Lehrgang zum/r betrieblichen Datenschutzbeauftragten 27. Februar 2014 Betriebliches und Technisches Thomas Riesenecker-Caba Forschungs- und Beratungsstelle Arbeitswelt (FORBA) 1 Stand der Technik (1/2) 2 Durchdringung aller Bereiche mit Informationsund Kommunikationstechnik (IKT = Datenanwendung i.s.d. DSG) und dadurch vermehrte Speicherung personenbezogener MitarbeiterInnendaten. Lokale und globale Zusammenführung von personenbezogenen Daten aus unterschiedlichen Systemen. Kommunikation verändert sich stetig (mobile Endgeräte, VoIP, Echtzeitkommunikation unter Nutzung Internet - Lync)
Stand der Technik (2/2) 3 Daten mobiler Services werden in betriebliche Systeme und Prozesse integriert (Arbeiten mit mobilen Endgeräten, Nutzung Geodaten, ) Auslagerung von Diensten (z.b. externes Rechenzentrum, Cloud Computing, Office365, dropbox) Servicegedanken steht bei IKT-Einsatz im Vordergrund (z.b. Verwendung von RFID-Multifunktionskarten, M2M automatisierter Informationsaustausch zwischen Endgeräten, embedded systems, IPv6 - Internet der Dinge) Social Networks als neue und billige Datenquelle Big Data 4 Stand 13.02.2014, 8:50
5 die Hard- und Software... 6
Die Hard- und Software 7... unterschiedliche Hardware... verschiedene Softwareprodukte/Technologien Die Hard- und Software Anwenderprogramme Systemprogramme C l o u d 8... unterschiedliche Hardware... verschiedene Standorte
9 Ist-Stand erheben 10 Zu welchen Zwecken wird Datenanwendung/IKT eingesetzt? Sind Anforderungen des DSG vom Dienstgeber erfüllt worden? (z.b. Meldung bei Datenverarbeitungsregister - DVR)? Welche Systeme (inkl. Module) sind im Einsatz? Welche Unterlagen (Systembeschreibungen) sind vorhanden? Welche Daten werden in den Systemen wo und wie lange erfasst? Welche Auswertungen sind vorgesehen? Wer hat Zugriff auf Daten und Auswertungen? Welche Daten werden mit anderen Systemen ausgetauscht (Schnittstellen)? Werden Daten an andere Unternehmensstandorte übermittelt/überlassen bzw. wird in globalen Systemen gearbeitet? Gibt es externe Dienstleister?
Analyse der Veränderungen durch vermehrten Technikeinsatz technisch: neue Endgeräte (Kopierer, Scanner, Fax), mehr Daten werden erfasst und ausgewertet, (neue/erweiterete) Anwendersysteme mit erhöhter Funktionalität organisatorisch: neue Arbeitsabläufe, neue Leistungs-/ Kennzahlen (KPI), neue Qualifikationen rechtlich: DVR-Meldungen aktualisieren, interne Richtlinien (IT-Betriebsordnung, Compliance Richtlinie, ) adaptieren, Dienstleisterverträge überprüfen 11 Schnittstelle Recht-Technik-Normierung 12 ISO/IEC 27001 ff. (ISO = International Organization for Standardization) Information technology Security techniques Information security management systems Requirements. COBIT: Control Objectives for Information and Related Technology ein international anerkanntes Rahmenwerk für IT-Governance und Kontrolle IT Infrastructure Library (ITIL): ein De-facto-Standard für IT- Sicherheit Österreichisches Informationssicherheitshandbuch
13 Daten... Zeichen Bilder Texte Zeitpunkte Sprache und Muster 14
