Datenschutz und Datensicherheit Incentives Einfach zum Vor-, Nach- und Querdenken

Transkript

1 Datenschutz und Datensicherheit Incentives Einfach zum Vor-, Nach- und Querdenken Was dürfen Sie erwarten.. Chaos? Ordnung? Gedankensplitter Datenschutz und Datensicherheit Aktuelle Situation Empfehlungen Jahrestagung der OCG_ Datenschutz und Datensicherheit_W. Keck 2 1

2 Willy Landsberg Vorsitzender European Society for egovernment e.v Kaum ein Thema erhitzt die Gemüter im Moment so sehr wie das Thema Datenschutz und Datensicherheit. Kein Wunder das Einzige, was in unseren Tagen noch sicher zu sein scheint, ist die Unsicherheit von Daten und Informationen. Man fragt sich: Wie angreifbar und verwundbar sind wir schon (lange)? Gibt es überhaupt verlässliche Maßnahmen, Daten und ekommunikation zu schützen? Ist Datenvermeidung etwa der einzig richtige Weg? Öffnet Open Data dem Diebstahl Tür und Tor? Und man spürt: Es geht es um viel mehr als um technische Aspekte. Es geht um Verantwortung. Und es geht um Verantwortlichkeit. Begriffe, die gerade im ehealth und egovernment eine große Rolle spielen (sollten). Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 3 Gedankensplitter Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 4 2

3 Transparenz, Partizipation und Kollaboration Transparenz Partizipation Kollaboration Open Government Data,-Frei verfügbare Daten des öffentlichen Sektors Prof. Dr. Jörn von Lucke Zeppelin University Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 5 Benthams Panoptikum als Sinnbild der digitalen Moderne (Grafik: Wikipedia) Dann, so argumentiert Bentham, ist es eben nicht notwendig, dass sie (Anm. Fabriksarbeiter, Gefangene) im Einzelfall überwacht werden, denn schon die Möglichkeit, dass sie überwacht werden, verändert das Verhalten der Beobachteten. Ein Plädoyer Vernetzte Souveränität durch eine digitale Realpolitik Autor / Redakteur: Dr. Philipp Müller / Manfred Klein sicherheits-management/compliance/articles/444603/ Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 6 3

4 Metanoia Umdenken: Denken in Systemen Wir müssen die Ära der digitalen Netzwerkgesellschaft verstehen, strategisch denken und Netzpolitik aktiv gestalten, klar zwischen dem Möglichen und dem Utopischen unterscheiden. Wir müssen lernen das Spannungsverhältnis auszuhalten zwischen den Dingen, die wir verändern können (auch meta-strukturell) und denen, die wir nicht ändern können. Ein Plädoyer Vernetzte Souveränität durch eine digitale Realpolitik Autor / Redakteur: Dr. Philipp Müller / Manfred Klein sicherheits-management/compliance/articles/444603/ Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 7 EIF Thinking Design Design Thinking - Thoughts by Tim Brown, Cross, Nigel. "Designerly Ways of Knowing." Design Studies 3.4 (1982): Vortrag von FH-Prof. DI Dr. Sauermann (FH-Technikum Wien) zu ELGA am Prüfstand am Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 8 4

5 Datenschutz und Datensicherheit Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 9 Datenschutz Grundsatz der Verhältnismäßigkeit Die wichtigsten formalen Regeln beschreibt der Grundsatz der Verhältnismäßigkeit im Sinne der jahrzehntelangen Weiterentwicklung durch den EGMR und die nationalen Höchstgerichte, insbes. des deutschen Bundesverfassungsgerichts und des österr. VfGH. 1. Welcher Grundrechtliche Schutzbereich ist betroffen bzw. liegt ein Eingriff vor? 2. Ist der Eingriff gesetzlich vorgesehen bzw. hinreichend bestimmt? 3. Dient der Eingriff einem legitimen Zweck, dem öffentlichen Interesse (vgl. abstrakte Aufzählung in Art 8 Abs. 2 EMRK)? 4. Ist der Eingriff geeignet, diesen Zweck auch zu erreichen? 5. Ist der Eingriff erforderlich od. gibt es ein gelinderes Mittel, den Zweck zu erreichen? 6. Ist der Eingriff verhältnismäßig im engeren Sinn? Das ist die eigentliche Güterabwägung, wenn alle Fragen vorher bejaht werden können. Hier ist also die Abwägung zwischen öffentlichem Interesse und dem Nachteil durch den Eingriff (sowohl für die Gesellschaft als auch im Einzelfall) vorzunehmen, wobei ein adäquates Verhältnis bestehen muss. Diese Frage muss sowohl der Gesetzgeber generell-abstrakt als auch die Vollziehung im Einzelfall beachten. Ing. Dr. Christoph Tschohl Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 10 5

