Incheon Yeonseongu Songdo befindet sich ein Verwaltungsagent. Ich möchte eine Anekdote vorstellen, die ich bei der Arbeit erlebt habe.
Die dritte Frage des Prüfers war diese: Wie lange bewahren Sie die Zutrittsaufzeichnungen auf?
Der Mandant konnte nicht antworten. Er hatte dies nicht festgelegt. Und diese Frage hatte nichts mit dem gemeldeten Inhalt zu tun.
## Die Meldung begann eine andere Geschichte
Zuerst kam ein Anruf. Die Stimme war schnell, und der erste Satz war: Ich habe eine Benachrichtigung erhalten, dass eine Meldung über persönliche Daten eingegangen ist.
Er machte einen Termin und kam am nächsten Nachmittag. Er war ein Mann in den späten Dreißigern und betrieb zwei personalisierte Lerncafés in Incheon Yeonseongu. Tagsüber arbeitet er anders und verwaltet die Geschäfte aus der Ferne. Er war seit drei Jahren im Geschäft und hatte noch Schuldenrückzahlungen bis zum nächsten Frühling.
Der gemeldete Inhalt war einfach. Ein Nutzer behauptete, seine Zutrittszeitaufzeichnungen seien an eine andere Person weitergegeben worden.
Es gab private Gründe für den Hintergrund. Ein Bekannter, mit dem er Streit hatte, besuchte das Geschäft und fragte nach, wann bestimmte Personen gekommen und gegangen waren, und ein Aushilfsarbeiter, der zu dieser Zeit kurzzeitig im Nachtdienst war, hatte ihm ungefähr die Zeit gesagt.
Der Mandant erfuhr erst durch den Empfang der Meldung davon. Der Aushilfsarbeiter hatte sich bereits zurückgezogen.
Das ist es, was gemeldet wurde. Aber dieses Ereignis ist erst die Hälfte dieses Artikels.
## Nachdem er zweimal Antworten gesendet hatte
Er hatte bereits zweimal Maßnahmen ergriffen.
Das erste war ein Anruf bei der Meldestelle. Er erklärte, dass es die Arbeit eines Mitarbeiters sei und er es nicht angeordnet habe. Der Prüfer wies ihn an, Materialien vorzubereiten, da es ein Verfahren zur Überprüfung der Tatsachen gibt. Das war eine korrekte Anweisung.
Das zweite war die direkte Kontaktaufnahme mit dem Nutzer. Es war die Absicht, sich zu entschuldigen und das Missverständnis auszuräumen. Das Gespräch endete nicht gut.
Letzteres ist der Punkt, bei dem man in der Praxis am vorsichtigsten sein muss. Die direkte Kontaktaufnahme mit den Parteien in einem laufenden Fall kann, selbst wenn sie in gutem Glauben erfolgt, später falsch interpretiert werden. Insbesondere wenn der Tonfall, der eine Rücknahme der Meldung erbittet, auch nur geringfügig vorhanden ist, wird dies selbst zu einem neuen Problem.
Nach diesem Gespräch wusste er nicht, was er tun sollte, und verbrachte ein paar Tage, bevor er in unser Büro kam.
Das, was der Mandant am häufigsten sagte, war: Es ist die Arbeit dieses Mitarbeiters. Ich verstehe seine Gefühle. Es liegt jedoch in der Verantwortung des Unternehmens, das persönliche Daten verarbeitet, die Verantwortung für den Umgang mit persönlichen Daten zu übernehmen. Auch wenn ein Mitarbeiter etwas getan hat, gehört es dazu, ihm die Befugnis zu erteilen, ihn nicht zu schulen oder nicht zu kontrollieren.
Es dauerte dreißig Minuten, um diese Struktur zu erklären. Ich denke, diese dreißig Minuten haben die Richtung der nächsten zwei Monate bestimmt. Es gibt Fälle, in denen man sich an das Gefühl der Ungerechtigkeit klammert, und Fälle, in denen man die Struktur anerkennt und sie korrigiert, und die Ergebnisse sind unterschiedlich.
Und auch praktisch gesehen ist es so. In der Prüfung wird das Argument „Es ist die Arbeit eines Mitarbeiters“ kaum akzeptiert. Im Gegensatz dazu werden schriftliche Dokumente, in denen steht: „Das Management war unzureichend und jetzt wurde es so korrigiert“, tatsächlich geprüft.
