BfDI Jerman: Pematuhan GDPR untuk Pasukan Teknikal
Dikemas kini untuk 2026
Jerman mempunyai 17 badan perlindungan data. Satu adalah BfDI (Bundesbeauftragte fur den Datenschutz und die Informationsfreiheit) persekutuan. 16 yang lain adalah badan peringkat negeri yang dipanggil Landesdatenschutzbehorden (LfD). Tiada negara EU lain berfungsi dengan cara ini.
Perpecahan itu berasal daripada struktur persekutuan Jerman. Negeri-negeri memegang kuasa ke atas pengawasan sektor swasta. BfDI meliputi badan-badan awam persekutuan dan beberapa firma rentas negeri. Setiap LfD meliputi firma swasta di negerinya sendiri. BayLDA Bayern terpakai kepada firma yang berpangkalan di Munich. HmbBfDI Hamburg terpakai kepada firma yang berpangkalan di Hamburg. BlnBfDI Berlin meliputi firma Berlin.
Sebuah syarikat dengan tapak di beberapa negeri mesti menentukan badan mana yang mempunyai kuasa. Itu tidak selalu mudah. Firma yang melayani pelanggan persekutuan dan mempunyai tapak di dua negeri mungkin berurusan dengan BfDI dan LfD pada masa yang sama.
Angka Penguatkuasaan Jerman
Jerman memfailkan 27,829 laporan pelanggaran pada tahun 2024. Itu lebih banyak daripada mana-mana negara ahli EU yang lain. Ia datang kepada kira-kira 31% daripada semua laporan pelanggaran EU pada tahun itu (data EDPB 2024). Bilangan yang tinggi menunjukkan budaya pelaporan yang aktif. Ia tidak bermakna Jerman mempunyai lebih banyak pelanggaran daripada negara lain.
Jumlah denda dari BfDI dan LfD mencapai kira-kira 160 juta euro antara 2018 dan 2024 (GDPR Enforcement Tracker). Tiga kes menonjol:
- Deutsche Wohnen -- 14.5 juta euro (2020): Sistem pemadaman yang lemah. Kes ini menunjukkan bahawa pengekalan data adalah kewajipan teknikal, bukan hanya tugas pentadbiran.
- 1&1 Telecom -- 9.55 juta euro (2020): Semakan ID pelanggan yang lemah. Denda dikurangkan semasa rayuan.
- Firma penjagaan kesihatan dan insurans: Beberapa denda kerana gagal peraturan keselamatan Artikel 32.
Tiga tema muncul paling kerap dalam laporan tahunan DPA Jerman. Yang pertama adalah keselamatan teknikal yang lemah di bawah Artikel 32. Yang kedua adalah pemindahan rentas sempadan yang dilarang di bawah Artikel 46. Yang ketiga adalah had data yang lemah dalam sistem AI.
Panduan BfDI mengenai AI dan Had Data
BfDI mengeluarkan panduan pada tahun 2024 yang melampaui peraturan asas GDPR. [DITANDA: status mengikat tepat panduan ini tidak disahkan daripada rekod BfDI awam -- anggap sebagai arahan peraturan yang kuat.]
Had input AI: Pihak berkuasa mahukan kawalan teknikal langsung, bukan sekadar polisi bertulis. Sistem mesti mencari dan mengalih keluar atau menutupi data peribadi sebelum ia mencapai model AI. Polisi yang menyatakan "staf harus meminimumkan data" tidak memenuhi standard ini.
Standard penutup: Panduan menunjuk kepada ISO/IEC 29101 sebagai rangka kerja untuk menutup data. Firma yang menuntut pseudonimisasi Artikel 4(5) mesti menunjukkan kawalan kunci dan langkah pembalikan yang sepadan dengan standard ini.
Rekod Artikel 32: Pemeriksa mahukan spesifikasi bertulis. Itu bermakna jenis sifir yang tepat, langkah kunci, peraturan akses, dan tarikh ujian. Mengatakan "kami menyulitkan data" tidak mencukupi dengan sendirinya.
Kategori khas (Artikel 9): Untuk data kesihatan, biometrik, genetik, dan politik, panduan memerlukan log akses, pemisahan data, dan penutup yang lebih kuat daripada yang diperlukan Artikel 32.
Lihat panduan pengesanan PII berbilang bahasa kami untuk bagaimana jurang pengesanan boleh mempengaruhi pematuhan GDPR merentas pasaran Jerman.
