SRL Nr. 38c Verordnung über die Benutzung von Informatikmitteln am Arbeitsplatz vom 10. Dezember 2002* Der Regierungsrat des Kantons Luzern, gestützt auf die 7 und 13 des Datenschutzgesetzes vom 2. Juli 1990 1 sowie 81 des Personalgesetzes vom 26. Juni 2001 2, auf Antrag des Finanzdepartementes sowie des Justiz-, Gemeinde- und Kulturdepartementes, beschliesst: I. Allgemeine Bestimmungen 1 Zweck 1 Diese Verordnung regelt die Benutzung von Informatikmitteln des Kantons. 2 Sie hat zum Zweck, die sensitiven Datenbestände zu schützen, den sicheren und wirtschaftlichen Einsatz der Informatikmittel zu gewährleisten sowie die Persönlichkeitsrechte der Anwenderinnen und Anwender zu wahren. 2 Geltungsbereich 1 Diese Verordnung gilt für die Mitarbeiterinnen und Mitarbeiter der kantonalen Verwaltung (einschliesslich Spitäler, Kliniken und kantonale Schulen) und der Gerichte. Soweit die Sicherheit, die Funktionsfähigkeit und die Verfügbarkeit der Informatikmittel betroffen sind, unterstehen ihr auch die Behördenmitglieder. * G 2002 619 1 SRL Nr. 38 2 G 2002 305 (SRL Nr. 51)
2 Nr. 38c 2 Ausgenommen sind die Ausgleichskasse Luzern, die IV-Stelle Luzern, die Arbeitslosenkasse, die Gebäudeversicherung und die Luzerner Pensionskasse. 3 Sie gilt jedoch auch für die in Absatz 2 genannten sowie für weitere Stellen und Körperschaften, soweit sie Informatikmittel des Kantons Luzern benutzen. 3 Begriffe 1 Informationen im Sinn dieser Verordnung sind Sach- und Personendaten. 2 Der Begriff der Informatikmittel sowie die Organisation und die Verantwortung für die Informatik richten sich nach der Informatikverordnung vom 10. Dezember 2002 3. 3 Der Begriff der Personendaten richtet sich nach dem Gesetz über den Schutz von Personendaten (Datenschutzgesetz) vom 2. Juli 1990 4. II. Grundsätze 4 Persönliche Verantwortung 1 Alle Anwenderinnen und Anwender sind für die Verwendung der Informatikmittel im Rahmen der geltenden Rechtsordnung und dieser Verordnung persönlich verantwortlich. 2 Insbesondere sind sie dafür verantwortlich, dass an ihrem Arbeitsplatz und in ihrem Zuständigkeitsbereich die entsprechenden Vorgaben zur Gewährleistung von Datenschutz und Datensicherheit befolgt und die notwendigen Massnahmen getroffen werden. Feststellungen über technische Mängel und sicherheitsrelevante Vorkommnisse sind den Informatikverantwortlichen unverzüglich zu melden. 5 Schulungs- und Informationspflicht 1 Die Departemente, die Staatskanzlei und die Gerichte sorgen dafür, dass die Anwenderinnen und Anwender über den richtigen Umgang mit den Informatikmitteln geschult und regelmässig informiert werden. 2 Sie sind befugt, für ihren Zuständigkeitsbereich Weisungen über die Nutzung der Informatikmittel zu erlassen. 3 SRL Nr. 39 4 SRL Nr. 38
Nr. 38c 3 III. Gebrauch und Missbrauch von Informatikmitteln 6 Grundsätze 1 Es dürfen grundsätzlich nur die von den Informatikverantwortlichen bereitgestellten Informatikmittel verwendet werden. Der Einsatz privater Informatikmittel bedarf der Bewilligung des oder der zuständigen Informatikverantwortlichen. 2 Die Informatikmittel dürfen grundsätzlich nur zur Erfüllung dienstlicher Aufgaben benutzt werden. 3 Die Verwendung der Informatikmittel zu privaten Zwecken darf den Dienstbetrieb nicht erschweren oder einschränken. 