Kurz gefasst
Steuer- und Katasterdaten abgeflossen, Passwörter nicht. Das Ministerium hat die CNIL benachrichtigt und informiert die Betroffenen einzeln. Die CNIL wünscht keine Einzelbeschwerden und wird prüfen, ob die Sicherheitsmaßnahmen dem Stand der Technik entsprachen: Bußgelder können Verantwortliche wie Auftragsverarbeiter treffen.
Was abgeflossen ist
- Steuerdaten: steuerliches Referenzeinkommen, Familienquotient, Quellensteuersatz, Unternehmensnummer und Firmenname.
- Katasterdaten: Anschriften und Flächen von Immobilien.
- Kennungen und Passwörter sind offenbar nicht betroffen.
Die letzte Zeile beruhigt sonst; hier ist sie das Problem. Ohne Zugangsdaten kommt niemand in ein fremdes Konto; mit Einkommen, Familienquotient, Steuersatz und Immobilienanschrift schreibt man eine Nachricht, die mehr über eine Person weiß als deren Bank. Das ist hochwertiges Phishing-Material, und die CNIL sagt es in ihren Empfehlungen offen: Misstrauen gegenüber jeder «dringenden» Anfrage per E-Mail oder Telefon, die auf diesen Angaben aufbaut.
Der Satz, der die Datenschutzpraxis betrifft
«Die CNIL kann Prüfungen nach Aktenlage oder vor Ort durchführen, um insbesondere festzustellen, ob die vorhandenen Sicherheitsmaßnahmen dem Stand der Technik der Informationssicherheit entsprechen.» Nicht «ob ein Verfahren bestand», nicht «ob es einen Datenschutzbeauftragten gab»: ob die Maßnahmen zum damaligen Zeitpunkt dem Stand der Technik entsprachen.
Das ist der Maßstab des Artikels 32, und er wird mit Daten belegt. Eine Maßnahmenliste ohne Einführungsdatum und ohne belegendes Dokument hält dieser Prüfung nicht stand: Niemand kann im Nachhinein feststellen, was im August galt und was im September ergänzt wurde.
Die CNIL ergänzt, dass ein Bußgeld Verantwortliche <strong>und Auftragsverarbeiter</strong> treffen kann. Wer eine Behörde beliefert, ist nicht geschützt, weil in der Zeitung der Name des Auftraggebers steht.
Keine Einzelbeschwerden
Die CNIL befasst sich bereits mit dem Vorfall und bittet, ihr dazu keine Einzelbeschwerden zu senden, außer man verfügt über konkrete Angaben, die den laufenden Ermittlungen dienen. Ein praktischer Hinweis, den man einer Mandantin weitergibt, bevor sie Zeit in eine Beschwerde steckt, die beiseitegelegt wird.
Drei Fragen, die man Mandanten heute stellt
1) Käme eine Anfrage mit korrekten Steuerdaten — wie prüfen wir sie? Ein vorab festgelegter Rückrufweg wiegt mehr als jede nachträgliche Schulung. 2) Haben unsere Maßnahmen nach Artikel 32 ein Datum und ein Dokument, oder sind sie eine Liste? 3) Wir sind Auftragsverarbeiter einer Behörde: Wissen wir, dass die Prüfung auch uns erreichen kann?
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
