KVKK, Personenbezogene Daten und Datenverarbeitung

Gewinne:

Möglichkeit zur Auswertung, welche Daten gemäß den KVKK-Grundsätzen in das KI-Tool eingegeben werden können
Möglichkeit, personenbezogene Daten durch Maskierung/Anonymisierung zu schützen und eine sichere Eingabeaufforderung einzurichten
Fähigkeit, KVKK-Dokumente wie Informationstexte und Datenverarbeitungsverzeichnisse zu erstellen und zu überprüfen

Das sensibelste Gut in den Händen eines Rechts- und Compliance-Experten sind Daten: Kundeninformationen, Mitarbeiterdaten, personenbezogene Daten in Verträgen. Die Eingabe falscher Daten in ein Tool der künstlichen Intelligenz (KI) ist so einfach wie ein Knopfdruck, aber die Folgen sind schwerwiegend: KVKK-Verstoß, Verwaltungsstrafe, Verletzung der vertraglichen Vertraulichkeit und Reputationsverlust. Die Fragestellung für diese Einheit ist klar: Welche Daten können wie in welches Tool eingegeben werden? Wir lernen, KI sowohl in KVKK-Prozessen sicher einzusetzen als auch als Assistent bei der Erstellung von Dokumenten wie Klärungstexten, Bearbeitungsinventuren usw. zu positionieren – die Verantwortung für die eingegebenen Daten bleibt jedoch immer bei Ihnen.

Lassen Sie uns die Begriffe klären. KVKK ist das Gesetz zum Schutz personenbezogener Daten Nr. 6698; regelt die Verarbeitung personenbezogener Daten. Personenbezogene Daten sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen (Name, Identifikationsnummer, Telefon, E-Mail, Standort). Bei besonders hochwertigen (sensiblen) Daten handelt es sich um Daten, die strenger geschützt sind, wie zum Beispiel Gesundheit, Religion, Sexualleben, strafrechtliche Verurteilungen. Unter Datenminimierung versteht man den Grundsatz, nur so viele Daten zu verarbeiten, wie für einen Zweck erforderlich sind. Unter Anonymisierung versteht man den Vorgang, bei dem Daten nicht mehr einer Person zugeordnet werden können. Maskierung/Pseudonymisierung bedeutet, die Identitätsinformationen zu verbergen, aber die Beziehung mit einem Schlüssel zu schützen. Informationstext ist eine Benachrichtigung, die dem Dateneigentümer mitteilt, wie seine Daten verarbeitet werden.

Welche Daten, zu welchem Fahrzeug?

Die grundlegende Entscheidung wird auf zwei Achsen getroffen: der Sensibilität der Daten und der Sicherheit des Tools. Persönliche oder vertrauliche Daten können nur in zugelassene Tools eingegeben werden, die eine institutionelle Datensicherung bieten (Daten, die nicht für Bildungszwecke verwendet, nicht gespeichert, nicht an Dritte weitergegeben werden dürfen). Durch die Eingabe personenbezogener Daten in ein ungesichertes öffentliches Tool entziehen sich diese Daten Ihrer Kontrolle.

Der Entscheidungsablauf ist wie folgt:

Klassifizieren. Enthält der Text persönliche/private/vertrauliche Daten?
Fragen Sie, ob es notwendig ist. Sind personenbezogene Daten für diese Aufgabe wirklich notwendig (Minimierung)?
Überprüfen Sie die Kfz-Versicherung. Bietet das Tool eine Unternehmensdatensicherung?
Schützen. Maskieren oder anonymisieren Sie, wenn dies nicht erforderlich ist.
Dokumentieren Sie es. Notieren Sie den Zweck, die Grundlage und die Dauer der Verarbeitung.

Ihre Rolle: KVKK/Datenschutzberater. Führen Sie eine Datenklassifizierung durch, BEVOR Sie den folgenden Text in das KI-Tool eingeben: 1) Listen Sie die darin enthaltenen personenbezogenen Daten auf (Typ: Name, ID-Nummer, Kontakt, Standort...). 2) Markieren Sie, ob sensible (sensible) Daten vorhanden sind. 3) Personenbezogene Daten, die für die Aufgabe nicht erforderlich sind, als „entfernbar“ kennzeichnen. 4) Geben Sie eine Maskierungs-/Anonymisierungsempfehlung für diejenigen, die bleiben sollen. Den Inhalt des Textes interpretieren; Inventarisieren Sie einfach die Daten.<text>[Text zur Überprüfung]</text>

Achtung: Durch das Löschen eines Chats werden die Daten nicht wiederhergestellt. Sobald personenbezogene/vertrauliche Daten in ein ungesichertes Tool eingegeben werden, gelten diese Daten als in den Systemen des Dritten verarbeitet. „Ich werde es später löschen“ ist kein Schutz; Der Schutzort liegt vor der Eingabe der Daten.

