Datenschutz steht bei den US-Wahlen auf dem Stimmzettel

Dieses Wahljahr könnte einen großen Einfluss auf die Datenschutzpolitik in den USA haben. Das Thema steht in Kalifornien zur Abstimmung, wo der California Consumer Privacy Act (CCPA), ein Modell für viele andere Bundesstaaten, gerade im Januar 2020 in Kraft getreten ist. Und auf nationaler Ebene könnte der Wahlausgang auch über die Zukunft von rund 30 verschiedenen Datenschutzvorschlägen entscheiden, die auf dem Capitol Hill kursieren.

In der Praxis müssen jedoch viele amerikanische Unternehmen bereits einen Flickenteppich aus alten und neuen Datenschutzvorschriften und -normen einhalten - sei es auf staatlicher, nationaler, internationaler oder Branchenebene. Dazu gehören verschiedene Anforderungen für:

• Einbindung des Datenschutzes in jedes neue Produkt oder jede neue Dienstleistung;
• Umsetzung von Richtlinien und Verfahren für den Austausch von Kunden- und Mitarbeiterinformationen;
• Sicherung personenbezogener Daten bei ihrer Erstellung, Speicherung, Pflege und Übermittlung;
• Meldung von Datenschutzverletzungen;
• und die Schulung des Personals im richtigen Umgang mit personenbezogenen Daten.

Ein Großteil der Compliance-Arbeit dreht sich um die alltägliche geschäftliche E-Mail, die in zweierlei Hinsicht von zentraler Bedeutung für den Datenschutz ist. Erstens handelt es sich um einen der größten Speicher für personenbezogene Daten, die ein Unternehmen besitzt. Zweitens sind geschäftliche E-Mails der häufigste Auslöser für Datenschutzverletzungen, bei denen personenbezogene Daten offengelegt werden. [1]

Da die Datenschutzvorschriften immer mehr Gestalt annehmen, raten Technologiemarktexperten wie die Gartner Group den Unternehmen, proaktiv zu handeln und ganzheitliche, anpassungsfähige Datenschutzprogramme zu entwickeln, anstatt jedes Mal zu reagieren, wenn eine neue Rechtsprechung eine neue Richtlinie einführt. [2] Technologie ist ein wesentlicher Bestandteil dieser Compliance-Programme, da sie Daten sichert und die Einhaltung der Vorschriften automatisiert.

Die Datenschutzlandschaft verschiebt sich erneut

Die Einführung des CCPA löste eine Welle von Datenschutzinitiativen im ganzen Land aus, wobei in mindestens 30 Bundesstaaten und Puerto Rico Gesetzesentwürfe erwogen wurden, bevor die Pandemie die Prioritäten verschob. [3] Während das CCPA bereits als recht streng angesehen wird , veranlassten Fragen zu seinen Durchsetzungsmechanismen und anderen Aspekten einige Datenschutzbefürworter dazu, Proposition 24 zu entwerfen, die nun in Kalifornien zur Abstimmung steht.

Im Falle einer Verabschiedung würde Proposition 24 das CCPA in mehreren Bereichen erweitern. Zu den Bereichen, die sich auf geschäftliche E-Mails auswirken könnten, gehören strengere Richtlinien zur Minimierung der Aufbewahrung personenbezogener Daten und die Einrichtung der California Privacy Protection Agency, die eine weitere Aufsichtsbehörde für die Einhaltung der Vorschriften darstellt. Ein weiterer wichtiger Bereich ist die Verwendung personenbezogener Daten für die gezielte Werbung.

In der Zwischenzeit könnten die nationalen Wahlergebnisse in Washington zu einem erneuten Vorstoß für eine umfassende nationale Datenschutzpolitik führen. Nach Angaben der Brookings Institution, einer Denkfabrik, wurden in den letzten zwei Jahren mehr als 30 Gesetzesentwürfe zum Datenschutz eingereicht. [4] Die beiden Gesetzesentwürfe mit der größten Dynamik unterscheiden sich laut Brookings stark voneinander, stimmen aber in wichtigen Fragen wie der Datenminimierung überein.

Hinzu kommen die Datenschutzrichtlinien der verschiedenen Sektoren. Der Health Insurance Portability and Accountability Act (HIPAA) gilt seit langem für Unternehmen im Gesundheitswesen. Finanzdienstleister müssen sich gegenüber staatlichen und nichtstaatlichen Behörden wie dem PCI Security Standards Council und dem New York State Department of Financial Services verantworten.

