Skip to main content

Just published: “Open consent, biobanking and data protection law”

Hallinan, D.; Friedewald, M. (2015): Open Consent, Biobanking and Data Protection Law Can Open Consent be ‘Informed’ under the Forthcoming Data Protection Regulation? In: Life Sciences, Society and Policy 11, Nr. 1. http://www.lsspjournal.com/content/pdf/s40504-014-0020-9.pdf

This article focuses on whether a certain form of consent used by biobanks – open consent – is compatible with the Proposed Data Protection Regulation. In an open consent procedure, the biobank requests consent once from the data subject for all future research uses of genetic material and data. However, as biobanks process personal data, they must comply with data protection law. Data protection law is currently undergoing reform. The Proposed Data Protection Regulation is the culmination of this reform and, if voted into law, will constitute a new legal framework for biobanking. The Regulation puts strict conditions on consent – in particular relating to information which must be given to the data subject. It seems clear that open consent cannot meet these requirements. 4 categories of information cannot be provided with adequate specificity: purpose, recipient, possible third country transfers, data collected. However, whilst open consent cannot meet the formal requirements laid out by the Regulation, this is not to say that these requirements are substantially undebateable. Two arguments could be put forward suggesting the applicable consent requirements should be rethought. First, from policy documents regarding the drafting process, it seems that the informational requirements in the Regulation are so strict in order to protect the data subject from risks inherent in the use of the consent mechanism in a certain context – exemplified by the online context. There are substantial differences between this context and the biobanking context. Arguably, a consent transaction in the biobanking does not present the same type of risk to the data subject. If the risks are different, then perhaps there are also grounds for a reconsideration of consent requirements? Second, an argument can be made that the legislator drafted the Regulation based on certain assumptions as to the nature of ‘data’. The authors argue that these assumptions are difficult to apply to genetic data and accordingly a different approach to consent might be preferable. Such an approach might be more open consent friendly.

 

 

Konferenz zum Thema “Die Zukunft der informationellen Selbstbestimmung” am 26./27.11.2015

Die Zukunft der informationellen Selbstbestimmung

Call for Papers

Nicht nur Facebook, Google, Big Data, Cloud Computing, weltweite Geheimdienstüberwachung und immer wieder aufflammende Diskussionen über die Vorratsdatenspeicherung, auch die Entwicklung des vernetzten Automobils, des Smart Homes oder der körpernahen vernetzten Sensorik und andere Anwendungen der Informationstechnik machen deutlich, dass sich normative Vorstellungen von Freiheit durch informationelle Selbstbestimmung im heutigen „digitalen“ Zeitalter vor massive Herausforderungen gestellt sehen. Informationelle Selbstbestimmung ist voraussetzungsreich – mit Blick sowohl auf das adressierte Individuum und seine Handlungs- und Entscheidungssituationen als auch auf die technischen, rechtlichen, wirtschaftlichen, soziokulturellen und politischen Rahmenbedingungen. Dazu gehören etwa verlässliche Institutionen oder Konventionen, verfügbare Handlungsmittel und Verteilungen des Wissens sowie geeignete Sanktionspotentiale. Zu berücksichtigen sind ebenso die Anreizstrukturen, die von den unmittelbaren Vorteilen der IT-Nutzung für das alltägliche Leben, etwa für die Bearbeitung von Arbeitsaufgaben oder für die Konsum- und Freizeitgestaltung, ausgehen oder sich in typischen Geschäftsmodellen manifestieren. Die zunehmend unübersichtliche und immer weiter fortschreitende Digitalisierung des sozialen Lebens, der Daten, Informationen und Kommunikationsströme stellt eine Herausforderung dar für die gesellschaftliche Verwirklichung informationeller Selbstbestimmung.

