Unternehmen sind immer noch nicht auf Änderungen der DSGVO-Regeln und mögliche Verstöße gegen EU-Datenschutzbestimmungen vorbereitet

Eine neue Umfrage ergab, dass viele Unternehmen immer noch im Dunkeln über die Einhaltung der DSGVO stehen.

Unternehmen auf der ganzen Welt bemühen sich immer noch, die neuen Regeln der DSGVO einzuhalten, die vor mehr als einem Jahr in Kraft getreten sind. Die Verordnung hatte globale Auswirkungen, die Unternehmen in den USA, China und Japan zwingen neue, manchmal arkane Regeln einzuhalten, die zuvor in dieser Größenordnung nicht gesehen wurden.

Eine neue Studie Fast 50% der Befragten stellten im Auftrag der internationalen Anwaltskanzlei McDermott Will & Emery und unter Leitung des Ponemon Institute fest, dass im letzten Jahr mindestens ein Verstoß gegen personenbezogene Daten vorlag, der im Rahmen der DSGVO gemeldet werden musste.

Sowohl in China als auch in Japan hatten Unternehmen eine sehr hohe Anzahl von Befragten, die angaben, mit großen Teilen der Verordnung "noch nicht vertraut" zu sein.

"Wie unsere erste Studie vor einem Jahr gezeigt hat, ist der Wettlauf um die DSGVO, die Einhaltung der DSGVO, eine Herausforderung, insbesondere bei Informationen und den Unternehmen, die diese so häufig über Landesgrenzen hinweg besitzen, und eine Zunahme der unterschiedlichen lokalen Vorschriften – ob dies nun das chinesische Gesetz zur Cybersicherheit ist oder nicht der neue California Privacy Act ", sagte Larry Ponemon Ph.D., Vorsitzender und Gründer des Ponemon Institute.

SIEHE: Leitfaden für IT-Experten zur Einhaltung der DSGVO (kostenloses PDF) (TechRepublic Premium)

Diese entsprechenden und oft konkurrierenden Gesetze auf der ganzen Welt erschwerten es den Unternehmen, ihre Geschäfte zu führen, und zwangen sie, Mitarbeiter einzustellen, die sich speziell um die Einhaltung der Vorschriften kümmern.

Der Studie zufolge setzten japanische Befragte zunehmend externe Cybersicherheitsunternehmen ein, um gegen Datenverletzungen vorzugehen. Nur 29% der chinesischen Befragten und 32% der japanischen Befragten gaben an, der GDPR vollständig zu entsprechen.

"Was wir in diesem Jahr gelernt haben, ist, dass sich Länder und Regionen in Bezug auf das Compliance-Bewusstsein und die Durchführungsmaßnahmen inzwischen stark voneinander unterscheiden", sagte Ponemon.

"Da die Durchsetzungsaktivitäten gerade erst beginnen, ist es für Unternehmen wichtiger denn je, Hand in Hand mit externen Cybersicherheitsdiensten und Rechtsberatern zu arbeiten und zu verstehen, dass diese Probleme auch in absehbarer Zukunft weiter bestehen werden", sagte er.

Für viele Unternehmen war das größte Problem der Prozess zur Meldung von Datenverletzungen. In jedem befragten Land gaben durchschnittlich 25% der Befragten an, dass sie nur sehr gering bereit und zuversichtlich sind, mit den Regeln der DSGVO über Datenschutzverletzungen umzugehen.

Weniger als 20% der Unternehmen waren "zuversichtlich", die Aufgabe der Meldung eines Verstoßes an die Aufsichtsbehörden innerhalb von 72 Stunden zu bewältigen. Unternehmen investieren jetzt viel in Compliance-Maßnahmen, um aufzuholen, aber viele haben immer noch Schwierigkeiten, sich mit den neuen Realitäten des Datenmanagements auseinanderzusetzen.

EU-Aufsichtsbehörden können zusammenzucken, wenn sie feststellen, dass die meisten Unternehmen ihre Verstöße überhaupt nicht melden. Die Hälfte der Befragten hatte einen Datenverstoß festgestellt, der nach den neuen Vorschriften rechtlich zu melden war, der jedoch weitaus geringer ausfiel, als dies tatsächlich der Fall war.

Nur 39% der Unternehmen in den USA und 45% der EU-Unternehmen haben sich tatsächlich bemüht, einen festgestellten Verstoß einer GDPR-Aufsichtsbehörde zu melden.

"Die Anzahl der Datenschutzverstöße im Rahmen der DSGVO sollte eine Pause einlegen", sagte Mark Schreiber, Partner und Co-Leiter von McDermotts globaler Datenschutz- und Cybersicherheitspraxis.

"Unternehmen würden von der Durchführung von Risikobewertungen und der Einbeziehung von Forensikern profitieren, die Schwachstellen identifizieren und verbesserte Prozesse und Abhilfemaßnahmen empfehlen können. Wenn dies im Rahmen von Rechtsstreitigkeiten oder im Rahmen von Anwaltsprivilegien erfolgt, können sich Unternehmen weiter absichern", sagte Schreiber.

Unternehmen wandten sich zunehmend der Cyber-Risikoversicherung zu, um ihre mangelnde Compliance auszugleichen. Aber selbst mit Versicherungen gaben viele Unternehmen, die mit Poneman gesprochen hatten, an, nicht zu wissen, ob ihre Policen Geldbußen und Strafen für die DSGVO vorsahen. Weniger als die Hälfte der Befragten gab an, dass ihre Versicherungspolicen die mit der DSGVO verbundenen Kosten decken.

"Die Berichterstattungspflicht ist einer der schwierigsten Aspekte für Unternehmen", sagte Ashley Winton, Vorsitzende des britischen Datenschutzforums.

"Eine Über- und Unterberichterstattung an die Aufsichtsbehörden ist nachteilig, und eine obligatorische Berichterstattung an die betroffenen Personen kann die Wahrscheinlichkeit von Sammelklagen erhöhen", sagte Winton.

Neben der Versicherung gaben 86% der befragten Unternehmen an, einen Datenschutzbeauftragten der DSGVO ernannt zu haben, während mehr als die Hälfte der Unternehmen in Nicht-EU-Ländern einen EU-Vertreter oder einen Datenschutzbeauftragten eingestellt hat.

Eine gute Nachricht für die Amerikaner: Die Umfrage ergab, dass die Regeln der DSGVO immer häufiger über den Teich gehen. Mehr als 50% der US-Unternehmen gaben an, dass sie die DSGVO-Regeln sowohl für US- als auch für EU-Mitarbeiter angewendet haben, während nur 43% der EU-Unternehmen dasselbe tun.

Siehe auch