Datenschutz. Gewerbeverband Basel-Stadt. Wir machen Sie sicherer.

Transkript

1

2

3 Gewerbeverband Basel-Stadt Wir machen Sie sicherer.

4 Was wird eigentlich geschützt??

5 Datenschutzgesetz (DSG) Art. 1 Dieses Gesetz bezweckt den Schutz der Persönlichkeit und der Grundrechte von Personen, über die Daten bearbeitet werden.

6 Schutzobjekt Natürliche Personen Juristische Personen

7 Zweck des Datenschutzes Gläserner Kunde Informationelle Selbstbestimmung

8 Entstehung Datenschutz Fichenaffäre 1990 ( Trinkt abends mal ein Bier...) Staatsschutz Datenschutzgesetz vom

9 EDÖB Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter Bundesbeamter Gibt Empfehlungen ab Gute Hilfe bei Datenschutzfragen:

10 Bundesverfassung Art. 13 Jede Person hat Anspruch auf Achtung ihres Privat- und Familienlebens, ihres Brief-, Post- und Fernmeldeverkehrs. Jede Person hat Anspruch auf Schutz vor Missbrauch ihrer persönlichen Daten.

11 Was genau ist eigentlich ein Personendatum?? Einführungskurs neue Lernende 9

12 Allgemeine Personendaten (Art. 3 lit. a DSG) Alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen.

13 Besonders schützenswerte Personendaten Daten über: die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten die Gesundheit, die Intimsphäre oder die Rassenzugehörigkeit Massnahmen der sozialen Hilfe administrative oder strafrechtliche Verfolgungen und Sanktionen

14 Persönlichkeitsprofile (Art. 3 lit. d DSG) Eine Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt.

15 Datensammlung (Art. 3 lit. g DSG) Jeder Bestand von Personendaten, der so aufgebaut ist, dass die Daten nach betroffenen Personen erschliessbar sind.

16 Auskunftsrecht (Art. 8 DSG) Jede Person kann vom Inhaber einer Datensammlung Auskunft darüber verlangen, ob Daten über sie bearbeitet werden. Die Auskunft ist in der Regel schriftlich, in Form eines Ausdrucks oder einer Fotokopie sowie kostenlos zu erteilen. Z.B. auch HR-Dossier

17 Register der Datensammlungen Art. 11a DSG Private Personen (z.b. Firmen) müssen Datensammlungen anmelden, wenn: a. regelmässig besonders schützenswerte Personendaten oder Persönlichkeitsprofile bearbeitet werden; oder b. regelmässig Personendaten an Dritte bekannt gegeben werden. 15

18 Angaben ans Register Die Anmeldung enthält folgende Angaben: a. Name und Adresse des Inhabers der Datensammlung; b. Name und vollständige Bezeichnung der Datensammlung; c. Person, bei welcher das Auskunftsrecht geltend gemacht werden kann; d. Zweck der Datensammlung; e. Kategorien der bearbeiteten Personendaten; f. Kategorien der Datenempfänger; g. Kategorien der an der Datensammlung Beteiligten, das heisst Dritte, die in die Datensammlung Daten eingeben und Änderungen an den Daten vornehmen dürfen. 16

19 Ausnahmen von der Registrierpflicht a. Datensammlungen von Lieferanten oder Kunden, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten; b. Datensammlungen, deren Daten ausschliesslich zu nicht personenbezogenen Zwecken verwendet werden, namentlich in der Forschung, der Planung und der Statistik; c. archivierte Datensammlungen, die nur zu historischen oder wissenschaftlichen Zwecken aufbewahrt werden; d. Datensammlungen, die ausschliesslich Daten enthalten, die veröffentlicht wurden oder welche die betroffene Person selbst allgemein zugänglich gemacht und deren Bearbeitung sie nicht ausdrücklich untersagt hat; e. Daten, die ausschliesslich der Erfüllung der Anforderungen nach Artikel 10 dienen; f. Buchhaltungsunterlagen; g. Hilfsdatensammlungen für die Personalverwaltung des Inhabers der Datensammlung, soweit sie keine besonders schützenswerten Personendaten oder Persönlichkeitsprofile enthalten. 17