## Ich trennte zwei Fragen
Was ich im ersten Beratungsgespräch getan habe, war, die Frage in zwei Fragen zu unterteilen.
Die erste Frage. Wie sollte man die gemeldete Handlung selbst bewerten?
Die zweite Frage. Unabhängig von dieser Handlung, wie wird die Art und Weise, wie dieses Unternehmen persönliche Daten verarbeitet, im Untersuchungsprozess aussehen?
Die meisten Mandanten denken nur an die erste Frage. Aber die Untersuchung beginnt mit der ersten Frage und geht dann zur zweiten über. Der gemeldete Fall ist nur der Schlüssel zum Öffnen der Tür, und wenn die Tür geöffnet ist, ist alles, was sich darin befindet, sichtbar.
## Datenschutzgesetz: Verpflichtungen und Maßnahmen
Das „Gesetz zum Schutz personenbezogener Daten“ (kurz: Datenschutzgesetz) schreibt den Stellen, die personenbezogene Daten verarbeiten, verschiedene Verpflichtungen auf. Dazu gehören die Datenerhebung unter Einhaltung des Zwecks und der minimal notwendigen Menge, die Festlegung und Einhaltung von Aufbewahrungsfristen und die anschließende Löschung, Sicherheitsmaßnahmen, die Offenlegung von Verarbeitungsprozessen und die Überwachung bei der Auslagerung. Diese Verpflichtungen gelten nicht nur bei Datenverlustvorfällen, sondern fortlaufend.
Deshalb begannen wir parallel zur Bearbeitung der gemeldeten Angelegenheit mit einer Betriebsprüfung. Dies war die wichtigste Entscheidung in diesem Fall.
Diese Entscheidung ist mit Kosten verbunden. Bei einer Prüfung werden ungeahnte Probleme aufgedeckt, die dann behoben werden müssen. Wenn man nichts unternimmt, können diese Probleme zumindest so lange so bleiben, als ob sie nicht existieren würden.
Daher ist diese Entscheidung Sache des Mandanten. Ich habe ihm die beiden Optionen erläutert und die Wahrscheinlichkeit dafür, was in jedem Fall passieren könnte. Der Weg, nur auf die gemeldeten Angelegenheiten zu antworten und das Thema damit abzuhaken, ist im Moment einfach. Allerdings entsteht im Laufe der Untersuchung der Zustand, dass man „es gewusst und dennoch hingenommen“ hat.
Er dachte etwa zehn Minuten und sagte, er wolle eine Prüfung durchführen lassen. Angesichts der Tatsache, dass noch Schulden für die Kredite an zwei Filialen bestehen, war das keine leichte Entscheidung.
## Drei Erkenntnisse aus der Prüfung
Wir haben die Situation der Verarbeitung personenbezogener Daten an zwei Filialen über drei Tage hinweg dokumentiert. Es kamen drei Punkte ans Licht.
Erstens, es war keine Aufbewahrungsfrist festgelegt. Ausweiskartenaufzeichnungen und Zahlungsinformationen lagen seit dem ersten Betriebstag über drei Jahre unverändert vor. Es ging nicht darum, dass sie nicht gelöscht wurden, sondern dass das Konzept des Löschens überhaupt nicht existierte. Das Standardeinstellung des Programms für die Verwaltung von Automatenfilialen war die unbegrenzte Aufbewahrung, und er wusste nicht, dass diese Einstellung geändert werden konnte.
Zweitens, es gab keine Datenschutzerklärung. Es gab zwar ein Kontrollkästchen zur Zustimmung auf dem Anmeldebildschirm, aber es fehlte ein Dokument, das erklärt, welche Daten zu welchem Zweck und wie lange gespeichert werden. Da es sich um eine Einzelgründung und nicht um eine Franchise handelte, wurde ihm niemand darüber informiert.
Drittens, die Auftragsverhältnisse waren nicht geklärt. Die Reinigungsfirma und die Facility-Management-Firma verwendeten gemeinsam ein Konto für das Filialverwaltungs-Programm. Dies wurde aus Bequemlichkeit gemacht, aber mit diesem Konto war es möglich, auf Benutzerdaten zuzugreifen.
Der dritte Punkt war der schwerwiegendste. Der gemeldete Vorfall war eine einmalige Handlung eines Mitarbeiters, aber dies war ein strukturelles Problem.