4 Benutzernamen und Passwörter sind persönlich und nicht übertragbar. Die Passwörter sind geheim zu halten und nach Anweisung der Informatikverantwortlichen regelmässig zu ändern. 7 Gebrauch von E-Mail 1 Mit E-Mail dürfen keine vertraulichen Informationen und insbesondere keine vertraulichen Personendaten übermittelt werden. 2 Vorbehalten bleibt die Übermittlung über E-Mail-Anschlüsse, die mit entsprechenden Sicherheitseinrichtungen (Verschlüsselung) ausgestattet sind und von den Informatikverantwortlichen bewilligt wurden. 8 Missbrauch der Informatikmittel 1 Missbräuchlich ist jede Verwendung der Informatikmittel, die a. gegen diese Verordnung verstösst, b. gegen andere Bestimmungen der Rechtsordnung verstösst, c. Rechte Dritter verletzt. 2 Missbräuchlich sind insbesondere folgende Handlungen: a. Einrichten, Anschliessen oder Installation nicht bewilligter Informatikmittel, b. Manipulation von Informatikmitteln des Kantons, c. Vorkehrungen zur Störung des Betriebs von Computern oder Netzwerken, d. Erstellen, Speichern, Ausführen und Verbreiten von Fernsteuerungs-, Spionage- und Virenprogrammen (z.b. Viren, Trojanische Pferde, Würmer oder Scripte), e. Versendung von E-Mails in Täuschungs- oder Belästigungsabsicht und private Massenversendungen, f. Zugreifen auf Daten mit rassistischem, sexistischem oder pornografischem Inhalt sowie deren Erfassung, Verarbeitung, Speicherung und Übermittlung, g. widerrechtliches Kopieren von Daten oder Software jeglicher Art.
4 Nr. 38c IV. Kontrollen 9 Kontroll- und Überwachungsmassnahmen 1 Kontroll- und Überwachungsmassnahmen bezwecken in erster Linie die Überprüfung und Gewährleistung der technischen Sicherheit, der Funktionsfähigkeit und der Verfügbarkeit der Informatikmittel. 2 Sämtliche Internetzugriffe und der gesamte E-Mail-Verkehr der Anwenderinnen und Anwender werden aufgezeichnet (protokolliert). Diese Protokolldaten können im Rahmen der 10 und 11 zur Überprüfung des Vollzugs dieser Verordnung verwendet werden. 3 Zur Verhinderung des Missbrauchs kann der Zugang zu bestimmten Internet-Adressen mittels Filtersperren beschränkt oder verhindert werden, und es können Netzwerküberwachungs- oder Netzwerkanalysewerkzeuge wie z.b. Portscanner oder Sniffer eingesetzt werden. Nicht gestattet ist der Einsatz so genannter Spionageprogramme. 4 Es werden folgende Daten protokolliert: a. Internetzugriffe: Benutzername, aufgerufene Internet-Adressen, Zugriffszeit, Zugriffsdauer, Grösse des heruntergeladenen Files, b. E-Mail-Verkehr: Absenderadresse, Empfängeradresse, Betreffzeile, Datum, Zeit, Grösse des E-Mails und allfälliger Attachments. Die Protokolldaten sind während zweier Monate aufzubewahren und anschliessend zu vernichten. Zu den Protokolldaten dürfen ausschliesslich die dazu speziell autorisierten Systemverantwortlichen Zugang haben. 5 Der Inhalt der E-Mails darf ohne Zustimmung der betroffenen Anwenderinnen und Anwender nicht gelesen werden. 6 Die Autorisation der Systemverantwortlichen nach Absatz 4 und 10 Absatz 1 erfolgt gemäss 18 Absatz 2 der Informatikverordnung vom 10. Dezember 2002 5. 10 Sicherheit, Funktionsfähigkeit und Verfügbarkeit der Informatikmittel 1 Für die Anordnung von Kontroll- und Überwachungsmassnahmen zur Überprüfung und Gewährleistung der technischen Sicherheit, der Funktionsfähigkeit und der Verfügbarkeit der Informatikmittel sowie die Durchführung von entsprechenden Auswertungen ist der oder die Informatikgesamtverantwortliche zuständig. Er oder sie hat dafür zu sorgen, dass solche Auswertungen nur von den dazu speziell autorisierten Systemverantwortlichen durchgeführt und streng vertraulich behandelt werden. 2 Die Protokolldaten sind in anonymisierter Form auszuwerten. Rückschlüsse auf bestimmte Anwenderinnen und Anwender dürfen nicht möglich sein. 5 SRL Nr. 39
