Weisungen. Datenschutz im lt-bereich der Universität Bern. Klassifikation. Verteiler. Dokumentenstatus. Verwaltungsdirektion, lt-verantwortliche, ld

Transkript

1 u b b UNIVERSIlÄT BERTII Verteiler Klssifiktion Dokumentensttus Verwltungsdirektion, lt-verntwortliche, ld Für internen Gebruch Freigegeben

2 Bern, lnhltsverze chn s Grundsät2 iches Zweck... Dtenschutz - ein Them für Universitätsngehörige?..,,Dten" 3.1 BesondersschützenswerteDten lnformtionssicherheits- und Dtenschutz-Konzept... Umgng mit Dten Allgemeine technische Grundsätze der lnformtik Dtenschutz im Uni Netzwerk Besondersschützenswerte Dten 6 Fernmeldegeheimnis... Schlussbestimmungen 7.1 WidersprechendeBestimmungen 7.2 lnkrfttreten Referenzen / Links Seite 2/6

3 Bern, Grundsätzliches 1.1 Zweck Die folgenden sollen mithelfen, Dten im lt-bereich in Bezug uf Verntwortlichkeit und Schutzwürdigkeit besser klssifizieren zu können, und liefern einige grundsätzliche Leitplnken, welche technischen Hilfsmittel sich für welche Schutzklsse eignen können. Die gliedern sich in einen rechtlichen und einen technischen Teil. 2. Dtenschutz - ein Them für Universitätsngehörige? Alle Universitätsngehörigen kommen gelegentlich mit,,dten" in Berührung, z.b. o ls Studierende im Zusmmenhng mit der lmmtrikultion ls Prrifungsverntwortliche im Zusmmenhng mit der Beknntgbe und Archivierung von Prüfungsergebnissen o ls Forschende im Zusmmenhng mit empirisch gewonnenen, personenbezogenen Dten oder mit Umfrge Ergebnissen. ls Erbringende von Dienstleistungen, etw im Zusmmenhng mit Krnkengeschichten. ls lnformtikbeuftrgte im Zusmmenhng mit Frgen des Dtenzugngs und der Sicherung von Dtenmteril Die Universität untersteht ls öffentlich-rechtliche Anstlt des Kntons Bern der kntonlen Dtenschutzgesetzgebung, nmentlich dem kntonlen Dtenschutzgesetz vom 19. Februr 1986 (KDSG; BSG ).1! Der Dtenschutz ist eine Konkretisierung der verfssungsmässigen Rechte des Persönlichkeitsschutzes sowie des Schutzes des Privt- und Geheimbereichs. So bestimmt die Bundesverfssung vom 18. April 1999 in Artikel 13 Abstz 2:,,Jede Person ht Anspruch uf Schutz vor Missbruch ihrer persönlichen Dten." 3. Dten,,Dten" im Sinne der Dtenschutzgesetzgebung sind immer Personendten, lso,,angben über eine bestimmte oder bestimmbre ntürliche oder juristische Person" (Art. 2 Abs. 1 KDSG). Drunter fllen nmentlich: o Personlien o lmmtrikultionsunterlgen. Prüfungsunterlgen. personenbezogene Dossiers wie Korrespondenz, Gesuche, Vermerke, Berichte und Evlutionen. personenbezogene Forschungsdten wie usgefüllte Frgebögen und Befrgungsprotokolle 3.1 Besonders schützenswerte Dten Besonders schützenswerte Dten unterstehen bezüglich ihrer Sicherung und Weitergbe besonderen Einschränkungen. Solche Dten sind gemäss Art. 3 KDSG nmentlich solche über:. die religiöse, weltnschuliche oder politische Ansicht, Zugehörigkeit und Betätigung sowie die Rssenzugehörigkeit den persönlichen Geheimbereich, insbesondere den seelischen, geistigen oder körperlichen Zustnd. Mssnhmen der sozilen Hilfe oder fürsorgerischen Betreuung o polizeiliche Ermittlungen, Strfverfhren, Strftten und die dfür verhängten Strfen oder Mssnhmen Seite 3/6