Der Mandant war sprachlos angesichts dieses Punktes. Ich sagte ihm: „Es ist gut, dass wir dies jetzt entdeckt haben.“ Es ist ein großer Unterschied, ob der Ermittler dies entdeckt oder ob wir es zuerst entdecken, korrigieren und erklären.
Ich notiere auch die Vorgehensweise bei der Prüfung. Es wurden keine ausgefallenen Werkzeuge verwendet. Ich loggte mich in das Filialverwaltungs-Programm ein, öffnete jedes Menü und notierte in einer Tabelle, was gespeichert wird, wer darauf zugreifen kann und wie lange es verbleibt. Für beide Filialen gab es insgesamt neunzehn Punkte.
Es dauerte eine halbe Tagesarbeit, um diese Tabelle zu erstellen. Es ist nicht schwierig. Es gibt nur keinen Grund, diese Tabelle zu erstellen, es sei denn, es gibt ein Problem.
Es ist noch etwas herausgekommen. Es gab eine Liste von Bewerbern, die bei einem Event zu Beginn der Gründung gesammelt wurden und in einer separaten Datei gespeichert waren. Die auf Papier notierten Daten wurden in eine Excel-Datei übertragen, aber das Event liegt über zwei Jahre zurück. Der Besitz von Informationen, deren Zweck erfüllt ist, ist an sich schon ein Problem. Solche Dateien befinden sich meist in einem Ordner auf dem Desktop und der Betroffene hat sie vergessen.
## Reihenfolge festgelegt
Wir hatten noch eine Woche bis zur Abgabe der Unterlagen. Wir haben aufgeteilt, was innerhalb dieser Zeit möglich ist und was nicht.
In der ersten Woche wurden sofortige Maßnahmen ergriffen. Die gemeinsame Nutzung von Konten wurde eingestellt und die Konten wurden pro Unternehmen getrennt. Die Zugriffsrechte wurden auf den notwendigen Umfang beschränkt. Die Aufbewahrungsfrist des Verwaltungsprogramms wurde überprüft und eine Frist festgelegt, und es wurden Verfahren für die Löschung von Daten nach Ablauf der Frist eingerichtet.
Dabei haben wir auch etwas zusammen gemacht: Wir haben den aktuellen Zustand dokumentiert, bevor wir die Löschung durchgeführt haben. Wir haben in einer Tabelle festgehalten, welche Daten in welcher Menge vorhanden waren und nach welchen Kriterien welche Daten gelöscht wurden. Wenn man Daten löscht, während eine Untersuchung läuft, muss man die Löschung selbst erklären. Es ist wichtiger, den Löschgrund zu dokumentieren als die Daten selbst zu löschen.
In der zweiten Woche wurden Dokumente erstellt. Die Datenschutzerklärung wurde an die tatsächliche Verarbeitung angepasst und veröffentlicht. Hier gibt es einen häufigen Fehler: die Übernahme einer Datenschutzerklärung von jemand anderem aus dem Internet. Eine Datenschutzerklärung, die nicht mit der tatsächlichen Verarbeitung übereinstimmt, ist schlimmer als keine Datenschutzerklärung, da sie bedeutet, dass das, was geschrieben steht, nicht mit dem, was tatsächlich getan wird, übereinstimmt.
Deshalb haben wir jeden Satz an die tatsächliche Betriebsweise angepasst. Die erhobenen Daten sind nur die, die tatsächlich empfangen werden, die Aufbewahrungsfrist ist die gerade festgelegte Frist und die Auftragnehmer sind die gerade geklärten Firmennamen.
## Meinungsäußerung: Was wurde geschrieben?
Die zusammen mit der Dokumentenübergabe eingereichte Meinungsäußerung umfasste vier Teile.
Erstens, die Tatsachenbeziehung zu der gemeldeten Handlung. Wann, wer, was getan hat, unterteilt in bestätigte und nicht bestätigte Bereiche. Die Aussage des Aushilfsarbeiters, der sich die Bildschirme ansah und die Zeiträume erwähnte, wurde als Tatsache anerkannt. Es wurde jedoch auch vermerkt, dass die Übertragung oder der Versand von Aufzeichnungen nicht bestätigt wurde.
Es ist wichtig, nicht zu bestreiten. Das Anfechten bestätigter Tatsachen mindert auch die Glaubwürdigkeit weiterer Aussagen.
