Mit Inkrafttreten der EU-DSGVO im Mai 2018 verschärfen sich die Anforderungen an den Umgang mit personenbezogenen Daten deutlich. Der Anwendungsbereich ist sehr weit und betrifft nahezu jede Organisation, auch außerhalb der EU, sofern personenbezogene Daten von EU-Bürgern gespeichert oder verarbeitet werden. Der Fokus liegt stärker auf der nachweisbaren Wahrung der Privatsphäre von Konsumenten, was insbesondere IT-Organisationen zwingt, technische und organisatorische Maßnahmen zu konkretisieren, zu dokumentieren und belastbar zu betreiben.
Zentral ist zunächst das systematische Auffinden personenbezogener Daten (PII), die typischerweise über Anwendungen, Datenbanken, Verzeichnisse, Endgeräte und unstrukturierte Ablagen wie Tabellen, Dokumente oder E-Mails verteilt sind. Darauf aufbauend müssen Zugriffe so kontrolliert werden, dass autorisierte Nutzung im Rahmen der Einwilligung möglich ist und unautorisierter Zugriff verhindert wird, einschließlich Einschränkungen bei der Aggregation von Daten. Einwilligungen selbst müssen granular und über ihren gesamten Lebenszyklus hinweg nachvollziehbar verwaltet werden; die Nachweispflicht liegt bei Verantwortlichen und Auftragsverarbeitern, weshalb Prozesse und Technologien bis hin zur Feldebene erforderlich sein können.
Die gleichen Anforderungen gelten für Cloud-Nutzung: CASB- und DLP-Ansätze unterstützen Erkennung, Steuerung und Schutz (z. B. Verschlüsselung); zudem muss der Cloud-Provider informiert und die Eignung des Dienstes (z. B. ISO/IEC 27018) sichergestellt werden. Für Datenschutzverletzungen ist eine Meldung an die Aufsichtsbehörde binnen 72 Stunden sowie an Betroffene ohne unangemessene Verzögerung vorgeschrieben, was vorbereitete und getestete Prozesse erfordert. Schließlich wird Privacy Engineering als „Privacy by Design“-ähnlicher Ansatz gefordert: Privatsphäre muss wie Security von Beginn an in Systeme und Anwendungen eingebaut werden, nicht nachträglich.