Maskierung und sichere Sofortscharfschaltung

Die meisten Aufgaben können erledigt werden, ohne zu wissen, wer die Person ist. Für die Zusammenfassung eines Vertrags ist die Angabe des richtigen Namens einer Partei nicht erforderlich; „Seite A“ reicht aus. KI hilft auch beim Maskieren eines Textes – aber der Mensch muss die Vollständigkeit der Maskierung kontrollieren.

Ersetzen Sie im folgenden Text alle direkten Identifikationsinformationen durch konsistente Aliase: Personennamen → „Person 1, Person 2“; Firmen → „Firma A, B“;TR-Nummer, Telefon, E-Mail, Adresse, IBAN → [MASKIERT]. Bedeutung und Beziehungen bewahren. Stellen Sie am Ende eine Zuordnungstabelle bereit, in der aufgeführt ist, welche Informationen Sie durch welche ersetzt haben, damit ich das Ergebnis wieder verknüpfen kann. Falls Sie es verpasst haben, überprüfe ich die Maskierung.

Es ist wichtig, die Grenzen der Maskierung zu kennen: Manchmal machen Informationen, die einzeln harmlos erscheinen, in ihrer Gesamtheit eine Person identifizierbar (z. B. „Die einzige weibliche CFO in Istanbul“). Aus diesem Grund ist die Anonymisierung nicht immer gewährleistet. Bei hochsensiblen Arbeiten ist die Verwendung von vom Unternehmen genehmigten Tools der sicherste Weg.

Erstellung von KVKK-Dokumenten

KI erstellt schnell erste Entwürfe von Dokumenten wie Offenlegungstexten, ausdrücklichen Einwilligungstexten und Datenverarbeitungsinventaren. Diese Dokumente sind jedoch rechtsverbindlich; Der Entwurf muss genau Ihrer tatsächlichen Verarbeitungstätigkeit entsprechen und einer rechtlichen Genehmigung standhalten.

Bereiten Sie einen ENTWURF eines Informationstextes für die folgende Verarbeitungstätigkeit vor. Es sollte die folgenden Überschriften enthalten: Datenverantwortlicher, Kategorien der verarbeiteten Daten, Verarbeitungszwecke, Rechtsgrund, Übermittlung (ggf. Empfängergruppen), Speicherdauer, Rechte des Dateneigentümers, Rechtsbehelf. Regeln: - Füllen Sie jedes Feld mit den von mir bereitgestellten Informationen aus; Wenn es fehlt, belassen Sie es bei [TO BE FILLED] und gehen Sie nicht davon aus. - Fügen Sie einen Hinweis „Genehmigung erforderlich“ für den rechtlichen Grund und die Aufbewahrungsfrist hinzu.<processing_activity>[zweck, datentypen, empfänger, dauer]</processing_activity>

Schwache Eingabeaufforderung / Starke Eingabeaufforderung

Schwache Eingabeaufforderung: Fassen Sie diese Clientdatei zusammen. [richtiger Name, TR-Nummer, Falldetails werden eingefügt]

Ergebnis: Persönliche und möglicherweise private Daten werden mit unsicherer Sicherheit in ein Tool eingegeben. Auch wenn die Aufgabe erledigt ist, liegt ein Verstoß gegen KVKK und Vertraulichkeit vor.

Leistungsstarke Eingabeaufforderung: [zuerst Datenklassifizierung + Entfernung unnötiger personenbezogener Daten + Maskierung (Pseudonyme, [MASKIERT]) + genehmigtes/gesichertes Tool + dann Zusammenfassung mit maskiertem Text]

Ergebnis: Die Aufgabe ist noch erledigt, die Person kann jedoch nicht identifiziert werden; Der Datenschutz wurde vor der Mission sichergestellt.

Datentyp und angemessene Verarbeitung

Datentyp

Beispiel

ungesichertes Fahrzeug

Zugelassenes Fahrzeug

Es ist nicht persönlich

Anonymer/öffentlicher Text

geeignet

persönlich

Name, Kontakt, IBAN

Maske/Verwendung

Geeignet durch Maskierung

besonders qualifiziert

Gesundheit, Strafregister

Benutzen

Nur erforderlich+genehmigt

Client-Geheimnis/privilegiert

Prozessstrategie

Benutzen

Nur sicher

Drei Mini-Hüllen

Fall 1 – Anhalten vor dem Betreten. Ein Experte würde die KI eine Leistungsliste von 30 Mitarbeitern zusammenfassen lassen (Name, Akte, Krankenurlaubsnotizen). Die Eingabeaufforderung zur Datenklassifizierung ergab, dass es sich bei den medizinischen Aufzeichnungen um geschützte Daten handelte, die für die Mission überhaupt nicht benötigt wurden. Der Experte hat diese Spalte vollständig entfernt, die Namen in „Mitarbeiter 1-30“ geändert und nur mit Leistungsbewertungen gearbeitet. Die Aufgabe war erledigt; Sensible Daten gelangten nie in das Fahrzeug.