wie Daten zur Information werden Zeichen (Eingabe von Buchstaben und Ziffern in bestehende Datenmasken z.b. Name, SV-Nummer, Kostenstelle) Bilder (Videoerfassung, Screen-Shot des Bildschirms, Einträge in sozialen Netzwerken [z.b. Profilbild]) Texte (Bewerbungsschreiben, elektronischer Personalakt) Zeitpunkte (An-/Abmeldung PC, Statusmeldung WhatsApp, Einkaufen mit Kundenkarte) Sprache (Voice-Recording, VoIP [Voice over Internet Protocol] - Datenpaket, Aufzeichnung in Call Center) Muster (Barcode, Fingerprint) 15 auch Systemmeldungen können personenbezogen sein Rückmeldung von Produktionsmaschinen (Menge, Stillstand, Ausschuss) Positionsdaten von mobilen Endgeräten (Smart Phone, GPS-System) Druck- und Scanvorgänge am Kopierer Durchschnittlicher Benzinverbrauch und Geschwindigkeit des Firmenauto Funkchips (RFID = radio-frequency identification ) in Dienstkleidung oder Ausweisen 16
ohne Worte 17 https://www.eff.org/pages/list-printers-which-do-or-do-not-display-tracking-dots MitarbeiterInnen als KundInnen In einigen Betrieben können MitarbeiterInnen gleichzeitig auch KundInnen sein. Hier ist darauf zu achten, dass diese zwei unterschiedlichen Datenbestände nicht miteinander verknüpft werden! Beispiele: - Krankenhaus! - Ämter - Bank, Versicherung (Daten Angehöriger) - Telekombetreiber - 18
19 Personenbezogene Daten werden vor allem in drei großen Bereichen verwendet, aber 20 1. Technische Systeme im Bereich der Personalverwaltung (Teil von ERP- Systemen): zur Entgeltberechnung oder zur Zeitwirtschaft. Wird immer mehr zu (globalen) HCM-Systemen ausgebaut. Integration von Daten zur Weiterbildung (e-learning), BewerberInnenverwaltung, digitale Personalakte 2. Systeme zur Leistungserfassung und -kontrolle (Verhaltenskontrolle): vom betrieblichen Controlling, der Produktionsplanung und steuerung sowie Qualitätssicherung in hoch technisierten Produktionsstraßen ( MES Manufacturing Execution System), zur Bewältigung von KundInnenanfragen in Call-Center bis hin zur Videoüberwachung. 3. Kommunikationssysteme: Telefon (Nebenstellenanlagen, VoIP, CTI - Kollaborationssoftware), Handy oder E-Mail. [Zum Teil ohne eigenes Handeln] M2M (machine to machine), Internet der Dinge
aber nicht zu vergessen 4. Verwaltungssoftware: Ticket-Systeme/Fernwartung, MDM (Mobile Device Management), Verwaltung und Steuerung von Druck-, Kopier- und Scanvorgänge (follow me) 5. Embedded Systems (eingebettete Systeme) 6. Metadaten: 21 22
Details zu 1) Personalverwaltung 2) Kommunikationssysteme (Telefon, E-Mail, mobile Devices) 3) Kommunikations- und Kooperationssysteme (Lync, Sharepoint, ) 4) Multifunktionskarten (Zutritt, Kantine, Betriebsmittel, ) 5) Multifunktionsgeräte 6) Call Center 7) Video 8) M2MN, Internet der Dinge, IPv6 9) GPS 10) ISMS 23 1) Personalverwaltung 24
S A P Hinter dem Unternehmen und dem Produkt SAP steht eine Anwendungssoftware, die alle betrieblichen Bereiche mit einem System (SAP ERP) unterstützt. Es werden Lösungen für die Personalwirtschaft, das Finanzwesen und die Logistik angeboten, aber auch fast alle anderen branchenspezifischen Anforderungen können in SAP bearbeitet werden. 25 Einer der größten Vorteile von SAP liegt in der zentralen Datenhaltung, die den Zugriff und Austausch von Informationen zwischen verschiedenen betrieblichen Bereichen massiv erleichtert. Aber durch die Vielzahl der in diesem System vorhandenen Anwendungsgebiete ist es schwierig, eine umfassende Übersicht über alle personenbezogenen Daten zu erhalten. Beispiel Personalverwaltung mit SAP: Human Resources - Human Capital Management 26
