Month: November 2021

https://martinfowler.com/articles/data-mesh-principles.html

https://www.privacypatterns.org/patterns/

https://www.open-diffix.org/

Diffix for Desktop targets use cases where a trusted user with access to the original personal data wishes to release anonymized aggregate statistics.

Diffix for Desktop is remarkably easy to use:

• import CSV (of original personal data)
• select columns and amount of generalization
• inspect data quality with summary stats and side-by-side compare with raw data
• export CSV (of anonymized aggregate statistics)

Shabani/Marelli: “Re-identifiability of genomic data and the GDPR – Assessing the re-identifiability of genomic data in light of the EU General Data Protection Regulation”, in: EMBO Rep (2019)20:e48316

https://pubmed.ncbi.nlm.nih.gov/31126909/

PDF at https://www.ncbi.nlm.nih.gov/pmc/articles/PMC6549023/pdf/EMBR-20-e48316.pdf

From SDM-Newsletter Nr. 9, Stand: 4. November 2021:

Die Technology-Subgroup des Europäische Datenschutzausschusses (EDSA) erarbeitet derzeit, unter aktiver Mitarbeit aus Deutschland, Leitlinien zur “Pseudonymisierung / Anonymisierung”. Der aktuelle Entwurf umfasst 65 Seiten; er enthält einen großen Anteil an Auslegungen zur DSGVO und nennt einige Maßnahmen.

Drei Aspekte sind in diesem Entwurf besonders erwähnenswert:

• 1. Die Schutzmaßnahme einer Anonymisierung ist ihrerseits als eine Verarbeitungstätigkeit aufzufassen, die in der Regel mit einem hohen Risiko für Betroffene einhergeht und folglich die Durchführung einer Datenschutzfolgenabschätzung (Art. 35 DSGVO) nach sich zieht.
• 2. Eine Identifizierbarkeit ist nicht nur dann gegeben, wenn eine Person eindeutig anhand ihrer bürgerlichen (Melde-)Daten identifizierbar ist, sondern bereits dann, wenn sich Personen(gruppen) voneinanderunterscheiden lassen.
• 3. Der Verantwortliche ist gefordert, ein explizites Angreifermodell zu formulieren.

Es ist vorgesehen, dass ein SDM-Baustein zur “Pseudonymisierung / Anonymisierung” auf diese Leitline verweisen aber den Schwerpunkt auf die praktische Umsetzbarkeit legen wird. Wann die Arbeiten an den Leitlinien abgeschlossen sein werden, ist nicht abzusehen.

https://www.datenschutz-mv.de/static/DS/Dateien/Datenschutzmodell/Bausteine/SDM-V2.0b_Zugriffe_regeln_V1.0.pdf
via https://www.datenschutz-mv.de/datenschutz/datenschutzmodell/

From announcement:
*** AK-Technik verabschiedet einen weiteren SDM-Baustein ***

Auf der Sitzung am 27.11.2021 hat der Arbeitskreis Technik der Datenschutzbeaufragten des Bundes und der Länder einen weiteren Baustein des Standard-Datenschutzmodells SDM-V2.0b verabschiedet. Es handelt sich um den Baustein “Zugriff auf Daten, Systeme und Prozesse regeln”.

Der Baustein “Zugriff auf Daten, Systeme und Prozesse regeln” ist mit 23 Seiten der bislang umfangreichste Baustein der SDM-Reihe. Er behandelt das anspruchsvolle Problem, die Zweckbindung einer Verarbeitungstätigkeit sicherzustellen, ausgehend von den einzelnen Prozessen und Rollen im Kontext einer Verarbeitungstätigkeit (Geschäftsprozess, Fachverfahren) bis zu den technischen Zugriffsrechten an Daten, Dateien, Verzeichnissen, IT-Systemen oder Prozessen. Es wird ein “fachliches Rollen- und Zuständigkeitkonzept” (RZK) von einem “technischen Rollen und Berechtigungskonzept” (RBK) unterschieden (siehe Abbildung 1 auf S. 2). Zur Differenzierung von Verantwortlichkeit und Zuständigkeiten wird die Nutzung der RACI- bzw. RASCI-Methode nahegelegt.

Damit stehen nun insgesamt neun Bausteine zur Umsetzung der operativen Anforderungen der DSGVO zur Verfügung, die unter den deutschen Datenschutzaufsichtsbehörden abgestimmt sind.

—
Deutschland, Standarddatenschutzmodell

https://www.datatilsynet.dk/presse-og-nyheder/nyhedsarkiv/2021/okt/ny-vejledning-saadan-kan-du-foere-tilsyn-med-dine-databehandlere-

.. based on a point scale, considering

• How many people? (< 1000 = 1pt, 1.000-10.000 = 2 pt, > 10.000 = 3 pt)
• Special categories of personal information? (Sensitive personal information) (3 pt)
• Other personal data of a nature worthy of protection? (Confidential information) (2 pt)
• Special treatments? (2 pt)

.. resulting in different concepts that can be chosen
(1-2 points -> Concept 1-6, 3-4 points -> Concept 2-6, 5-6 points -> Concept 3-6, 7-10 points -> Concept 5-6)

• Concept 1 – Do not do anything unless you become aware of something wrong with the data processor
• Concept 2 – The data processor confirms – preferably in writing – to you that all requirements in the data processor agreement are still complied with.
• Concept 3 – The data processor provides you annually – either directly or via its website – one written status of matters covered by the data processor agreement and others relevant areas (eg organizational or product changes).
• Concept 4 – The data processor has a relevant and updated certification or follows a so-called code of conduct that is relevant to your processing activities.
• Concept 5 – An independent third party has conducted a documented inspection of the data processor in an area that also covers your treatment activities.
• Concept 6 – You carry out a documented inspection of the data processor yourself – or together with others.

https://www.datatilsynet.dk/Media/637710957381234368/Datatilsynet_Vejledning%20om%20tilsyn%20med%20databehandlere_oktober-2021.pdf