SZENARIO
Um die nächste FRAGE zu beantworten, verwenden Sie bitte Folgendes:
Sie leiten die Datenschutzabteilung eines Unternehmens, das Informationen von Personen aus mehreren Ländern in Europa und Amerika verarbeitet. Sie beginnen an diesem Morgen mit der Datenschutzprüfung, als Ihnen ein Vertragsbeauftragter eine Nachricht mit der Bitte um einen Anruf schickt. Die Nachricht ist nicht klar und detailliert, aber Sie gehen davon aus, dass Daten verloren gegangen sind.
Wenn Sie den Vertragsbeauftragten kontaktieren, teilt er Ihnen mit, dass er einen Brief von einem Lieferanten erhalten hat, in dem er angibt, dass dieser Informationen über Ihre Kunden unzulässig weitergegeben hat. Er rief den Lieferanten an und bestätigte, dass Ihr Unternehmen vor Kurzem genau 2.000 Personen zu ihren jüngsten Erfahrungen im Gesundheitswesen befragt und diese Umfragen an den Lieferanten geschickt hat, damit dieser sie in eine Datenbank überträgt. Der Lieferant hat jedoch vergessen, die Datenbank wie im Vertrag versprochen zu verschlüsseln. Infolgedessen hat der Lieferant die Kontrolle über die Daten verloren.
Der Verkäufer entschuldigt sich sehr und bietet an, die Verantwortung für den Versand der Benachrichtigungen zu übernehmen. Er sagt Ihnen, dass er 2.000 frankierte Postkarten zurücklegt, weil das die Zeit verkürzen sollte, die es braucht, um die Benachrichtigung per Post zu erhalten. Auf einer Seite ist nur sein Logo, aber die andere Seite ist leer und er akzeptiert, was immer Sie schreiben möchten. Sie lassen sein Angebot auf Eis und beginnen, den Text unter Berücksichtigung der Platzbeschränkungen zu entwickeln. Sie sind damit zufrieden, das Logo des Verkäufers mit der Benachrichtigung zu verknüpfen.
In der Benachrichtigung wird erklärt, dass Ihr Unternehmen kürzlich einen Anbieter beauftragt hat, Informationen über ihren jüngsten Aufenthalt in der Klinik für Infektionskrankheiten des St. Sebastian-Krankenhauses zu speichern. Der Anbieter hat die Informationen nicht verschlüsselt und hat keine Kontrolle mehr darüber. Alle 2000 betroffenen Personen werden aufgefordert, sich für E-Mail-Benachrichtigungen über ihre Informationen anzumelden. Sie müssen lediglich auf die Website Ihres Unternehmens gehen und sich eine kurze Werbung ansehen und dann ihren Namen, ihre E-Mail-Adresse sowie Monat und Jahr der Geburt angeben.
Sie schicken dem Incident-Response-Rat vor 9 Uhr eine E-Mail, um seine Zustimmung einzuholen. Wenn in dieser Situation etwas schief geht, möchten Sie die Schuld auf Ihre Kollegen verteilen. In den nächsten acht Stunden schicken sich alle per E-Mail Kommentare hin und her. Der Berater, der das Incident-Response-Team leitet, bemerkt, dass dies sein erster Tag im Unternehmen sei, er aber seit 45 Jahren in anderen Branchen tätig sei und sein Bestes geben werde. Einer der drei Anwälte im Rat bringt das Gespräch vom Kurs ab, aber es kommt schließlich wieder auf Kurs. Am Ende des Tages stimmen sie dafür, mit der von Ihnen verfassten Benachrichtigung fortzufahren und die Postkarten des Lieferanten zu verwenden.
Kurz nachdem der Lieferant die Postkarten verschickt hat, erfahren Sie, dass die Daten auf einem Server gespeichert waren, der gestohlen wurde, und entscheiden sich, Ihr Unternehmen mit der Bereitstellung von Kreditüberwachungsdiensten zu beauftragen. Eine schnelle Internetsuche ergibt ein Kreditüberwachungsunternehmen mit einem überzeugenden Namen: Credit Under Lock and Key (CRUDLOK). Ihr Vertriebsmitarbeiter hat noch nie einen Vertrag für 2.000 Personen abgewickelt, entwickelt jedoch innerhalb eines Tages ein Angebot, in dem steht, dass CRUDLOK:
1. Senden Sie am Tag nach der Vertragsunterzeichnung eine Einschreibungseinladung an alle.
2. Registrieren Sie jemanden nur mit seinem Vornamen und den letzten vier Ziffern seiner nationalen Kennung.
3. Überwachen Sie die Kreditwürdigkeit jedes Eingeschriebenen zwei Jahre lang ab dem Einschreibungsdatum.
4. Senden Sie monatlich eine E-Mail mit Ihrer Kreditwürdigkeitsbewertung und Angeboten für kreditbezogene Dienstleistungen zu Marktpreisen.
5. Berechnen Sie Ihrem Unternehmen 20 % der Kosten für jede Kreditwiederherstellung.
Sie schließen den Vertrag ab und die Registrierungseinladungen werden per E-Mail an die 2.000 Personen verschickt. Drei Tage später setzen Sie sich hin und dokumentieren alles, was gut gelaufen ist und was besser hätte laufen können. Sie legen es in einer Datei ab, auf die Sie beim nächsten Vorfall zurückgreifen können.
Welcher der folgenden Punkte wäre im Hinblick auf die Kreditüberwachung Ihr größtes Anliegen?