Die Herausforderung SAP... viele Anwendungsbereiche... viele personenbezogene Daten... fast unbegrenzte Möglichkeiten der Auswertung 27 Die digitale Personalakte (1/2) Die Teilnahme an einem Seminar, die Ergebnisse eines MitarbeiterInnengesprächs, Anmerkungen von Vorgesetzten, Unterweisungen und Ermahnungen: alles ist einfach zu digitalisieren und zu speichern. Im Vergleich zum Papierakt können diese Dokumente einfacher vervielfältigt oder übermittelt werden. Werden nicht schon zu Beginn dieser Entwicklung aktiv die Regelungen des Datenschutzes und der Datensicherheit mitgedacht, bleibt Betriebsräten oder PersonalvertreterInnen oft nur der mühsame Weg, Transparenz in die nun technisch unterstützte Verwaltung dieser Dokumente zu bringen. 28
Die digitale Personalakte (2/2) Folgende Fragen sind dabei von besonderer Bedeutung: - Wer hat Zugriff auf diese Informationen? - Dürfen einzelne Dokumente kopiert werden? - Inwieweit erhalten die Betroffenen Auskunft über die gespeicherten Informationen bzw. Dokumente? - Wann müssen diese gelöscht werden? 29 Die elektronische Zeiterfassung WICHTIG: Zeiterfassung = Erfassen von Kommen und Gehen und Mittagspause Leistungserfassung = Erfassen von Beginn und Ende einzelner Arbeitsschritte / Aufgaben 30
2) Kommunikationssysteme (Telefon, E-E Mail, mobile Devices) 31 Voice over IP = Nutzung der betrieblichen Datennetze (1/2) Grundlage für Voice over IP ist die weltweite Verbreitung des Internet und die schnelle Übertragung immer größerer Datenmengen. Sprache wird digitalisiert und in Datenpaketen übermittelt. Durch die Zusammenführung von Computer und Telefon erweitert sich die Funktionalität an den Arbeitsplätzen. 32
Voice over IP = Nutzung der betrieblichen Datennetze (2/2) Da nicht nur Sprache übermittelt werden kann, sondern parallel dazu auch Bilder oder andere Informationen, ist die Bearbeitung früher getrennter Aufgaben in einem System möglich -> kollaborative Software Beispiele hierfür sind Videokonferenzen, der Austausch von Textmeldungen (z.b. Chat) oder das gemeinsame Arbeiten an Dokumenten. Dies kann zu einer Arbeitsintensivierung bzw. zu Veränderungen in den Arbeitsinhalten führen. Parallel dazu können diese Arbeitsvorgänge protokolliert werden und bieten somit die Möglichkeit zur Kontrolle. 33 Telefon, Handy (mobile Endgeräte, Smartphones), CTI 34 Was ist zu beachten - Form der Datenerfassung und auswertung - Erweiterung der Funktionalität (z.b. Apps) - Privatnutzung möglich, Form der Abrechnung - Bring your own device BYOD - Handynutzung außerhalb der Arbeitszeit (Erreichbarkeit)
technisch heiss umkämpfter Markt, weitreichende Funktionalität (Surfen, Chat, Bezahlen über NFC, Fotos inkl. Metadaten, Termine, ) Virenschutz nicht Standard Erweiterungen leicht gemacht (Apps) Kommunikation über sichere Kanäle rechtlich Verwendung von Kommunikationsdaten -> Betriebsvereinbarung 96a ArbVG ( 96?) Info schwierig, da individuell erweiterbar organisatorisch welche Endgeräte nur Firmengeräte (BYOD?) wie Verwaltung der Vielzahl an Geräten, mitunter mehrere pro Person (MDM Mobile Device Management) Kosten als Datensicherheitsfalle (Nutzung offene WLAN) Smartphones menschlich was kann deins in Verfügungsgewalt der Benutzer- Innen mit Adminberechtigung (und deren privatem Umfeld?) Komfort vor Schutz (regelmäßige Änderung Passwort, wo ist die nächste Pizzeria?) 