Der Data Protection Act 1998 (c. 29) (DPA) war ein Gesetz des Parlaments des Vereinigten Königreichs zum Schutz personenbezogener Daten, die auf Computern oder in organisierten Papierarchivsystemen gespeichert sind. Er setzte Bestimmungen der EU- Datenschutzrichtlinie von 1995 über den Schutz, die Verarbeitung und die Übermittlung personenbezogener Daten um. [ 1 ]

Das Gesetz von 1998 markierte einen bedeutenden Wandel im Umgang mit personenbezogenen Daten in Großbritannien. Zuvor bezogen sich Datenschutzgesetze hauptsächlich auf Computerdatensätze, während dieses Gesetz sowohl für digitale als auch für physische Dateien galt. [ 2 ] Es sollte sicherstellen, dass alle Gruppen und Unternehmen, die Daten erheben, dies fair und nach ethischen Standards tun und die Daten der Nutzer angesichts des rasanten technologischen Fortschritts sicher und vertraulich behandeln.

Gemäß dem Datenschutzgesetz von 1998 hatten Einzelpersonen das Recht, die über sie gespeicherten Daten zu kontrollieren. Der Großteil des Gesetzes galt nicht für den privaten Gebrauch [ 3 ] , beispielsweise für das Führen eines privaten Adressbuchs. [ 4 ] Wer personenbezogene Daten für andere Zwecke speicherte, war – vorbehaltlich einiger Ausnahmen – gesetzlich verpflichtet, dieses Gesetz einzuhalten.

Das Gesetz legte acht entscheidende Datenschutzgrundsätze fest, um sicherzustellen, dass Informationen rechtmäßig verarbeitet, korrekt erfasst, sicher gespeichert und ethisch genutzt werden. [ 5 ] [ 6 ]

Das britische Datenschutzgesetz von 1998 (DPA 1998) wurde schließlich am 23. Mai 2018 durch das britische Datenschutzgesetz von 2018 (Data Protection Act 2018 – DPA 2018) ersetzt, welches die EU- Datenschutz-Grundverordnung (DSGVO) erweiterte, die nur zwei Tage später, am 25. Mai 2018, in Kraft trat. Das neue Gesetz und die DSGVO stärkten die Datenschutzsicherheit und legten Unternehmen, die personenbezogene Daten verarbeiten, eine größere Verantwortung auf. [ 7 ] [ 8 ]

Hintergrund

Datenschutzgesetz 1984 [ e ]
Parlamentsgesetz
Wappen
Parlament des Vereinigten Königreichs
Langer TitelEin Gesetz zur Regelung der Verwendung automatisch verarbeiteter personenbezogener Daten und der Erbringung von Dienstleistungen im Zusammenhang mit solchen Daten.
Zitat1984 c. 35
Territoriale Ausdehnung Vereinigtes Königreich [ f ]
Termine
Königliche Zustimmung12. Juli 1984
Beginnverschiedene [ g ]
Aufgehoben1. März 2000 [ h ]
Andere Gesetze
Geändert durch
Aufgehoben durchDatenschutzgesetz 1998
Status: Aufgehoben
Text des Gesetzes in seiner ursprünglichen Fassung
Geänderter Gesetzestext

Das Gesetz von 1998 ersetzte das Datenschutzgesetz von 1984 und das Gesetz über den Zugang zu personenbezogenen Daten von 1987. [ 9 ] Es entstand als Reaktion auf die wachsende Besorgnis in den 1990er-Jahren darüber, wie leicht personenbezogene Daten aufgrund der rasanten Verbreitung von Computersystemen kopiert, verändert und weitergegeben werden konnten. Zu dieser Zeit wurden Namen, Adressen und Finanzdaten häufig digital statt in Papierform gespeichert, was das Risiko von Missbrauch und unbefugtem Zugriff erhöhte. Daraufhin führte die EU 1995 die Datenschutzrichtlinie ein , die alle EU-Mitgliedstaaten zur Verabschiedung strenger Datenschutzgesetze verpflichtete. [ 10 ] [ 11 ]

Gesetz über den Zugang zu persönlichen Akten 1987 [ i ]
Parlamentsgesetz
Wappen
Parlament des Vereinigten Königreichs
Langer TitelEin Gesetz, das Einzelpersonen Zugang zu Informationen über sie selbst gewährt, die von bestimmten Behörden geführt werden, und das es Einzelpersonen ermöglicht, Kopien dieser Informationen zu erhalten und deren Änderung zu verlangen.
Zitat1987 c. 37
Territoriale Ausdehnung 
[ J ]
Termine
Königliche Zustimmung15. Mai 1987
Beginn15. Mai 1987 [ k ]
Aufgehoben1. März 2000 [ l ]
Andere Gesetze
Geändert durch
Aufgehoben durchDatenschutzgesetz 1998
Status: Aufgehoben
Text des Gesetzes in seiner ursprünglichen Fassung
Geänderter Gesetzestext

Die Datenschutzrichtlinie für elektronische Kommunikation (EG-Richtlinie) von 2003 änderte später die Art und Weise, wie Organisationen elektronisch mit Personen in Kontakt treten durften. Sie führte das Prinzip der „aktiven Einwilligung“ ein, wonach Unternehmen die Zustimmung der Betroffenen benötigten, bevor sie ihnen Marketing-E-Mails oder -SMS senden durften. [ 12 ] Unternehmen durften jedoch weiterhin Nachrichten über „ähnliche Produkte oder Dienstleistungen“ an bestehende Kunden senden, sofern diese dem nicht widersprochen hatten.

