Big Data und DSGVO: So setzen Sie die gesetzlichen Regelungen mit offenen Technologien um

Die Hauptziele der DSGVO, dem neuen EU-Gesetz zur Speicherung von personenbezogenen Daten, bestehen darin, den EU-Bürgern die Kontrolle über ihre personenbezogenen Daten zurückzugeben. [...]

Stefan Müller ist Director Data Analytics bei it-novum. (c) it-novum

Wichtige Punkte sind die Notwendigkeit der Einwilligung in die Verwendung personenbezogener Daten, das Recht auf Löschung personenbezogener Daten und die Verpflichtung, Personen im Falle eines Verstoßes zu benachrichtigen. Die Sanktionen sind drastisch: Es drohen Geldstrafen von bis zu 20.000.000 EUR oder bis zu vier prozent des jährlichen, weltweiten Umsatzes. Diese Geldbußen stellen ein erhebliches finanzielles Risiko für Unternehmen dar.

Vor diesem Hintergrund stehen Verantwortliche vor technischen, fachlichen und organisatorischen Herausforderungen für ihre analytischen Systeme, wie z. B.:

  • Klärung, was personenbezogene Daten sind
  • ‚privacy by design‘ und ‚privacy by default‘
  • Pseudonymisierung und Anonymisierung
  • Geforderte Datenqualität durch die DSGVO

DSGVO und Data Science

Die DSGVO beeinflusst Data Science und Data Warehousing in der Praxis in folgenden Bereichen: Erstens setzt die DSGVO der Verarbeitung personenbezogener Daten und der Erstellung von Verbraucherprofilen engere Grenzen. Zweitens müssen Unternehmen, die Technologien für die automatisierte Entscheidungsfindung einsetzen, den Verbrauchern ein „Recht auf eine Erklärung“ zugestehen. Drittens macht die DSGVO Unternehmen für Verzerrungen und Diskriminierungen bei automatisierten Entscheidungen verantwortlich. Viertens müssen Unternehmen beachten, dass auch bestehende Analysen mit personenbezogenen Daten mit Inkrafttreten der DSGVO illegal werden könnten.

Lösungsansätze mit offenen Technologien

Unternehmen müssen die von ihnen erfassten Daten auf DSGVO-Betroffenheit untersuchen, Compliance-Verfahren implementieren, ihre Verarbeitungsvorgänge bewerten und vieles mehr. Aufgrund ihrer offenen Architektur und Schnittstellen sind Open Source-Technologien dafür prädestiniert, transparente und nachvollziehbare Datenprozesse im Unternehmen zu unterstützen. Im Folgenden wird eine beispielhafte Lösung für die Umsetzung der DSGVO-Vorgaben mit offenen Lösungen beschrieben.

Die Datenbank Cloudera beinhaltet ein Metadaten Repository, das es ermöglicht, zu jeder Tabelle/Datei oder Verzeichnis Metadaten in Form von zusätzlichen Tags (z. B. WICHTIG) zu speichern. Diese Tags können anschließend gesucht und in der Data Lineage dargestellt werden.

Wenn die zutreffenden Daten im Cloudera Navigator durch Metadaten markiert wurden, sind alle „Orte“ bekannt, in denen sich DSGVO-relevante Daten befinden und wie sie weiterverarbeitet werden.

Bei einem Datenabfluss (z. B. Hackerangriff) helfen diese Informationen, die Betroffenen zu informieren, da bekannt ist, welche Daten betroffen sind. Des Weiteren erlaubt eine klare Governance, z. B. durch Einschränkung des Benutzerkreises, zu entscheiden, wer auf die Daten zugreifen darf. Darüber hinaus ist es möglich, durch die Auditfunktionen des Navigators tatsächliche Datenabflüsse stark einzugrenzen.

Das Erstellen dieser Metadaten-Tags für die Daten sowie das Übermitteln an den Cloudera Navigator wird von der Open Source-BI-Plattform Pentaho übernommen. Dazu ruft Pentaho den passenden API Endpoint des Navigators auf und übermittelt den Metadaten-Tag. Die Möglichkeit eines automatisierten Erkennens des passenden Metadata Tags bietet z. B. ein Pattern-Recognition-Verfahren.

Anonymisierung und Pseudonymisierung

Unternehmen sollten den Zugriff auf personenbezogene Daten ihrer Kunden beschränken. Damit Analytiker standardmäßig nicht auf personenbezogene Daten zugreifen können, sollte eine robuste Anonymisierung implementiert werden. Anschließend sollte ein Ausnahmeprozess, der den Zugriff auf personenbezogene Daten in Ausnahmefällen unter angemessener Sicherheit zulässt, eingeführt werden.