6 Datenschutz Wesensgehalt Eine zusätzliche Orientierung bietet die sog. Wesensgehaltssperre, die im deutschen GG sowie nunmehr in der EU Grundrechte-Charta ausdrücklich formuliert ist. vgl. Art 52 Grundrechte-Charta: Die österreichische Judikatur ist hier zurückhaltend, allerdings ist das Wesensgehaltsargument grundsätzlich anerkannt. Es geht also darum, dass die Rechtslage oder die Vollziehung nicht nur formal die Grundrechte zu achten hat, diese dürfen auch nicht über die Hintertür in ihrem Wesensgehalt ausgehöhlt werden. Für die Verhältnismäßigkeit ist hier nach der Judikatur (national und europäisch) aber von großer Bedeutung, wie die Saveguards aussehen und ob es auch effektive Rechtsmittel bzw. Beschwerde- und Kontrollmechanismen gibt. Ing. Dr. Christoph Tschohl Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 11 Datensicherheit Informationssicherheit Als Informationssicherheit bezeichnet man Eigenschaften von informationsverarbeitenden und -lagernden (technischen oder nicht-technischen) Systemen, die die Schutzziele Vertraulichkeit, Verfügbarkeit und Integrität sicherstellen; sie dient dem Schutz vor Gefahren bzw. Bedrohungen, der Vermeidung von wirtschaftlichen Schäden und der Minimierung von Risiken. In der Praxis orientiert sich die Informationssicherheit ua. an: ISO/IEC Reihe, IT-Grundschutz (BSI-Handbuch), Evaluierung und Zertifizierung von IT-Produkten und -systemen z.b. ISO/IEC (Common Criteria); Medizinprodukte-Richtlinie MDD (Medical Device Directive), NEU:Medizinprodukte-Verordnung (Medical Device Regulation MDR); komplexe Anforderungen durch Software-Norm IEC Aus Anwendersicht: Login: Identifikation, Authentifikation, Autorisierung Logout: Ordnungsgemäß (technologisch unterstützt) Verantwortlichkeiten: Securitysoftware, Updates, Sitechecks, Verschlüsselung von Festplatte und Nachrichten, IP-Adresse User-ID Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 12 6

7 Datensicherheit DSG Abschnitt, Datensicherheit, Datensicherheitsmaßnahmen 14 (1) Für alle Organisationseinheiten eines Auftraggebers oder Dienstleisters, die Daten verwenden, sind Maßnahmen zur Gewährleistung der Vorheriges SuchergebnisDatensicherheit zu treffen. Dabei ist je nach der Art der verwendeten Daten und nach Umfang und Zweck der Verwendung sowie unter Bedachtnahme auf den Stand der technischen Möglichkeiten und auf die wirtschaftliche Vertretbarkeit sicherzustellen, dass die Daten vor zufälliger oder unrechtmäßiger Zerstörung und vor Verlust geschützt sind, dass ihre Verwendung ordnungsgemäß erfolgt und dass die Daten Unbefugten nicht zugänglich sind. 22 a (5) der Bestimmungen zum Verfahren zur Überprüfung der Erfüllung der Meldepflicht 50 (1) der Bestimmungen zu den Informationsverbundsysteme Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 13 Aktuelle Situation Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 14 7