Das Gesetz beeinflusste auch andere Datenschutzgesetze, wie beispielsweise das Datenschutzgesetz (Jersey) 2005 , das auf der britischen Version basierte. [ 13 ] Etwa zur gleichen Zeit wurde das Information Commissioner’s Office (ICO) gegründet, um das Gesetz durchzusetzen und Beschwerden über Datenmissbrauch zu bearbeiten. [ 14 ] Das ICO entwickelte sich später zur zentralen britischen Behörde für Datenschutz und Datensicherheit. [ 15 ]

Inhalt

Schutzumfang

Abschnitt 1 des Datenschutzgesetzes von 1998 definierte „personenbezogene Daten“ als alle Informationen, die eine lebende Person identifizieren könnten. Dazu gehörten Angaben wie Name, Adresse, Telefonnummer oder E-Mail-Adresse. Das Gesetz galt für elektronisch gespeicherte Daten oder Daten in einem „geeigneten Ablagesystem“, d. h. für organisierte Papierakten, die leicht nach personenbezogenen Daten durchsucht werden konnten. [ 16 ]

Das Gesetz umfasste auch bestimmte Papierdokumente, sofern diese so angeordnet waren, dass personenbezogene Daten leicht zugänglich waren, beispielsweise Kundendatenbanken in Ordnern. Dies bedeutete, dass Unternehmen sich der Einhaltung der Vorschriften nicht entziehen konnten, indem sie behaupteten, ihre Daten seien nicht digital.

Der Freedom of Information Act 2000 (Informationsfreiheitsgesetz) ergänzte später den Data Protection Act (DPA), indem er den Zugang zu Daten öffentlicher Stellen ermöglichte. Der Fall Durant gegen die Financial Services Authority (FSA) präzisierte die Verwendung und Auslegung des Begriffs „personenbezogene Daten“. [ 17 ] Im Fall Durant wurde entschieden, dass nicht jede Nennung eines Namens als personenbezogene Daten gilt, es sei denn, die Information bezieht sich tatsächlich auf die Person oder beeinträchtigt bzw. offenbart deren Privatsphäre. Dies trug zur Präzisierung der Definition bei und wurde zu einem der meistzitierten Fälle in der Geschichte des britischen Datenschutzes.

Grundsätze des Datenschutzes

Anhang 1 des Gesetzes enthielt acht Schutzgrundsätze. Diese Grundsätze verlangten, dass Daten fair, rechtmäßig und sicher behandelt werden und nicht in einer Weise verwendet werden dürfen, die ihrem ursprünglichen Zweck widerspricht. [ 18 ]

  1. Personenbezogene Daten müssen fair und rechtmäßig verarbeitet werden.
  2. Es darf nur für gültige und rechtmäßige Zwecke erhoben werden.
  3. Sie muss angemessen, relevant und nicht übermäßig sein.
  4. Es muss korrekt und auf dem neuesten Stand sein.
  5. Informationen sollten nicht unnötig lange aufbewahrt werden.
  6. Die Verarbeitung erfolgt unter Wahrung der Rechte des Einzelnen.
  7. Es muss vor unbefugtem Zugriff, Verlust oder Beschädigung geschützt werden.
  8. Sie darf nicht ohne angemessenen Schutz in Gebiete außerhalb des Europäischen Wirtschaftsraums verbracht werden .

Diese Grundsätze bildeten die Basis des britischen Datenschutzrechts und prägen weiterhin die aktuellen Bestimmungen des Data Protection Act 2018 und der DSGVO. [ 19 ] Sie verdeutlichten, dass die Erhebung personenbezogener Daten auch die rechtliche Verantwortung für deren Schutz mit sich bringt. Viele dieser Ideen wurden später im Rahmen der DSGVO zu sechs Kernprinzipien vereinfacht, doch die ursprüngliche Struktur des Gesetzes von 1998 trug dazu bei, klare Erwartungen an Fairness und Rechenschaftspflicht zu formulieren. [ 20 ] [ 21 ]

Bedingungen, die für den ersten Grundsatz relevant sind

Der erste Datenschutzgrundsatz besagt, dass personenbezogene Daten nur fair und rechtmäßig verarbeitet werden dürfen. Um diesem Standard zu entsprechen, musste mindestens eine der in Anhang 2 des Gesetzes aufgeführten rechtlichen Voraussetzungen erfüllt sein. [ 22 ]

Diese Bedingungen legten fest, wann es für eine Organisation zulässig war, personenbezogene Daten zu erheben oder zu nutzen. Eine Organisation durfte Daten nur dann verarbeiten, wenn die folgenden Bedingungen erfüllt waren:

  1. Die betroffene Person (im Folgenden als betroffene Person bezeichnet ) hat in die Verarbeitung eingewilligt („ihre Erlaubnis erteilt“). [ 23 ]
  2. Für den Beginn oder die Fortsetzung eines Vertrags ist eine Verarbeitung erforderlich.
  3. Die Organisation ist gesetzlich zur Verarbeitung der Daten verpflichtet.
  4. Die Verarbeitung ist erforderlich, um die lebenswichtigen Interessen der Person zu schützen (z. B. in einem medizinischen Notfall).
  5. Es war für die Ausübung offizieller öffentlicher Pflichten erforderlich.
  6. Es ist für die berechtigten Interessen der Organisation oder eines Dritten erforderlich, sofern dadurch die Rechte des Einzelnen nicht unbillig beeinträchtigt werden. [ 24 ] [ 25 ]

