Digitale Zusammenarbeit
Überlegungen, die man sich macht, um Messenger- und Videotelefonie-Produkte zu nutzen.
Nicht jedes Tool und nicht jede Software für Messenger- oder Videotelefoniedienste eignet sich zum Bearbeiten von Personendaten. Vor jedem Einsatz eines Tools oder einer Software ist zu überlegen, welches am besten für den Zweck geeignet ist und welche Schutzmassnahmen zur Verfügung stehen.
Die Verantwortung für die Personendaten liegt in jedem Fall beim öffentlichen Organ, das die Dienste und Produkte einsetzt.
4 grundlegende Auswahlkriterien
- Immer das datenschutzfreundlichste Produkt nutzen
- Telefon oder Messenger nutzen statt eine Videokonferenz durchführen
- ein System eines schweizerischen oder europäischen Anbieters nutzen statt eines aus Ländern mit nicht angemessenem Datenschutzniveau; Speicherung der Daten im europäischen Raum wählen - Das Produkt lokal einsetzen, also auf eigenen Systemen betreiben
- Bei Videokonferenzen keine Dokumente mit Personendaten auf Fremdsystemen abspeichern - Dienste mit angemessener Authentifizierung nutzen
- Wenn die Kommunikation besondere Personendaten beinhaltet, muss eine Zwei-Faktor-Authentifizierung gewählt werden - Ausschliesslich notwendige Funktionen aktivieren respektive nicht notwendige deaktivieren
- Attention Tracking deaktivieren
- Allenfalls Dokumentenablage sperren
- Aufnahmemöglichkeit sperren
7 Fragen zur Risikoabschätzung
Vor dem Einsatz eines Produktes muss eine Risikoabschätzung durchgeführt werden.
- Zu welchem Zweck wird das Produkt eingesetzt (interne oder externe Kommunikation, nur Speicherung von Dokumenten, Anzahl Teilnehmende)?
- Welche Art von Informationen soll ausgetauscht werden respektive welchem Schutzbedarf unterliegen sie (Sachdaten, Personendaten, besondere Personendaten)? Je sensitiver die Daten sind, desto höher ist der Schutzbedarf und desto mehr Schutzmassnahmen müssen umgesetzt werden.
- In welchem Bereich soll die Software eingesetzt werden (Strafverfolgung, Gerichte, Schule)? Gibt es besondere Geheimnispflichten wie das Berufsgeheimnis zu berücksichtigen?
- Wo werden die Informationen gespeichert? Sind dies Länder mit angemessenem Datenschutzniveau?
- Ist schweizerisches Recht anwendbar und ein schweizerischer Gerichtsstand verankert? Werden Dokumente mit Personendaten gespeichert, ist dies zwingend.
- Ist die Datenübermittlung und/oder die Datenspeicherung verschlüsselt? Besondere Personendaten müssen immer verschlüsselt übermittelt und gespeichert werden.
- Gibt es eine Zwei-Faktor-Authentifizierung? Bei sensitiven Personendaten und solchen, die einer speziellen Geheimnispflicht unterliegen, wird die Zwei-Faktor-Authentifizierung vorausgesetzt