Die internationale Norm ISO/IEC 29151 (Information technology — Security techniques — Code of practice for personally identifiable information protection) fungiert als spezialisierter Leitfaden für den Schutz personenbezogener Daten (PII – Personally Identifiable Information). Sie ergänzt die allgemeinen Sicherheitsmaßnahmen aus der ISO/IEC 27002, indem sie konkrete Kontrollmaßnahmen und Praxisanleitungen speziell auf den Schutz der Privatsphäre und den Umgang mit personenbezogenen Daten ausrichtet.

Die folgende praxisnahe Umsetzungshilfe orientiert sich an der Struktur der ISO/IEC 29151 und kann unverbindlich bei der Integration der erweiterten Datenschutz-Kontrollen in ein bestehendes Informationssicherheits-Managementsystem helfen:

Umsetzungshilfe zur ISO/IEC 29151 (Schutz personenbezogener Daten)

1. Richtlinien und Organisation für den PII-Schutz

• Datenschutz-Richtlinien anpassen: Ergänzung bestehender IT-Sicherheitsrichtlinien um spezifische Vorgaben zum Umgang mit personenbezogenen Daten (PII).
• Rollen und Verantwortlichkeiten definieren: Klare Zuweisung von Zuständigkeiten für den Schutz von Kundendaten, Mitarbeiterdaten oder sonstigen PII innerhalb der Organisation.
• Verzeichnis der Verarbeitungen abgleichen: Sicherstellen, dass alle PII-Verarbeitungstätigkeiten erfasst und mit den Risikobewertungen verknüpft sind.

2. Personenbezogene Maßnahmen & Awareness

• Datenschutz-Schulung für Mitarbeitende: Durchführung spezifischer Schulungen zum Erkennen von Datenschutzrisiken, Social Engineering und dem korrekten Umgang mit sensiblen Kundendaten.
• Verpflichtung zur Vertraulichkeit: Dokumentierte Verpflichtung aller Mitarbeitenden und externen Dienstleister auf das Datengeheimnis und den Schutz von PII.
• Meldewege für Datenschutzvorfälle: Etablierung klarer interner Kommunikationswege, falls PII versehentlich offengelegt oder kompromittiert wird.

3. Technische Maßnahmen (Technical Controls for PII)

• Pseudonymisierung & Anonymisierung: Prüfung und Anwendung von Verfahren zur Entkopplung von Identitätsdaten und Inhaltsdaten, wo immer dies möglich ist.
• Strenge Zugriffskontrollen (Access Control): Umsetzung des Need-to-know-Prinzips für PII, sodass nur befugte Personen auf sensible Datensätze zugreifen können.
• Verschlüsselung (Transport & Rest): Konsequente Verschlüsselung von personenbezogenen Daten sowohl auf Endgeräten/Servern (Data at Rest) als auch bei der Übertragung (Data in Transit).
• Sichere Löschung und Vernichtung: Implementierung von Prozessen zur unwiderruflichen Löschung oder physischen Vernichtung von PII nach Ablauf der Aufbewahrungsfristen.

4. Betroffenenrechte und Transparenz

• Prozesse für Auskunftsersuchen einrichten: Technische und organisatorische Abläufe schaffen, um Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung gem. DSGVO Kap. III) fristgerecht zu bedienen.
• Einwilligungs- und Präferenzmanagement: Mechanismen implementieren, um Einwilligungen von Personen nachweisbar einzuholen und eventuelle Widerrufe technisch umzusetzen.
• Transparenz und Datenschutzerklärungen: Bereitstellung klarer, verständlicher Informationen für Betroffene darüber, wie und zu welchem Zweck ihre PII verarbeitet werden.

5. Überwachung, Vorfallmanagement und Audit

• Erweiterte Protokollierung (Logging): Aktivierung von Zugriffsprotokollen für Systeme, die große Mengen an PII verarbeiten, um unautorisierte Zugriffe nachvollziehen zu können.
• Data Breach Management: Etablierung eines Notfallprozesses zur schnellen Bewertung und – falls erforderlich – Meldung von Datenschutzverletzungen an die Aufsichtsbehörde (innerhalb von 72 Stunden) sowie an die Betroffenen.
• Regelmäßige Überprüfung (Auditing): Durchführung von internen Audits speziell zur Überprüfung der Einhaltung der ISO 29151-Vorgaben.