Zweitens, die Anerkennung von Mängeln im Verwaltungssystem. Es wurde direkt vermerkt, dass es keine Schulung gab, keine Zugriffsberechtigungssteuerung und dass dies der Grund dafür war, dass ein solches Ereignis möglich war.
Drittens, bereits durchgeführte Verbesserungsmaßnahmen. Dies war der Kern dieser Meinungsäußerung. Kontoseparation, Berechtigungsbeschränkung, Aufbewahrungsfrist, Löschung und deren Aufzeichnung, Veröffentlichung der Verarbeitungsvorschriften. Zu jedem Punkt wurde das Datum der Fertigstellung und die Methode zur Überprüfung angegeben.
Viertens, zukünftige Pläne. Es wurden kurz eine vierteljährliche Berechtigungsprüfung und ein neues Mitarbeiter-Schulungsverfahren aufgeführt. Es wurde nicht ausführlich geschrieben. Das Aufschreiben von nicht erfüllbaren Plänen ist der Keim für den nächsten Fall.
Auch die Reihenfolge wurde berücksichtigt. Es ist zwar üblich, die Tatsachenbeziehung vor die Verbesserungsmaßnahmen zu stellen, aber in der Realität ist das, was der Leser am meisten wissen möchte, das dritte Element. Wie ist dieser Betrieb derzeit aufgestellt? Daher wurde ein Inhaltsverzeichnis vorangestellt und die Position des dritten Elements im Inhaltsverzeichnis direkt angezeigt.
Schriftliche Dokumente sollten in der Reihenfolge erstellt werden, in der sie gelesen werden. Die logische Reihenfolge des Schreibenden und die Interessen des Lesers sind in der Regel unterschiedlich.
Die Meinungsäußerung umfasste acht Seiten, von denen fünf Seiten die Belege für das dritte Element enthielten.
Bei der Erstellung der Belege wurde der Zeitpunkt berücksichtigt. Beim Erstellen von Screenshots bleiben in der Regel Daten enthalten. Wenn die Maßnahmen vor und nach dem gleichen Bildschirm nebeneinander angeordnet sind, werden die Erklärungen kürzer. Was in drei Absätzen geschrieben werden müsste, kann in zwei Seiten dargestellt werden.
Im Gegensatz dazu wurde auch das, was nicht getan wurde, vermieden. Das Vorab-Aufzählen von Elementen, die nicht beanstandet wurden, um sich zu erklären, mag aufdringlich wirken, erweitert aber tatsächlich den Untersuchungsbereich selbst. Es ist besser, auf die gestellten Fragen zu antworten, die vorgenommenen Änderungen zu zeigen und dann damit aufzuhören.
## Über die Verwaltung durch Verwaltungsagenten
Die Verwaltung durch Verwaltungsagenten (Verwaltungsagent) umfasst die Vorbereitung und Einreichung von Dokumenten im Namen des Mandanten.
Hier gab es auch Dinge, die aufgrund von Zeitmangel nicht erledigt werden konnten. Es ging um die Erstellung von Schulungsmaterialien für Mitarbeiter. In einer Struktur, in der Aushilfskräfte häufig wechseln, ist die Schulung nicht in einem einzigen Durchgang abgeschlossen. Dieser Punkt wurde nur in den Plan aufgenommen und die eigentlichen Materialien erst nach Abschluss des Falls erstellt.
Es ist wichtig, nicht zu schreiben, als ob etwas, das nicht erledigt wurde, erledigt worden wäre. Was schriftlich festgehalten ist, wird später überprüft. Wenn man innerhalb dieser Woche schrieb, dass alles erledigt sei, und dann eine Überprüfungsanfrage kommt, wäre es dann viel unangenehmer.
## Bei zusätzlichen Anfragen
Etwa drei Wochen nach der Dokumentenübergabe kam eine zusätzliche Anfrage. Es gab zwei.
Die erste betraf die Frage, ob der Vertag mit dem Dienstleister Klauseln im Zusammenhang mit der Verarbeitung personenbezogener Daten enthält. Das war nicht der Fall. Es handelte sich eher um eine mündliche Vereinbarung. Wir antworteten, dass dies nicht der Fall sei, und fügten der Antwort eine Kopie des neu erstellten Vertrags bei.
