Großbritannien lehnt Gesetz zur Benachrichtigung über Datenverstöße ab

Am 24. November 2008 veröffentlichte das Britische Justizministerium zwei Berichte im Zusammenhang mit dem Gesetz zur Benachrichtigung über Datenverstöße, den Machtbefugnissen der Regierung bei der Weitergabe von Daten, den Befugnissen des Informationskommissars zur Einsichtnahme und den Absprachen zur Finanzierung.

In einem der Berichte wird erwähnt, dass das Gesetz, das die Benachrichtigung des Büros des Informationskommissars (ICO) über erhebliche Datenverstöße verlangte, abgelehnt wurde; das Ministerium war der Ansicht, dass die Benachrichtigung als Standard gelten, jedoch nicht im Gesetz festgelegt werden sollte: „Als Teil des Standardverfahrens sollte der ICO über alle erheblichen Datenverstöße benachrichtigt werden; die betroffene Organisation muss mit dem ICO zusammenarbeiten um sicherzustellen, dass Sanierungsmaßnahmen eingeleitet werden“ heißt es im Bericht und weiter: „Das ICO wird jede Unterlassung einer Organisation bei der Benachrichtigung über Vergehen gegen die Grundsätze des Datenschutzes bei der Umsetzung des Verfahrens in Betracht ziehen.“

Die Abänderung der EU ePrivacy-Richtlinie führt eine derartige Verpflichtung für Telekommunikationsfirmen ein, und Peter Hustinx, der Europäische Datenschutzbeauftragte, hatte im April angekündigt, das Gesetz außerdem auf Banken, Online-Firmen und medizinische Einrichtungen ausweiten zu wollen.

William Malcolm von Pinsent Masons sagte, ein Gesetz zur Benachrichtigung über Datenverstöße wäre sowieso unnötig gewesen, weil ein Mangel an Verantwortlichkeit im Falle eines Datenverstoßes unweigerlich zu einem Verstoß gegen das Datenschutzgesetz geführt hätte.

Der Bericht gab außerdem an, dass neue Gesetze die Befugnisse der Regierung bei der Weitergabe erhöhen würden, indem ein Eilverfahren eingeführt werde, um die Weitergabe von Daten zu ermöglichen, wenn „stabile Argumente“ geliefert werden können. „ „Wir planen, die Gesetzgebung voranzutreiben, um dem Minster die Befugnis zu übertragen, die Weitergabe von Daten zu bewilligen oder anzuordnen, wenn stabile Argumente dafür bestehen. Die Befugnis wird außerdem den Datenschutzrahmen vereinfachen und alle unnötigen Hindernisse bei der Weitergabe von Daten beseitigen.“

Die neue Gesetzgebung wird das ICO außerdem mit der gesetzlich vorgeschriebenen Pflicht ausstatten, die Vorschriften für die Weitergabe von Daten zu veröffentlichen und zu prüfen, die als Anleitungen für Organisationen dienen soll, wie persönliche Daten weitergegeben werden können und gleichzeitig das Standardverfahren für die Weitergabe aufzeigen soll. „Ein Verstoß gegen oder auch die Einhaltung der Verfahrensregeln wird von den Gerichten, dem Informationsgericht und dem ICO in Betracht gezogen werden, wann immer dies in einer Frage zu rechtlichen Vorgängen oder Umsetzungfragen relevant ist.“

Ein zweiter Bericht befasst sich mit der Notwendigkeit eines Rahmens, der „das Vertrauen der Öffentlichkeit in die Handhabung von Personendaten sowohl im privaten als auch im öffentlichen Sektor“ steigern soll. Der Bericht schlägt Maßnahmen vor, die derzeitigen Befugnisse des ICO ergänzen und sicherstellen sollen, dass die nötigen und effektiven Mittel zur Erfüllung der regulativen Funktionen gegeben sind.

The UK does not need a data breach notification law, says Government (25.11.2008)

Government announces new law for increased data sharing (25.11.2008)

ICO to get powers to audit public bodies without consent (25.11.2008)

The Information Commissioner's inspection powers and funding arrangements under the Data Protection Act 1998 Summary of responses (24.11.2008)

Why we don't need a security breach notification law in the UK (19.05.2008)

unwatched: Verordnung zur Benachrichtigung über Datenverstöße – sind sich die EU-Behörden nicht einig? (19.11.2008)