Diese sechs Grundlagen machten deutlich, dass nicht jede Datennutzung eine direkte Einwilligung erfordert. So kann beispielsweise ein Krankenhaus Patientendaten für Behandlungszwecke ohne schriftliche Einwilligung verarbeiten, oder eine Bank kann Kontodaten zur Vertragserfüllung speichern. [ 26 ] Der Begriff des „berechtigten Interesses“ war besonders wichtig, da er Organisationen Flexibilität einräumte und gleichzeitig Einzelpersonen vor unrechtmäßiger Datenverarbeitung schützte. [ 27 ] [ 28 ]

Das Gesetz verlangte, dass Einzelpersonen ihre Einwilligung zur Verarbeitung ihrer personenbezogenen Daten erteilen mussten, sofern keine andere Rechtsgrundlage vorlag. Einwilligung wurde als „freiwillige, spezifische und informierte Zustimmung“ definiert. [ 29 ] [ 30 ] Anders als moderne Datenschutzgesetze verlangte das Gesetz von 1998 nicht immer eine schriftliche Einwilligung. Personen konnten mündlich oder durch Handlungen zustimmen, die ihre Zustimmung zur Nutzung ihrer Daten erkennen ließen, solange klar war, dass sie verstanden, wozu sie zustimmten. [ 31 ]

Die Einwilligung musste jedoch dem Alter und der Einwilligungsfähigkeit der betroffenen Person angemessen sein. Plant eine Organisation, die Daten einer Person auch nach Beendigung der Geschäftsbeziehung zu nutzen, beispielsweise für zukünftige Marketingzwecke, musste dies bei der Einholung der Einwilligung klar angegeben werden.

Das Gesetz führte außerdem zu höheren Standards für sensible personenbezogene Daten, darunter Informationen zu Rasse, Religion, Gesundheit und Vorstrafen. In diesen Fällen musste die Einwilligung ausdrücklich erfolgen und erforderte häufig einen schriftlichen Nachweis oder eine eindeutige positive Handlung. [ 32 ] Spätere Aktualisierungen, wie die Datenschutz- und Telekommunikationsverordnung (2003), bauten darauf auf, indem sie die Einwilligung nach Einwilligung (Opt-in) für die meisten digitalen Marketingmaßnahmen vorschrieben. [ 33 ] Diese Änderung prägte maßgeblich, wie moderne Unternehmen mit E-Mails, Online-Cookies und Abonnements umgehen . [ 34 ]

Ausnahmen

Das Gesetz legte fest, dass jede Verarbeitung personenbezogener Daten seinen Bestimmungen unterliegt, sofern keine spezifische Ausnahme vorliegt. [ 3 ] Diese in Teil IV des Gesetzes aufgeführten Ausnahmen erlaubten es bestimmten Tätigkeiten, die Datenschutzgrundsätze gegebenenfalls ganz oder teilweise zu umgehen. [ 35 ]

  • Abschnitt 28 – Nationale Sicherheit. Jegliche Verarbeitung, die zu Zwecken der nationalen Sicherheit durchgeführt wurde, war von allen acht Datenschutzgrundsätzen sowie von Teil II (Auskunftsrechte der betroffenen Personen), Teil III (Benachrichtigung) und Teil V (Durchsetzung) ausgenommen. [ 36 ]
    • Diese Ausnahme wurde nur in begrenzten Fällen genutzt, in denen die Anwendung der vollständigen Regeln die Sicherheitsermittlungen beeinträchtigen könnte.
  • Abschnitt 29 – Kriminalität und Besteuerung. Personenbezogene Daten, die zur Verhütung oder Aufdeckung von Straftaten, zur Ergreifung von Straftätern oder zur Festsetzung und Erhebung von Steuern verwendet werden, waren vom ersten Datenschutzgrundsatz ausgenommen.
    • Dies bedeutete, dass Strafverfolgungsbehörden Informationen ohne Einwilligung anfordern oder verwenden konnten, wenn diese direkt einer strafrechtlichen Ermittlung oder einer steuerlichen Pflicht dienten.
  • Abschnitt 36 – Inländische Zwecke. Personenbezogene Daten, die ausschließlich für die persönlichen Familien- oder Haushaltsaktivitäten einer Person verwendet wurden, waren von allen Datenschutzgrundsätzen und den formellen Meldevorschriften des Gesetzes ausgenommen.
    • Gängige Beispiele waren private Adressbücher, private Fotosammlungen oder private Kommunikation, die nicht mit geschäftlichen oder beruflichen Zwecken in Zusammenhang stand.

Diese Ausnahmen sollten ein Gleichgewicht zwischen dem Schutz der Privatsphäre des Einzelnen und den übergeordneten öffentlichen Interessen herstellen. Sie stellten sicher, dass das Gesetz wesentliche Aktivitäten wie die Arbeit im Bereich der nationalen Sicherheit oder strafrechtliche Ermittlungen nicht behinderte und gleichzeitig alltägliche personenbezogene Daten vor unnötigem Missbrauch schützte. [ 37 ]

Polizeiliche und gerichtliche Befugnisse

Das Gesetz räumte Polizei und Gerichten spezifische Befugnisse für den Umgang mit oder die Anforderung von personenbezogenen Daten ein.