4 Bern, '17 4. lnformtionssicherheits- und Dtenschutz-Konzept lst beknnt oder wird vermutet, dss Dten im Sinne der Dtenschutzgesetzgebung in einer Orgnistionseinheit berbeitet werden, muss eine Anlyse respektive ein Konzept zu lnformtionssicherheit und Dtenschutz (ISDS-Anlyse respektive ISDS-Konzept) gemäss den Vorgben des Amts für lnformtik und Orgnistion (KAIO) erstellt werden. Bei Frgen in diesem Zusmmenhng kontktieren Sie bitte die lnformtikdienste. Wird eine neue Dtenbnk mit Personendten ngelegt, ist deren Eigentümerschft verpflichtet, diese Dtensmmlung beim der Dtenschutz Aufsichtsstelle registrieren zu lssen. Die Registrierung erfolgt über den Rechtsdienst und knn unter folgender E-Mil Adresse gemeldet werden: 5. Umgng mit Dten Personendten dürfen nur dnn und nur so weit berbeitet (lso gesmmelt, verändert, weitergegeben etc.)werden, wie eine genügende gesetzliche Grundlge, ein geseþlicher Auftrg hierzu besteht (Art. 5 KDSG). Für besonders schützenswerte Dten müssen die gesetzliche Grundlge besonders klr und der Berbeitungsuftrg zwingend sein (Art. 6 KDSG), während für die Berbeitung der übrigen Personendten uch eine implizite Grundlge - lso etw die Ableitung us dem Anstltszweck und den Aufgben der Universität - usreicht. Für die Dtenberbeitung zu Forschungszwecken gilt, dss Personendten so zu nonymisieren sind, dss Rückschlüsse uf die betroffenen Personen unmöglich sind (Art. 15 KDSG). Die Universität ist für die Berbeitung ihrer Dten selber verntwortlich (Art. 8 KDSG); für Missbräuche wird sie - uch schdenerstzrechtlich - zur Verntwortung gezogen. Die Misschtung der Dtenschutzgesetzgebung durch ihre Angehörigen knn für die Universität erhebliche Kosten verurschen. Personen, über die Dten bestehen, hben nch Abschluss llfälliger Verfhren (2.8. Leistungskontrollen, Promotions- oder Hbilittionsverfhren) grundsätzlich Anspruch uf Einsicht in ihr Dossier (Art. 21 KDSG; zu den Einschränkungen dieses Grundstzes vgl. Art. 22 KDSG). Während lufender Verfhren gelten dgegen die Bestimmungen des Gesetzes vom 23. Mi '1989 über die Verwltungsrechtspflege (VRPG; BSG ). 6. Allgemeine technische Grundsätze der lnformtik Allgemeine technische Grundsätze sind Regeln, welche unbhängig vom Schutzgrd der Dten immer ngewendet werden müssen:. Keine ungesicherte (unverschlüsselte) Übermittlung Kein Zugng zu lnformtikmitteln ohne geeigneten Schutz (Psswort, Zertifikt, o.ä.). Zugriffs-Rechte uf lnformtikmittel klr festlegen, einschränken soweit sinnvoll und möglich, periodisch überprüfen o Nicht (mehr)verwendete Geräte, Services, etc. usser Betrieb nehmen, dektivieren, deinstllieren o Kein Speichern uf Medien/Services die unter externer Kontrolle stehen (Clouds) Kein unnötiges Mitführen uf mobilen Dtenträgern, CDs, Lptops, Smrtphones, etc. Wrten der lnformtikmittel: Ptch Mngement, Updtes, Mlwre Protection, etc.. Physischer Zugng zu lnformtikmitteln sichern und einschränken. Benutzer- erstellen und kommunizieren (soweit nicht durch bestehende der U niversität bgedeckt) Bckup-Strtegie errbeiten (uch unter dem Gesichtspunkt der Vertrulichkeit/lntegrität der Dten) Die Richtlinien der lnformtikdienste für die sichere Entsorgung von lt-dtenträgern sind einzuhlten [2] Seite 4/6

