DATENSCHUTZBEAUFTRAGTER Schwyz Obwalden Nidwalden. 1

Transkript

1 1

2 Datenschutz und Informatik Rechtliche Aspekte beim Einsatz von IT-Tools im HR 2

3 3

4 Bundesverfassung Art. 13 Schutz der Privatsphäre 1 Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihrer Wohnung sowie ihres Brief-, Post- und Fernmeldeverkehrs. 2 Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten. Zivilgesetzbuch Art. 28 Schutz der Persönlichkeit 1 Wer in seiner Persönlichkeit widerrechtlich verletzt wird, kann zu seinem Schutz gegen jeden, der an der Verletzung mitwirkt, das Gericht anrufen. 2 Eine Verletzung ist widerrechtlich, wenn sie nicht durch Einwilligung des Verletzten, durch ein überwiegendes privates oder öffentliches Interesse oder durch Gesetz gerechtfertigt ist. Obligationenrecht Art. 328b Der Arbeitgeber darf Daten über den Arbeitnehmer nur bearbeiten, soweit sie dessen Eignung für das Arbeitsverhältnis betreffen oder zur Durchführung des Arbeitsvertrages erforderlich sind. Im Übrigen gelten die Bestimmungen des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz. 4

5 Verfassung: - Grundrecht: Schutz der Persönlichkeit und der Privatsphäre Datenschutzgesetze Bund & Kantone: - Datenschutzgrundsätze - Zuständigkeiten & Verfahren - Einzelne spezifische Bestimmungen - Aufsicht OR & kantonale Rechtsgrundlagen (Personalrecht, Informatikweisungen, etc.): - Art & Umfang der gesetzlichen Aufgabe - Regeln zur Datenbearbeitung - Geheimhaltungspflichten & Amtsgeheimnis 5

6 6

7 Personendaten Personendaten: Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen bestimmbar = Rückschluss ohne erheblichen Aufwand möglich Natürliche und juristische Personen Auch Unternehmen sind in ihrer Persönlichkeit geschützt Besonders schützenswerte Personendaten: religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten Gesundheit, Intimsphäre, ethnische Zugehörigkeit vormundschaftliche Massnahmen Massnahmen der sozialen Hilfe administrative oder strafrechtliche Verfolgungen und Sanktionen 7

8 Besonders schützenswerte Personendaten Beispiele aus dem HR-Bereich Unfallmeldungen, Arztzeugnisse und Arztberichte Informationen über medizinische Eingriffe Informationen über Schwangerschaft und Niederkunft Psychologische Gutachten oder Persönlichkeitsprofile Graphologische Gutachten Strafregisterauszüge Informationen über Tätigkeiten in einem Personalverband oder einer Gewerkschaft Informationen über die Religionszugehörigkeit Disziplinarakten Informationen über Verkehrsdelikte oder Führerscheinentzüge u.a.m. 8

9 Wichtigste datenschutzrechtliche Grundsätze Rechtmässigkeit Verhältnismässigkeit Treu und Glauben 9

10 10

11 Grundsatz 1: Rechtmässigkeit Jede Bearbeitung von Personendaten muss rechtmässig sein, andernfalls gilt sie als widerrechtlich! 11

12 Rechtmässigkeit der Bearbeitung von Personendaten Gesetzliche Grundlage Ermächtigung Einwilligung Gewöhnliche PD Beso. schützenswerte PD Gewöhnliche PD Beso. schützenswerte PD - Gesetz, Verordnung oder Weisung - Dient der Erfüllung einer gesetzlichen Aufgabe - Ausdrückliche gesetzl. Bestimmung - Für Erfüllung der gesetzlichen Aufgabe unentbehrlich - Mündlich - Schriftlich - Direkt - Indirekt - Schriftlich - Ausdrücklich 12

13 13

14 Grundsatz 2: Verhältnismässigkeit 1. Nur, wenn überhaupt nötig -Brauche ich die Information für die Aufgabe? 2. Nur soviel, wie nötig -Was brauche ich genau? 3. Nur so lange, wie nötig -Wie lange brauche ich die Information? 14

