2020年5月26日,德国数据保护机构(德国DPA)发布了关于保护通过电子邮件转让的个人数据的措施的准则(指南;在GERMEN提供 这里)。指南概述了发送和接收数据控制器,数据处理器和公共电子邮件服务提供商(电子邮件服务提供商)必须满足的电子邮件的程序的要求,以遵守艺术。 5(1)(f),25和32(1)条的一般数据保护条例(GDPR)。

发送包含个人数据的电子邮件

数据控制器和处理器必须实施适当的技术和组织措施,以确保安全适当的对数据处理的风险水平,考虑到技术状态,实施的成本和性质,范围,内容和处理的目的除了有关数据科目的权利和自由的可能性和严重程度的风险,还有风险。

根据德国DPA,必须尽量减少通过电子邮件转让的个人数据的违反机密性而产生的风险必须使用 端到端加密运输加密。德国DPAS概述了普通风险和高风险,概述了以下内容:

  • 正常风险: 凡违反保密规定(内容或通信的情况下)只提出了一个正常的风险有关的资料当事人的权利和自由,控制器必须建立强制性的传输加密,防止邮件的加密传输。应使用SMTPS协议或SMTP命令启动来建立强制传输加密,随后建立加密通信渠道,并考虑到德国联邦办公室信息安全(BSI)TR-02102的技术指南所示的要求-2(可用 这里)。运输加密应提供基本保护,代表满足法律要求的最低措施。
  • 高风险: 如果在邮件内容中违反个人数据的机密性对有关数据科目的权利和自由构成了高风险,则控制器必须定期使用端到端加密和合格的传输加密。

应使用S / MIME(RFC 5751)和OpenPGP(RFC 4880)建立端到端加密,不仅确保了实际运输的保护,而且还确保了传输中涉及的服务器上的中间存储和处理。

合格的传输加密必须涉及,例如,丹Le和/或DNSSEC机制,并确保第三方免受积极攻击的保护。德国的DPA进一步解释的个性化需求,以举例的方式得到满足,并且,指出完全向前保密(PFS)不能使用单独的终端到终端的加密来实现,因为影响一个收件人的私钥可以把所有以各自的公钥加密的消息,有可能被解密的风险。

可以分配端到端加密或合格传输加密的某些元素的端到端加密或满足程度应该取决于各个风险,传输信道的特定设计和所采取的任何计数器措施。端到端加密应该是最彻底的保护措施。

关于用于确定正常或高风险是否普遍的标准,德国DPA是指他们的短文NR。 18(2018年4月26日的个人人员的权利和自由风险; 有德国人 这里)。

在一个下面的控制器 法定义务 根据德国刑法的第203条,必须采取额外的加密措施,以确保只能披露所发送的消息的机密内容的各方可以解密此类内容。但是,德国DPA不进一步指定这种额外的加密措施。

快递收到包含个人数据的电子邮件

一般而言,发件人应该有责任实施上述措施。但是,收件人通过电子邮件明确地接收个人数据,例如,根据德国DPA的要求,在收件人的网站上请求,收件人也有责任建立安全通信频道:

  • 正常风险: 如果违反机密性的风险导致有关数据受试者的正常风险,则接收服务器能够建立TLS连接就足够了,并且使用该算法在BSI TR 02102-2中列出。为了更好地推动建立加密连接,德国的DPA建议提供了广泛的合格算法。
  • 高风险: 如果违反机密性的风险导致有关数据科目的高风险,则收件人必须启用合格的传输加密并接收端到端加密电子邮件。

此外,收件人必须通过验证DKIM-签名和签名的电子邮件,充分验证所接收的消息的真实性和完整性。如果有高风险,必须执行合格的现有签名检查(PGP或S / MIME)。

部署电子邮件服务提供商

电子邮件服务提供商必须符合BSI TR 03108-1的要求(可用 这里),包括,例如,措施,收到加密的电子邮件,并实现关于加密算法,检查的真实性和验证电子邮件的收件人提供最好的保护的实施。根据德国DPA,部署电子邮件服务提供商的控制器必须确保所选的电子邮件服务提供商满足这些要求和GDPR的要求。

评论

在这些期待已久的指引,德国的DPA提供的加密措施,必须通过电子邮件发送的个人数据时由控制器,处理器和电子邮件服务提供商建立的,详细的指导。不过,德国的DPA错过机会提供有关如何确定在这个特殊的背景和在保护级别可能会降低何种理由,例如,在有关数据主体授予其同意是否存在一个正常的或高风险的指导。