Fall 2 – Neuidentifizierung. Ein Team würde einen Beschwerdetext mit der Aufschrift „Wir haben es anonymisiert“ verschicken; aber der Text enthielt den Satz „der einzige Manager in der Zentrale, der einen Rollstuhl benutzt.“ Dadurch war die Person auch dann identifizierbar, wenn ihr Name gelöscht wurde. Dies wurde bei der Maskierungsprüfung festgestellt und die Aussage verallgemeinert. Lektion: Anonymisierung gewährleistet nicht immer Anonymität; Auch der Kontext kann die Person verraten.

Fall 3 – Beschleunigung der Inventur. Eine Institution war jahrelang nicht in der Lage, ihr KVKK-Datenverarbeitungsinventar manuell zu aktualisieren. Mit KI wurden die Verarbeitungstätigkeiten der einzelnen Abteilungen in einem strukturierten Rahmen zusammengefasst (Zweck, Datenart, Aufbewahrungsfrist, Empfänger); Das Rechtsteam hat sie überprüft und korrigiert. Die Schätzungen für die Bestandsvorbereitung verringerten sich von 6 Wochen auf 2 Wochen. Kritischer Punkt: Jede in das Inventar eingegebene Zeile wurde durch einen Vergleich mit der tatsächlichen Aktivität von Menschen überprüft. Der KI-Entwurf wurde in seiner jetzigen Form nicht akzeptiert.

Häufige Fehler

Daten ohne Klassifizierung eingeben. Der häufigste Verstoß besteht darin, den Text in das Tool einzufügen, ohne zu sehen, welche Art von Daten darin enthalten sind.
Übermittlung unnötiger personenbezogener Daten. Beim Wegfall der Minimierung werden personenbezogene/sensible Daten verarbeitet, auch wenn dies nicht erforderlich ist.
Verlassen Sie sich auf „Ich werde es später löschen.“ Daten werden verarbeitet, sobald sie eingegeben werden; Der Schutz erfolgt zuerst.
Maskierung wird nicht kontrolliert. KI kann einen Berechtigungsnachweis überspringen; Die Maskierung muss von Menschen überprüft werden.
Keine kontextbezogene Neuidentifizierung. Individuell harmlose Informationen zusammen können die Person verraten.
Veröffentlichung des KVKK-Dokuments ohne Genehmigung. Auskunfts-/Einwilligungstexte und Inventar bedürfen der rechtlichen Genehmigung und Bestätigung der tatsächlichen Tätigkeit.

Zusammenfassend

Die Grundfrage im KVKK lautet: „Welche Daten, zu welchem Fahrzeug, wie?“ Klassifizieren Sie Daten zuerst, entfernen Sie, was nicht benötigt wird (Minimierung), maskieren oder anonymisieren Sie, was benötigt wird, und verarbeiten Sie sensible/vertrauliche Daten nur in genehmigten Tools mit Unternehmenssicherheit. Man muss die Vollständigkeit der Maskierung und das Risiko einer kontextuellen Neuidentifizierung kontrollieren; Dokumente wie Aufklärungstexte und Inventar müssen einer rechtlichen Genehmigung standhalten. KI beschleunigt die Konservierungs- und Dokumentationsarbeit; Der autorisierte Fachmann entscheidet, welche Daten verarbeitet werden dürfen und über die Angemessenheit des Schutzes.

Anwendungsaufgabe

Wählen Sie Text aus, der personenbezogene Daten enthält (verwenden Sie keine echten Daten; erstellen Sie ein Beispiel). (1) Entfernen Sie persönliche und sensible Daten mit der Eingabeaufforderung zur Datenklassifizierung. (2) Identifizieren und entfernen Sie diejenigen, die für die Aufgabe nicht benötigt werden, versehen Sie die erforderlichen Alias mit der Maskierungsaufforderung und steuern Sie die Maskierung manuell. (3) Suchen Sie nach Phrasen, bei denen das Risiko einer kontextuellen Neuidentifizierung besteht. (4) Erstellen Sie einen Entwurf eines Informationstextes für eine Verarbeitungstätigkeit und führen Sie die Kennzeichen „rechtliche Genehmigung“ auf.

Checkliste

[ ] Werden die Daten vor der Eingabe in das Tool klassifiziert?
[ ] Wurden unnötige personenbezogene/sensible Daten für die Aufgabe entfernt (Minimierung)?
[ ] Wurden die übrigen personenbezogenen Daten maskiert/anonymisiert?
[ ] Wird die Maskierung von Menschen kontrolliert?
[ ] Wurde das Risiko einer kontextuellen Neuidentifizierung bewertet?
[ ] Werden sensible/vertrauliche Daten nur im zugelassenen gesicherten Fahrzeug verarbeitet?
[ ] Wurden KVKK-Dokumente mit rechtlicher Genehmigung und tatsächlicher Aktivitätsbestätigung erstellt?

Welche Daten, zu welchem ​​Fahrzeug?