Chinesische Hersteller, die Medizinprodukte in EU-Länder exportieren, müssen die MDR (EU-Medizinprodukteverordnung) erfüllen. Artikel 110 in Kapitel IX der MDR verlangt ausdrücklich, dass Medizinprodukte das Datenschutzrecht [(EU) 2016/679, also die DSGVO] einhalten, und bei der Verarbeitung von Gesundheitsdaten von Patienten (besondere Kategorien personenbezogener Daten) liegt die Messlatte für die DSGVO-Compliance noch höher.
Die DSGVO hat weitreichende Auswirkungen auf Unternehmen. Als „horizontale Gesetzgebung“ regelt sie die Patientendaten, klinischen Daten und Nutzungsdaten, die Medizinproduktehersteller über den gesamten Produktlebenszyklus (F&E, Produktion, Klinik, Kundendienst) verarbeiten – allesamt „besondere Kategorien personenbezogener Daten“ im Sinne der DSGVO.
Im Kern gestaltet die DSGVO die Regeln der Datenverarbeitung neu, und schon kleinste Fehltritte können zu hohen Bußgeldern oder einer Vertrauenskrise führen. In der Regel möchten Unternehmen vor allem die grundlegenden Anforderungen von MDR und DSGVO, ihre Schnittstellen und einen praktischen Weg zur Erfüllung der DSGVO verstehen.
Konkrete Anforderungen und Schnittstellen
Ein praktischer Weg zur Erfüllung der DSGVO
Die Artikel 42–43 DSGVO sehen drei offiziell anerkannte Mechanismen zum Nachweis der Datenschutz-Compliance vor: datenschutzspezifische Zertifizierungsverfahren, Datenschutzsiegel und Datenschutzprüfzeichen
Diese drei Mechanismen stehen in Artikel 42 Absatz 1 DSGVO nebeneinander. Alle sind freiwillige Compliance-Instrumente, mit denen nachgewiesen wird, dass die Verarbeitung personenbezogener Daten durch Verantwortliche und Auftragsverarbeiter der DSGVO entspricht. Nach Artikel 42 Absatz 5 genehmigte Mechanismen können zudem als Nachweis geeigneter Garantien bei der Übermittlung personenbezogener Daten in Drittländer dienen.
Wie verhalten sich nun DSGVO und ISO 27701 zueinander? Auch das möchten Unternehmen wissen. Wir erläutern es im Folgenden Schritt für Schritt.
ISO 27701: Beschreibung, Anwendungsbereich, Compliance-Wert und Risikomanagement
-
Der vollständige Titel von ISO 27701 lautet „Sicherheitstechniken – Erweiterung zu ISO/IEC 27001 und ISO/IEC 27002 für das Datenschutz-Informationsmanagement – Anforderungen und Leitlinien“. Die entsprechende chinesische nationale Norm ist GB/T 35273.2.
-
Der vollständige Titel von ISO 27001 lautet „Informationssicherheit, Cybersicherheit und Datenschutz – Informationssicherheits-Managementsysteme – Anforderungen“. Die entsprechende chinesische nationale Norm ist GB/T 22080.
-
Der vollständige Titel von ISO 27002 lautet „Informationssicherheit, Cybersicherheit und Datenschutz – Informationssicherheitsmaßnahmen“. Die entsprechende chinesische nationale Norm ist GB/T 22081.
Zertifizierungsweg und Umsetzungslogik von ISO 27701, ihre wichtigsten neuen Anforderungen, die Zertifizierungsreihenfolge und die wesentlichen Unterschiede zwischen ISO 27701 und ISO 27001 – in einer Grafik:
Umsetzungsempfehlungen für Unternehmen
(1) Erst die Grundlage, dann die Erweiterung: Organisationen sollten zunächst ein Informationssicherheits-Managementsystem nach ISO 27001 als Basis für den Datenschutz aufbauen.
(2) Risikobasiert: Datenschutzrisiken nach Umfang, Art und Sensibilität der verarbeiteten PII (personenbezogenen Daten) bewerten und den Umsetzungsumfang von ISO 27701 festlegen.
(3) Integriertes Management: ISMS und PIMS als integriertes System mit einheitlicher Dokumentation, einheitlichen Prozessen und Auditmechanismen betreiben, um die Effizienz zu steigern.
(4) Kontinuierliche Verbesserung: PII-Verzeichnis regelmäßig aktualisieren, Datenschutzrisiken bewerten und Maßnahmen optimieren, damit das System mit regulatorischen Änderungen Schritt hält.
Das Verhältnis zwischen ISO 27701 und der Verordnung (EU) 2016/679
Fazit: ISO 27701 und die DSGVO ergänzen sich und ersetzen einander nicht. ISO 27701 bietet Unternehmen eine systematische Methode und einen Zertifizierungsrahmen zur Erfüllung der DSGVO-Anforderungen und ist ein wirksames Instrument für Medizinproduktehersteller, um die doppelte Compliance mit MDR und DSGVO zu erreichen.
Weitere Beiträge:
Die verschärften EMV-Anforderungen der FDA an gängige Quellen elektromagnetischer Störaussendungen verstehen
Die CE-MID-Richtlinie erklärt: Laborgeräte nicht mit Geräten des gesetzlichen Messwesens verwechseln
[EVERBIZ EU-Regulierungskolumne] Welche Produkte fallen unter die EU-GPSD? Warum brauchen manche Verbraucherprodukte eine CE-Kennzeichnung und andere nicht?