DSGVO für die IT in GxP-Unternehmen: Verzeichnisse, Auftragsverarbeiter, Maßnahmen
Der Teil der DSGVO, der auf dem Tisch der IT-Abteilung landet, und wie er neben den Validierungsaufzeichnungen derselben Systeme bleibt statt in einer eigenen Tabelle.
Was auf die IT fällt
Die DSGVO (Verordnung (EU) 2016/679) bindet das ganze Unternehmen, aber ein guter Teil davon wird von der IT umgesetzt, dokumentiert oder vertraglich geregelt: die Systeme, die personenbezogene Daten verarbeiten, die Dienstleister, die sie betreiben, die Maßnahmen, die sie schützen, und die ersten Stunden, wenn etwas schiefgeht.
- Verzeichnis von Verarbeitungstätigkeiten (Art. 30): welches System welche personenbezogenen Daten verarbeitet, zu welchem Zweck, auf welcher Rechtsgrundlage, wie lange
- Auftragsverarbeiter (Art. 28): ein Vertrag mit jedem Dienstleister, der personenbezogene Daten für Sie verarbeitet, einschließlich Übermittlungen außerhalb der EU
- Technische und organisatorische Maßnahmen (Art. 32, 25): Verschlüsselung, Zugriffskontrolle, Sicherungen, Tests, Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen
- Datenschutz-Folgenabschätzung (Art. 35), wo eine Verarbeitung voraussichtlich ein hohes Risiko birgt
- Datenpannen (Art. 33, 34): Bewertung und, wo nötig, Meldung an die Aufsichtsbehörde binnen 72 Stunden
- Betroffenenanfragen (Art. 12, 15–21): Auskunft, Berichtigung, Löschung, Einschränkung und Übertragbarkeit, binnen eines Monats
Warum es neben die Validierung gehört
In einem GxP-Unternehmen tragen dieselben Systeme beide Pflichten: Ein Laborsystem hält personenbezogene Daten von Beschäftigten und manchmal von Studienteilnehmenden, das ERP Kundenkontakte, der Dienstleister, der das Qualitätssystem betreibt, ist Auftragsverarbeiter. Eine Datenpanne ist oft zuerst ein IT-Vorfall. Datenschutzaufzeichnungen mit denselben Systemdatensätzen zu verknüpfen vermeidet zwei Verzeichnisse, die sich widersprechen.
Mit dem GxP Validation Assistant
Wie der Assistant das unterstützt
Sieben Arten von Aufzeichnungen
Verarbeitungstätigkeiten, Auftragsverarbeiter, technische und organisatorische Maßnahmen, Folgenabschätzungen, Datenpannen, Betroffenenanfragen und Verpflichtungen auf die Vertraulichkeit, jeweils mit ihrem Dokument.
Mit Systemen verknüpft
Personenbezogene Daten sind eine Eigenschaft jedes Systems; Verarbeitungen, Auftragsverarbeiter und Datenpannen zeigen auf die Systeme, die sie betreffen, eine Datenpanne auf den Vorfall, aus dem sie kam.
Fristen
Die 72-Stunden-Frist für Meldungen, der Monat für die Antwort auf eine Anfrage und die Prüftermine jeder Aufzeichnung erscheinen auf der Seite Heute.
Eine Bewertung
Ein Vorfall wird einmal auf GxP-, Sicherheits- und Datenschutzwirkung bewertet, damit eine Datenpanne nicht in einem IT-Ticket untergeht.
Das Overlay Datenschutz gehört zum EU-Paket. Es deckt den Teil der IT an der DSGVO ab; seine Vereinbarungen sind Vorlagen, die Ihr Datenschutzbeauftragter oder Ihre Rechtsberatung prüft.
Sehen Sie es an Ihren eigenen Systemen.
Sehen Sie das Webinar, oder installieren Sie den Assistant und testen Sie ihn 14 Tage.