Datenschutzverletzungs-Meldegesetze: Eine starke, konforme Reaktionsstrategie aufbauen

Die Zahl gemeldeter Datenschutzverletzungen steigt jährlich – sie sind so häufig in den Nachrichten, dass man sie kaum noch auseinanderhalten kann. 2017 erlitt Equifax einen massiven Vorfall: fast 150 Millionen Kundendatensätze (fast die halbe US-Bevölkerung) wurden gestohlen. 2018 betraf ein Marriott-Breach hunderte Millionen Datensätze – inklusive persönlicher Daten, Kreditkarten- und Reisepassnummern.

Datenschutzverletzungen treffen Organisationen jeder Größe und Bekanntheit. Während Großvorfälle Schlagzeilen machen, hören Sie selten von kleineren Unternehmen, die oft verwundbar sind und ins Visier von Cyberkriminellen geraten. Die meisten Vorfälle basieren auf Hacking – Phishing, Malware – bei denen Angreifer Zugriff auf geschützte oder private Informationen erlangen.

Datenschutzverletzungs-Meldegesetze – komplex und vielfältig

Was tun, wenn Ihr Fertigungsunternehmen betroffen ist? Sofort Strafverfolgungsbehörden informieren? Kunden benachrichtigen? Wer noch? Welche Fristen gelten?

Die Antworten sind komplex. Es gibt kein umfassendes Bundesgesetz – jeder Bundesstaat und jedes Territorium hat ein eigenes Meldegesetz. Diese verlangen, dass Betroffene (oder bereits Verdachtsfälle) Kunden über Vorfälle mit personenbezogenen Daten informieren. Auch Strafverfolgungsbehörden müssen benachrichtigt und bestimmte Abhilfemaßnahmen ergriffen werden. Doch die Gesetze unterscheiden sich erheblich: abgedeckte Datentypen, Benachrichtigungsfristen, Melde Standards. Wer sich daran halten muss und was überhaupt als personenbezogene Daten gilt, variiert von Staat zu Staat. Hinzu kommen jüngste Gesetzesänderungen in einigen Bundesstaaten.

Wie viel Zeit habe ich für die Meldung?

Die meisten Gesetze verlangen Benachrichtigung „ohne unangemessene Verzögerung“. Die konkrete Frist variiert nach Bundesstaat und Branche. Hersteller stehen bei einem Vorfall vor konkurrierenden Verpflichtungen: gegenüber dem eigenen Unternehmen, der Branche, den Kunden und der Strafverfolgung. Es gibt sogar Situationen, in denen Ermittlungsbehörden einen Vorfall vorübergehend geheim halten müssen.

Vorbereitung vor dem Ernstfall

Behandeln Sie Meldepläne für Datenschutzverletzungen wie jeden anderen Notfallplan – warten Sie nicht! Da es keine einheitliche Standardreaktion gibt, müssen US-Hersteller die spezifischen Bundesstaats- und Bundesgesetze kennen, die für sie gelten. Alle Bundesstaaten, in denen sie geschäftlich tätig sind, müssen berücksichtigt werden.

Glücklicherweise gibt es hervorragende Ressourcen für Orientierung. Mehrere Organisationen fassen staatliche Meldegesetze zusammen: National Conference of State Legislatures, IT Governance und Perkins Coie.

Um Compliance sicherzustellen, sollten Sie aktuelle Vorschriften für Ihren Bundesstaat und Ihre Branche im Blick behalten. Ein Datenschutzvorfall ist immer stressvoll – aber Bewusstsein der Pflichten und ein Plan mindern den Stress und helfen, hohe Strafen zu vermeiden. Hier sind konkrete Schritte:

• Identifizieren Sie die für Ihr Unternehmen geltenden Bundesstaats- und Branchenvorschriften
• Dokumentieren Sie die Meldeanforderungen und die Prozesse zu deren Einhaltung im Worst-Case-Szenario
• Erstellen Sie eine Richtlinie basierend auf den für Sie geltenden Meldeanforderungen
• Bei überschneidenden Regularien: die strengste Vorgabe als unternehmensweite Policy nutzen
• Entwerfen Sie Benachrichtigungsbriefe und -E-Mails vorab
• Entwickeln Sie eine klare Kommunikationsstrategie für Datenschutzvorfälle und lassen Sie diese vorab von Rechts- und PR-Abteilung prüfen

Das MEP National Network hilft Ihnen

Bei Fragen zu den Meldegesetzen Ihres Bundesstaates oder anderen Cybersicherheitsthemen erreichen Sie eines der 51 MEP Center – in allen 50 Bundesstaaten und Puerto Rico – die Teil des MEP National Network^TM sind.