8 Compliance - Modell Bildungsziele Gesundheitsziele Eltern Therapeut Bildung Gesundheit Lehrer Schüler / Kinder Arzt Patient Jahrestagung der OCG_ Lebenszyklus des Lernens_wkeck_ Netzwerk-Modell Gesundheitsziele Diätologen Pflegedienste Therapeut Altenpflegedienste Apotheker Ambulatorien Psychotherapeuten Psychologen Patientenanwälte Physiotherapeuten Gesundheit Selbsthilfegruppen Fachärzte Arzt Patient Angehörige Jahrestagung der OCG_ Lebenszyklus des Lernens_wkeck_

9 Netzwerk-Modell Bildungsziele Begleitlehrer Schulleiter Eltern Teamlehrer Sozialarbeiter Muttersprachlicher Zusatzlehrer Förderlehrer Sportlehrer Schulpsychologe Schularzt Bildung Sprachheilpädagogen Kollegen Angehörige Lehrer Schüler / Kinder Jahrestagung der OCG_ Lebenszyklus des Lernens_wkeck_ OHNE ELGA Gesundheit in Österreich - Arnold Lengauer GOOGLE+ Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 18 9

10 Wie schaut die derzeitige Praxis aus? ELGA Datensicherheit in den Arztpraxen? Karteikartensysteme von Patienten in der Auslage? Von wem sind Befunde und Rezepte einsehbar? Mundpropaganda unter dem Siegel der Verschwiegenheit? Unbefugter Zugriff auf Daten? Dateneigner? ELGA jeder Zugriff wird protokolliert werden Patient kann man diese Protokolle einsehen Strafandrohungen für unbefugten Zugriff! Dateneigner: PatientInnen! In Anlehnung an die Social Media-Meldung in Gesundheit in Österreich - Arnold Lengauer GOOGLE+ Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 19 BIFIE-Daten I OTS II 0232 NBU0001, Fr, 28.Mär 2014, Datenschutzrat / Maier / Politik / BIFIE Datenschutzrat empfiehlt allen Ressorts, ihre Datensicherheit zu überprüfen: Schreiben ergeht an alle Regierungsmitglieder Wien (OTS) - "Aus Sicht des Datenschutzes hat Unterrichtsministerin Heinisch-Hosek mit dem vorläufigen Stopp der Schülertestungen richtig gehandelt", sagte Datenschutzratsvorsitzender Johann Maier. Über weitere Maßnahmen, insbesondere bildungspolitische, könne sinnvollerweise erst dann diskutiert und entschieden werden, wenn die Prüfverfahren durch die unabhängige Datenschutzbehörde und die Volksanwaltschaft sowie die strafrechtlichen Ermittlungen der Staatsanwaltschaft abgeschlossen seien. "Die unzulässige Veröffentlichung der BIFIE-Daten über Schultestergebnisse und Lehrer und Lehrerinnen sollte nun allen Ministerinnen und Ministern Anlass sein, die Datensicherheit gründlich zu überprüfen, sowohl im jeweils eigenen Haus wie auch in den ausgegliederten Einheiten und bei externen Vertragspartnern", so Maier weiter. "Der Datenschutzrat empfiehlt daher ausdrücklich allen Ministerien, aber auch allen Gebietskörperschaften sowie Privaten, die mit Daten operieren, ihre Datensicherheitskonzepte sowie die entsprechenden Datensicherheitsmaßnahmen, wie im Paragraph 14 des Datenschutzgesetzes vorgesehen, noch einmal genau zu prüfen." Ein entsprechendes Schreiben des Datenschutzrates werde an alle Mitglieder der Bundesregierung ergehen. Das Schreiben des Datenschutzrates an die Mitglieder der Regierung ist auf der Seite des Datenschutzrates nachzulesen: Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 20 10