15 15

16 Grundsatz 3: Treu und Glauben Willkürverbot Zweckbindungsgebot Vollständigkeit und Richtigkeit Schutz vor unbefugtem Zugriff 16

17 Personalbeschaffung Personalmanagement Personalentwicklung DATENSCHUTZBEAUFTRAGTER Personendaten in HR-Prozessen Normale PD: - Personalplanung - Funktions-/Stellenbeschreibung - Bewerbungsdossiers (Motivationsschreiben, CV, Arbeitszeugnisse, etc.) - Long-/Shortlists, Absagen - Gesprächsprotokolle - Anstellungsvertrag, Lohn Beso. schützenswerte PD - Assessmentergebnisse - graphologische Gutachten - psychologische Profile - evtl. medizinische Informationen Normale PD: - Personaldossier (Grunddaten, Beförderungen, Prämien, Qualifikationen) - Arbeitszeitkontrolle - Spesen- und Reiseabrechnungen - Personalcontrolling Beso. schützenswerte PD: - Personaldossier (Krankheiten und Unfälle, Strafregisterauszüge) - Disziplinarakten - Zugehörigkeit zu einer Gewerkschaft oder einem Personalverband Normale PD: - Aus- und Weiterbildungen, Seminare (Kursadministration, TN-Listen, Präsenzlisten, personalisierte Auswertungen) - Interne Kandidatenlisten - Vereinbarte Entwicklungsmassnahmen Beso. schützenswerte PD: - Management Development - Potenzialanalysen - Assessmentberichte - psychologische Profile 17

18 IT Tools im HR Einfache elektronische Ablagen Dokumentenmanagement-Systeme GEVER-Lösungen Personalplanung Stellenbewertung Anzeigenmanagement Bewerbermanagement erecruiting Potenzialanalyse-Tools Assessment-Tools u.a.m. Personaladministration Budget-Tools Zeitwirtschaftsysteme Personaleinsatzplanung Beförderungen Gesundheitsmanagement Zielvereinbarung und Mitarbeitergespräch u.a.m. Aus- und Weiterbildung Kursadministrations-Tools Nachfolgeplanung Talent-Management, Skill- Management Management-Development Potenzialanalyse-Tools u.a.m. PERSONALBESCHAFFUNG PERSONALMANAGEMENT PERSONALENTWICKLUNG 18

19 Grad der Integration und Auslagerung Externer Dienstleister Leistungserbringung Lokaler Betrieb Grad der IT- Unterstützung Datenhaltung IT-gestützte Prozesse 19

20 Rechtmässigkeit Verhältnismässigkeitsprinzip Treu und Glauben 20

21 21

22 Bearbeitung von Personendaten Rechtmässigkeit Verhältnismässigkeit Treu und Glauben klassisch IT-gestützt Bringprinzip Dossierübergabe im Einzelfall Abrufverfahren Holprinzip Verantwortlicher Dateninhaber hat die Kontrolle darüber, wohin die Daten gehen und zu welchem Zweck sie verwendet werden. Verantwortlicher Dateninhaber hat keine Kontrolle mehr darüber, wer wann zu welchem Zweck die Daten abruft. Kontrolle muss schon bei der Einräumung der Berechtigungen stattfinden! 22

23 Dateninhaber Rechte & Pflichten gemäss DSG Rechtliche Verantwortung Auftragsdatenverarbeiter Datenverarbeitung im Auftrag Technische Verantwortung Datenempfänger Erfüllung einer gesetzl. Aufgabe Rollenverantwortung Stellen Personendaten ein Server HR-Applikationen Rufen Personendaten ab Rollen-/Berechtigungskonzept Zugriffssteuerung/ -kontrolle 23

24 24

25 Rollen- und Berechtigungskonzept Definierte Prozesse EDV- Applikationen/Datenfelder Rollen- und Berechtigungskonzept Pflichtenhefte/zugewiesene Aufgaben 25