35 technisch verschiedene Anbieter weitreichende Funktionalität (nicht nur Verwaltung, Call/SMS-Log, Ortung, Gartner Report rechtlich Verwendung personenbezogener Daten (International Mobile Station Equipment Identity IMEI) -> Betriebsvereinbarung 96a Ordnungs(Nutzungs)vorschriften -> 97 Abs 1 Z 1 ArbVG 36 organisatorisch Verwaltung mobiler Devices einheitliche Sicherheitskriterien (?) Installation von Applikationen Deinstallation von Applikationen Datentransfer Sperren der Geräts bei Verlust vollständigen Löschung aller Daten Unterstützung bei der Datensicherung Mobile Device Management menschlich Daten aus Privatnutzung können einsehbar werden Verwendung immer und überall (Erreichbarkeit)
37 technisch Identifizierung und Authentifizierung Remote-access, VPN Sicherheitskonzepte -> (funktionale Trennung privat/beruflich -> getrennte Instanzen, Arbeiten in der Cloud) -> nur berechtigte Nutzer erhalten Zugriff auf Daten rechtlich Müssen bei privater Nutzung eigener Geräte betriebliche Vorschriften eingehalten werden -> NEIN Urheberrecht Löschung bei Verlust Sicherung privater Daten organisatorisch Vermischung privater und beruflicher Nutzung von Geräten, Programmen und Diensten wer trägt Kosten (auch bei Verlust) Ausmustern Bring your own device menschlich Unternehmen weiß nicht, was BenutzerInnen so treiben. Wer nutzt es noch Was ist bei Beendigung Dienstverhältnis 38
E-Mail, Internet: Personenbezogene Daten? E-Mail-Adresse Eckdaten aus versendeten und empfangenen E-Mails (An, Von, Betreff) Inhalt von E-Mails (Text, Anhänge) Adressverzeichnis auf eigenem Arbeitsplatz 39 IP-Adresse des Arbeitsplatzes Internet-Favoriten/Bookmarks auf eigenem Arbeitsplatz Verweildauer auf Internet-Seiten (Protokoll) Facebook-Profil VoIP [Voice over Internet Protocol] Datenpaket (Internet-Telefonie) E-Mail Kommunikation Server INTERNET Server 40
Rahmenbedingungen des E-Mail Dienstes 41 Weltweit kann uns jede/r E-Mails senden Nicht jede E-Mail ist auch erwünscht: Spam E-Mails oder infizierte E-Mail Anhänge (Datensicherheit 14 DSG 2000) E-Mail ist eine Postkarte E-Mail Verschlüsselung (wer besitzt Information) Fehlende Nachweisbarkeit der Beteiligten - SigG (digitale Signatur, Zeitstempeldienste) Einhalten betrieblicher Sicherheitsvorschriften (ACHTUNG: Dienstnehmerhaftpflichtgesetz gilt nicht wenn Schaden aus Privatnutzung entsteht) Verhaltensregeln beim E-Mailaustausch Inhalt und Form, Antwortverhalten, Abwesenheit, Vertretungsregeln E-Mail Signatur, vermeintliche vertrauenswürdige E-Mails (Absender frei benennbar), Links in Mail Archivierung 42
3) Kommunikations- und Kooperations- systeme (Lync, Sharepoint, ) 43 Der Arbeitsplatz als Call-Center Microsoft Microsoft bietet Betrieben mit der Anwendung MS Lync für PC und Smartphone ungeahnte Möglichkeiten zur Arbeitserleichterung aber auch zur KONTROLLE 44
45 46
4) Multifunktionskarten (Zutritt, Kantine, Betriebsmittel, ) 47 Was ist zu beachten? Welche Anwendungsgebiete / Zwecke? Welche Daten werden erfasst/erzeugt? Werden (Bewegungs-)Daten verknüpft/ausgewertet? Wer hat Zugriff? 48