Auf der Konferenz des BMBF-geförderten „Forums Privatheit“ wollen wir aus diesem Grund konstruktiv und gestaltungsorientiert sowie kritisch und richtungsoffen über die Zukunft der informationellen Selbstbestimmung diskutieren. Im interdisziplinären Dialog sollen erstens Fragen geklärt werden, wie weit die durch das Bundesverfassungsgericht vorgenommene rechtliche Normierung der informationellen Selbstbestimmung trägt, in welchen informationstechnischen Anwendungsfeldern sie der Ergänzung oder Erneuerung bedarf und welche Ansatzpunkte sich in der Demokratie oder in der Verfassungsrechtsprechung selbst hierfür finden lassen. Zweitens soll gefragt werden, welche Rolle informationelle Selbstbestimmung in modernen Freiheitsvorstellungen und ihrer historischen Entwicklung genau spielt, welche Bedeutung ihr mit Blick auf den Schutz und die Neugestaltung von Privatheit zukommt und welche Alternativen sich in der Ausdeutung dieser Zusammenhänge abzeichnen. Hierbei ist zu berücksichtigen, dass in der Gesellschaft unterschiedliche Vorstellungen und Interpretationen darüber bestehen und aufeinandertreffen, was informationelle Selbstbestimmung genau bedeuten und in welche Richtung sie sich entwickeln soll. Drittens gilt es, diese normativen Vorstellungen im Zusammenhang der stark technikgetriebenen empirischen Wandlungsprozesse in der Wirtschaft, der Politik, den sozialen Netzwerken oder der Kultur zu reflektieren und analytisch zu klären, welche Bedrohungen und Gefahren sich darin für ein gesellschaftlich fundiertes individuelles Freiheitsverständnis abzeichnen, aber auch, welche Chancen der digitale Wandel für dessen gesellschaftliche Realisierung bereithalten könnte. Hierzu können verschiedene Disziplinen ihren Beitrag leisten.

In der deutschen Verfassungsrechtsprechung gilt das Grundrecht auf informationelle Selbstbestimmung als eine zeitgemäße Weiterentwicklung des Persönlichkeitsschutzes angesichts der modernen Datenverarbeitung. Um die Risiken der Datenverarbeitung für den Schutz der Persönlichkeit zu erfassen, hat sich die Orientierung an räumlichem Denken (unterschiedlich schutzwürdige Intim-, Privat- und Öffentlichkeitssphäre) nicht als praktikabel erwiesen. In einer virtuellen Welt ist dies noch weniger möglich. Ausgangspunkt des Persönlichkeitsschutzes ist vielmehr das Recht jedes Einzelnen, selbst darüber zu bestimmen, welche seiner Daten andere verarbeiten können sollen. Grenzen und Grenzziehungen des geschützten Handelns ergeben sich nicht mehr aus der Interpretation von „Privat“ oder „Öffentlich“ durch die datenverarbeitende Stelle oder Gerichte. Vielmehr kann nur noch der Gesetzgeber durch eine bereichsspezifische und präzise gesetzliche Regelung eine Einschränkung des Grundrechts im überwiegenden Allgemeininteresse festlegen. Die informationelle Selbstbestimmung soll gewährleistet werden durch die Datenschutzprinzipien der Transparenz, der Zweckbindung, der Erforderlichkeit und der Betroffenenrechte. Jedoch zeigt sich in der Praxis, dass diese Prinzipien vielfach bei der Gestaltung von IT-Anwendungen ignoriert werden oder an ihre Grenzen stoßen. Wie müssen diese Prinzipien daher angepasst oder ergänzt werden, um modernen Datenschutz zu gewährleisten? Welche Verwirklichungsbedingungen benötigt die informationelle Selbstbestimmung, und wie können diese gesichert werden?

