Datenschutz nach dem Brexit: Das britische Datenschutzgesetz 2018

Im Jahr 2016 stimmte das Vereinigte Königreich (UK) für den Austritt aus der Europäischen Union (EU), was allgemein als "Brexit" bezeichnet wird. "Diese Entscheidung hatte mehrere Auswirkungen auf die Cybersicherheitsgesetze, wenn man bedenkt, dass die bestehenden EU-Gesetze nach dem Brexit nicht mehr für das Vereinigte Königreich gelten würden.

Der UK Data Protection Act 2018 (DPA 2018) wurde umgesetzt, um Cybersicherheitsvorschriften für den neuen unabhängigen Staat festzulegen. Es umfasste Regeln über die Verwendung von Daten, den verantwortungsvollen Umgang mit Daten und den Schutz der Rechte des Einzelnen an seinen Daten.

Erfahren Sie, wie UpGuard Ihrem Unternehmen helfen kann, Ihre Daten zu schützen und Ihre Cybersicherheitslage zu überwachen >

Was ist das britische Datenschutzgesetz 2018?

Das DPA 2018 ist ein britisches Gesetz, das regelt, wie personenbezogene Daten im Vereinigten Königreich erhoben, verarbeitet und gespeichert werden. Die britische Regierung hat es verabschiedet, um nach dem Brexit Cybersicherheitsvorschriften im Vereinigten Königreich zu erlassen. Es enthält den größten Teil der EU-Datenschutz-Grundverordnung (DSGVO), eines EU-Cybersicherheitsgesetzes, das das Vereinigte Königreich befolgt hat, als es Teil der Union war. Die EU-DSGVO lieferte einen allgemeinen Überblick, den das Vereinigte Königreich an seine spezifischen Bedürfnisse angepasst hat.

Das DPA 2018 legt Wert auf die Rechte von Einzelpersonen und ihren personenbezogenen Daten und legt Richtlinien für Organisationen zum Umgang und Schutz von Daten fest. Darüber hinaus enthält sie Bestimmungen, die ausdrücklich auf das Vereinigte Königreich zugeschnitten sind, wie z. B. Vorschriften für die Datenverarbeitung im Zusammenhang mit der Strafverfolgung und der nationalen Sicherheit.

Zusammenfassend lässt sich sagen, dass das DPA 2018 drei Hauptzwecke für das Vereinigte Königreich erfüllt:

1. Ermöglicht es dem Vereinigten Königreich, die EU-DSGVO formell in seinen nationalen Gesetzgebungsprozess zu übernehmen
2. Es gibt dem Vereinigten Königreich die Befugnis, Teile der EU-DSGVO zu ändern und auszunehmen, die für das Vereinigte Königreich gelten können oder nicht
3. Ausweitung der britischen Datenschutzbestimmungen auf neue Bereiche, die ursprünglich nicht in der EU-DSGVO enthalten waren

Grundsätze des Datenschutzes

Ein wesentlicher Bestandteil des DPA 2018 sind die Datenschutzgrundsätze, die in der gesamten Gesetzgebung verwendet werden. Jeder Abschnitt enthält diese Datenschutzgrundsätze und ihre Anwendung auf bestimmte Unternehmen.

1. Rechtmäßigkeit, Fairness und Transparenz: Die Verarbeitung personenbezogener Daten muss rechtmäßig und rechtmäßig im besten Interesse der betroffenen Person erfolgen, und die Parteien müssen den betroffenen Personen mitteilen, was, wie und warum Sie Daten verarbeiten.
2. Zweckbindung: Die Verarbeitung personenbezogener Daten sollte nur für den ursprünglich beabsichtigten Zweck verwendet und niemals für andere Zwecke wiederverwendet werden.
3. Datenminimierung: Einzelpersonen oder Organisationen werden nicht mehr personenbezogene Daten sammeln, als für ihre Dienstleistungen benötigt werden.
4. Richtigkeit: Die verarbeiteten personenbezogenen Daten müssen korrekt und aktuell sein, und es müssen angemessene Maßnahmen ergriffen werden, um dies zu gewährleisten.
5. Speicherbeschränkungen: Personenbezogene Daten sollten nicht gespeichert werden, wenn sie nicht mehr für den ursprünglichen Zweck verwendet werden, und es müssen Prozesse zur sicheren Vernichtung von Daten implementiert werden.
6. Integrität und Vertraulichkeit: Personenbezogene Daten müssen korrekt sein und dürfen nicht manipuliert werden, und die Verarbeitung sollte nur von Personen durchgeführt werden, die Zugang zu den Daten haben.
7. Rechenschaftspflicht: Datenverantwortliche und Auftragsverarbeiter müssen für ihre Datenverarbeitung zur Rechenschaft gezogen und verantwortlich gemacht werden, wobei die Einhaltung des DPA 2018 Vorrang hat.

