Schwärzung von PII-Dokumenten

Redact personal data from documents before disclosure.

What Is Schwärzung von PII-Dokumenten?

Unter PII-Dokumentenschwärzung versteht man den Prozess der dauerhaften Entfernung oder Unkenntlichmachung personenbezogener Daten aus Dokumenten, bevor diese weitergegeben, veröffentlicht oder an Unbefugte weitergegeben werden. Gemäß der DSGVO kann das Versäumnis, personenbezogene Daten bei der Erfüllung von Zugriffsanfragen oder der Weitergabe von Dokumenten ordnungsgemäß zu schwärzen, eine unbefugte Offenlegung darstellen und Durchsetzungsmaßnahmen nach sich ziehen. Mit dieser Übung erhalten Sie eine Reihe realistischer Geschäftsdokumente mit personenbezogenen Daten, die vor der Veröffentlichung bereinigt werden müssen. Sie arbeiten sich durch Verträge, Kundendatensätze, interne Berichte und E-Mail-Threads und identifizieren alle Informationen, die im Sinne der weitgefassten Definition der DSGVO als personenbezogene Daten gelten. Diese Definition geht über offensichtliche Felder wie Namen und E-Mail-Adressen hinaus und umfasst IP-Adressen, Cookie-Kennungen, Standortdaten und alle Informationen, die eine Person direkt oder indirekt identifizieren könnten. In der Übung erfahren Sie, warum gängige Schwärzungsmethoden scheitern. Durch das Zeichnen von schwarzen Kästchen über Text in einer PDF-Datei werden nicht immer die zugrunde liegenden Daten entfernt. Das Kopieren und Einfügen geschwärzter Dokumente kann verborgene Informationen offenbaren. Metadaten in Word-Dateien und PDFs können nachverfolgte Änderungen, Autorennamen und den Revisionsverlauf enthalten, die die Daten offenlegen, von denen Sie dachten, dass Sie sie entfernt haben. Sie üben Techniken, die tatsächlich funktionieren, einschließlich ordnungsgemäßer Reduzierung, Entfernung von Metadaten und Überprüfung der geschwärzten Ausgabe. Eine Studie aus dem Jahr 2023 ergab, dass 10 % der geschwärzten Gerichtsdokumente aufgrund unsachgemäßer Technik immer noch wiederherstellbare personenbezogene Daten enthielten, sodass es sich lohnt, diese Fähigkeit zu verbessern.

What You'll Learn in Schwärzung von PII-Dokumenten

Schwärzung von PII-Dokumenten — Training Steps

  1. Einführung

    Heute müssen Sie einen Kundenbericht für einen externen Prüfer erstellen – das Dokument enthält jedoch personenbezogene Daten, die zunächst redigiert werden müssen.

  2. Die Audit-Anfrage

    Alice erhält eine E-Mail vom Leiter des Compliance-Teams. Ein externer Prüfer hat eine Dokumentation zu einem aktuellen Kundenauftrag angefordert und der Bericht muss bis zum Ende des Tages vorgelegt werden. Die E-Mail enthält den Kundenbericht als Anhang, den Alice herunterladen und verarbeiten muss.

  3. Herunterladen des Berichts

    Alice muss den beigefügten Kundenbericht herunterladen, um ihn zu verarbeiten. Die Datei wird in ihrem Download-Ordner angezeigt und kann in der Document Viewer-Anwendung geöffnet werden. Michael betont, dass personenbezogene Daten vor der externen Weitergabe geschwärzt werden müssen – dies ist eine Kernanforderung der DSGVO.

  4. Öffnen des Dokuments

    Der Bericht befindet sich jetzt im Download-Ordner von Alice. Sie muss es mit dem Document Viewer öffnen – einem speziellen Tool zum Anzeigen und Schwärzen vertraulicher Dokumente. Der Document Viewer ist für die DSGVO-konforme Dokumentenverarbeitung konzipiert – er verfolgt alle Schwärzungen zu Prüfzwecken und verhindert die versehentliche Offenlegung personenbezogener Daten.

  5. Sensible Daten identifizieren

    Der Document Viewer wird geöffnet und der Kundenbericht wird angezeigt. Alice kann mehrere hervorgehobene Bereiche sehen, die personenbezogene Daten enthalten, die geschwärzt werden müssen. Das Dokument enthält diese PII-Typen: Sozialversicherungsnummer, E-Mail-Adresse, Telefonnummer, physische Adresse und teilweise Bankkontoinformationen.

  6. Schwärzen der Sozialversicherungsnummer

    Die ersten sensiblen Daten sind die Sozialversicherungsnummer von Sarah Chen. Hierbei handelt es sich um hochsensible personenbezogene Daten, die niemals an Dritte weitergegeben werden sollten, es sei denn, dies ist unbedingt erforderlich und rechtlich gerechtfertigt. Alice muss auf die SSN-Region klicken, um eine Blackout-Schwärzung anzuwenden, bei der die Daten vollständig ausgeblendet werden. Die Prüfer haben keinen berechtigten Bedarf, diese Informationen einzusehen.

  7. Schwärzen der E-Mail-Adresse

    Als nächstes adressiert Alice die E-Mail-Adresse von Sarah Chen. E-Mail-Adressen sind zwar weniger vertraulich als eine SSN, stellen jedoch im Sinne der DSGVO dennoch personenbezogene Daten dar und können zur Kontaktaufnahme oder Identifizierung von Personen verwendet werden. Alice klickt auf den E-Mail-Bereich, um ihn zu schwärzen. Die Prüfer müssen sehen, dass die Kontaktmethoden dokumentiert wurden, nicht jedoch die eigentliche E-Mail.

  8. Schwärzen der Telefonnummer

    Sarahs Telefonnummer erscheint im Abschnitt „Kontaktdetails“. Telefonnummern sind ebenso wie E-Mail-Adressen personenbezogene Daten, die zur Identifizierung und direkten Kontaktaufnahme mit Personen genutzt werden können. Alice klickt auf den Telefonnummernbereich, um ihn zu schwärzen.

  9. Schwärzen der physischen Adresse

    Zu Abrechnungszwecken enthält das Dokument Sarahs Privatadresse. Physische Adressen sind wichtige personenbezogene Daten – sie offenbaren den Wohnort einer Person und könnten für unerwünschte Kontakte oder Schlimmeres verwendet werden. Alice klickt auf den Adressbereich, um diese vertraulichen Standortinformationen zu schwärzen.

  10. Finanzdaten redigieren

    Schließlich geht Alice im Abschnitt „Zahlungsdetails“ auf die unvollständige Bankkontonummer ein. Auch wenn nur die letzten vier Ziffern angezeigt werden, handelt es sich dennoch um finanzielle PII, wenn sie mit anderen Informationen im Dokument kombiniert werden. Finanzdaten erfordern immer einen sorgfältigen Schutz – Alice klickt auf die Region des Bankkontos, um den Schwärzungsprozess abzuschließen.