20 Ausnahmen von der Registerpflicht Der Inhaber von Datensammlungen muss seine Sammlungen nicht anmelden, wenn: a. private Personen Daten aufgrund einer gesetzlichen Verpflichtung bearbeiten; b. der Bundesrat eine Bearbeitung von der Anmeldepflicht ausgenommen hat, weil sie die Rechte der betroffenen Personen nicht gefährdet; c. er die Daten ausschliesslich für die Veröffentlichung im redaktionellen Teil eines periodisch erscheinenden Mediums verwendet und keine Daten an Dritte weitergibt, ohne dass die betroffenen Personen davon Kenntnis haben; d. die Daten durch Journalisten bearbeitet werden, denen die Datensammlung ausschliesslich als persönliches Arbeitsinstrument dient; e. er einen Datenschutzverantwortlichen bezeichnet hat, der unabhängig die betriebsinterne Einhaltung der Datenschutzvorschriften überwacht und ein Verzeichnis der Datensammlungen führt; f. er aufgrund eines Zertifizierungsverfahrens nach Artikel 11 ein Datenschutz- Qualitätszeichen erworben hat und das Ergebnis der Bewertung dem Beauftragten mitgeteilt wurde. 18

21 Einfache Datenbearbeitung Jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Speichern, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren, Löschen oder Vernichten von Daten.

22 Bekanntgabe an Dritte (Art. 3 lit. f DSG) Das Zugänglichmachen von Personendaten wie das Einsichtgewähren, Weitergeben oder Veröffentlichen.

23 Datenklassifizierung Voraussetzung für Datensicherheit Wie darf ich ein entsprechendes Personendatum bearbeiten? Wem darf ich es wie weitergeben? Tipp: Nicht zu komplizierte Lösung anstreben 21

24 Bearbeitungsgrundsätze (Art. 4 DSG) Rechtmässige Beschaffung der Daten Datenbearbeitung nach Treu und Glaube Transparenz Verhältnismässigkeit der Datenbearbeitung

25 Bearbeitungsgrundsätze (Art. 4 DSG) Zweckbindung der Datenbearbeitung Richtigkeit der Daten Sicherheit der Daten

26 Verletzungstatbestände Missachtung der allgemeinen Bearbeitungsgrundsätze Bearbeitung gegen den Willen der betroffenen Person Weitergabe von besonders schützenswerten Daten oder Persönlichkeitsprofilen an Drittpersonen

27 Rechtfertigungsgründe (Art. 13 DSG) Einwilligung des Verletzten Überwiegende private oder öffentliche Interessen Gesetzliche Ermächtigung

28 Rechtsbehelfe Verbotsrecht Berichtigungsrecht

29 Rechtsbehelfe Bestreitungsvermerk Schadenersatz / Genugtuung Strafantrag

30 Private Nutzung von Internet und am Arbeitsplatz EDÖB: Leitfaden über Internet- und überwachung am Arbeitsplatz 28

31 Private Nutzung von Internet und am Arbeitsplatz 1. Tangierte Interessen des Arbeitgebers 2. Verbot der Verhaltensüberwachung (erlaubt: Leistungsüberwachung) 3. Nutzungsreglement -- Beispielsreglement des EDÖB dex.html?lang=de 29

32 Schutz der Daten - ich bringe Ihnen die technische Sicht näher 1

33 Sowohl in Archive, wie in Backups werden Daten kopiert: 1. Zum Schutz der Daten und zum Absichern der Produktionsbereitschaft, Verhindern von Datenverlust 2. Als Beweis/Belege für eine bestimmte Geschäftssituation --- Immer muss im Auge behalten werden, dass die Übertragungsleitung der Datenmenge angepasst ist, sonst kann eventuell die zur Verfügung stehende Zeit für den Kopiervorgang zu kurz sein. Ebenso darf das Backup oder der Archivierungsvorgang den Betrieb im Normmalfall nicht stören. 2

34 Hier geht es darum, Daten für eine bestimmte oder unbestimmte Zeit (unveränderbar oder versioniert) aufzubewahren und sie dann, wenn sie benötigt werden, innert nützlicher Frist wieder vorlegen zu können. Die Daten sind nur einem ausgewählten Personenkreis zugänglich. Der Zugriff kann/muss protokolliert werden. Die Daten sind vor dem Löschen und Verändern geschützt Spezielle, handliche Netzwerkspeichergeräte können wartungsarm für diesen Zweck eingesetzt werden. Im Normalfall fallen zu archivierende Daten in relativ kleinen Mengen an. 3

