Die Verabschiedung des Gesetzes 21.719 hat die formale Anforderung eingeführt, dass bestimmte Organisationen in Chile einen Datenschutzbeauftragten (DSB) ernennen müssen. Dies stellt eine bedeutende Veränderung in der chilenischen Datenschutzlandschaft dar, die zuvor keine solche Verpflichtung kannte. Angelehnt an Modelle der DSGVO und anderer internationaler Rahmenwerke soll die DSB-Rolle unter chilenischem Recht sicherstellen, dass Organisationen die Einhaltung der Datenschutzanforderungen fortlaufend gewährleisten und einen benannten Ansprechpartner sowohl für die Aufsichtsbehörde als auch für die Betroffenen haben. Dieser Leitfaden erläutert, wann ein DSB erforderlich ist, welche Qualifikationen benötigt werden und welche Verantwortlichkeiten die Rolle umfasst.
Wann Ist ein DSB Erforderlich?
Das Gesetz 21.719 legt spezifische Kriterien fest, die bestimmen, wann eine Organisation einen DSB ernennen muss. Die Anforderung gilt für folgende Kategorien von Verantwortlichen und Auftragsverarbeitern:
- Öffentliche Stellen und Behörden: Alle Regierungsbehörden und öffentlichen Einrichtungen, die personenbezogene Daten verarbeiten, müssen einen DSB benennen, was die erheblichen Datenmengen und die Sensibilität der im öffentlichen Sektor verarbeiteten Daten widerspiegelt
- Großangelegte Verarbeitung: Organisationen, deren Kerntätigkeiten die regelmäßige und systematische Überwachung von Betroffenen in großem Umfang umfassen, müssen einen DSB ernennen. Dies schließt Unternehmen ein, die sich mit Verhaltens-Tracking, Profiling, Standortüberwachung und ähnlichen Aktivitäten befassen
- Verarbeiter sensibler Daten: Organisationen, die besondere Kategorien personenbezogener Daten in großem Umfang verarbeiten, einschließlich Gesundheitsdaten, biometrischer Daten, genetischer Daten, politischer Meinungen, religiöser Überzeugungen und Daten über strafrechtliche Verurteilungen, müssen über einen DSB verfügen
Auch wenn die Ernennung nicht zwingend vorgeschrieben ist, empfiehlt die Agencia de Protección de Datos Personales allen Organisationen, die freiwillige Benennung eines DSB in Betracht zu ziehen. Einen dedizierten Datenschutzfachmann zu haben, demonstriert ein Engagement für die Compliance und kann im Falle von Aufsichtsverfahren als mildernder Faktor wirken.
Qualifikationen und Fachkenntnisse des DSB
Das Gesetz verlangt, dass der DSB über berufliche Qualifikationen und Expertenwissen im Datenschutzrecht und in der Datenschutzpraxis verfügt. Obwohl es keine spezifischen Zertifizierungen oder akademischen Abschlüsse vorschreibt, muss der DSB über ausreichende Fachkenntnisse verfügen, um die Aufgaben der Rolle effektiv zu erfüllen. Wesentliche Kompetenzbereiche umfassen:
- Rechtskenntnisse: Ein gründliches Verständnis des chilenischen Datenschutzrechts, einschließlich des Gesetzes 21.719, sowie Vertrautheit mit internationalen Rahmenwerken wie der DSGVO, soweit für die Tätigkeit der Organisation relevant
- Technisches Verständnis: Ausreichende Kenntnisse über Datenverarbeitungsvorgänge, Informationssicherheitspraktiken und die technischen Maßnahmen zum Schutz personenbezogener Daten
- Regulatorische Erfahrung: Praktische Erfahrung im Umgang mit Aufsichtsbehörden, in der Verwaltung von Compliance-Programmen und in der Durchführung von Datenschutz-Folgenabschätzungen
- Kommunikationsfähigkeit: Die Fähigkeit, die Geschäftsführung zu beraten, Mitarbeiter zu schulen und mit Betroffenen und der Agencia in Datenschutzangelegenheiten zu kommunizieren
Das erforderliche Fachkenntniss-Niveau sollte proportional zur Komplexität und zum Umfang der Datenverarbeitungstätigkeiten der Organisation sein. Organisationen, die besonders sensible oder umfangreiche Verarbeitungen durchführen, benötigen einen DSB mit entsprechend tiefergehender Expertise.