  • Gemäß Abschnitt 29 war die Einwilligung der betroffenen Person nicht erforderlich, wenn die Informationen zur Verhütung oder Aufdeckung von Straftaten, zur Strafverfolgung von Straftätern oder zur Erfüllung von Steuererhebungspflichten verarbeitet wurden. [ 38 ]
    • Dies bedeutete, dass die Polizei Daten wie Telefonaufzeichnungen oder Finanzinformationen erhalten konnte, sofern diese für eine Ermittlung relevant waren. Auch Gerichte konnten die Offenlegung von Aufzeichnungen anordnen, wenn dies für ein Gerichtsverfahren erforderlich war.
  • Gemäß § 35 durften Daten weitergegeben werden, wenn dies gesetzlich oder durch eine gerichtliche Anordnung erforderlich war. Dadurch wurde sichergestellt, dass Gerichtsverfahren nicht durch Datenschutzbeschwerden behindert wurden. [ 39 ]
    • Trotz dieser Befugnisse wurde von öffentlichen Stellen erwartet, dass sie die Vertraulichkeit wahren. Alle im Rahmen dieser Bestimmungen weitergegebenen Daten mussten weiterhin sicher gespeichert und nur für den angegebenen Zweck verwendet werden. Das ICO veröffentlichte später Leitlinien, um Strafverfolgungsbehörden bei der fairen Anwendung dieser Regeln zu unterstützen.

Straftaten

Das Gesetz schuf mehrere zivil- und strafrechtliche Straftatbestände für den Missbrauch von Daten. Diese galten hauptsächlich für Organisationen oder Einzelpersonen, die unverantwortlich mit Informationen umgingen.

  • Gemäß Abschnitt 21(1) ist die Verarbeitung personenbezogener Daten ohne ordnungsgemäße Registrierung strafbar . [ 40 ]
  • Gemäß Abschnitt 21(2) werden Verstöße gegen die Meldepflichten bestraft [ 40 ].
  • Gemäß Paragraph 55 war es illegal, personenbezogene Daten ohne Berechtigung zu erlangen oder weiterzugeben. Dies umfasste Hacker, Identitätsdiebe und Mitarbeiter, die ohne Erlaubnis auf Dateien zugriffen. [ 41 ]
  • Gemäß Paragraph 56 ist es strafbar, jemanden im Rahmen von Einstellungs- oder Beschäftigungsprüfungen zur Ausstellung eines Auskunftsersuchens über seine Vorstrafen zu zwingen. [ 42 ] Diese Regelung trat am 10. März 2015 in Kraft.

Die meisten dieser Verstöße waren mit Geldstrafen belegt, doch schwere oder wiederholte Verstöße konnten zu strengeren rechtlichen Schritten führen und den Ruf einer Organisation schädigen. Viele Fälle endeten mit öffentlichen Warnungen oder gerichtlichen Anordnungen des Informationsbeauftragten. [ 43 ]

Diese Abschnitte verdeutlichten, dass das Datenschutzgesetz nicht nur empfehlenden Charakter hatte, sondern auch rechtliche Bedeutung besaß. [ 44 ] Organisationen mussten nachweisen, dass sie den Datenschutz ernst nahmen, um strafrechtliche Konsequenzen zu vermeiden. In der Praxis hatten viele Unternehmen anfangs Schwierigkeiten, ihre Pflichten zu verstehen. [ 45 ] Schulungsprogramme und Compliance-Audits wurden später zu gängigen Mitteln, um Strafen zu vermeiden.

Praktische Probleme und Komplexität

Das Datenschutzgesetz von 1998 war bekannt für seine Komplexität, insbesondere für kleinere Organisationen ohne Rechts- oder IT-Abteilung. Viele empfanden die Formulierung als schwer verständlich, und es war nicht immer klar, wie die Regeln im Alltag anzuwenden waren. [ 46 ] [ 47 ]

Anfangs herrschte bei Unternehmen und öffentlichen Einrichtungen oft Unklarheit darüber, was als „ personenbezogene Daten “ galt und wie lange sie Informationen speichern durften. Einige Organisationen nutzten das Gesetz sogar als Vorwand, um die Weitergabe öffentlich zugänglicher Informationen zu verweigern, was verdeutlichte, wie verwirrend die Richtlinien damals waren. [ 48 ] [ 49 ] Das Büro des Informationsbeauftragten veröffentlichte später vereinfachte Erläuterungen und Beispiele, um Organisationen bei der korrekten Anwendung der Regeln zu unterstützen. Diese Leitfäden förderten eine klarere Kommunikation mit der Öffentlichkeit und eine verbesserte Dokumentationspraxis.

Im Laufe der Zeit wurden Schulungen und Kontrollen zur Einhaltung der Vorschriften immer häufiger, insbesondere in Schulen, Krankenhäusern und Kommunen. [ 50 ] Diese Bemühungen trugen dazu bei, das Bewusstsein für das Gesetz zu schärfen, zeigten aber auch, wie schwierig es für viele Gruppen war, mit den sich wandelnden Datenschutzanforderungen Schritt zu halten.

Definition personenbezogener Daten

Gemäß dem Gesetz bezeichneten personenbezogene Daten Informationen über eine lebende Person, die allein anhand dieser Daten oder in Kombination mit anderen Informationen identifiziert werden konnte. Beispiele hierfür waren Namen, Adressen, Telefonnummern und Finanzdaten. [ 51 ]

Das Gesetz erkannte auch sensible personenbezogene Daten an , die eines besonderen Schutzes bedürfen. Dazu gehören Informationen über die rassische oder ethnische Herkunft, politische Ansichten, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, Gesundheitsdaten, Sexualleben oder Vorstrafen einer Person: alle Informationen, die über die bloße Identifizierung einer Person hinausgehen. [ 52 ]

Der Fall Durant gegen die Finanzdienstleistungsaufsicht (Financial Services Authority) schränkte später die Bedeutung personenbezogener Daten ein, indem er festlegte, dass die Informationen einen signifikanten Bezug zur betroffenen Person haben müssen und nicht nur deren Namen beiläufig erwähnen dürfen. [ 53 ] Diese Entscheidung beeinflusste die Auslegung des Gesetzes durch Organisationen über mehrere Jahre. [ 54 ]

Diese Definitionen gewannen an Bedeutung, als immer mehr Daten elektronisch gespeichert wurden. Sie trugen dazu bei, den Unterschied zwischen allgemeinen Informationen und Details, die einen stärkeren Schutz erforderten, insbesondere an Arbeitsplätzen, im Gesundheitswesen und in Regierungsbehörden, zu verdeutlichen. [ 50 ]

Auskunftsersuchen und Rechte von Einzelpersonen

Einer der wichtigsten Bestandteile des Gesetzes war die Reihe von Rechten, die es Einzelpersonen, den sogenannten betroffenen Personen, einräumte . Diese Rechte ermöglichten es den Menschen, zu verstehen und zu kontrollieren, wie ihre persönlichen Daten verwendet wurden.

