|
Erste Phase: Anonyme Kontrolle der Sicherheit und der Einhaltung
der Nutzungsregelung
Eine Aufgabe der Informatikdienste oder Sicherheitsbeauftragten eines Unternehmens besteht in der Gewährleistung der Sicherheit und Funktionstüchtigkeit der technischen Mittel. In Kleinbetrieben ist der Vorgesetzte dafür selber zuständig. Die Gewährleistung der Sicherheit erfolgt laufend, meistens durch den Einsatz von technischen Schutzmassnahmen (z. B. Intrusion Detection System). Die Abwehr von internen oder externen Angriffen wird weitgehend diesen Massnahmen überlassen.
Der Arbeitgeber hat dafür zu sorgen, dass die technischen Schutzmassnahmen regelmässig dem neuesten Stand der Technik angepasst werden.
Sofern keine sicherheitsrelevanten Gefahren oder Angriffe verzeichnet werden, spielen die Protokollierungen bei der Gewährleistung der Sicherheit und Funktionstüchtigkeit keine Rolle. Demzufolge dürfen sie auch nicht personenbezogen ausgewertet werden. Erst wenn eine technische Störung vorliegt, können die Protokollierungen beigezogen werden, um deren Ursache zu klären.
In dieser Phase der Überwachung kommt zum Ausdruck, dass der technische Schutz der Ressourcen Vorrang vor jeglicher personenbezogenen Kontrolle hat.
Unter der Voraussetzung, dass die Angestellten vorgängig darüber informiert wurden, darf der Arbeitgeber mit Hilfe der Protokollierungen kontrollieren, ob das Verbot bzw. die Einschränkung der privaten Internet- und E-Mail-Nutzung eingehalten wurde. Die Aufgabe kann vom Sicherheits- oder vom Datenschutzbeauftragten wahrgenommen werden. Die Person, die für die Kontrollaufgabe zuständig ist, muss über ihre Verantwortung klar informiert werden, besonders im Zusammenhang mit personenbezogenen Auswertungen.
Die Kontrollen der Einhaltung der Nutzungsregelung dürfen nur stichprobenartig, nach einem bestimmten Zeitplan (z. B. einmal pro Monat) erfolgen und nur eine beschränkte Benutzungsdauer (z. B. die letzten 5 Tage des Monats) decken.
Die Überwachung der gesamten Zeitspanne seit der letzten Stichprobe käme einer ständigen Verhaltensüberwachung gleich, welche gemäss Art. 26 ArGV 3 nicht zulässig ist.19 Die Kontrolle erfolgt in dieser Phase anonym, da mit einem Missbrauch nicht a priori zu rechnen ist.
Die Protokollierungen der E-Mail-Nutzung betreffen die Adressierungselemente (darunter vor allem die Absender- und Empfängeradresse), weswegen diese Kontrolle von der Technik her immer personenbezogen erfolgt. Der Arbeitgeber muss deswegen den Sicherheitsbeauftragten darauf aufmerksam
machen, dass diese Daten vertraulich sind und dass eine ständige Überwachung
des E-Mail-Verkehrs nicht erlaubt ist.
|