Unabhängigkeit und Position Innerhalb der Organisation
Ein grundlegendes Prinzip der DSB-Rolle unter dem Gesetz 21.719 ist die Unabhängigkeit. Der DSB muss seine Aufgaben ohne Weisungen hinsichtlich der Ausübung seiner Tätigkeiten wahrnehmen können. Dies bedeutet, dass die Organisation den DSB nicht für die Ausübung seiner Funktionen bestrafen oder entlassen darf und der DSB keine Position innehaben darf, die einen Interessenkonflikt mit seinen Datenschutzverantwortlichkeiten erzeugt.
Der DSB sollte direkt an die höchste Leitungsebene der Organisation berichten. Dies stellt sicher, dass Datenschutzüberlegungen in die strategische Entscheidungsfindung integriert werden und der DSB über die erforderliche Autorität und Sichtbarkeit verfügt. Dem DSB müssen zudem angemessene Ressourcen zur Verfügung gestellt werden, einschließlich Zugang zu den Verarbeitungsvorgängen personenbezogener Daten, ausreichend Zeit zur Erfüllung seiner Aufgaben und Möglichkeiten zur fortlaufenden beruflichen Weiterentwicklung.
Kernverantwortlichkeiten des DSB
Die Verantwortlichkeiten des DSB unter dem Gesetz 21.719 umfassen ein breites Spektrum an Beratungs-, Überwachungs- und Verbindungsfunktionen. Im Folgenden werden die wesentlichen Pflichten des DSB dargestellt.
Compliance-Überwachung
Der DSB ist für die Überwachung der Einhaltung des Gesetzes 21.719 und aller damit verbundenen Vorschriften oder internen Richtlinien durch die Organisation verantwortlich. Dies umfasst die Durchführung regelmäßiger Audits, die Überprüfung von Datenverarbeitungstätigkeiten, die Sicherstellung, dass Datenschutz-Folgenabschätzungen bei Bedarf durchgeführt werden, und die Identifizierung von Bereichen der Nichtkonformität, die behoben werden müssen.
Eine strukturierte Compliance-Plattform wie der ResGuard Datenschutz-Manager kann die Fähigkeit des DSB, die Compliance in der gesamten Organisation zu überwachen, erheblich verbessern, indem sie Aufzeichnungen zentralisiert, Bewertungen automatisiert und Echtzeit-Einblick in die Compliance-Lage bietet.
Beratung bei Datenschutz-Folgenabschätzungen
Wenn die Organisation Datenverarbeitungstätigkeiten plant, die voraussichtlich ein hohes Risiko für die Rechte und Freiheiten von Personen mit sich bringen, muss eine Datenschutz-Folgenabschätzung (DSFA) durchgeführt werden. Der DSB spielt eine zentrale beratende Rolle in diesem Prozess und gibt Hinweise dazu, ob eine DSFA erforderlich ist, welche Methodik anzuwenden ist und welche Maßnahmen zur Minderung identifizierter Risiken erforderlich sind.
Der DSB führt die DSFA nicht selbst durch, sondern berät den Verantwortlichen während des gesamten Prozesses und überprüft die Bewertung, um sicherzustellen, dass sie gründlich und konform ist.
Zusammenarbeit mit der Agencia de Protección de Datos Personales
Der DSB dient als primäre Kontaktstelle zwischen der Organisation und der Agencia. Dies umfasst die Beantwortung von Anfragen der Aufsichtsbehörde, die Unterstützung bei Inspektionen und Audits, die Einreichung gesetzlich vorgeschriebener Meldungen und die Beratung mit der Agencia in Datenschutzfragen.
Die Aufrechterhaltung einer konstruktiven und transparenten Beziehung zur Agencia ist unerlässlich. Der DSB sollte proaktiv mit der Aufsichtsbehörde in Kontakt treten und sich über regulatorische Leitlinien, Durchsetzungsprioriäten und Best Practices informiert halten.
Schulung und Sensibilisierung
Der DSB ist dafür verantwortlich, sicherzustellen, dass Mitarbeiter, die personenbezogene Daten verarbeiten, ihre Datenschutzpflichten verstehen. Dies beinhaltet die Entwicklung und Durchführung von Schulungsprogrammen, die Erstellung interner Leitfäden und die Förderung einer Datenschutzkultur in der gesamten Organisation. Wirksame Sensibilisierungsschulungen sind ein Eckpfeiler jedes Compliance-Programms.
Bearbeitung von Betroffenenanfragen
Während die Organisation als Ganzes für die Beantwortung von Betroffenenanfragen verantwortlich ist, überwacht der DSB in der Regel den Prozess, um sicherzustellen, dass Anfragen korrekt und innerhalb der erforderlichen Fristen bearbeitet werden. Der DSB kann auch als Ansprechpartner für Betroffene dienen, die Fragen oder Bedenken hinsichtlich der Verarbeitung ihrer personenbezogenen Daten haben.