Die zweite betraf den Umfang der gelöschten Daten. Das Erkennen dieser Frage bestätigte den Wert der zuvor erstellten Löschprotokolle. Da was, wann und nach welchen Kriterien gelöscht wurde, in einer Tabelle enthalten war, endete die Antwort mit der Beifügung dieser Tabelle und einer kurzen Erklärung von zwei Zeilen.
Wenn die Daten ohne Aufzeichnung gelöscht worden wären, hätten sich weitere Wochen für diese Frage aufgewendet. Und die Glaubwürdigkeit der Antwort wäre anders gewesen.
Bei administrativen Verfahren sind es in der Regel Aufzeichnungen, die man später benötigt, aber zu diesem Zeitpunkt als unnötig erscheinen, die hilfreich sind.
## Dieser Fall war kein "Meldepflichtverletzung"
Während des Beratungsgesprächs gab es eine Sorge des Mandanten. Es ging um die Frage, ob der Fall mit der in den Nachrichten gezeigten großflächigen Datenverlustkatastrophe zusammenhing.
Hier mussten zwei Dinge unterschieden werden.
Das eine ist die Meldung von Datenschutzverletzungen. Dies ist der Weg, über den eine betroffene Person meldet, dass ihre personenbezogenen Daten nicht ordnungsgemäß verarbeitet wurden. Dieser Fall fällt unter diese Kategorie.
Das andere ist die Meldepflicht bei Datenverlusten. Dies ist die Verfahrensweise, bei der ein Unternehmen, das feststellt, dass personenbezogene Daten abhanden gekommen sind, diese den betroffenen Personen mitteilen und den zuständigen Behörden melden muss, wenn die Voraussetzungen dafür erfüllt sind. Diese Verpflichtung hat eine Frist und stellt für sich genommen ein separates Problem dar, wenn die Voraussetzungen erfüllt sind, diese Verpflichtung aber nicht eingehalten wird.
## Zwei Verfahren, unterschiedliche Ausgangspunkte
Die beiden Verfahren haben unterschiedliche Ausgangspunkte. Im ersten Fall ist die meldende Person der betroffene Datenverantwortliche, im zweiten Fall ist es der Unternehmer.
In diesem Fall war es so, dass die Nutzungszeit eines bestimmten Nutzers mündlich erwähnt wurde, was sich von Fällen unterscheidet, bei denen die Meldepflicht für Datenschutzverletzungen sofort greift. Wir haben jedoch auch diese Entscheidung kurz in Schriftform festgehalten. Es ist wichtig, den Grund dafür aufzuschreiben, warum wir entschieden haben, dass es nicht zutrifft, anstatt es überhaupt nicht zu erwähnen. So sind wir auf die Antwort vorbereitet, wenn wir später danach gefragt werden.
Dies ist auch ein Punkt, an dem Unternehmer in der Praxis oft Verwirrung haben. Die Voraussetzungen und Fristen sind je nach Fall unterschiedlich, daher ist es ratsam, bei Verdacht auf eine Datenverlustaustausch die Prüfung nicht hinauszuzögern, sondern sofort zu überprüfen.
## Die nicht überschrittene Grenze
Wir dokumentieren auch ausdrücklich, was wir in diesem Fall nicht getan haben.
Wir hatten keinen Kontakt mit dem Melder. Es gab eine Anfrage, die Dankbarkeit auszudrücken, aber wir haben empfohlen, dies gegebenenfalls schriftlich und im Rahmen des Untersuchungsverfahrens zu tun. Letztendlich wurde der Fall ohne weitere Kontaktaufnahme abgeschlossen.
Was wir getan haben, war die Erstellung von Materialien und Dokumenten für die Einreichung bei der Verwaltungsbehörde und die Zusammenfassung des Zustands der Geschäftstätigkeit gemäß den Voraussetzungen.
## Ein kleiner Zwischenfall mit zwei Kaffees
Bei dieser Angelegenheit gab es einen kleinen Zwischenfall.
Am Tag, an dem die Verbesserungsmaßnahmen abgeschlossen wurden, brachte der Mandant zwei Kaffees ins Büro. Er hatte sie in einem Becher transportiert, den das Geschäft verwendet, und die beiden Becher sahen völlig gleich aus. Einer enthielt Zucker, der andere nicht, und er war sich selbst nicht sicher, welcher es war.
Schließlich probierten beide einen Schluck und tauschten die Becher aus. Es war die längste Entscheidung, die wir an diesem Tag im Büro getroffen haben.