Schlüsselkomponenten

Das DPA 2018 besteht aus sieben Hauptabschnitten. Nicht alle gelten für jedes Unternehmen, aber Unternehmen sollten jeden Abschnitt überprüfen und verstehen, um die Compliance zu gewährleisten.

• Teil 1: Überblick über das DSV: Der einleitende Teil skizziert den Zweck und das Hauptthema des DPA 2018, bei dem sich alles um den Schutz personenbezogener Daten dreht. Es enthält Definitionen der im Gesetz verwendeten Begriffe, einschließlich der Definition von "personenbezogenen Daten", "Verarbeitung", ", "betroffener Person" und verschiedenen anderen Entitäten, die in der Gesetzgebung aufgeführt sind.
• Teil 2: Allgemeine Verarbeitung: Dieser Abschnitt umfasst zwei Hauptzwecke. Erstens ergänzt sie die EU-DSGVO, indem sie Abschnitte hinzufügt, die ursprünglich für die Auslegung und Umsetzung durch die EU-Mitgliedstaaten offen gelassen wurden. Zweitens wendet sie die Anforderungen der EU-DSGVO auf bestimmte allgemeine Verarbeitungssituationen an. Dieser Abschnitt enthält weitere Definitionen und Regelungen zum Datenschutz für die Datenverarbeitung im Rahmen der EU-DSGVO und für Datenverarbeitungen, die von der EU-DSGVO nicht abgedeckt werden.
• Teil 3: Verarbeitung durch Strafverfolgungsbehörden: Dieser Abschnitt des DPA 2018 gilt für jede Datenverarbeitung in einer Strafverfolgungsumgebung unter Anwendung der sechs oben genannten Datenschutzgrundsätze. Sie umfasst auch die Rechte der betroffenen Person sowie die Rollen und Pflichten von Strafverfolgungsbehörden, Datenverantwortlichen und Auftragsverarbeitern.
• Teil 4: Verarbeitung von Nachrichtendiensten: Abschnitt 4 gilt speziell für Nachrichtendienste, einschließlich des Sicherheitsdienstes, des Geheimdienstes und der Zentrale für Regierungskommunikation. Auch hier werden die sechs Grundsätze des Datenschutzes für die Datenverarbeitung im Rahmen eines Nachrichtendienstes und die Rechte der Betroffenen explizit umrissen. Einzigartig in diesem Abschnitt sind Ausnahmen von den Datenschutzgrundsätzen, vor allem für Situationen zum Schutz der nationalen Sicherheit.
• Teil 5: Der Information Commissioner: Dieser Abschnitt des DPA 2018 beschreibt die Rolle des Information Commissioner, der nationalen Aufsichtsbehörde des Vereinigten Königreichs für die Regulierung und Überwachung des Datenschutzgesetzes, und kümmert sich um die Durchsetzung und Untersuchung von Verstößen.
• Teil 6: Durchsetzung: In diesem Abschnitt wird der Prozess der Durchsetzung des DPA 2018 durch Informationen, Bewertungen und Durchsetzungsbescheide erläutert. Es enthält auch Richtlinien für Strafen, Berufungen, Beschwerden und gerichtliche Rechtsbehelfe.
• Teil 7: Ergänzende und abschließende Bestimmung: Der letzte Abschnitt beschreibt die Vorschriften des Gesetzes, Änderungen des Datenschutzübereinkommens und andere spezifische Situationen im Zusammenhang mit der Verarbeitung personenbezogener Daten. Er endet mit den Zeitpunkten, an denen der Rechtsakt in Kraft tritt, und dem Umfang des Rechtsakts.

