Wann gilt ein Datenschutzverstoß in den USA wirklich als Datenschutzverstoß?
Hier bei Lepide sprechen wir viel darüber, wie wir Unternehmen dabei helfen, Datenlecks zu erkennen und zu verhindern und wie wir dazu beitragen können, die Risiken von Datenschutzverletzungen zu mindern. Es ist jedoch nicht immer klar, was in der Praxis einen Verstoß darstellt.
Ab welchem Punkt ist ein Verstoß technisch gesehen ein Verstoß (d. h. welche Bedingungen müssen erfüllt sein, bevor Sie zur Offenlegung verpflichtet sind)?
In den USA variieren die Definitionen von Staat zu Staat und unterscheiden sich erheblich, je nachdem, wo der Verstoß stattgefunden hat.
Was gilt als personenbezogene Daten?
In den meisten Bundesstaaten der USA wird der „Verstoß“ wahrscheinlich eine Kombination aus Vorname, Nachname, SSN, formellen/staatlichen Ausweisdaten (z. B. Passinformationen), Angaben zum Führerschein und mehr (einschließlich aller landesweit anerkannten Ausweise). Dazu gehören auch alle persönlichen Bankdaten; wie Kontonummern, Bankleitzahlen oder alles, was potenziell den Zugang zu Bankeinrichtungen ermöglichen könnte, einschließlich Benutzernamen oder Passwörter.
Allerdings ist dies von Bundesland zu Bundesland unterschiedlich. Beispielsweise besteht in Texas, South Dakota, Alabama und Utah keine Verpflichtung, eine Verletzung der Sozialversicherungsnummer, des Staatsausweises oder der Finanzkontoinformationen offenzulegen.
Eine der größten Herausforderungen bei der Verhinderung von Verstößen dieser Art besteht darin, dass Einzelpersonen selten eindeutige Passwörter für mehrere Konten vergeben. Es kommt weitaus häufiger vor, dass Benutzer ein Passwort nehmen und es für mehrere Dienste/Konten verwenden. Wenn Passwörter in die falschen Hände geraten, kann der Schaden möglicherweise erheblich sein.
Was ist mit dem Gesundheitssektor?
Wenn Ihre Organisation in Oregon, Nevada, Kalifornien, Montana, Nevada, Missouri, Illinois, Arizona oder Florida ansässig ist, sind Sie verpflichtet, Informationen über verletzte Krankengeschichten von Patienten offenzulegen.
Wir haben letzte Woche mit einem unserer Gesundheitskunden in Wisconsin gesprochen und er lebt im einzigen Bundesstaat, der DNA als personenbezogene Daten (PII) betrachtet. Mit anderen Worten: Wenn Ihre DNA-Daten verletzt wurden, besteht für Gesundheitsdienstleister keine Verpflichtung, dies offenzulegen, es sei denn, dies geschieht in Wisconsin. Informationen über Gesundheitsdienstleister oder Versicherer (im Gegensatz zu Patienteninformationen) sind in Oregon, Kalifornien, North Dakota, Montana, Illinois und Florida weit verbreitet und werden von allen als offenlegungswürdig eingestuft.
Andere bemerkenswerte Ausnahmen bei Datenschutzverletzungen
Branchenübergreifend müssen Sie nur in North Dakota einen Verstoß gegen die Arbeitgeber-ID melden, und nur in Texas gilt das Geburtsdatum als für die Offenlegung verantwortlich. In beiden Staaten ist jedoch die Offenlegung einer Verletzung des Mädchennamens der Mutter erforderlich. North Dakota und Washington sind außerdem die einzigen Staaten, die eine Offenlegung verlangen, wenn der Verstoß Steuerinformationen beinhaltet.
Was dies für Datenschutzverletzungen bedeutet
Meiner Ansicht nach müssen wir wahrscheinlich die Definitionen und Offenlegungsvorschriften verschärfen. Wenn meine DNA durchgesickert wäre, würde ich gerne davon erfahren, nicht wahr? Angesichts der Verbreitung der Steuer-ID zur Authentifizierung (z. B. für die Anmeldung beim Online-Banking) hätte ich gedacht, dass dies universeller wäre.
Es geht vor allem um das Prinzip des Verstoßes. Es geht nicht unbedingt darum, was durchgesickert ist, sondern vielmehr darum, dass ein Leck aufgetreten ist. Wenn in einer Organisation ein Datenverstoß auftritt, ist das für mich ein Zeichen dafür, dass die Einhaltung von Compliance- und Sicherheitsbestimmungen unzureichend ist und die Sensibilität meiner personenbezogenen Daten missachtet wird (wobei es hier natürlich Ausnahmen gibt).
Was auch immer die Ursache des Verstoßes ist und welche Informationen auch immer durchgesickert sind, sollten wir nicht das Recht haben zu erfahren, ob wir beteiligt waren? Die Definition und Regulierung von Verstößen muss vereinfacht werden. Je einfacher es ist, desto universeller wird die Regelung und desto größer ist die Chance, dass Verstöße ordnungsgemäß gehandhabt, offengelegt und gemeldet werden.