Externer vs. Interner DSB
Das Gesetz 21.719 erlaubt es Organisationen, entweder einen internen Mitarbeiter oder einen externen Dienstleister als DSB zu benennen. Jeder Ansatz hat eigene Vorteile.
Ein interner DSB hat den Vorteil, in die Organisation eingebettet zu sein, mit direktem Zugang zu Systemen, Prozessen und Personal. Dies erfordert jedoch, einen Mitarbeiter mit der notwendigen Fachkenntnis zu finden oder zu entwickeln, was herausfordernd und kostspielig sein kann.
Ein externer DSB bringt spezialisierte Fachkenntnisse, Unabhängigkeit und Erfahrung aus der Arbeit mit verschiedenen Organisationen und Branchen mit. Diese Option ist besonders attraktiv für kleine und mittlere Unternehmen, die möglicherweise nicht über die Ressourcen verfügen, einen Vollzeit-DSB zu beschäftigen. Externe DSB-Dienste können auch ergänzende DSB-Unterstützung für Organisationen bereitstellen, die über einen internen DSB verfügen, aber zusätzliche Kapazität oder Fachkenntnis benötigen.
Meldung an die Agencia
Der DSB muss sicherstellen, dass die Kontaktdaten der Organisation für die DSB-Rolle der Agencia de Protección de Datos Personales mitgeteilt werden. Dies ermöglicht es der Aufsichtsbehörde, den DSB bei Bedarf direkt zu kontaktieren. Die Kontaktinformationen des DSB sollten auch den Betroffenen zur Verfügung gestellt werden, in der Regel über die Datenschutzerklärung der Organisation.
Im Falle einer Datenschutzverletzung spielt der DSB eine Schlüsselrolle bei der Koordinierung des Meldeprozesses und stellt sicher, dass die Agencia und die betroffenen Personen innerhalb der vorgeschriebenen Fristen informiert werden.
Praktische Schritte zur Ernennung eines DSB
Organisationen, die der DSB-Pflicht unterliegen, sollten die folgenden praktischen Schritte befolgen, um einen reibungslosen Ernennungsprozess zu gewährleisten:
- Prüfen, ob ein DSB erforderlich ist: Überprüfen Sie Ihre Datenverarbeitungstätigkeiten anhand der vom Gesetz 21.719 festgelegten Kriterien, um festzustellen, ob die Ernennung verpflichtend ist
- Die Rolle definieren: Entwickeln Sie eine klare Stellenbeschreibung oder Dienstleistungsspezifikation, die die Verantwortlichkeiten des DSB, die Berichtslinien und die Ressourcenanforderungen beschreibt
- Den richtigen Kandidaten auswählen: Wählen Sie einen DSB mit den geeigneten Qualifikationen, der Fachkenntnis und der Unabhängigkeit, um die Rolle effektiv zu erfüllen
- Unabhängigkeit sicherstellen: Stellen Sie sicher, dass die DSB-Rolle keine Interessenkonflikte erzeugt und der DSB direkten Zugang zur Geschäftsleitung hat
- Ressourcen bereitstellen: Weisen Sie ausreichend Budget, Zeit und Werkzeuge zu, einschließlich einer Compliance-Management-Plattform, um die Arbeit des DSB zu unterstützen
- Die Agencia benachrichtigen: Registrieren Sie die Kontaktdaten des DSB bei der Agencia de Protección de Datos Personales wie vorgeschrieben
- In die Governance integrieren: Verankern Sie die DSB-Rolle im Governance-Rahmen der Organisation und stellen Sie regelmäßige Berichte an den Vorstand oder die Geschäftsführung sicher
Fazit
Die Einführung der DSB-Pflichten unter dem Gesetz 21.719 spiegelt Chiles Engagement für den Aufbau eines robusten Datenschutzrahmens wider. Ob intern ernannt oder extern beauftragt, der DSB spielt eine entscheidende Rolle bei der Sicherstellung der Compliance, dem Schutz der Betroffenen und der Verwaltung der Beziehung der Organisation zur Agencia. Organisationen sollten zeitnah handeln, um ihre Verpflichtungen zu bewerten, einen qualifizierten DSB zu ernennen und die notwendige Unterstützung für eine effektive Datenschutz-Governance bereitzustellen. Einen vollständigen Überblick über Chiles neues Datenschutzgesetz finden Sie in unserem Leitfaden zum Gesetz 21.719.