Die Auswirkungen des Brexit auf die Cybersicherheit

Der Brexit hat erhebliche Auswirkungen auf die Cybersicherheit in der gesamten Europäischen Union. Mit dem Austritt des Vereinigten Königreichs aus der Union wurde es zu einem "Drittland", wie alle Länder außerhalb des Europäischen Wirtschaftsraums (EWR) bezeichnet werden. Aufgrund dieses Ausstiegs waren sie nicht mehr verpflichtet, die bestehenden Cybersicherheitsgesetze in der EU einzuhalten.

Die Datenschutz-Grundverordnung (DSGVO) der EU

Vor dem Brexit galt im Vereinigten Königreich die Datenschutz-Grundverordnung (DSGVO). Die 2016 verabschiedete DSGVO konzentriert sich auf Datenschutz, Cybersicherheit und das Management von Sicherheitsverletzungen. Alle EU-Mitgliedstaaten waren verpflichtet, die DSGVO einzuhalten. Die Verordnung zielt darauf ab, den Datenschutz zu standardisieren, personenbezogene Daten und die Privatsphäre zu schützen und die Regulierungsprozesse für internationale Organisationen zu vereinfachen.

Als das Vereinigte Königreich Mitglied der Europäischen Union war, war die DSGVO direkt anwendbar, wodurch die Notwendigkeit einer spezifischen britischen Cybersicherheitsgesetzgebung zunichte gemacht wurde. Nach dem Votum für den Austritt aus der EU und während der Brexit-Übergangsphase unterzeichnete das Vereinigte Königreich jedoch verschiedene Austrittsabkommen mit der EU, darunter eine Anforderung an die Cybersicherheit. Im EU-Austrittsabkommen wurde festgelegt, dass das Vereinigte Königreich ein Datenschutzniveau gewährleistet, das dem nach Unionsrecht im Wesentlichen gleichwertig ist.

Die Datenschutz-Grundverordnung des Vereinigten Königreichs (UK GDPR)

Zusammen mit dem DPA 2018 wurde die britische Datenschutz-Grundverordnung (UK GDPR) in Kraft gesetzt. Die britische DSGVO und das DPA 2018 umfassen die Cybersicherheitslandschaft des Vereinigten Königreichs am Ende des Übergangszeitraums.

Stellen Sie sich die britische DSGVO als einen umfassenden Rahmen für den Datenschutz im gesamten Vereinigten Königreich vor. Es wurde nach dem Vorbild der EU-DSGVO verabschiedet und enthielt ein nationales Gesetz für Cybersicherheitsvorschriften für das Vereinigte Königreich nach dem Brexit. Das DPA 2018 erweitert diesen Rahmen mit UK-spezifischen Details und Ausnahmen. Zusammen sind beide integraler Bestandteil eines umfassenden Datenschutzes im gesamten Vereinigten Königreich.

Wer muss den britischen Datenschutzgesetz 2018 einhalten?

Das DPA 2018 gilt weitgehend für alle Branchen im Vereinigten Königreich. Die Grundbedingung ist, ob Ihre Organisation mit personenbezogenen Daten umgeht - einschließlich der Beschaffung, Verarbeitung, Speicherung oder Löschung.

Dazu gehören Datenverantwortliche und Datenverarbeiter, aber auch alle britischen Unternehmen oder Unternehmen (öffentlich und privat), die personenbezogene Daten verwenden. Personen, die personenbezogene Daten verarbeiten, sei es unabhängig oder in einer bestimmten Funktion innerhalb eines Unternehmens, müssen ebenfalls das DPA 2018 einhalten.

Strafen bei Nichteinhaltung

Bei Nichteinhaltung des DSG 2018 gibt es eine Vielzahl von Strafen, die von Bußgeldern bis hin zu Straftaten reichen. Dazu gehören Situationen, in denen Einzelpersonen aufgrund von Nichteinhaltung einen Schaden erlitten haben, der zu Compliance-Anordnungen und Entschädigungen führte.