Empat Langkah Teknikal untuk Pematuhan BfDI
1. Daftar rekod Artikel 32
Simpan Daftar Langkah Teknikal bertulis. Liputi bidang-bidang ini: jenis sifir dan langkah kunci, reka bentuk kawalan akses, alat penutup dan tetapannya, log audit, dan tarikh ujian. DPA Jerman meminta ini dalam kebanyakan kes. Sediakan sebelum anda diminta.
2. Penapis input AI
Tambah langkah penapis untuk mana-mana sistem di mana staf atau pelanggan menaip data peribadi yang dimasukkan ke dalam model AI. Penapis harus menangkap nama, nombor telefon, nombor ID, dan data kesihatan sebelum ia diserahkan kepada model. Ini memenuhi standard had teknikal BfDI. Ia juga melindungi firma anda jika model menyimpan atau mencatat input.
3. Pemadaman automatik mengikut jadual
Kes Deutsche Wohnen menunjukkan bahawa pemadaman yang lemah adalah sendirinya pelanggaran GDPR. Pengekalan mesti berjalan pada pemasa. Rekod yang melepasi tarikh simpan mesti dipadam atau dijadikan tanpa nama mengikut jadual. Pemadaman ad-hoc tidak memenuhi standard. Automatikkan.
4. Tindak balas pelanggaran 72 jam
Bilangan laporan pelanggaran Jerman menunjukkan ini adalah pasaran yang aktif dalam pematuhan. Pelan insiden anda mesti memenuhi tetingkap 72 jam. Itu bermakna anda memerlukan alat untuk mencari orang yang terjejas, menyenaraikan data yang terdedah, dan menilai kemungkinan kemudaratan dalam masa. Uji pelan anda sebelum anda memerlukannya.
Untuk gambaran yang lebih luas tentang corak denda GDPR, lihat panduan denda GDPR untuk syarikat AS kami.
Pihak Berkuasa Negeri Yang Terpakai
Untuk firma swasta, LfD yang relevan biasanya adalah yang berada di negeri tempat firma itu berpangkalan.
BayLDA (Bavaria): Keselamatan teknikal dan rekod kesihatan. Sektor auto dan kesihatan Bavaria mendapat perhatian dekat di sini.
HmbBfDI (Hamburg): Pemindahan rentas sempadan dan pembuatan profil pengguna. Firma kewangan dan media Hamburg membawa risiko tinggi di sini.
BlnBfDI (Berlin): Alat pengawasan dan pemantauan staf. Adegan teknologi Berlin memastikan alat AI di bawah semakan.
LDI NRW (North Rhine-Westphalia): Kewangan dan program kesetiaan runcit. Ini adalah negeri paling padat penduduk Jerman.
ULD SH (Schleswig-Holstein): Persetujuan kuki dan pemasaran digital. Pihak berkuasa ini dikenali kerana memimpin panduan teknikal.
Firma yang aktif di beberapa negeri boleh menggunakan peraturan penubuhan utama (Artikel 56). Ini menghala kes-kes kepada pihak berkuasa di negeri di mana keputusan pemprosesan EU utama dibuat. Lihat panduan pemprosesan kelompok DSAR GDPR kami untuk bagaimana ini mempengaruhi aliran kerja berjumlah tinggi.
ISO 27001 dan Penjajaran BfDI
ISO 27001 memetakan dengan erat kepada apa yang diminta oleh pemeriksa DPA Jerman. Jika firma anda diperakui, gunakan dokumentasi tersebut untuk menjawab permintaan audit.
- Annex A 8.11 (Penutup Data): Meliputi kawalan penutup dan tanpa nama -- memenuhi keperluan rekod Artikel 32
- Annex A 8.24 (Penggunaan Kriptografi): Meliputi jenis sifir dan langkah kunci -- memenuhi keperluan rekod penyulitan
- Annex A 8.15 (Pengelogan): Meliputi reka bentuk log audit -- menyokong keperluan log akses untuk data sensitif
- Laporan audit ISMS: Bukti pihak ketiga bahawa kawalan wujud dan berfungsi
Staf DPA Jerman mengetahui ISO 27001. Perakuan memberikan anda bukti berstruktur kawalan sistematik. Itu lebih kuat daripada tuntutan bertulis tanpa semakan pihak ketiga. Ia juga mempercepatkan audit kerana formatnya biasa kepada pemeriksa.