Britischer Überwachungsbeauftragter fordert vor der Europäischen Kommission ein Gesetz zu Meldungen über Sicherheitsvergehen

Der Britische Überwachungsbeauftragte für Konsumenten, der Nationale Konsumentenrat (NCC) und andere Konsumentenschutzgruppen fordern von der Europäischen Kommission, Unternehmen zu zwingen, öffentlich zuzugeben, wenn Konsumentendaten verloren gehen. Ein Gesetz zur Meldung von Datenverletzungen soll die Unternehmen dazu bringen, sorgsamer mit den Daten umzugehen.

„Wir fordern, dass wenn Daten verloren gehen, die ein ernsthaftes Risiko in Bezug auf Identitätsdiebstahl oder die Übernahme von Bankkonten oder die Leerung von Bankkonten und so weiter darstellen, die Konsumenten darüber informiert werden, damit sie die notwendigen Maßnahmen ergreifen können,“ sagte Anna Fielder, eine anerkannte Verbraucherschützerin und Politikexpertin; sie fügte hinzu, dass „es einen Anreiz für die Unternehmen sein wird, bessere Sicherheitsmaßnahmen zu ergreifen, weil es offensichtlich den Ruf schädigen würde, wenn die Verbraucher zu oft davon in Kenntnis gesetzt werden müssen, dass ihre Daten wieder einmal verschlampt wurden.“

Im November 2007 hat die Europäische Kommission Gesetze zur Meldung von Datenvergehen vorgeschlagen und im Januar 2008 hat das Justizgremium im Unterhaus den selben Weg eingeschlagen. Die Nachprüfung durch Robert Hannigan im März 2008 empfahl derartige Gesetze für Körperschaften im öffentlichen Sektor und legte Pläne für die gründliche Instandsetzung der Datensicherheit in allen größeren Regierungsabteilungen vor.

Auch wenn in Großbritannien noch keine Gesetzgebung in Kraft getreten ist, wurde dem Informationskommissar (ICO) im Mai 2008 die Befugnis erteilt, Organisationen zu Strafzahlungen zu verurteilen, wenn deren Arbeitsabläufe grob gegen die Datenschutzprinzipien verstoßen. Das wurde auch in das Gesetz zu Strafjustiz und Einwanderung aufgenommen, die Vergehen waren jedoch so lax definiert, dass auch Aktivitäten wie die Weitergabe persönlicher Daten aus Geschäftsgründen an Lieferanten erfasst und kriminalisiert wurden. ICO hat zu bedenken gegeben, dass ein solches Gesetz zur Benachrichtigung von Datenverletzungen sich auch kontraproduktiv auswirken könnte, weil die häufigen Meldungen von Verletzungen die Bürger gegenüber den Auswirkungen ernsthafter Verletzungen abstumpfen könnte. Er sagte, das Gesetz müsste ,damit es annehmbar würde, zumindest eine Ebene einrichten, auf der Verstöße korrekt gemeldet würden.

Jetzt ist der NCC der Ansicht, ICO sollte mehr Machtbefugnisse erhalten: „Der Kommissar sollte vermehrte Machtbefugnisse erhalten und die Leute für die Verschlampung von Daten verurteilen können. Momentan verfügt der Kommissar über keinerlei derartige Befugnisse, also kommt es nicht sehr oft zu dem Anreiz für die Unternehmen, auch tatsächlich angemessene Sicherheitsmaßnahmen zu ergreifen.“

Der NCC und andere europäische Überwachungsbeauftragte verlangen die Ausweitung der Revidierungen der Gesetze zur Benachrichtigung auf alle Unternehmen, die maßgebliche Mengen an persönlichen Daten von Verbrauchern erfassen, einschließlich Banken, Kreditkartenfirmen und Unternehmer.

Fielders Meinung nach könnte der ICO selbst entscheiden, an welchem Punkt ein Vergehen öffentlich gemacht wird. „Natürlich sollte es eine ordentliche und angemessene Evaluierung und Risikoeinschätzung von Vergehen geben. (...) Es hat keinen Sinn, die Verbraucher jedes Mal in Panik zu versetzen, es ist wichtig die Leute zu informieren, wenn ein Risiko besteht. Dies kann erreicht werden, wenn der ICO benachrichtigt wird, der die Evaluierung und die Risikoeinschätzung vornehmen kann,“ sagte sie.

Das Problem der Verluste öffentlicher Daten war in letzter Zeit leider so etwas wie ein heißes Eisen, nachdem zahlreiche Vorkommnisse von Datenverlusten in Großbritannien und Irland bekannt geworden waren, wie der Verlust von Detaildaten von 25 Millionen Bürgern auf 2 CDS durch das HM Revenue&Custom, der Verlust von Daten über 84 000 Häftlingen durch einen Auftragnehmer des Innenministeriums, der persönlichen Daten einer Million Bankkunden, die auf einen Server gefunden wurden, der auf eBay versteigert worden war oder der Verlust von Personendaten von rund 10 000 Kunden der Bank of Ireland.

Noch im September wird das Europäische Parlament über den Vorschlag der Europäischen Kommission abstimmen, die ein Paket von Reformmaßnahmen für die Telekomindustrie vorgelegt hat, in dem ein Vorschlag inbegriffen ist, der die Anbieter verpflichten soll, alle Datenverstöße zu melden (vgl. Artikel 1 im aktuellen EDRi-gram).

Consumer group asks EU for security breach law (3.09.2008)

Information Commissioner gets power to fine for privacy breaches (12.05.2008)

Watchdog demands data breach confessions (1.09.2008)

Watchdog aims to compel data-breach confessions (2.09.2008)

ICO: UK may get data-breach notification law (4.07.2008)

unwatched: Bank of Ireland verliert wichtige persönliche Daten (7.05.2008)