Er sagte, er habe jetzt eine vierteljährliche Prüfbenachrichtigung auf dem Bildschirm des Ladenverwaltungsbildschirms eingerichtet. Er sagte, es dauere fünf Minuten, um die Berechtigungsliste zu überprüfen und zu überspringen, wenn die Benachrichtigung erscheint.
Im zweiten Geschäft gibt er einem neuen Aushilfsarbeiter am ersten Tag eine A4-Seite. Darauf stehen nur zwei Punkte: dass er keine Nutzerinformationen preisgeben darf, wenn jemand danach fragt, und dass er sich bei solchen Anfragen sofort an den Geschäftsführer wenden soll. Seine Erklärung war, dass niemand etwas liest, wenn es zu lang ist.
Praktisch umsetzbare Regeln halten in der Praxis in der Regel diese Form. Sie sind nicht perfekt, aber kurz und kurz genug, um eingehalten zu werden.
## Ergebnis
Die gesamte Dauer betrug etwa zwei Monate. Von der Beratung bis zur Einreichung der Unterlagen dauerten zwei Wochen, gefolgt von drei Wochen für die Überprüfung und zusätzliche Fragen und Antworten und schließlich drei Wochen für die Fertigstellung.
Das Ergebnis war eine Aufräumung unter der Voraussetzung von Verbesserungsmaßnahmen. Mängel im Geschäft wurden beanstandet, und es wurde auch bestätigt, dass die Maßnahmen bereits abgeschlossen sind. Die spezifischen Maßnahmen hängen vom Fall ab und sind je nach den individuellen Umständen unterschiedlich, daher werden sie hier nicht angegeben.
Es gibt jedoch einen Punkt, den es wert ist, zu erwähnen. Die im letzten Schritt bestätigten Punkte deckten sich weitgehend mit den Punkten, die wir zuerst gefunden und behoben hatten. Mit anderen Worten, es gab fast keine neuen Erkenntnisse aus der Untersuchung. Das ist der Grund, warum wir die zweite Frage gemeinsam festgehalten haben.
Wenn diese Prüfung nicht durchgeführt worden wäre, wären dieselben Punkte von der gegnerischen Seite als Einwände aufgetaucht, anstatt in unserem Dokument. Auch wenn es sich um die gleichen Fakten handelt, hängt es davon ab, wer sie zuerst angesprochen hat.
Was dem Mandanten tatsächlich blieb, waren zwei Dinge: das Gefühl, dass dieser Fall abgeschlossen ist, und die Tatsache, dass die persönlichen Daten, die drei Jahre lang ohne Kriterien angehäuft wurden, nun Kriterien haben.
Letzteres ist wichtiger. Der gemeldete Fall war eine Handlung eines einzelnen Mitarbeiters und hatte daher eine geringe Wahrscheinlichkeit, sich zu wiederholen. Im Gegensatz dazu würden strukturelle Probleme, wenn sie weiterhin bestehen bleiben, irgendwann wieder auftreten. Dann wäre es schwerwiegender.
Die Meldung führte letztendlich dazu, dass das Geschäft umstrukturiert wurde. Wir würden diesen Ablauf nicht empfehlen. Wenn Sie jedoch bereits in diesen Ablauf geraten sind, ist das Beste, was Sie tun können, festgelegt.
Wir erwähnen auch die Kosten. Das war die Frage, die er am Ende gestellt hat. Die tatsächlichen Kosten in diesem Fall waren die erhöhten Verwaltungsprogrammkosten durch die Trennung der Konten und die Zeit, die für das erneute Verfassen des Vertrags mit dem Auftragnehmer benötigt wurde. Der Betrag ist nicht hoch.
Tatsächlich war die drei Jahre davor die eigentliche Belastung. Akten, die ohne Kriterien angelegt wurden, scheinen zunächst kostenneutral, aber wenn Probleme auftreten, werden sie auf einmal abgerechnet. Und dann sind die Optionen begrenzt.
Der günstigste Zeitpunkt für Verwaltungsverfahren ist in der Regel, wenn nichts vorgefallen ist.
Zwei Monate später fiel ihr ein beiläufiger Kommentar. Sie sagte, sie hätte ursprünglich gedacht, dass dieser Fall zur Schließung des Geschäfts führen würde. Das ist nicht passiert, aber die Angst in diesen Tagen war unauslöschlich.