26 Auszug aus einer Rollenbeschreibung (Beispiel) Rollenbezeichnung PayAll PayPflege01 PayBeweg Beschreibung Änderung aller Personalstamm- und Bewegungsdaten / alle Abrechnungskreise Pflege der abrechnungsrelevanten Datenfelder ohne sensible Bereiche für Abrechnungskreis 01 Pflege der monatlichen Bewegungsdaten für Abrechnungszwecke / alle Abrechnungskreise 26

27 Beispiel Rollendefinition Datenfeld Rolle PayAll Rolle PayPflege01 Rolle PayBeweg Personalnummer r/w r r Name r/w r r Ferienanspruch r/w r/w r Lohn r/w - - Stundensatz r/w r/w - Zeitdaten r/w - r/w Ferienbezug r/w - r/w Applikationen Rolle PayAll Rolle PayPflege01 Rolle PayEingabe Abrechnung Testlauf x x - Echtabrechnung x x - r = Read (Leseberechtigung), w = write (Schreib-/Änderungsrecht) x = Ausführungsberechtigung 27

28 28

29 Art und Umfang der IT-Unterstützung Leistungserbringung ausgelagert Betrieb, Datenhaltung und Wartung extern Betrieb und Datenhaltung intern; Wartung extern Externe haben Datenzugriff Eingekaufte Software Eigenentwicklungen Betrieb, Datenhaltung und Wartung intern Administratoren haben Datenzugriff 29

30 Datenzugriff Dritter Administratoren (interne Mitarbeiter) Amtsgeheimnis Vertrauensstellung im Pflichtenheft umschrieben Spezielle Geheimhaltungsverpflichtung Sehr eingeschränkter Personenkreis (Verhältnismässigkeitsprinzip!) Externe Festlegung des Personenkreises mit Datenzugriff im Wartungsvertrag bzw. im Service-Level-Agreement Festlegung der technischen und organisatorischen Schutzmassnahmen (Verbot der Speicherung, Verschlüsselung, Zutrittsregelungen etc.) Genaue Regelung der Zugriffsberechtigungen Geheimhaltungserklärungen der betroffenen Personen Protokollierung der Zugriffe 30

31 Schutzmassnahmen Technische Massnahmen Abschliessbare(s) Türen/Mobiliar Technische Sperren (Drucker, USB-Sticks, CD-Laufwerke etc.) Aktuelle Virenschutzprogramme Verschlüsselungen Erzwungene Passwortänderungen Vorgegebene Stärke der Passwörter Automatische Timeouts Back-Ups u.a.m. Organisatorische Massnahmen Schlüsselplan Genaue Rollendefinitionen Berechtigungskonzepte Verantwortlichkeiten für Pflege der Berechtigungen Geheimhaltungserklärungen Weisungen, Reglemente (insbes. IT-Sicherheit) Ausbildung, Sensibilisierung Kontrollen u.a.m. 31

32 Verantwortlichkeiten HR-Leitung HR-Personal IKT-Betreiber Festlegung HR-Prozesse und Aufgaben Festlegung Rollen & Berechtigungen Festlegung Schutzstufe SLA mit IKT-Leistungserbringer Kontrolle und Aufsicht Datenbearbeitung gemäss Rolle & Pflichtenheft Verantwortungsvoller Umgang mit den Personendaten Einhaltung der Weisungen Schutz der Zugangsdaten Kontrolle der Vollständigkeit & Richtigkeit Stabiler Betrieb der Applikationen Umsetzung der Schutzmassnahmen & Zugriffsteuerung Durchführung der Backups Virenschutz & Firewalls Protokollierung der Zugriffe 32

33 33

34 Kontrollrechte der Angestellten Jeder/jede darf Einsicht in seine eigenen Daten verlangen. Das Einsichtsbegehren muss nicht begründet werden. Die Auskunft muss kostenlos sein. Jeder/jede darf verlangen, dass die unrechtmässige Führung von Daten unterlassen wird. Jeder/jede darf verlangen, dass unrichtige Daten berichtigt oder gelöscht werden. 34

35 35