5 Bern, Dtenschutz im Uni Netzwerk Wenn eine Benutzergruppe n einem Stndort ein lokles, zusätzliches geschütztes Netz betreibt und prllel ds UniNetz vorhnden ist, müssen die zwei Anschlüsse physiklisch getrennt sein. Eine Benutzerin oder ein Benutzer knn sich entweder n ds UniNetz oder n ein sicheres Netzsegment direkt nschliessen lssen, jedoch nicht n beide zugleich. 6.2 Besonders schützenswerte Dten Besonders schützenswerte Dten us dem Forschungs-, Dienstleistungs- und Verwltungsbereich, vor llem besonders schützenswerte Personldten im Sinne von Art. 3 KDSG dürfen nicht uf ds UniNetz gelngen Ausnhmen von obigem Grundstz sind einzig möglich, wenn die Hrd- und Softwre für Dtenkommuniktion nur einen chiffrierten und uthentifizierten Dtenverkehr mit einem solchen Endgerät zulässt Endgeräte uf denen unchiffrierte, besonders schützenswerte Dten gespeichert sind, dürfen nicht unmittelbr mit dem UniNetz verbunden werden Die Benutzergruppen sind verpflichtet, flls schützenswerte Dten uf Endgeräten vorhnden sind, einen däquten Schutz dieser Dten zu gewährleisten Besonders schützenswerte Dten sind zusätzlichen technischen Schutzmssnhmen im lt-bereich zu unterwerfen. Solche Schutzmssnhmen können einzeln gentigen, werden ber meist kombiniert ngewendet, und beinhlten insbesondere: ) Absicherung des loklen Netzwerks durch geeignete Filter (Firewll, Pket-Filter) b) Gewährleistung der VertrulichkeiVlntegrität uf Dtenträgern durch Verschlüsselung der Dten c) Gewährleistung der VertrulichkeiVlntegrität bei Dtenübermittlung durch Verschlüsselung 6 Fernmeldegehe mn s Die über ds UniNetz übertrgene lnformtion steht unter dem Schutz des Fernmeldegeheimnisses. lnsbesondere gilt: d) Zufällig oder in Ausübung einer dienstlichen Tätigkeit erlngte lnformtion oder uch nur die Ttsche deren Whrnehmung ist geheim zu hlten e) Es ist untersgt, sich Zugng zum UniNetz in der Absicht zu verschffen, übertrgene lnformtionen zu erlngen oder zu mnipulieren, flsche lnformtionen einzubringen oder die Übertrgung zu stören f) Es ist untersgt, sich Zugng zum UniNetz in der Absicht zu verschffen, unberechtigten Zugng zu Endgeräten m UniNetz oder n dmit verbunden Netzwerken, uch versuchsweise, zu erlngen oder vorsätzlich zu stören 7. Schlussbestimmungen 7.1 Widersprechende Bestimmungen Bestehende, diesen widersprechende Bestimmungen werden hiermit ufgehoben 7.2 lnkrfttreten Die vorliegenden treten mit ihrer Genehmigung in Krft. Seite 5/6

6 Be'n, Dtenschutz im lt-bereich der Universitåt Bern 8. Referenzen / Links Die ngeführten Rechtsgrundlgen finden sich unter der Link-Smmlung des Rechtsdiensts der Universität. Für Frgen im Zusmmenhng mit dem Dtenschutz wende mn sich n: Rechtsdienst der Universität Hochschulstrsse Bern info@rechtsd ienst. un ibe.ch Ausführliche technische lnformtionen sind unter der Link-Smmlung der lnformtikdienste erhältlich. Frir Frgen im Zusmmenhng mit lt-security oder ISDS wende mn sich n: I nformtikdienste der U niversität Hochschulstrsse Bern security@id.unibe.ch [1] Dtenschutzgesetz (KDSG): [2] intern. u nibe.ch/rechtssmm lu ng Bern, lm Nmen der Universitätsleitung Der Rektor: Prof. Dr. Christin Leumnn Seite 6i6