Auskunftsersuchen betroffener Personen (SARs):

  • Gemäß Abschnitt 7 konnten Einzelpersonen eine Auskunftsanfrage stellen , um die von einer Organisation über sie gespeicherten Informationen einzusehen. Unternehmen mussten in der Regel innerhalb einer festgelegten Frist antworten und durften nur in bestimmten Fällen geringe Gebühren erheben. Auskunftsanfragen wurden häufig genutzt, um Fehler aufzudecken, Entscheidungsprozesse nachzuvollziehen oder zu bestätigen, ob personenbezogene Daten an Dritte weitergegeben worden waren. Dies entwickelte sich zu einem wichtigen Instrument, um die Privatsphäre am Arbeitsplatz, im Gesundheitswesen und bei Online-Diensten zu schützen.

Weitere Rechte nach dem Gesetz

Einzelpersonen hatten außerdem mehrere weitere Rechte, darunter:

  • Das Recht auf Berichtigung unrichtiger Daten (Abschnitt 14). [ 55 ]
  • Das Recht, die Verarbeitung zu stoppen, wenn diese Schaden oder Beeinträchtigung verursachen könnte (Abschnitt 10). [ 56 ]
  • Das Recht, der Verwendung von Daten für Direktmarketing zu widersprechen (Abschnitt 11). [ 57 ]
  • Das Recht, Schadensersatz zu fordern, wenn ihnen durch den Missbrauch ihrer Daten ein Schaden entstanden ist (Abschnitt 13). [ 58 ]

Diese Rechte gaben den Menschen mehr Kontrolle über ihre Daten in einer Zeit, in der Unternehmen immer größere Mengen digitaler Daten sammelten. Viele der ersten Beschwerden, die beim ICO eingingen, betrafen ungenaue Aufzeichnungen, unerwünschte Marketingmitteilungen oder unklare Datenschutzhinweise. Nach Inkrafttreten der DSGVO und des Datenschutzgesetzes 2018 wurden einige dieser Rechte erweitert oder gestärkt, die Grundlagen dafür wurden jedoch bereits mit dem Datenschutzgesetz von 1998 gelegt. [ 59 ]

Informationsbeauftragter

Das Information Commissioner's Office (ICO) war für die Überwachung und Durchsetzung des Datenschutzgesetzes von 1998 zuständig. [ 60 ] Das ICO gab Leitlinien heraus, beantwortete Fragen der Öffentlichkeit und untersuchte Beschwerden über den Umgang von Organisationen mit personenbezogenen Daten. [ 61 ]

Viele Beschwerden betrafen Probleme wie fehlerhafte Aufzeichnungen, unerwünschte Werbung oder unklare Datenschutzhinweise. Um sowohl der Öffentlichkeit als auch Organisationen zu helfen, veröffentlichte das ICO praktische Leitfäden und Beispiele, die die Einhaltung des Gesetzes erläutern.

Das ICO führte außerdem das öffentliche Register der Datenverantwortlichen, in dem Organisationen aufgeführt waren, die gesetzlich verpflichtet waren, über ihre Datenverarbeitung zu berichten. [ 62 ] Die Nichtregistrierung oder Nichteinhaltung grundlegender Pflichten konnte zu Verwarnungen oder Bußgeldern führen. [ 63 ]

Da die Datennutzung in Schulen, Unternehmen und Gesundheitseinrichtungen zunahm, forderte das ICO strengere Sicherheitsmaßnahmen, um versehentlichen Verlust oder unbefugten Zugriff auf personenbezogene Daten zu reduzieren. [ 64 ]

Arbeitsgruppe „Vermächtnis und Artikel 29“

Die Artikel-29-Datenschutzgruppe war ein europäisches Beratungsgremium, das sich aus Vertretern der Datenschutzbehörden aller EU-Mitgliedstaaten zusammensetzte. [ 65 ] Sie veröffentlichte Stellungnahmen und Leitlinien zur Auslegung der Datenschutzrichtlinie von 1995, insbesondere zur Anwendung der Regeln zu Einwilligung, Fairness und internationalen Datenübermittlungen. [ 66 ] [ 67 ] Ihre Stellungnahme prägte maßgeblich das Verständnis des britischen Datenschutzgesetzes von 1998 (DPA 1998), insbesondere in Bereichen, in denen der Wortlaut des Gesetzes unklar war. Britische Organisationen stützten sich häufig auf diese Dokumente, um die gesetzlichen Anforderungen zu erfüllen.

Die Arbeitsgruppe unterstützte später die EU-Länder bei der Vorbereitung auf die Datenschutz-Grundverordnung (DSGVO), die die Richtlinie ersetzte. [ 68 ] Mit dem Inkrafttreten der DSGVO im Jahr 2018 wurde das Datenschutzgesetz von 1998 aufgehoben und durch das Datenschutzgesetz von 2018 ersetzt . [ 69 ]

Obwohl das Gesetz von 1998 nicht mehr in Kraft ist, legte es den Grundstein für das moderne britische Datenschutzrecht und führte viele Konzepte ein, die bis heute Bestand haben.