Ein weiterer Lösungsweg mit Personendaten zu arbeiten ohne die strengen Richtlinien der DSGVO zu verletzen, ist, die Analysen mit pseudonymisierten Daten durchzuführen. Technisch ließe sich eine solche Pseudonymisierung, also das Ersetzen des Klarnamens durch ein Pseudonym durch Pentaho, bereits beim Einspeisen in den Data Lake umsetzen.

Recht auf Vergessen

Implementieren Sie einen Prozess, um Kundenfragen und Bedenken bezüglich automatisierter Entscheidungen zu bearbeiten. Stellt ein Kunde z. B. eine Anfrage für das Löschen seiner personenbezogenen Daten, ist es wichtig, zunächst einmal zu ermitteln, wo diese überhaupt gespeichert sind. Dies geschieht durch das Suchen des Metadata Tags im Navigator und anhand der Data Lineage und anschließender Übergabe an einen entsprechend entwickelten Pentaho ETL Job, der die Daten aus allen relevanten Verarbeitungsstufen löscht.

ETL im Data Lake

Daten werden im Data Lake normalerweise in verschiedenen Formen weiterverarbeitet. Hierbei ist es wichtig, die Metadata Tags weiter zu pflegen. Entfallen personenbezogene Daten, so kann das GDPR Tag wieder entfernt werden.

Bei prediktiven Modellen, die personenbezogene Daten verwenden, sollte geklärt werden, ob diese Daten wirklich analytisch notwendig sind und ob sie einen eindeutigen Informationsmehrwert bieten. Relevant ist auch die Frage, ob das Vorhersagemodell einen zulässigen Anwendungsfall unterstützt, zum Beispiel einen Anti-Geldwäsche-Fall. Abschließend definieren Sie einen Review- und Annahmeprozess für kundenorientierte Vorhersagemodelle, der unabhängig von den Modellentwicklern ist.

DSGVO Reporting

Unternehmen müssen allen Stakeholdern (Mitarbeitern, Tochterunternehmen, Kunden und Prüfern) Informationen zum Compliance-Status und Fortschrittsberichte liefern. Prüfern und Zertifizierungsstellen muss eine gesetzeskonforme Verarbeitung nachgewiesen werden und den Offenlegungspflichten gegenüber Betroffenen ist nachzukommen.

All diese Informationen sind zeitnah und übersichtlich bereitzustellen. Die Kombination des Cloudera Navigators mit Pentaho hilft dabei, die Reporting-Anforderungen zu erfüllen.


Mehr Artikel

News

Jahrelanges Katz-und-Maus-Spiel zwischen Hackern und Verteidigern

Sophos hat den umfangreichen Forschungsbericht „Pacific Rim“ veröffentlicht, der detailliert ein jahrelanges Katz-und-Maus-Spiel aus Angriffs- und Verteidigungsoperationen mit mehreren staatlich unterstützten Cybercrime-Gruppierungen aus China beschreibt. Im Lauf der Auseinandersetzung entdeckte Sophos ein riesiges, gegnerisches Cybercrime-Ökosystem. […]

News

Salesforce kündigt autonome KI-Agenten an

Agentforce soll es Unternehmen ermöglichen, autonome KI-Agenten für zahlreiche Unternehmensfunktionen zu entwickeln und einzusetzen. So bearbeitet Agentforce beispielsweise selbstständig Kundenanliegen, qualifiziert Vertriebsleads und optimiert Marketingkampagnen. […]

News

Startschuss für neues Studium „Softwaretechnik & Digitaler Systembau“ am Biotech Campus Tulln

Mit einem fortschrittlichen Konzept und praxisnaher Ausrichtung ist der neue Bachelor-Studiengang „Softwaretechnik & Digitaler Systembau“ am Biotech Campus Tulln der Fachhochschule Wiener Neustadt erfolgreich gestartet. Unter der Leitung von Dominik Hölbling erwartet die Studierenden eine Ausbildung mit Schwerpunkt auf moderne Softwaretechnologien und innovative Digitalisierungslösungen. […]

News

Von Views zu Likes: Tipps, um die Zuschauer-Interaktion auf YouTube zu steigern

Bei YouTube ist die Zuschauerinteraktion ein entscheidendes Element für den Erfolg eines Kanals. Besonders im Jahr 2024 wird deutlich, dass Likes, Kommentare und Shares nicht nur für die Sichtbarkeit wichtig sind, sondern auch eine Schlüsselrolle im Algorithmus von YouTube spielen. Eine hohe Zuschauerbindung ist für Kanäle essenziell, um deren Inhalte optimal zu promoten. […]

Be the first to comment

Leave a Reply

Your email address will not be published.


*