BfDI Vokietija: BDAR atitiktis techninėms komandoms
Atnaujinta 2026 m.
Vokietija turi 17 duomenų apsaugos institucijų. Viena iš jų yra federalinė BfDI (Bundesbeauftragte fur den Datenschutz und die Informationsfreiheit). Kitos 16 yra žemių lygio institucijos, vadinamos Landesdatenschutzbehorden (LfD). Joks kitas ES šalis taip neveikia.
Tas skirtumas kyla iš Vokietijos federalinės struktūros. Žemės turi privataus sektoriaus priežiūros galią. BfDI apima federalinius viešuosius organus ir kai kurias tarppajacines firmas. Kiekviena LfD apima privačias firmas savo žemėje. Bavarijos BayLDA taikoma Miuncheno firmoms. Hamburgo HmbBfDI taikoma Hamburgo firmoms. Berlyno BlnBfDI apima Berlyno firmas.
Įmonė su filialais keliose žemėse turi nustatyti, kuri institucija turi jurisdikciją. Tai ne visada paprasta. Firmos, aptarnaujančios federalines klientus ir turėjusios filialus dviejose žemėse, gali vienu metu spręsti tiek su BfDI, tiek su LfD.
Vokietijos vykdymo skaičiai
Vokietija pateikė 27 829 pažeidimų pranešimus 2024 m. Tai buvo daugiau nei bet kuri kita ES valstybė narė. Tai sudarė apie 31% visų ES pažeidimų pranešimų tais metais (EDPB 2024 m. duomenys). Didelis skaičius rodo aktyvią pranešimų kultūrą. Tai nereiškia, kad Vokietijoje yra daugiau pažeidimų nei kitose šalyse.
Bendros BfDI ir LfD baudos siekė apie 160 mln. euro 2018-2024 m. (GDPR Enforcement Tracker). Išsiskiria trys atvejai:
- Deutsche Wohnen - 14,5 mln. euro (2020 m.): Prasti ištrynimo sistemų. Šis atvejis parodė, kad duomenų saugojimas yra techninė pareiga, o ne tik administracinė užduotis.
- 1&1 Telecom - 9,55 mln. euro (2020 m.): Silpni kliento tapatybės tikrinimo procesai. Bauda buvo sumažinta apeliacijos metu.
- Sveikatos priežiūros ir draudimo firmos: Kelios baudos už 32 straipsnio saugumo taisyklių nesilaikymą.
Trys temos dažniausiai pasirodo Vokietijos DPI metinėse ataskaitose. Pirma - silpnas techninis saugumas pagal 32 str. Antra - uždrausta tarptautinė perdavimai pagal 46 str. Trečia - prasti DI sistemų duomenų apribojimai.
BfDI gairės dėl DI ir duomenų apribojimų
BfDI 2024 m. paskelbė gaires, kurios viršija pagrindines BDAR taisykles. [PAZYMETA: tikslus šios gairės privalomas statusas nera patvirtintas is viesuju BfDI irasymu - laikykite kaip stipria reguliavimo kryptimi.]
DI ivesties apribojimai: Institucija nori tiesiogines techniniu valdikliu, o ne tik rasytiniu politiku. Sistemos turi rasti ir pasalinti arba uzdenoti asmens duomenis prises juos patenkant i DI modeli. Politika, sakanti "darbuotojai turi minimizuoti duomenis", neatitinka sio standarto.
Uzdenojimo standartai: Gaireje nurodoma ISO/IEC 29101 kaip maskelio duomenu platforma. Firmos, pretenduojancios i 4 str. 5 d. pseudoniminimui, turi parodyti raktu valdymo ir atkurimo etapus, atitinkancius si standarta.
32 straipsnio irasai: Inspektoriams reikalingi rasytu specifikaciju. Tai reiskia tikslius sifravimo tipus, raktu etapus, prieigos taisykles ir bandymu datas. Sakyti "mes sifrujame duomenis" savaime nera pakankama.
Specialios kategorijos (9 str.): Sveikatai, biometriniam, genetiniam ir politiniam duomenims gaireje reikalingi prieigos zurnalai, duomenu atskyrimas ir stipresnis uzdenojimas nei reikalauja 32 str.
Zr. musu daugiakalbio asmens duomenu aptikimo vadova, kaip aptikimo spragos gali paveikti BDAR atitikti Vokietijos rinkoje.
