DSGVO
DSGVO-Konformitéit vun enger Entreprise zu Lëtzebuerg: wou ufänken
Séier Äntwert
D'DSGVO-Konformitéit (conformité RGPD) fänkt mam Verzeechnes vun den Traitementer un: déi veraarbecht Donnéeën, hiren Zweck an hir Rechtsgrondlag erfaassen. Duerno kommen d'Sécherheet, d'Informatioun vun de Persounen, den Encadrement vun de Veraarbechter an, wann néideg, d'Ernennung vun engem DPO. Zu Lëtzebuerg ass d'Iwwerwaachungsautoritéit d'CNPD.
D'DSGVO-Konformitéit vun enger Entreprise zu Lëtzebuerg ass keen eemolege Projet, mä eng strukturéiert Demarche. Si fänkt mat der Kartographie vun den Traitementer (Verzeechnes) un, a sécheren dann all Traitement mat enger valabeler Rechtsgrondlag, enger kloerer Informatioun vun de Persounen an ugepassten Sécherheetsmoossnamen of. Dobäi kommen de kontraktuellen Encadrement vun de Veraarbechter, d'Gestioun vun den Datebréch an, am gegebene Fall, d'Ernennung vun engem Dateschutzbeoptragten. D'Iwwerwaachungsautoritéit ass d'CNPD. Fir eng Begleedung kuckt eis Säit Affekot fir d'DSGVO zu Lëtzebuerg oder déi kontraktuell Aspekter vum Thema.
Kuerz gesot
- D'Verzeechnes vun den Traitementer opstellen: d'Donnéeën, d'Zwecker, d'Rechtsgrondlagen an d'Opbewahrungsdauere erfaassen.
- Fir all Traitement eng valabel Rechtsgrondlag identifizéieren (Zoustëmmung, Kontrakt, gesetzlech Verflichtung, berechtegten Interessi).
- Eng kloer Informatioun vun de Persoune redigéieren an eng konform Zoustëmmung aholen, wa se verlaangt ass.
- Proportionell Sécherheetsmoossnamen asetzen (Zougäng, Verschlësselung, Sécherheetskopien, Gestioun vun Incidenten).
- D'Veraarbechter duerch kontraktuell Klauselen encadréieren, déi dem Art. 28 DSGVO entspriechen.
- D'Gestioun vun Datebréch virbereeden: intern Prozedur a Meldung un d'CNPD bannent 72 Stonnen.
| Rechtsgrondlag | Beispill vun Notzung | Opmierksamkeetspunkt |
|---|---|---|
| Zoustëmmung | Newsletter, net-essentiell Cookien | Muss fräi, informéiert a widderruffbar sinn |
| Kontrakt | Ausféierung vun enger Bestellung, Abonnement | Limitéiert op dat, wat fir de Kontrakt néideg ass |
| Gesetzlech Verflichtung | Pai, Comptabilitéit, Deklaratiounen | Vun engem applicabelen Text opgeluecht |
| Berechtegten Interessi | Sécherheet, encadréiert Prospektioun | Setzt eng dokumentéiert Ofwiegung viraus |
| Vital Interessen | Noutsituatiounen | Aussergewéinlech Notzung |
| Missioun am ëffentlechen Interessi | Organismen, déi mat enger Missioun betraut sinn | Spezifesche Kader |
Gëllt d'DSGVO fir meng Entreprise zu Lëtzebuerg?
D'Dateschutz-Grondveruerdnung (DSGVO, op Franséisch RGPD) gëtt applicabel, soubal eng Entreprise perséinlech Donnéeë veraarbecht, dat heescht all Informatioun, déi sech op eng identifizéiert oder identifizéierbar natierlech Persoun bezitt: Numm, Adress, E-Mail, Client-Identifiant, Verbindungs- oder Bezuelungsdonnéeën. Bal all Entreprise ass betraff, egal wéi grouss se ass.
D'DSGVO huet eng breet Draagwäit. Si erfaasst d'Traitementer vun enger Entreprise, déi zu Lëtzebuerg etabléiert ass, mä och déi vun net-europäeschen Entreprisen, déi Persounen an der Unioun zilen, zum Beispill iwwer en Online-Buttek. D'Konformitéit ass also net de grousse Gruppe reservéiert: eng KMU, eng Startup oder en Online-Commerce sinn der DSGVO voll ënnerworf.