• A. Der Vertreter des Anbieters hat nicht genug Erfahrung
• B. Das Unternehmen hat nicht genügend Kennungen gesammelt, um die Kreditwürdigkeit der Kunden zu überwachen.
• C. Sie werden die betroffenen Personen per Brief und anschließend per E-Mail benachrichtigen
• D. Unterzeichnung eines Vertrags mit CRUDLOK, der länger als ein Jahr dauert

(Aus datenschutzrechtlicher Sicht: Welches ist das erste Problem, mit dem sich Organisationen auseinandersetzen müssen, wenn sie den Einsatz eines KI-Tools eines Drittanbieters zur Überprüfung von Bewerbungen erwägen?)

• A. Zuweisung der vertraglichen Verantwortung im Falle der Nichteinhaltung von Vorschriften.
• B. Analyse der Einhaltung von Datenschutzgesetzen und KI-Vorschriften.
• C. Vorbereitung einer Benachrichtigung für Bewerber im Vorfeld der Werkzeugbereitstellung.
• D. Ermittlung des am besten geeigneten Anbieters auf Basis der organisatorischen Anforderungen.

In welcher Phase des betrieblichen Lebenszyklus des Datenschutzes erfolgt die Integration von Datenschutzanforderungen in Funktionsbereiche im gesamten Unternehmen?

• A. Daten auswerten.
• B. Schutz personenbezogener Daten.
• C. Aufrechterhaltung der Programmleistung.
• D. Reagieren auf Anfragen und Vorfälle.

Was sollte das erste große Ziel eines Unternehmens sein, das ein neues Datenschutzprogramm entwickelt?

• A. Erstellung von Data Lifecycle Management-Richtlinien und -Verfahren zur Begrenzung der Datensammlung.
• B. Zur Planung von Gesprächen mit Führungskräften betroffener Abteilungen.
• C. Um potenzielle Drittverarbeiter der Informationen der Organisation zu identifizieren.
• D. Um potenzielle Finanzierungsquellen für Ressourcen des Datenschutzteams zu untersuchen.

(Welche der folgenden Maßnahmen sollte priorisiert werden, um die kontinuierliche Einhaltung des neuen Phvacy-Gesetzes zu gewährleisten?)

• A. Führen Sie regelmäßig eine Überprüfung der E-Mail-Kommunikation durch, um sicherzustellen, dass keine sensiblen personenbezogenen Daten über private E-Mail-Konten versendet werden.
• B. Es wird eine Richtlinie festgelegt, die den Zugriff auf personenbezogene Daten in der Test- und Entwicklungsumgebung einschränkt.
• C. Implementieren Sie einen Dateninventarisierungs- und Datenmapping-Prozess, um alle Aktivitäten zur Verarbeitung personenbezogener Daten im gesamten Unternehmen zu dokumentieren.
• D. Entwickeln Sie ein Verfahren, um die Datenschutz- und Informationssicherheitsteams über alle neuen Datenflüsse oder Produkte, die personenbezogene Daten verarbeiten, zu informieren, bevor diese in Betrieb genommen werden.