Siehe auch

Anmerkungen

  1. ^ Abschnitt 75(1).
  2. ^ Abschnitt 75(5).
  3. ^ Abschnitt 75(2)–(4).
  4. ^ Die Verordnung zum Datenschutzgesetz 2018 (Inkrafttreten Nr. 1 und Übergangs- und Erhaltungsbestimmungen) 2018 .
  5. ^ Abschnitt 43(1).
  6. ^ Abschnitt 43(2).
  7. ^ Abschnitt 42.
  8. ^ Verordnung zum Inkrafttreten des Datenschutzgesetzes von 1998 (Data Protection Act 1998 (Commencement) Order 2000) .
  9. ^ Abschnitt 5(1).
  10. ^ Abschnitt 5(2).
  11. ^ Abschnitt 4(b) des Interpretation Act 1978 .
  12. ^ Verordnung über das Inkrafttreten des Datenschutzgesetzes von 1998 ( SI 2000/183 ).

Referenzen

  1. ^ „Richtlinie – 95/46 – EN – Datenschutzrichtlinie – EUR-Lex“ . eur-lex.europa.eu . Abgerufen am 28. November 2025 .
  2. ^ „Neue Datenschutzgesetze – neue Rechte auf Informationszugang gemäß dem Datenschutzgesetz von 1998“ . cms-lawnow.com . Abgerufen am 26. Oktober 2025 .
  3. ^ a b Datenschutzgesetz 1998 , Teil IV (Ausnahmen), Abschnitt 36. Archiviert am 24. August 2007 in der Wayback Machine , Office of Public Sector Information , abgerufen am 6. September 2007.
  4. ^ „IHTM09392 – Informationen Dritter und das Datenschutzgesetz von 1998: Hauptbestimmungen des Datenschutzgesetzes von 1998 – Internes Handbuch der HMRC – GOV.UK“ . www.gov.uk. Abgerufen am 28. November 2025 .
  5. ^ www.dataprotection.ie https://web.archive.org/web/20250404190459/https://www.dataprotection.ie/sites/default/files/uploads/2019-11/Guidance%20on%20the%20Principles%20of%20Data%20Protection_Oct19.pdf . Archiviert vom Original (PDF) am 4. April 2025. Abgerufen am 26. Oktober 2025 .{{cite web}}Fehlend oder leer |title=( Hilfe )
  6. ^ „Abschnitt 3: Das Datenschutzgesetz von 1998“ . NHS England Digital . Abgerufen am 28. November 2025 .
  7. ^ Ford, Michael (März 1999). „Aktuelle Gesetzgebung. Der Data Protection Act 1998“. Industrial Law Journal . 28 : 57–60 . doi : 10.1093/ilj/28.1.57 .
  8. ^ „Datenschutz“ . GOV.UK. Abgerufen am 28. November 2025 .
  9. ^ „House of Lords: Data Protection and Digital Information Bill“ . publications.parliament.uk . Abgerufen am 28. November 2025 .
  10. ^ Bignami, Francesca (1. Juni 2007). „Datenschutz und Strafverfolgung in der Europäischen Union: Die Richtlinie zur Vorratsdatenspeicherung“ . Chicago Journal of International Law . 8 (1). ISSN 1529-0816 . 
  11. ^ „Richtlinie – 95/46 – EN – Datenschutzrichtlinie – EUR-Lex“ . eur-lex.europa.eu . Abgerufen am 28. November 2025 .
  12. ^ „Was sind PECR?“ . ico.org.uk . 10. Dezember 2024. Archiviert vom Original am 1. September 2025 . Abgerufen am 28. November 2025 .
  13. ^ „Leitfaden zum Datenschutz in Jersey 2023 | DSGVO Jersey | Appleby“ . Appleby . 1. Februar 2022. Archiviert vom Original am 8. Juli 2025. Abgerufen am 28. November 2025 .
  14. ^ „Unsere Geschichte“ . ico.org.uk. 3. September 2025. Abgerufen am 28. November 2025 .
  15. ^ Jersey: Datenschutz in Jersey und anderen Offshore-Jurisdiktionen. Archiviert am 27. Oktober 2012 in der Wayback Machine. Artikel von Wendy Benjamin, mondaq.com, 23. Juli 2008.
  16. ^ „Datenschutzgesetz 1998, Grundlegende Auslegungsbestimmungen“ . Amt für Informationen des öffentlichen Sektors . Archiviert vom Original am 1. März 2014. Abgerufen am 14. März 2014 .
  17. ^ „Was sind personenbezogene Daten? Der Informationsbeauftragte aktualisiert seine Leitlinien“ . Pinsent Masons . 30. August 2007. Archiviert vom Original am 20. Oktober 2011. Abgerufen am 20. August 2012. Im Fall von Michael Durant beantragte dieser Auskunft über die von der Finanzdienstleistungsaufsicht (Financial Services Authority) gespeicherten Daten. Das Berufungsgericht entschied, dass ein Dokument, das seinen Namen enthielt , nicht zwangsläufig als personenbezogene Daten gilt. Dies veränderte die Auffassung darüber, wie weit der Begriff „personenbezogene Daten“ gefasst werden kann.
  18. ^ Info, CX „Die acht Datenschutzgrundsätze“ . www.fareham.gov.uk . Abgerufen am 28. November 2025 .
  19. ^ „Datenschutz“ . GOV.UK. Abgerufen am 28. November 2025 .
  20. ^ Maxwell, F., Sechs Prinzipien der DSGVO , Quality Compliance Systems Ltd. , veröffentlicht am 3. Februar 2020, abgerufen am 3. Januar 2024