Hiren Uwendungsberäich ze verstoen ass déi éischt Etapp vun all Demarche. En Affekotebüro hëlleft, d'Traitementer ze qualifizéieren an déi applicabel Verflichtunge genau ofzegrenzen, während déi digital Tools nëmmen dozou déngen, dës juristesch Analys ze dokumentéieren an z'organiséieren.
Wéi eng Roll huet d'CNPD zu Lëtzebuerg?
Zu Lëtzebuerg ass déi zoustänneg Iwwerwaachungsautoritéit d'Commission nationale pour la protection des données (CNPD). Si passt op, datt d'DSGVO an d'lëtzebuergescht Gesetz vum 1. August 2018 respektéiert ginn, begleet d'Organismen, instruéiert d'Plainten an huet eng Kontroll- a Sanktiounsbefugnis.
D'CNPD publizéiert Orientatiounen, Modeller a Recommandatiounen, déi nëtzlech sinn, fir d'Ëmsetzung vun der Konformitéit ze strukturéieren. Si ass och den Uspriechpartner fir d'Meldung vun Datebréch (violations de données) a fir déi eventuell Ernennung vun engem Dateschutzbeoptragten (délégué à la protection des données, DPO).
Wann ee weess, wéi d'CNPD sech positionéiert, kann een hir Erwaardunge virausgesinn. En Affekot ageschriwwen am Barreau de Luxembourg suergt fir d'Interface mat der Autoritéit, bereet d'Äntwerten op eventuell Ufroe vir a séchert den Austausch of, besonnesch am Fall vun enger Kontroll.
Wat sinn d'Etappen, fir mat der DSGVO a Konformitéit ze kommen?
D'Konformitéit follegt enger progressiver Logik. Déi éischt Etapp besteet doran, d'Traitementer ze kartéieren: wéi eng Donnéeën, fir wéi eng Zwecker, op wéi enger Rechtsgrondlag, fir wéi laang a mat wéi engen Empfänger. Dës Kartographie fléisst an d'Verzeechnes vun den Traitementer (registre des traitements), dat zentraalt Dokument vun der Demarche.
Duerno kommen déi juristesch Ofsécherung vun all Traitement (Rechtsgrondlag, Informatioun, Zoustëmmung), d'Asetze vun technesche an organisatoresche Sécherheetsmoossnamen, den Encadrement vun de Veraarbechter (sous-traitants) an d'Definitioun vun internen Prozeduren (Rechter vun de Persounen, Datebréch).
D'Konformitéit ass net fixéiert: si muss mat der Zäit ënnerhale ginn. All neien Traitement, all neit Tool oder all neien Déngschtleeschter muss an d'Demarche integréiert ginn. Eng Begleedung duerch en Affekot am Wirtschaftsrecht erlaabt et, dës Gouvernance op Dauer ze verankeren.
Wéi eng Rechtsgrondlag sollt ee fir all Traitement wielen?
Keen Traitement vun Donnéeën ass rechtméisseg ouni Rechtsgrondlag. D'DSGVO gesäit der e puer vir: d'Zoustëmmung vun der Persoun, d'Ausféierung vun engem Kontrakt, d'Anhale vun enger gesetzlecher Verflichtung, de Schutz vu vitalen Interessen, eng Missioun am ëffentlechen Interessi oder de berechtegten Interessi vum Verantwortleche fir d'Veraarbechtung (responsable de traitement).
D'Wiel vun der Rechtsgrondlag ass net fräi: si hänkt vum reellen Zweck vum Traitement of. E kommerziellen Newsletter, deen u Prospekte geschéckt gëtt, baséiert am Prinzip op der Zoustëmmung (et gëtt eng Ausnam fir ähnlech Produkter, déi bestoende Clienten ugebuede ginn), d'Gestioun vun der Pai op enger gesetzlecher Verflichtung, d'Ausféierung vun enger Bestellung op dem Kontrakt. Eng schlecht gewielte Grondlag schwächt de ganzen Traitement.
D'Rechtsgrondlag vun all Traitement ze dokumentéieren ass wesentlech, well d'Entreprise se muss justifiéiere kënnen. Dës Analys, déi dacks ënnerschat gëtt, ass eng juristesch Qualifikatioun, déi duerch d'Interventioun vun engem Affekot ofgeséchert gëtt, a Verbindung mat der Redaktioun vun Äre Kontrakter.
