regulierungsbehörden in dieser Hinsicht bemerkenswert. Microsoft beispielsweise hat auf Druck des EDSB und der Niederlande kürzlich die Vertragsbedingungen von Office 365 geändert, um sie mit der DSGVO in Einklang zu bringen.

Und außerdem:

In Frankreich:

Wie angekündigt veröffentlichte die CNIL am 14. Januar 2020 einen Empfehlungsentwurf zumVerwendung von Cookies und anderen Trackern.

Der Text soll die Bedingungen für die Einholung der Einwilligung klären und enthält konkrete Beispiele für Hinweise an Internetnutzer. Der Text steht bis zum 25. Februar zur Konsultation offen.

In Europa:

Dort Austritt des Vereinigten Königreichs aus der Europäischen Union wird Auswirkungen auf die Datenübertragung haben.

Es wird dennoch keine Änderung im Jahr 2020, ein Übergangsjahr, in dem die Europäische Kommission das vom Vereinigten Königreich gebotene Schutzniveau bewerten wird, um einen möglichen Angemessenheitsbeschluss zu fassen. 

In den Pressemitteilungen des ICO (britische Aufsichtsbehörde) und der CNIL werden diese Elemente genauer erläutert.

Internationales:

• VEREINIGTE STAATEN : Nach dem Inkrafttreten der Kalifornisches Verbraucherdatenschutzgesetzist der Staat Washington an der Reihe, ein Datenschutzgesetz vorzubereiten.

• Indonesien : A Datenschutzrecht wurde am 28. Januar im Parlament eingebracht. Seine neueste Version vom 6. Dezember 2019 ist stark an die DSGVO angelehnt und gilt für den öffentlichen und privaten Sektor.

Zur Erinnerung: Die Liste der Länder, deren Gesetze von der Europäischen Union als angemessen erachtet werden und die daher den Datentransfer in diese Länder erleichtern, finden Sie hier.

• Andorra,
• Argentinien,
• Kanada (kommerzielle Organisationen),
• Färöer-Inseln,
• Guernsey,
• Israel,
• Insel Man,
• Japan,
• Jersey,
• Neuseeland,
• Schweiz,
• Uruguay und die
• Vereinigte Staaten von Amerika (beschränkt auf das Privacy Shield-Framework)

Anne Christine Lacoste

Anne Christine Lacoste, Partnerin bei Olivier Weber Avocat, ist Anwältin mit Spezialgebiet Datenschutz. Sie war Leiterin für internationale Beziehungen beim Europäischen Datenschutzbeauftragten und arbeitete an der Umsetzung der DSGVO in der Europäischen Union.