Der Ausgang der Wahlen im Jahr 2020 könnte darüber entscheiden, ob und wenn ja, welche Maßnahmen ergriffen werden: Der demokratische Präsidentschaftskandidat Joe Biden hat vorgeschlagen, dass die USA ein nationales Datenschutzgesetz haben sollten, das ähnliche Standards wie die europäische Datenschutz-Grundverordnung (GDPR) festlegt, während sich Präsident Trump noch nicht geäußert hat.

Weltweit beschleunigt sich die 'moderne' Regulierung des Datenschutzes

Auf internationaler Ebene ist die GDPR in die Durchsetzungsphase eingetreten, und seit ihrer Umsetzung im Jahr 2018 wurden 430 Bußgelder und Strafen öffentlich aufgelistet. [5] Die umfassende Datenschutzrichtlinie gilt für Unternehmen sowohl innerhalb als auch außerhalb der Europäischen Union, wenn sie mit europäischen Bürgern Geschäfte machen, obwohl die Umsetzung zwischen Europa und den USA holprig war . In Europa wurden Geldstrafen in Höhe von Hunderten bis Millionen von Dollar verhängt, weil beispielsweise die technischen und organisatorischen Maßnahmen zur Gewährleistung der Informationssicherheit unzureichend waren.

Alles in allem werden laut Gartner bis 2023 65 % der Weltbevölkerung über personenbezogene Daten verfügen, die unter "moderne" Datenschutzbestimmungen fallen, gegenüber 10 % im Jahr 2020. Während 130 oder mehr Länder über einige Datenschutzgesetze verfügen, haben viele ihre Gesetze seit dem Erlass der GDPR modernisiert. [6]

Compliance-Programme und Technologie

Die Einhaltung der sich ändernden Datenschutzbestimmungen ist sowohl eine organisatorische als auch eine technische Herausforderung.

Unternehmen geben Millionen aus, um Strategien zur Einhaltung von Vorschriften, Richtlinien, Verfahren und Schulungen zum Schutz der persönlichen Daten ihrer Kunden und Mitarbeiter zu entwickeln. Zu den führenden Praktiken gehört die Einführung übergeordneter Grundsätze in Bezug auf personenbezogene Daten als Teil einer dokumentierten und messbaren Strategie. Beim Umgang mit E-Mails müssen die Archivierungsrichtlinien beispielsweise regeln, warum und wie lange personenbezogene Daten aufbewahrt werden, und wie sich das Unternehmen gegen Bedrohungen durch E-Mails schützt, die den Bestand an personenbezogenen Daten verletzen könnten.

Die Umsetzung der Compliance-Strategie im E-Mail-Bereich umfasst technische Tools zur Umsetzung dieser und anderer Richtlinien zur Datenverwaltung, Sicherheit, Archivierung, Suche und Abruf, Verschlüsselung und Berichterstattung. Cloud-basierte E-Mail-Dienste wie Mimecast integrieren und automatisieren immer mehr der für die Einhaltung der Vorschriften erforderlichen Datensicherheits- und Verwaltungsfunktionen. Zum Beispiel:

• Bestimmte Arten von persönlichen Informationen in E-Mails können verschlüsselte Nachrichten auslösen.
• Compliance-Teams können Aufbewahrungsrichtlinien einrichten, pflegen und durchsetzen, nach denen Nachrichten innerhalb einer bestimmten Anzahl von Tagen ablaufen".
• Mit Hilfe von Daten-Dashboards kann die Wahrscheinlichkeit gemessen werden, dass Mitarbeiter auf betrügerische E-Mails klicken und damit eine Datenschutzverletzung riskieren, bei der persönliche Informationen preisgegeben werden.

Die Quintessenz

Wenn die Wähler in Kalifornien und im ganzen Land zu den Urnen gehen, könnten weitere Änderungen der Datenschutzpolitik anstehen. Die Unternehmen haben schon seit langem mit den sich ändernden Datenschutzbestimmungen zu kämpfen. Viele ergreifen praktische Maßnahmen, um sicherzustellen, dass sie sich auch in diesem Fall anpassen und die Vorschriften einhalten können.

[1] " 2020 Data Breach Investigations Report ," Verizon

[2] " Gartner Predictions for the Future of Privacy 2020 ," Gartner

[3] " 2020 Consumer Data Privacy Legislation ," National Conference on State Legislatures

[4] " How the 2020 Elections Will Shape the Federal Privacy Debate ," Brookings Institution

[5] " GDPR Enforcement Tracker ," C/M/X

[6] " Globale Datenschutzgesetze 2019: 132 nationale Gesetze & Viele Gesetzesentwürfe ," Social Science Research Network