Muss een e Verzeechnes vun den Traitementer féieren?
D'Verzeechnes vun de Veraarbechtungsaktivitéiten ass de Grondsteen vun der Konformitéit. Et erfaasst fir all Traitement déi verfollegt Zwecker, d'Kategorie vun Donnéeën a vu betraffene Persounen, d'Empfänger, d'Opbewahrungsdaueren an d'Sécherheetsmoossnamen. Et ass d'dokumentarescht Gedächtnis vun der Entreprise.
Och wa verschidde Verflichtunge fir d'Féiere vum Verzeechnes fir Organismen mat manner wéi 250 Salariéen liichter sinn, bleift d'Ausnam limitéiert: soubal en Traitement net geleeëntlech ass, sensibel Donnéeën oder Donnéeën iwwer strofrechtlech Veruerteelungen betrëfft oder e Risiko duerstelle kann, ass d'Verzeechnes obligatoresch. An der Praxis muss bal all Entreprise eent féieren.
Iwwer d'Verflichtung eraus ass d'Verzeechnes e Steierungsinstrument. Et erlaabt, riskant Traitementer z'identifizéieren, eng Analys vun den Auswierkungen op den Dateschutz (analyse d'impact) virzebereeden, wann et néideg ass, a séier op eng Ufro vun der CNPD z'äntweren. Seng Redaktioun profitéiert vun engem juristeschen Encadrement.
Wéi informéiert een d'Persounen a kritt hir Zoustëmmung?
All Persoun, där hir Donnéeë veraarbecht ginn, huet Recht op eng transparent Informatioun: Identitéit vum Verantwortlechen, Zwecker, Rechtsgrondlag, Empfänger, Opbewahrungsdauer an d'Rechter, déi si huet (Zougang, Rectificatioun, Läschen, Oppositioun, Portabilitéit). Dës Informatioun hëlt an der Regel d'Form vun enger Dateschutzerklärung un.
Wann den Traitement op der Zoustëmmung baséiert, muss dës fräi, spezifesch, informéiert an eendeiteg sinn. Eng virugekräizt Këscht oder eng global Zoustëmmung geet net duer. D'Zoustëmmung muss esou einfach zréckgezu kënne ginn, wéi se ginn gouf, an d'Entreprise muss de Beweis dovun opbewueren.
Eng lückenhaft Informatioun oder eng schlecht ageholl Zoustëmmung sinn heefeg Quelle vun Net-Konformitéit. D'Redaktioun vun den Informatiounsmentiounen an de Mechanismen, fir d'Zoustëmmung anzehuelen, profitéiert vun enger opmierksamer juristescher Relecture.
Wéi eng Moossname fir d'Sécherheet vun den Donnéeë verlaangt d'DSGVO?
D'DSGVO verlaangt ugepasst technesch an organisatoresch Moossnamen, fir d'Sécherheet vun den Donnéeën ze garantéieren, jee no de Risiken. Dës Moossnamen ëmfaassen d'Gestioun vun den Zougäng, d'Verschlësselung, wann et sënnvoll ass, regelméisseg Sécherheetskopien, d'Protokolléierung an eng kloer Politik fir d'Gestioun vun Incidenten.
D'Sécherheet ass net nëmmen eng informatesch Fro: si ass och organisatoresch. Sensibiliséierung vum Personal, Gestioun vun den Zougangsberechtegungen, Encadrement vum Teletravail a Prozeduren am Fall vun engem Incident sinn integralen Deel vum Dispositif. Den Niveau vun de Fuerderungen ass dem Risiko fir d'Persounen proportionell.
Eng Sécherheetslück kann zu engem Datebroch féieren an d'Haftung vun der Entreprise engagéieren. D'technesch Moossname mat engem solide kontraktuellen a prozeduralen Kader ofzestëmmen ass eng gemeinsam Aarbecht vun der Entreprise, hiren Déngschtleeschter an hirem juristesche Beroder.
Veraarbechter, DPO, Datebréch a Sanktiounen: wat gesäit d'DSGVO vir?