5) Multifunktionsgeräte te 49 Es tauchen plötzlich neue Frage auf Warum druckst du in Farbe aus? Wieso scannst du 50 Seiten? Ist der USB-Port frei? Was sind schon temporäre Files? 50
6) Call Center 51 Call-Center Intensive und verteilte Nutzung von Informations- und Kommunikations- Technologien. System routet Anrufer: wenn sie Infos zu X wünschen, drücken sie die 1 52
Anruf eines/r KundIn Name: Anruf Brigitte Adresse: 1000 Wien, Obere Strasse Vertragsdaten: ABX seit 11/08, AB Letzte Anrufe: 12.2.10/10.2.10/28.1.10 Priorität: D Grund Anruf: 0043/1/1234567 53 Beispiel Call-Center 54
Aber auch Keyword Spotting Emotion Detection 55 7) Video 56
Videokontrolle Durch eine neue Generation von Kameras, wie z.b. Webcams, werden Bewegungen digital als Bildfolgen aufgezeichnet (oft mehrere Dutzend Bilder/Minute), wobei jedes Bild für sich ein einzelnes Datenfile darstellt. Somit befindet sich auf betrieblichen Rechnern eine Unmenge von elektronischen Bildern, die beispielsweise (zufällig) in einen überwachten Bereich eintretende Personen enthalten. Diese Bilder/Datenfiles können auf einfache Art und Weise ausgewertet, übermittelt oder von externen Arbeitsplätzen (z.b. über Netzwerke wie das Internet) eingesehen und somit einer größeren Gruppe an Personen zur Verfügung gestellt werden 57 die passende App dazu. 58
8) M2M, Internet der Dinge, IPv6 59 Exkurs M2M Elektronik im Auto (OBD2) Noch schnell über eine Gelbphase bei der Ampel gefahren Gleich beim ersten Mal richtig eingeparkt Alleine unterwegs oder gibt es Fahrgäste 60 Appeared in 2010 IEEE Symposium on Security and Privacy. http://www.autosec.org/
IPv6 IPv4 aufgrund Gestaltung Adressformat mit 2 32 => ca. 4,3 Milliarden Adressen IPv6 aufgrund Änderung Adressformat nun 2 128 => ca. 340 Sextillionen Adressen => da sind betrieblich organisatorische und technische Änderungen notwendig! 61 Exkurs M2M Elektronik im Haus Gibt s heute Kuchen Tochter/Sohn hängt ganze Nacht vorm Internet/TV Waschtag Schichtbetrieb oder senile Bettflucht 62
9) GPS, Ortungssysteme 63 GPS Positionsbestimmung von Betriebsmitteln Die Ortung von Betriebsmitteln (beginnend vom Firmenauto bis hin zu Laptop oder Handy) kann in Verbindung mit denjenigen Personen, die diese Betriebsmittel verwenden, zu zusätzlichen personenbezogenen Informationen führen. Diese System arbeiten oft in Verbindung mit Geodateninformationssystemen (z.b. Google Maps) und liefern somit auch Daten der Umgebung (z.b. öffentliches WC, Kaffeehaus, Würstelbude,...) Auch hier sind Betriebsvereinbarungen, die den Umgang mit den Daten regeln, sinnvoll. 64
10) ISMS, Datensicherheit, ISO 27001 ff 65 66
67 Links 68 http://www.forba.at/de/beratung/themen/index.html (Kurzinformationen zu wichtigen Bereichen der Informationsverarbeitung) http://www.dsb.gv.at (Webseite der Österreichischen Datenschutzbehörde) https://www.sicherheitshandbuch.gv.at (Österreichisches Informationssicherheitshandbuch) http://www.arbeiterkammer.at/online/page.php?p=29&ip=63103&a D=0&REFP=2969 (FORBA-Studie zum betrieblichen Datenschutz)
DANKE FÜR DAS INTERESSE! Thomas Riesenecker-Caba Forschungs- und Beratungsstelle Arbeitswelt (FORBA) riesenecker@forba.at http://www.forba.at 69