35 Hier geht es um den Schutz der Daten und eine Vorsichtsmassnahme (Versicherung): Periodisch werden (System- und) Produktionsdaten entweder auf ein Backup-System oder auf Backup-Datenträger dupliziert. Der Abstand der Backups wird gewählt, je nach dem, wie viele Daten im schlimmsten Fall verloren gehen dürften. Es gibt verschiedene Methoden: Immer ist die Absicht den Betrieb möglichst nicht zu stören und den grösstmöglichen Nutzen für die eingesetzten Mittel zu bekommen. (Datenübertragung, Zusatz-Belastung auf dem Netz) 4

36 Ausfall des produktiven Systems ist eingetreten: Gibt es ein Backup-System (das möglichst nicht am selben Standort steht) und das 1. System fällt (durch einen Hardware-Schaden, Stromausfall, Feuer, Wasser) aus, dann kann automatisch oder manuell gesteuert das Backup-System mit dem zuletzt übertragenen Datenstand in Betrieb genommen werden. Das kann in sehr kurzer Zeit geschehen. Dazu muss entweder physisch oder logisch das Netzwerk auf den Ersatz- Server/Rechner umgeschaltet werden 5

37 Fällt das 1. System aus (durch einen Hardware-Schaden, Stromausfall, Feuer, Wasser) aus, und es wurde auf Backup-Medien gesetzt Muss eventuell zuerst die defekte Hardware beschafft und ersetzt werden (was je nach Vertrag mit dem Dienstleister/Lieferanten unterschiedlich lange dauern kann ½ Tag bis mehrere Tage) Danach können die Systemdaten und Produktionsdaten zurück gespeichert werden. (Das dauert je nach Datenmenge und Übertragungsleistung zwischen 1 Std und 1 Tag) Zusatznutzen des Backups: Sicherheit, bei Zerstörung von Daten durch unsachgemässe Bedienung Eine Mischform der beiden genannten Varianten kann auch die richtige sein 6

38 Zugang schützen durch Passwörter Malware wie Viren und Trojaner erkennen und abwehren Zugang zum Netzwerk kontrollieren und sichern 7

39 Alle Geräte, die im Betrieb verwendet werden, sollen durch Passwort gesichert sein Passwort-Richtlinien und Passwörter nicht unter der Tastatur So kann der Zugriff auf Ressourcen und Daten gesteuert werden Das ist bei geschützten Daten auch gesetzlich vorgeschrieben 8

40 Für Basis-Bedürfnisse reicht ein Standard-Router Software ist nicht Fehlerfrei, die vorhandenen Fehler sind nur noch nicht alle gefunden In jeder Software kann es unbekannte Funktionen haben, die gegen sie eingesetzt werden kann 9

41 Ein Trojaner der Bank-Zugangsdaten ausgespäht hat, hat bei KMUs grösseren Schaden angerichtet. Die Täter und das Geld waren weg, bevor jemand etwas bemerkt hat. 10

42 Das 3. Thema: Auf bestimmte Bereiche sollen nur ausgewählte Personen zugreifen 11

43 Sehr elegant kann das mit einem Dokumenten Management System (DMS) gelöst werden. Hier kann pro Verzeichnis, pro Dokument, pro Dokumentenart bestimmt werden, wer schreibend oder lesend Zugriff hat. Die restlichen Personen sehen die Verzeichnisse oder Dokumente nicht einmal. Verbunden mit einem Archivsystem oder mit einem Archivierungs-Modus kann auch die rechtssichere Aufbewahrung eingerichtet werden. (Dazu braucht es aber auch noch die Verfahrensdokumentation und eine gute Benutzereinführung) 12

44 Noch weiter geht die neu zur Verfügung stehende Methode zur Dokumentenverschlüsselung und der transparenten Entschlüsselung für alle berechtigten Personen. Dadurch können Sie jederzeit den Zugriff (wie, was, wo) auf ihre Dokumente sehr feingranular und situativ steuern. 13

45 14

46 15