Wann eng Entreprise en Traitement engem Déngschtleeschter uvertraut (Hébergeur, Software, Pai), muss dëse Veraarbechter duerch e Kontrakt encadréiert ginn, deen dem Art. 28 DSGVO entsprécht an d'Verflichtunge vu Sécherheet, Vertraulechkeet an Assistenz präziséiert. D'Ernennung vun engem Dateschutzbeoptragten (DPO) ass a verschiddene Fäll obligatoresch an an anere recommandéiert.
Am Fall vun engem Datebroch, deen e Risiko mat sech brénge kann, muss d'Entreprise en am Prinzip bannent 72 Stonnen un d'CNPD mellen, nodeems se dovun erfuer huet, an, wann de Risiko héich ass, déi betraffe Persounen doriwwer informéieren. Eng virdru festgeluecht intern Prozedur erlaabt et, dës Frist anzehalen an d'Reaktioun ze dokumentéieren.
Wann d'DSGVO net respektéiert gëtt, riskéiert een administrativ Geldstrofen bis zu 20 Milliounen Euro oder 4 % vum weltwäite Joresëmsaz, wobäi de méi héije Montant zielt (Art. 83 DSGVO), souwéi Kloe vun de betraffene Persounen. Dofir ass d'Roll vum Affekot zentral: hie qualifizéiert d'Verflichtungen, séchert d'Dokumentatioun of, encadréiert d'Kontrakter a begleet d'Entreprise vis-à-vis vun der CNPD. Fir unzefänken, kënnt Dir en Devis ufroen oder eng Consultatioun huelen.
| Etapp | Zil | Resultat |
|---|---|---|
| Kartographie | D'Traitementer erfaassen | Verzeechnes vun den Traitementer |
| Rechtsgrondlag | All Traitement ofsécheren | Dokumentéiert Justificatioun |
| Informatioun | D'Persounen informéieren | Dateschutzerklärung |
| Sécherheet | D'Donnéeë schützen | Technesch an organisatoresch Moossnamen |
| Veraarbechter | D'Déngschtleeschter encadréieren | Klauselen no Art. 28 |
| Datebréch | Séier reagéieren | Prozedur a Meldung un d'CNPD |
Jee no Ärem Profil
Fir d'KMU
Eng KMU muss mat hirem Verzeechnes vun den Traitementer ufänken, d'Rechtsgrondlag vun all Notzung vun Donnéeën identifizéieren (Clienten, Salariéen, Prospekten), hir Zougäng ofsécheren an hir Déngschtleeschter encadréieren. D'Ernennung vun engem DPO ass nëmmen a verschiddene Fäll obligatoresch, mä d'Dokumentatioun bleift onverzichtbar.
Fir de Startup
Eng Startup huet en Interessi, d'DSGVO-Konformitéit vun der Konzeptioun vun hirem Produit un z'integréieren (privacy by design): Minimiséierung vun den Donnéeën, kloer Rechtsgrondlag, transparent Informatioun a konform Kontrakter mat de Veraarbechter. Dat vermeit deier Korrekturen bei enger Finanzéierungsronn oder enger Due Diligence.
Fir den E-Commerce
En E-Commerce-Site veraarbecht Donnéeën, déi um kommerzielle Plang sensibel sinn: Bestellungen, Bezuelungen, Clientekonten, Cookien. De Site muss op d'virkontraktuell Informatioun, d'Zoustëmmung zu net-essentielle Cookien, d'Sécherheet vun de Bezuelungen an d'Ofstëmmung tëscht Dateschutzerklärung a Verkafsbedingunge suergfälteg oppassen.
Fir de Verantwortleche fir d'Veraarbechtung
De Verantwortleche fir d'Veraarbechtung ass de Garant vun der Konformitéit: hien definéiert d'Zwecker, wielt d'Rechtsgrondlagen, encadréiert d'Veraarbechter an ass der CNPD gegeniwwer verantwortlech. Hie muss zu all Moment seng Konformitéit nowäise kënnen (accountability), wat eng rigoréis an aktuell gehalen Dokumentatioun viraussetzt.
Offiziell Quellen
Historique vun den Aktualiséierungen
- : DSGVO-Zoustëmmung ouni Hierarchie tëscht de Rechtsgrondlagen duergestallt, Reegel fir d'Cookien un dat geännert Gesetz vum 30. Mee 2005 gekoppelt, Schwell vun 250 Salariéen an Ufank vun der Frist vu 72 Stonne präziséiert.