11 BIFIE-Daten II OTS II 0232 NBU0001, Fr, 28.Mär 2014, Datenschutzrat / Maier / Politik / BIFIE "Der Datenschutzrat vertritt überdies in diesem Zusammenhang die Auffassung, dass - um ein geordnetes Krisenmanagement bei derartigen Verletzungen der Datensicherheit zu gewährleisten - bundesweit eine zentrale Anlaufstelle für Meldungen über derartige Sicherheitsvorfälle betraut werden sollte. Diese Aufgabe könnte auch einer bereits bestehenden Einrichtung übertragen werden", so Datenschutzratsvorsitzender Maier abschließend. Weiterführende Links: BIFIE-Gesetz: Daten, Datenschutz 7. (1) Das BIFIE hat bei der Wahrnehmung sämtlicher Aufgaben die Grundsätze des Datenschutzes zu wahren. (2) Das BIFIE ist berechtigt, bei seinen Untersuchungen Daten aus den gemäß Bildungsdokumentationsgesetz, BGBl. I Nr. 12/2002, eingerichteten Gesamtevidenzen der Schüler und Schülerinnen sowie der Studierenden zu verwenden und vorhandene Auswertungen aus diesen Evidenzen zu nutzen. Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 21 Empfehlungen Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 22 11

12 Umdenken Es geht um Prozess-Souveränität, um die Gestaltung von: Zutritt, Zugang, Zugriff, Dateneingabe, Datenweitergabe, Verfügbarkeit, getrennter Datenverarbeitung, etc. Ziele Gewährleistung von Privatsphäre und Datenintegrität. Eine durch Prozesse und Rollen definierte Netzwerkgesellschaft. Verhältnismäßigkeit, Risikoabwägung, Fehlerkultur, Hausverstand. Transdisziplinäre Medienkompetenz, e-literacy (Facebookschule, Surfing in the Box) IKT-Governance (EIF), Thinking Design, Akzeptanz und Usability! Wiedergewinnung eines Grundvertrauens, Trustfulness in einer VUKA-Welt Wir müssen lernen uns für Aspekte, die auf den Fluss und nicht auf das Territorium achten, zu interessieren und uns verantwortungsvoll darum annehmen: Datenschutzrichtlinien, Sicherheitspolicies und -konzepte, Audits und Zertifizierungen, Prozess- und Produkt-Lifecycles Sicherheitsbewusstseins-, Ethics and Compliance -Schulungen (Unternehmenskultur) Führungsleitlinien In Erweiterung von Ein Plädoyer - Vernetzte Souveränität durch eine digitale Realpolitik Autor / Redakteur: Dr. Philipp Müller / Manfred Klein Jahrestagung der OCG_ Datenschutz und Datensicherheit_W.Keck 23 Ein mutiges Umdenken ohne Tabu in einer Umgangskultur des Miteinander zu Gunsten des Gemeinwohls ist gefordert! Herzlichen Dank für Ihre Aufmerksamkeit! Wolfgang Keck wkeck@tmo.at E-Government-, e-health- & Compliance uam. Mitglied von TI-AC, IIRÖ, ÖCOV Signaturwert VtCVpqDpMS/+MwwmzkFtWWg9XgrrXboPG9WTCB7ee8f0X+lDSFB7/OfR2hBxHdbt3yCrp2qI8 26Kcy2AjDU+5A== Unterzeichner Wolfgang Michael Keck Aussteller-Zertifikat CN=a-sign-premium-mobile-03,OU=a-sign-premium-mobile- Jahrestagung der OCG_ Datenschutz und Datensicherheit_W. Keck 03,O=A-Trust Ges. f. Sicherheitssysteme 24 im elektr. Datenverkehr GmbH,C=AT Serien-Nr Methode Parameter urn:pdfsigfilter:bka.gv.at:binaer:v1.1.0 etsi-bka-atrust-1.0:ecdsa-sha256:sha256:sha256:sha1 Prüfinformation Hinweis Datum/Zeit-UTC Signaturpruefung unter: Dieses mit einer qualifizierten elektronischen Signatur versehene Dokument ist gemäß 4 Abs. 1 Signaturgesetz einem handschriftlich unterschriebenen Dokument grundsätzlich rechtlich gleichgestellt T06:06:30Z 12