Nr. 38c 5 3 Werden Störungen festgestellt, welche die technische Sicherheit, die Funktionsfähigkeit oder die Verfügbarkeit der Informatikmittel ernsthaft gefährden, dürfen die Protokolldaten ausnahmsweise personenbezogen ausgewertet werden, sofern dies zur Störungsbehebung unumgänglich ist. Die betroffenen Anwenderinnen und Anwender sind über Tatsache und Umfang der personenbezogenen Auswertung unverzüglich zu informieren. 4 Bei personenbezogenen Auswertungen hat der oder die Informatikgesamtverantwortliche die vorgängige Einwilligung der nach 11 Absatz 1 zuständigen Behörde einzuholen und erstattet dieser sowie der oder dem Datenschutzbeauftragten nachträglich Bericht über die durchgeführte Untersuchung und die allenfalls getroffenen Massnahmen. Kann eine Einwilligung vorgängig nicht eingeholt werden, darf die Auswertung durchgeführt werden, sofern die Gewährleistung der technischen Sicherheit, der Funktionsfähigkeit oder der Verfügbarkeit der Informatikmittel keinen Aufschub erlaubt. 11 Vollzug 1 Für die Überprüfung des Vollzugs dieser Verordnung mittels Auswertung der Protokolldaten sind die Vorsteherinnen und Vorsteher der Departemente, der Staatsschreiber oder die Staatsschreiberin und die Präsidentinnen oder Präsidenten des Obergerichtes und des Verwaltungsgerichtes zuständig. 2 Die gemäss Absatz 1 zuständige Behörde kann bei dem oder der Informatikgesamtverantwortlichen mittels der in 9 erwähnten Protokolldaten anonyme Plausibilitätskontrollen (Stichproben) über eine jeweils beschränkte Benutzungsdauer durchführen lassen, um den Vollzug dieser Verordnung zu überprüfen. 3 Besteht begründeter Verdacht auf Missbrauch von Informatikmitteln, kann die gemäss Absatz 1 zuständige Behörde gegenüber einem begrenzten Personenkreis eine den Betroffenen schriftlich angekündigte, zeitlich befristete Kontrolle durchführen lassen. 4 Die Durchführung der Kontrollen hat unter Aufsicht des oder der Informatikgesamtverantwortlichen zu geschehen. Die oder der Datenschutzbeauftragte ist vorgängig zu informieren, und es ist ihr oder ihm über die durchgeführte Untersuchung und allenfalls getroffene Massnahmen nachträglich Bericht zu erstatten. 5 Die Auswertungsresultate werden ausschliesslich der gemäss Absatz 1 zuständigen Behörde bekannt gegeben und sind streng vertraulich zu behandeln.
6 Nr. 38c V. Schlussbestimmungen 12 Sanktionen Bei Verstoss gegen die Rechtsordnung im Zusammenhang mit dem Gebrauch von Informatikmitteln und bei Verstoss gegen diese Verordnung können die personalrechtlich vorgesehenen Sanktionen ergriffen werden. Die Strafverfolgung und die Geltendmachung zivilrechtlicher Ansprüche bleiben vorbehalten. 13 Inkrafttreten Die Verordnung tritt am 1. Januar 2003 in Kraft. Sie ist zu veröffentlichen. Luzern, 10. Dezember 2002 Im Namen des Regierungsrates Der Schultheiss: Ulrich Fässler Der Staatsschreiber: Viktor Baumeler