Zu den Geldstrafen gehören Geldstrafen der unteren Stufe von bis zu 10 Millionen Pfund oder Geldstrafen der oberen Stufe von bis zu 17,5 Millionen Pfund. Das Information Commissioner's Office (ICO), die führende Datenschutzbehörde im Vereinigten Königreich, hat auch die Befugnis, die Einhaltung der Vorschriften sicherzustellen und die Nichteinhaltung durch verschiedene Mitteilungen zu beheben, die es ihm ermöglichen, Inspektionen, Audits durchzuführen oder Informationen anzufordern.

Zu den Straftatbeständen, die im DPA 2018 aufgeführt sind, gehören

• Unrechtmäßige Erlangung personenbezogener Daten
• Erneute Identifizierung anonymisierter Daten
• Ändern von Datensätzen, um eine Offenlegung zu verhindern
• Vernichtung oder Fälschung von Daten
• Falsche Angaben als Reaktion auf Informationshinweise
• Verbot des Erfordernisses der Vorlage einschlägiger Aufzeichnungen

Diese Vergehen auf hohem Niveau führen zu hohen Geldstrafen, die von den Gerichten festgelegt werden.

So erfüllen Sie die Anforderungen von UK-GDPR & DPA 2018

Die britische DSGVO verlangt von Unternehmen, dass sie Grundsätze wie Rechtmäßigkeit, Transparenz, Datenminimierung, Genauigkeit und Vertraulichkeit befolgen. Die betroffenen Personen müssen über ihre Rechte informiert werden, einschließlich Zugang, Berichtigung, Löschung und Übertragung. Sicherheitsmaßnahmen müssen personenbezogene Daten schützen und Folgenabschätzungen für die Verarbeitung mit hohem Risiko durchführen. Datenschutzverletzungen müssen dem ICO und den betroffenen Personen innerhalb von 72 Stunden gemeldet werden.

Um den DPA 2018 einzuhalten, benötigen Unternehmen einen triftigen Grund für den Umgang mit personenbezogenen Daten - für Einwilligungen, Verträge, gesetzliche Anforderungen sowie lebenswichtige, öffentliche oder berechtigte Interessen. Das Gesetz enthält spezifische Richtlinien für Strafverfolgungs-, Sicherheits- und Geheimdienstdaten, sodass diese Einrichtungen ihre Anforderungen einhalten müssen. Außerdem müssen Unternehmen das digitale Schutzalter (13 in Großbritannien) einhalten, einen DSB für öffentliche Einrichtungen ernennen und über Audits, Schulungen und Richtlinien verfügen, um die Vorschriften einzuhalten.

Die Auswirkungen des britischen Datenschutzgesetzes 2018

Das DPA 2018 hat die Cybersicherheitslandschaft im Vereinigten Königreich neu gestaltet, insbesondere im Hinblick auf den Datenschutz. Seine lang anhaltende Wirkung betont die Rechte des Einzelnen, die organisatorische Rechenschaftspflicht und die Anpassung der Gesetzgebung an die bestehenden Cybersicherheitsgesetze.

Modernisierung der britischen Datenschutzgesetze

Vor dem DPA 2018 galt für das Vereinigte Königreich der Data Protection Act 1998. Zwischen damals und heute hat es erhebliche technologische Fortschritte gegeben, und das DPA 2018 ändert und ersetzt dieses vorherige Gesetz. Mit dem DPA 2018 wurden die Rechtsvorschriften auf den neuesten Stand gebracht, insbesondere in Bezug auf die Art und Weise, wie personenbezogene Daten verwendet und verarbeitet werden.

Die Europäische Kommission hat nach dem Brexit sogar einen Angemessenheitsbeschluss für das Vereinigte Königreich erlassen, in dem sie die britischen Datenschutzgesetze als gleichwertig mit denen der EU ansieht und den Datenfluss zwischen den beiden erlaubt. Dadurch entfallen SCCs (Standardvertragsklauseln).

Erweiterte individuelle Rechte

Einzelpersonen erhalten im Rahmen des DPA 2018 robustere Rechte. Dies erweitert die in der EU-DSGVO dargelegten Rechte, die Zugang, Löschung und Übertragbarkeit abdecken. Das DPA 2018 hat den betroffenen Personen mehr Macht und Kontrolle über ihre Daten gegeben.

