Kürzlich hat die spanische Datenschutzbehörde (AEPD) eine Sanktionsresolution gegen die Regionalregierung von Kastilien-La Mancha (exp. EXP202406805) erlassen, die ein wiederkehrendes Problem erneut in den Mittelpunkt rückt: Ist es zulässig, dass der Dienstausweis von Angestellten im öffentlichen Dienst in elektronischen Signaturen und signierten Dokumenten erscheint?
Im Folgenden erläutern wir die rechtlichen Grundlagen und die praktischen Auswirkungen dieser Resolution sowie die aktuelle Situation digitaler Zertifikate wie T-CAT.
Was hat die AEPD gelöst?
Die Entschließung analysiert, ob es mit der DSGVO vereinbar ist, dass in elektronisch von Beamten unterzeichneten Dokumenten Daten wie beispielsweise Name, Nachname und Ausweisnummer des Unterzeichners, für Dritte zugänglich.
Laut AEPD:
- Das DNI ist ein Datenelement. große Empfindlichkeit, da es die direkte und unmissverständliche Identifizierung einer Person ermöglicht und hohe Risiken wie Identitätsdiebstahl birgt.
- Seine Einbeziehung in Unterschriften oder sichtbare Kennzeichen kann eine übermäßige Datenverarbeitung.
Sie werden möglicherweise verletzt:
- el Datenminimierungsprinzip (Art. 5 Abs. 1 Buchst. c DSGVO)
- und der Beginn von Datenschutz durch Technikgestaltung und Standardeinstellungen (Art. 25 DSGVO)
Aus diesem Grund kommt die AEPD zu dem Schluss, dass es notwendig wäre Vermeiden Sie es, den DNI in die sichtbaren Informationen unterzeichneter Dokumente aufzunehmen.und sich für weniger aufdringliche Identifizierungsmechanismen entscheiden.
Das ist keine neue Debatte.
Die AEPD hatte sich bereits in ihrem Bericht 0088/2020 in ähnlicher Weise geäußert und Folgendes festgestellt:
- Der DNI Es handelt sich nicht um Daten, die in Verwaltungsakten aufgenommen werden müssen..
- Es sollte weder in der elektronischen Signatur noch in den Zertifikaten erscheinen.
Es wäre notwendig, die Vorschriften anzupassen und Alternativen wie die folgenden zu fördern:
- professionelle Identifikatoren
- Positions- oder Einheiteninformationen
- oder in manchen Fällen sogar Pseudonyme.
Mit anderen Worten, die AEPD selbst weist darauf hin, dass die Lösung darin liegt eine regulatorische Änderung des digitalen Zertifizierungssystems.
Was ist in diesem konkreten Fall geschehen?
Im Fall von Kastilien-La Mancha stellt die AEPD einen Verstoß fest, verhängt aber keine Strafe (da es sich um eine öffentliche Verwaltung handelt).
Stattdessen ist Folgendes erforderlich:
- Entfernen Sie den Ausweis aus dem Eigenschaften, die bei der Dokumentenprüfung sichtbar sind
- Systeme so anpassen, dass sie dem Prinzip der Minimierung entsprechen
- Die innerhalb eines Zeitraums von 6 Monaten ergriffenen Maßnahmen akkreditieren
Was ist das zugrundeliegende Problem?
Hier ist der entscheidende Punkt: Es besteht ein Konflikt zwischen Datenschutzbestimmungen und Bestimmungen zur digitalen Zertifizierung..
- Das Gesetz 6/2020 vom 11. November 2020 zur Regelung bestimmter Aspekte elektronischer Vertrauensdienste verpflichtet Vertrauensdiensteanbieter zur Aufnahme des DNI in digitale Zertifikate.
- Darüber hinaus verlangen die Zertifikatsprofile der Allgemeinen Staatsverwaltung, dass der Personalausweis in mehreren Feldern des Zertifikats erscheint (wie zum Beispiel Gebräuchlicher Name)
- Diese Daten sind ein struktureller Bestandteil des Zertifikats und für dessen Zweck notwendig. Validierung und Interoperabilität
Aus diesem Grund bevorzugen Kreditgeber wie die AOC kann nicht einseitig geändert werden den Inhalt der Zertifikate, ohne gegen geltende Vorschriften zu verstoßen. Die AEPD selbst räumt ein, dass die Lösung eine Gesetzesänderung, keine technische Entscheidung der Kreditgeber.
Und die Zertifikate mit Pseudonym?
Obwohl die Vorschriften Zertifikate mit Berufsbezeichnungen oder Pseudonymen vorsehen, gelten diese nicht:
- kann nur ausgestellt werden in sehr spezifische Fälle (öffentliche Sicherheit, vertrauliche Informationen usw.)
- sind nicht generell auf alle Beschäftigten im öffentlichen Dienst anwendbar.
Welche praktischen Lösungen stehen den öffentlichen Verwaltungen zur Verfügung?
Bis zur Änderung der Vorschriften können die Verwaltungen Maßnahmen ergreifen, um die Sichtbarkeit des Ausweises verringern:
1. Zeigen Sie den Ausweis nicht im Signaturbild.
Signaturprogramme ermöglichen es Ihnen, die anzuzeigenden Daten zu konfigurieren. entfernt die ID nicht aus dem Zertifikat, verhindert aber, dass es im Dokument sichtbar erscheint. Siehe wie Vermeiden Sie die Signaturbild-ID
2. Erstellen Sie authentische elektronische Kopien.
Sie erlauben:
- Die ID sowohl in den Bild- als auch in den sichtbaren Eigenschaften ausblenden
- Ersetzen Sie es durch minimale Signiererdaten.
Diese Kopien sind rechtsgültig, wenn sie mit dem Siegel der Organisation versehen sind. Siehe wie erzeugen còpia authentisch und die ID aus dem Bild und den sichtbaren Eigenschaften ausblenden:
3. Andere Mechanismen verwenden
Zum Beispiel elektronische Siegel und sichere Verifizierungscodes (CSV)
Schlussfolgerungen
- Die AEPD ist der Ansicht, dass die Angabe des Personalausweises in unterzeichneten Dokumenten gegen die DSGVO verstoßen könnte.
- Die aktuellen Vorschriften für Zertifikate erfordert die Einbeziehungwodurch ein regulatorischer Konflikt entsteht.
- Vertrauenswürdige Dienstleister wie AOC Sie können den DNI nicht von den Zertifikaten entfernen..
- Die endgültige Lösung ist durch eine staatliche und europäische Regulierungsreform.
- In der Zwischenzeit müssen die Regierungen Maßnahmen ergreifen, um Minimierung bei der Datenvisualisierung und beim Zugriff.