Verwaltungsabläufe zehren an den Menschen nicht durch das Ergebnis, sondern durch die Zeit dazwischen. Ich denke, diese Zeit zu verkürzen ist genauso wichtig wie das Ergebnis zu ändern.
## Einige Hinweise
Wenn Sie sich in einer solchen Situation befinden, sollten Sie die Reihenfolge wie folgt festlegen:
① Kontaktieren Sie den Meldenden nicht direkt. Auch gut gemeinte Kontakte können im laufenden Verfahren anders interpretiert werden. Wenn Sie etwas mitteilen möchten, ist es sicherer, dies schriftlich im Rahmen des Verfahrens zu tun.
② Beschränken Sie sich nicht auf den gemeldeten Fall. Die Untersuchung beginnt mit dem Meldungsinhalt und erstreckt sich auf den gesamten Bearbeitungsstatus. Es ist besser, sich selbst zu überprüfen, bevor Sie beanstandet werden.
③ Überprüfen Sie zuerst die Aufbewahrungsfristen und Zugriffsberechtigungen. Dies sind die beiden häufigsten Probleme in unbemannten Geschäften oder kleinen Unternehmen. Die Standardeinstellung in Verwaltungsprogrammen ist oft die unbegrenzte Aufbewahrung.
④ Dokumentieren Sie den Status der Daten, bevor Sie sie löschen. Die Löschung selbst ist weniger wichtig als die Begründung und der Zeitpunkt der Löschung. Dies gilt insbesondere für laufende Angelegenheiten.
⑤ Kopieren Sie keine Verfahrensanweisungen von anderen. Falsche Verfahrensanweisungen können nachteiliger sein als gar keine. Passen Sie die erfassten Elemente, Aufbewahrungsfristen und Auftragsunternehmen Zeile für Zeile an die tatsächlich durchgeführten an.
⑥ Teilen Sie keine Konten mit Auftragsunternehmen. Oft werden Konten aus Bequemlichkeit gemeinsam genutzt, was dazu führt, dass nicht nachvollziehbar ist, wer was eingesehen hat. Es ist Standard, separate Konten für jedes Unternehmen zu führen und die Zugriffsberechtigungen auf das erforderliche Maß zu beschränken.
⑦ Notieren Sie nur das, was tatsächlich geschehen ist. Wenn Sie Pläne und Fertigstellungen getrennt auflisten, vermeiden Sie spätere Probleme bei Überprüfungsanfragen.
Die Anforderungen und Verfahren für die Meldung von Datenschutzverstößen und die Einhaltung des Datenschutzgesetzes sind von Fall zu Fall unterschiedlich, und die Anwendbarkeit der Verpflichtung zur Benachrichtigung und Meldung von Datenschutzverletzungen hängt von den Umständen ab. Eine individuelle Überprüfung ist erforderlich.
Dieses Beispiel ist eine fiktive Geschichte, die zur Veranschaulichung neu zusammengestellt wurde, und die darin vorkommenden Personen, Namen, Orte und Zahlen stehen in keinem Zusammenhang mit Einzelpersonen oder Ereignissen.
- --
Dies ist eine Verwaltungsagentur in Incheon Songdo (Posco Tower Songdo). Wir behandeln Verwaltungsgerichtsbeschwerden, Genehmigungen/Meldungen, Ein- und Ausreise von Ausländern (Visa, Aufenthalt) und regelmäßige Verwaltungsverwaltung. Bei Datenschutzmeldungen ist der normale Verwaltungszustand des Unternehmens oft entscheidend für das Ergebnis, nicht der gemeldete Fall. Wenn Sie eine ähnliche Situation haben, zögern Sie nicht, sich zu melden.
📍 Incheon Yeonsu-gu, Convensea-daero 165, Posco Tower Songdo 2697 📞 010-3374-2687 🌐 www.hwangadmin.com
Wenn Sie sich für ähnliche Situationen interessieren, zögern Sie nicht, sich zu melden.
※ Dies ist ein fiktives Beispiel zur Veranschaulichung.
#Datenschutzverletzungsmeldung #Datenschutzgesetz #Datenschutzrichtlinie #Aufbewahrungsfrist #Zugriffsberechtigung #unbemanntesGeschäft #Verwaltungsagent #IncheonVerwaltungsagent #SongdoVerwaltungsagent