Keturi techniniai zingsniai BfDI atitikciui
1. 32 straipsnio irasu registras
Laikykite rasytu Techniniu priemoniu registra. Apimkite sias sritis: sifravimo tipai ir raktu etapai, prieigos valdymo dizainas, uzdenojimo irankiai ir ju nuostatos, audito zurnalai ir bandymu datos. Vokietijos DPI to praso daugelyje atveju. Tureke tai paruosta pries buti prasytiems.
2. DI ivesties filtras
Pridekite filtravimo zingsnio bet kuriai sistemai, kurioje darbuotojai ar klientai iveda asmens duomenis, kurie pateikiami i DI modeli. Filtras turi ieskoti vardu, telefono numeriu, asmens tapatybes numeriu ir sveikatos duomenu pries juos perduodant modeliui. Tai atitinka BfDI techninzio apribojimo standarta. Jis taip pat saugo jusu firma, jei modelis saugo ar registruoja ivestis.
3. Automatinis istrynimas pagal grafika
Deutsche Wohnen atvejis pademonstravo, kad prastas istrynimas pats savaime yra BDAR pazeidimas. Saugojimas turi veikti pagal laikmatina. Irasai, praeje ju saugojimo data, turi buti istrinti ar anoniminizuoti pagal grafika. Vienkartinis istrynimas neatitinka standarto. Automatizuokite ji.
4. 72 valandy pažeidimo atsakas
Vokietijos pažeidimų pranešimų skaičius rodo, kad tai yra aktyviai atitikties kontroliuojama rinka. Jūsų incidentų planas turi atitikti 72 valandų langą. Tai reiškia, kad turite įrankius rasti paveiktus asmenis, išvardyti atskleistus duomenis ir įvertinti tikėtiną žalą laiku. Išbandykite savo planą prieš jo prireikiant.
Daugiau apie BDAR baudų modelius žr. mūsų BDAR baudų vadovą JAV įmonėms.
Kuri žemės institucija taikoma
Privačioms firmoms atitinkama LfD paprastai yra ta, kurios žemėje firma yra įregistruota.
BayLDA (Bavarija): Techninis saugumas ir sveikatos įrašai. Bavarijos automobilių ir sveikatos sektoriai čia sulaukia didelio dėmesio.
HmbBfDI (Hamburgas): Tarptautiniai perdavimai ir vartotojų profiliavimas. Hamburgo finansų ir žiniasklaidos firmos čia kelia didelę riziką.
BlnBfDI (Berlynas): Stebėjimo įrankiai ir darbuotojų stebėjimas. Berlyno technologijų scena stebi DI įrankius.
LDI NRW (Šiaurės Reinas-Vestfalija): Finansai ir mažmeninės prekybos lojalumo programos. Tai yra Vokietijos labiausiai apgyvendinta žemė.
ULD SH (Šlėzvigas-Holšteinas): Slapukų sutikimas ir skaitmeninė rinkodara. Ši institucija žinoma dėl pirmaujančių techninių gairių.
Firmos, aktyvios keliose žemėse, gali naudoti pagrindinės buveinės taisyklę (56 str.). Tai nukreipia atvejus į instituciją žemėje, kurioje priimami pagrindiniai ES tvarkymo sprendimai. Žr. mūsų BDAR DSAR partijų apdorojimo vadovą, kaip tai veikia didelio kiekio darbo srautus.
ISO 27001 ir BfDI sulygiavimas
ISO 27001 glaudžiai atitinka tai, ko prašo Vokietijos DPI inspektoriai. Jei jūsų firma yra sertifikuota, naudokite tą dokumentaciją audito prašymams atsakyti.
- A priedas 8.11 (Duomenų maskavimas): Apima maskavimo ir anoniminizavimo kontroles - atitinka 32 str. įrašų poreikius
- A priedas 8.24 (Kriptografijos naudojimas): Apima sifravimo tipus ir raktu etapus - atitinka šifravimo įrašų poreikius
- A priedas 8.15 (Registravimas): Apima audito žurnalų dizainą - palaiko prieigos žurnalų poreikius jautriems duomenims
- ISMS audito ataskaitos: Trečiosios šalies įrodymas, kad kontrolės egzistuoja ir veikia
Vokietijos DPI darbuotojai žino ISO 27001. Sertifikavimas suteikia jums struktūrizuotų sistemingų kontrolių įrodymų. Tai yra stipriau nei rašytinis teiginys be trečiosios šalies peržiūros. Tai taip pat pagreitina auditus, nes formatas yra pažįstamas inspektoriams.