  21. ^ „Datenschutzgesetz 2018 – Die 7 Grundsätze, die Sie kennen sollten“ . 13. Mai 2024. Abgerufen am 28. November 2025 .
  22. ^ „Datenschutzgesetz 1998“ . www.legislation.gov.uk . Archiviert vom Original am 24. Mai 2025. Abgerufen am 28. November 2025 .
  23. ^ „Erster Grundsatz – Anhang 2 | Rechts- und Informationssicherheitsdienste“ . Universität Leicester . Abgerufen am 28. November 2025 .
  24. ^ OPSI.gov.uk ( Archiviert am 16. April 2009 im Internetarchiv Wayback Machine) Datenschutzgesetz 1998, Anhang 2
  25. ^ „Datenschutzgesetz 1998 – Was Sie wissen müssen“ . Law Society of Scotland . Abgerufen am 28. November 2025 .
  26. ^ „Das Datenschutzgesetz von 1998“ . LawTeacher.net . 30. November 2018. Abgerufen am 28. November 2025 .
  27. ^ „Was ist die Grundlage für ‚berechtigte Interessen‘?“ . ico.org.uk . 9. September 2025. Archiviert vom Original am 16. September 2025 . Abgerufen am 27. Oktober 2025 .
  28. ^ Al-Shahi, R.; Warlow, C. (28. Oktober 2000). „Nutzung patientenbezogener Daten für Beobachtungsstudien und Audits“ . BMJ (Clinical Research Ed.) . 321 (7268): 1031–1032 . doi : 10.1136 / bmj.321.7268.1031 . ISSN 0959-8138 . PMC 1118832. PMID 11053151 .   
  29. ^ „Art. 4 DSGVO – Definitionen“ . Datenschutz-Grundverordnung (DSGVO) . Abgerufen am 27. Oktober 2025 .
  30. ^ Mourby, Miranda; Gowans, Heather; Aidinlis, Stergios; Smith, Hannah; Kaye, Jane (15. Juli 2019). „Governance of academic research data under the GDPR—lessons from the UK“ . International Data Privacy Law . 9 (3): 192–206 . doi : 10.1093/idpl/ipz010 . ISSN 2044-3994 . Archiviert vom Original am 3. August 2025. 
  31. ^ Iversen, Amy; Liddell, Kathleen; Fear, Nicola; Hotopf, Matthew; Wessely, Simon (21. Januar 2006). „Einwilligung, Vertraulichkeit und das Datenschutzgesetz“ . BMJ (Clinical Research Ed.) . 332 (7534): 165–169 . doi : 10.1136 / bmj.332.7534.165 . ISSN 1756-1833 . PMC 1336771. PMID 16424496 .   
  32. ^ „Datenschutzgesetz 1998“ . www.legislation.gov.uk . Archiviert vom Original am 29. März 2024. Abgerufen am 28. November 2025 .
  33. ^ „Was sind PECR?“ . ico.org.uk . 10. Dezember 2024. Archiviert vom Original am 1. September 2025 . Abgerufen am 28. November 2025 .
  34. ^ „Bedingungen für die Verarbeitung – Leitfaden zum Datenschutz – ICO“ . Information Commissioner's Office . Abgerufen am 8. Februar 2013 .{{cite web}}CS1-Wartung: Veralteter Archivierungsdienst ( Link )
  35. ^ „Datenschutzgesetz 1998“ . www.legislation.gov.uk . Expertenbeteiligung. Archiviert vom Original am 8. September 2025. Abgerufen am 28. November 2025 .{{cite web}}: CS1 Wartung: andere ( Link )
  36. ^ „Datenschutz – Gerichtsverfahren – Durchsetzungsleitfaden (England & Wales)“ . www.hse.gov.uk. Archiviert vom Original am 14. Juni 2025. Abgerufen am 28. November 2025 .
  37. ^ „Nationale Sicherheitszertifikate: Weitreichende Ausnahmen vom Datenschutzregime werden Folgen für unsere Datenschutzrechte und die Angemessenheit des Datenschutzes haben | Privacy International“ . privacyinternational.org . Abgerufen am 28. November 2025 .
  38. ^ Datenschutzgesetz 1998 , Teil IV (Ausnahmen – Straftaten und Steuern), Abschnitt 29. Archiviert am 1. Juni 2017 im Internet Archive.
  39. ^ Datenschutzgesetz 1998 , Teil IV (Ausnahmen – Offenlegungen, die gesetzlich vorgeschrieben sind oder im Zusammenhang mit Gerichtsverfahren usw. erfolgen), Abschnitt 35. Archiviert am 23. Mai 2017 im Internet Archive.
  40. ^ a b Datenschutzgesetz 1998 , Teil III (Benachrichtigung der Datenverantwortlichen), Abschnitt 21 ( Archiviert am 7. Dezember 2009 in der Wayback Machine , Office of Public Sector Information)
  41. ^ Datenschutzgesetz 1998 , Teil VI (Verschiedenes und Allgemeines), Abschnitt 55. Archiviert am 24. August 2007 in der Wayback Machine , Office of Public Sector Information, abgerufen am 14. September 2007.
  42. ^ Datenschutzgesetz 1998 , Teil VI (Verschiedenes und Allgemeines), Abschnitt 56. Archiviert am 24. August 2007 in der Wayback Machine , Office of Public Sector Information, abgerufen am 14. September 2007.
  43. ^ „Facebook-Strafe von der ICO“ . www.shoosmiths.com . Abgerufen am 27. November 2025 .