Härtere Strafen für Verstöße

Das DSG 2018 führte zu strengeren Strafen für Verstöße gegen das Datenschutzrecht und verpflichtete Unternehmen zur ständigen Einhaltung dieser aktualisierten Vorschriften. Die Nichteinhaltung führt je nach Schwere des Verstoßes zu hohen Geldstrafen, Klagen und Straftaten.

Datenverarbeitung für Strafverfolgungsbehörden

Die Strafverfolgung wurde von der Leidenschaft des DPA 2018 beeinflusst, das Bestimmungen für die Verarbeitung personenbezogener Daten enthielt. Ein transparentes Datenschutzregime für alle Datenverarbeitungen im Zusammenhang mit der Kriminalprävention, den Ermittlungen und der nationalen Sicherheit ist enthalten.

Bestimmungen für besondere Datenkategorien

Neben Daten im Zusammenhang mit der Strafverfolgung enthält das DPA 2018 auch explizitere Bestimmungen für besondere Kategorien der Datenverarbeitung. Unternehmen verlangen jetzt ein höheres Schutzniveau für personenbezogene Daten (einschließlich gesundheitlicher, genetischer und biometrischer Daten) und Daten zu strafrechtlichen Verurteilungen während ihrer gesamten Verarbeitungsverfahren.

Rechenschaftspflicht und Governance

Das DPA 2018 betont ausdrücklich die Rechenschaftspflicht. Unternehmen müssen die Vorschriften einhalten, aber auch ihre Einhaltung konsequent nachweisen. Die meisten Unternehmen führten Datenschutz-Folgenabschätzungen durch, stellten Datenschutzbeauftragte (DSB) ein und verbesserten ihre internen Datenschutzrichtlinien und Unternehmensregeln für Datenverarbeitungstätigkeiten.

Auswirkungen auf die öffentliche Wahrnehmung

Es gab bereits einen umfangreichen öffentlichen Diskurs über den Brexit und die daraus resultierenden Auswirkungen auf bestehende und neue Gesetze im gesamten Vereinigten Königreich. Die Verabschiedung des DPA 2018 trug dazu bei, die Öffentlichkeit über ihre Datenschutzrechte zu informieren, einschließlich der Frage, welche Organisationen einhalten müssen, wenn sie ihre Daten erhalten und verwenden.

Vorbereitung auf den Brexit

Obwohl dies nicht der Hauptzweck des DPA 2018 war, hat die Verabschiedung dieser Rechtsvorschriften das Vereinigte Königreich auf den Brexit vorbereitet und einen reibungslosen Übergang von den EU-Rechtsvorschriften in die eigenen Rechtsvorschriften gewährleistet. Es war eines von vielen Gesetzen, die während der Brexit-Übergangszeit geschrieben und unterzeichnet wurden und Rahmenbedingungen für das Funktionieren und die Vorschriften vorgaben, als das Vereinigte Königreich nicht mehr Teil der EU war.

Das DPA 2018 steht neben einer Vielzahl anderer europäischer Cybersicherheitsgesetze, die personenbezogene Daten schützen, die Einhaltung von Best Practices gewährleisten und die Sicherheit vernetzter Geräte gewährleisten. Das DPA 2018 wurde zu einem einzigartigen Zeitpunkt erlassen, als das Vereinigte Königreich aus der EU austrat. Es werden jedoch weiterhin die notwendigen Vorschriften für die Verwendung personenbezogener Daten umrissen, die die Rechte des Einzelnen betonen.

Wenn Ihr Unternehmen mit personenbezogenen Daten umgeht und Sie die DPA 2018 einhalten möchten, können wir Ihnen helfen. UpGuard BreachSight hilft Ihrem Unternehmen, die Risiken zu verstehen, die sich auf Ihre externe Sicherheitslage auswirken, und sicherzustellen, dass Ihre Ressourcen ständig überwacht und geschützt werden - einschließlich personenbezogener Daten. Kontinuierliche Überwachung, Schutz vor Datenlecks, gemeinsame Sicherheitsprofile und Insight-Berichte sind nur einige Highlights dieser All-in-One-Plattform.

Schauen Sie sich unten eine Produkttour an!