Wie soll man Art 32 DSGVO verstehen/anwenden ?

[Gast]

Hallo

Wie soll man " Nach Art 32 DSGVO setzen eigentlich alle grossen Kunden eh RHEL oder SLES ein. "https://www.fachinformatiker.de/topic/176113-wie-geht-ihr-mit-red-hat-hat-angekündigt-keine-öffentlichen-quellen-von-rhel-mehr-anzubieten-das-könnte-klonen-wie-alma-linux-oder-rocky-linux-den-hahn-abdrehen-um/?do=findComment&comment=1630053
verstehen? Mir fallen da mind. zwei Universitäten in Deutschland ein, die sehr personenbezogene Daten vorhalten (Krankheitsdaten) und auf Debian setzen. Glaub ich nicht, dass die das verheimlichen.

Ciao

[charmanta]

... lies doch den Artikel der DSGVO einfach mal durch ?

Wenn ein Verantwortlicher sich entschliesst hier auf Debian zu setzen kann er das ja. Aber er haftet im Falles eines Verstoßes gegen Integrität, Verfügbarkeit und Vertraulichkeit. Ein grosses Unternehmen setzt sich diesem Risiko nicht aus, siehe Krankenversicherungen, Banken etc.

EDU hat üblicherweise keine Kohle .... KVs unterliegen nicht nur BSI sondern auch BAFIN und scheuen jegliches Risiko. Da ist auch mehr zu holen als bei einem EDU Träger

Das hättest Du auch im alten Thread fragen können

vor 6 Minuten schrieb ahanau:

die sehr personenbezogene Daten

nennt man übrigens die "besonderen Kategorien nach Artikel 9" und genau um solche geht es

 

[allesweg]

Man muss nicht zwingend die ganze Frage in den Titel setzen...

Speichern diese Universitäten die Krankheitsdaten mit Bezug zu identifizierbaren Personen oder anonymisiert?

[charmanta]

ich hab den Thread mal umbenannt falls noch jemand den Artikel ( der zugegebenermaßen nicht ganz einfach zu verstehen ist ) kommentieren möchte. Aber auf dem 32er beruht letztendlich stets die Sorgfalt eines ITlers. Oder sollte so sein

[pata]

Ich habe den 32er gelesen, mir erschließt sich jedoch nicht, warum man deshalb auf RHEL oder SLES setzen sollte. Insbesondere bei personenbezogenen Daten aus Art. 9. Magst du deine Gedanken dazu nochmal erläutern?

[charmanta]

der 32 sagt sinngemäß, dass je höher das Risiko bei den Daten ist, umso mehr getan werden muß um die Daten zu schützen. Die DSGVO sagt ebenfalls, dass Integrität, Vertraulichkeit und Verfügbarkeit stets gegeben sein müssen. Artikel 9 Daten sind in Bezug auf den Mißbrauch noch höher als die unter Artikel 6 verarbeiteten Daten anzusehen.

Wenn also ein Verarbeiter auf ein nicht supportetes Produkt setzt und etwas passiert ( durch einen Exploit oder whatever ) dann könnte ein Geschädigter behaupten, er habe eben nicht alles getan weil er mit einer subscribierten Version garantierten Support und Eskalation bekommen hätte. Damit stünde ein Klageweg offen...

Geht hier echt stoisch um das Erreichen eines juristischen Zustands, in dem mit höchster Wahrscheinlichkeit keine Haftung mehr zu konstruieren ist. Auch wenn "gekaufte" Software nicht wirklich sicherer sein muss, aber eben im Zweifel doch unter Support steht.

Das ist unter dem "angemessenen Datenschutzniveau" und dem folgenden Bandwurm zu verstehen