  44. ^ „Überblick über den Data Protection Act 1998 | BCS“ . www.bcs.org . Abgerufen am 27. November 2025 .
  45. ^ Redsell, SA; Cheater, FM (August 2001). „Das Datenschutzgesetz (1998): Auswirkungen auf die Gesundheitsforschung“. Journal of Advanced Nursing . 35 (4): 508–513 . doi : 10.1046/j.1365-2648.2001.01867.x . ISSN 0309-2402 . PMID 11529949 .  
  46. ^ Giualia (21. Juni 2016). „Datenschutzgesetz 1998: eine Zusammenfassung“ . Aphaia . Abgerufen am 27. November 2025 .
  47. ^ „Datenschutzgesetz 1998 – Was Sie wissen müssen“ . Law Society of Scotland . Abgerufen am 27. November 2025 .
  48. ^ Iversen, Amy; Liddell, Kathleen; Fear, Nicola; Hotopf, Matthew; Wessely, Simon (19. Januar 2006). „Einwilligung, Vertraulichkeit und das Datenschutzgesetz“ . BMJ . 332 (7534): 165–169 . doi : 10.1136 / bmj.332.7534.165 . ISSN 0959-8138 . PMC 1336771. PMID 16424496 .   
  49. ^ „Kapitel 3“ . www.gov.scot . Abgerufen am 27. November 2025 .
  50. ^ a b Webb, Jill B. (September 2002). „Das Datenschutzgesetz von 1998: Eine Überprüfung seiner Auswirkungen auf die chirurgische Ausbildung“ . Annals of the Royal College of Surgeons of England . 84 (5): 348–351 . doi : 10.1308/003588402760452501 . ISSN 0035-8843 . PMC 2504178. PMID 12398131 .   
  51. ^ „Art. 4 DSGVO – Definitionen“ . Datenschutz-Grundverordnung (DSGVO) . Abgerufen am 28. November 2025 .
  52. ^ „Welche personenbezogenen Daten gelten als sensibel? – Europäische Kommission“ . commission.europa.eu . Abgerufen am 28. November 2025 .
  53. ^ „OBEP: Olivia Whitcroft | Artikel: Auskunftsersuchen betroffener Personen – aktuelle Entwicklungen“ . www.obep.uk. Abgerufen am 28. November 2025 .
  54. ^ „Entscheidung des Berufungsgerichts zur Offenlegung gemischter Daten“ . www.taylorwessing.com . 9. August 2021. Abgerufen am 28. November 2025 .
  55. ^ „Datenschutzgesetz 1998“ . www.legislation.gov.uk . Expertenbeteiligung. Archiviert vom Original am 26. Juni 2025. Abgerufen am 28. November 2025 .{{cite web}}: CS1 Wartung: andere ( Link )
  56. ^ „Datenschutzgesetz 1998“ . www.legislation.gov.uk . Expertenbeteiligung. Archiviert vom Original am 28. März 2025. Abgerufen am 28. November 2025 .{{cite web}}: CS1 Wartung: andere ( Link )
  57. ^ „Datenschutzgesetz 1998“ . www.legislation.gov.uk . Expertenbeteiligung. Archiviert vom Original am 9. Dezember 2024. Abgerufen am 28. November 2025 .{{cite web}}: CS1 Wartung: andere ( Link )
  58. ^ „Datenschutzgesetz 1998“ . www.legislation.gov.uk . Expertenbeteiligung. Archiviert vom Original am 8. Juli 2025. Abgerufen am 28. November 2025 .{{cite web}}: CS1 Wartung: andere ( Link )
  59. ^ „Überblick über den Data Protection Act 1998 | BCS“ . www.bcs.org . Abgerufen am 28. November 2025 .
  60. ^ „Datenschutzgesetz 1998“ . www.legislation.gov.uk . Expertenbeteiligung. Archiviert vom Original am 28. Juni 2025. Abgerufen am 28. November 2025 .{{cite web}}: CS1 Wartung: andere ( Link )
  61. ^ „Was ist das Information Commissioner’s Office (ICO)?“ . IT Pro . 5. September 2019. Abgerufen am 28. November 2025 .
  62. ^ „Mitteilung zur Verarbeitung personenbezogener Daten – GOV.UK“ . www.gov.uk. Abgerufen am 28. November 2025 .
  63. ^ „Durchsetzung des Datenschutzes im Vereinigten Königreich“ . Global Compliance News . Abgerufen am 28. November 2025 .
  64. ^ „Information Commissioner’s Office – What exactly does it mean?“ . PrivacyEngine Data Protection Software and Solutions . Abgerufen am 28. November 2025 .
  65. ^ „Vermächtnis: Artikel-29-Datenschutzgruppe | Europäischer Datenschutzausschuss“ . www.edpb.europa.eu . Abgerufen am 28. November 2025 .
  66. ^ „Leitfaden und Ressourcen zur britischen DSGVO“ . ico.org.uk. 9. Oktober 2025. Abgerufen am 28. November 2025 .
  67. ^ „Artikel-29-Datenschutzgruppe“ . EPIC – Electronic Privacy Information Center . Abgerufen am 28. November 2025 .
  68. ^ „Leitfaden des Europäischen Datenschutzausschusses | Datenschutzkommission “ . Abgerufen am 28. November 2025 .
  69. ^ „ECSH10500 – Datenschutzgesetz 2018/Datenschutz-Grundverordnung: Einführung – Internes Handbuch der britischen Steuerbehörde HMRC – GOV.UK“ . www.gov.uk. Abgerufen am 28. November 2025 .