Hierbei gilt es zu berücksichtigen, dass die Norm der individuellen Freiheit Gegenstand vielfältiger Auseinandersetzungen in unterschiedlichen wissenschaftlichen Disziplinen ist, in denen zum einen ihr genauer Gehalt und ihre Implikationen in verschiedene Richtungen ausgedeutet sowie zum anderen ihre Folgen für die gesellschaftliche Entwicklung – und umgekehrt, d.h. die Folgen des historischen Wandels für die Freiheitsnormen – analysiert werden. Wer oder was ist das „Selbst“ in der informationellen Selbstbestimmung? Geht es tatsächlich auf das Individuum zurück? Ist es nur in Abhängigkeit von Handlungsumgebungen und sozialer Interaktion zu verstehen? Oder bestimmt sich gar die Information selbst? So gilt es etwa zu klären, welche Konsequenzen verschiedene Freiheitsbegriffe für die Konzeptualisierung von informationeller Selbstbestimmung haben und wie plausibel die im Grundrechtsverständnis des Bundesverfassungsgerichts gemachten gesellschaftstheoretischen Annahmen (Stichwort: Rollentheorie) heute noch sind. „Positive“ Freiheitskonzeptionen (z.B. Charles Taylor) fragen danach, welche Voraussetzungen erforderlich sind, um von Freiheit auch adäquat Gebrauch machen zu können, und sehen darin nicht bloß ein Abwehrrecht des Einzelnen (negative Freiheit). Sie versuchen zum einen, die reflexiven Kompetenzen und Voraussetzungen individueller Selbstbestimmung abzuklären, und thematisieren zum anderen den komplexen Kranz an gesellschaftlichen (etwa familiären, wirtschaftlichen, aber auch politisch-institutionellen und technischen) Verwirklichungsbedingungen (Honneth) einer in diesem Sinne „sozial“ verstandenen individuellen Freiheit. Mit Blick auf diese Bedingungen kann dann kritisch gefragt werden, ob sich im historischen Wandel moderner Gesellschaften Schieflagen im Verhältnis der Freiheitsnormen zu ihren institutionellen Realisierungsbedingungen entwickelt haben, die etwa zu einer einseitigen Belastung der Individuen mit Freiheitszumutungen (Stichwort: Aktivierungsgesellschaft) führen oder zu Ungleichgewichten zwischen den verschiedenen sozialen Komponenten der Freiheit (Stichwort: Übergewicht ökonomischer Kriterien) beitragen. Für die Frage, wie informationelle Selbstbestimmung zukünftig normativ verstanden und technisch/sozial ausgestaltet werden kann und sollte, sowie für die Frage, welchen Pfad ins digitale Zeitalter die moderne Gesellschaft damit beschreiten würde, sind solche Analysen und Reflexionen von großer Bedeutung.

Die Konferenz des Forums Privatheit will im interdisziplinären Dialog die Herausforderungen der digitalen Welt für die informationelle Selbstbestimmung analysieren, verschiedene Bedeutungsvarianten und Konzepte von Selbstbestimmung in einer digitalen Gesellschaft diskutieren sowie konstruktive Bausteine für eine zukunftsgerechte Gewährleistung von individueller und kollektiver Selbstbestimmung erörtern. Dabei stehen u.a. folgende Problemkomplexe im Fokus der Tagung, die sukzessive oder in parallelen Workshops im Austausch der verschiedenen Disziplinen abgearbeitet werden könnten:

  • Staatliche Überwachung, ökonomische Verwertung, soziale Vernetzung und ubiquitäre Expansion: Wo liegen die spezifischen Herausforderungen für die informationelle Selbstbestimmung durch die Wandlungsdynamiken digitaler Welten?
  • Was sind Voraussetzungen und Verwirklichungsbedingungen informationeller Selbstbestimmung in einer ubiquitär vernetzten Welt und welche Schutzprinzipien und neue Formen der Regulation sind notwendig und möglich, um auch künftig informationelle Selbstbestimmung zu gewährleisten?
  • Welche Anforderungen an Systemgestaltung ergeben sich, und welches technische und organisatorische Instrumentarium kann zur Gewährleistung informationeller Selbstbestimmung beitragen?
  • Inwiefern wird der öffentliche Diskurs über informationelle Selbstbestimmung durch die Zuschreibung individueller Verantwortung der Nutzerinnen und Nutzer, Verbraucherinnen und Verbraucher, Bürgerinnen und Bürger überlagert und geprägt? Welche Probleme und Konsequenzen ergeben sich daraus?
  • Werden über die Thematisierung individueller Selbstbestimmung im öffentlichen Diskurs mächtige Angreifer auf diese Selbstbestimmung, nämlich Organisationen, systematisch in den blinden Fleck der Problemanalysen gestellt?
  • Big Data: Was sind aus ökonomischer, sozialtheoretischer, historischer, informationstechnischer und rechtlicher Sicht schützenswerte (Rechts-)Güter und mögliche Schutzkonzepte in diesem Bereich?
  • Selbstbestimmung über die Grenzen der Kommerzialisierung von Daten: Wie ist die Idee der Selbstbestimmung mit dem Bild des Nutzers als Marktteilnehmer verbunden? Wie kann Kontrolle darüber hergestellt werden, was überhaupt in Form eines Datenmarktes verhandelt wird und was nicht? Ist das Diktum „Meine Daten gehören mir!“ problematisch?
  • In welcher Weise wird die Entstehung neuer Unternehmen durch einen starken Schutz personenbezogener Daten behindert oder gefördert? Wie lässt sich erreichen, dass bestehende/zukünftige deutsche/europäische Normen auch von Anbietern umgesetzt werden (müssen), die ihren Hauptsitz nicht in Deutschland/Europa haben? Wie könnten sich Geschäftsmodelle darstellen?
  • Welche alternativen Freiheitsvorstellungen könnten die informationelle Selbstbestimmung als normativen Orientierungspunkt ersetzen oder ergänzen? Wie unterscheiden sich etwa andere Konzepte der Freiheitssicherung in der internationalen Diskussion von jenem der informationellen Selbstbestimmung und welche davon sind taugliche Alternativen?
  • Was unterscheidet den Schutz der Privatsphäre von Datenschutz in Bezug auf informationelle Selbstbestimmung? Welche gesellschaftliche Funktion hat Datenschutz für informationelle Selbstbestimmung?
  • Wo wird informationelle Selbstbestimmung zur Aufgabe von Kollektiven und zur Herausforderung kollektiver Autonomie? Wo liegen die normativen Aufgaben der Demokratie und wie müsste diese sich zukünftig entwickeln, um den Anforderungen gerecht zu werden?
  • Privacy-Governance: Welche Instanzen sind zum Schutz der informationellen Selbstbestimmung erforderlich und welche werden zukünftig zur Prüfung von Infrastrukturen zur Verfügung stehen?
  • Selbstbestimmung und Mediennutzung: Was vermuten Nutzerinnen und Nutzer hinsichtlich ihrer Privatheit kontrollieren zu können, und was wollen sie kontrollieren? Welche Konsequenzen ziehen Bürgerinnen und Bürger aus den Erfahrungen mit digitaler Privatheit und digitaler Selbstoffenbarung? Welche Chancen und Gefahren für Privatheit ergeben sich aus Annahmen, Einstellungen und Verhalten der Mediennutzenden?

Dieser Call for Papers richtet sich an Wissenschaftlerinnen und Wissenschaftler der technischen und ingenieurwissenschaftlichen Disziplinen, der Rechtswissenschaft, Soziologie, Psychologie, Philosophie, Wirtschafts-, Medien- und Kommunikationswissenschaften. Insbesondere jüngere Wissenschaftlerinnen und Wissenschaftler sind eingeladen, sich in die Tagung einzubringen.

Ihren Vortragsvorschlag reichen Sie bitte bis zum 15. Mai 2015 in Form eines aussagekräftigen “Extended Abstracts” (Umfang: 500 – 1.000 Wörter) mit konkretem Bezug zum Tagungsthema über das Konferenzmanagementsystem EasyChair ein:
https://easychair.org/conferences/?conf=forum2015

Privacy is important to European citizens – but there are large differences between the countries

New research has found that on average 67 % of European citizens think that the protection of their privacy is important or very important.

The research, conducted by the EU funded PRISMS project, surveyed (between February and May 2014)  more than 27,000 European citizens over the age of 16 and found that citizen think find it especially important „to know who has information about them“, to have „control who has access to their medical files (both 80%), to „make telephone calls without being monitored“ (79 %) and to „meet people without being monitored“ (76 %).

The survey showed, however, that there are significant differences throughout Europe. Measured on a scale from 0 (not at all important) to 1 (essential) the overall importance of privacy for citizens ranges from 0,46 in Bulgaria to 0,66 in Germany and Finland.

The researchers found that the citizens’ assessment is often related to their trust in institutions such as government bodies but also businesses. Countries with a particular high trust include Finland, Germany while trust in institutions is low in Bulgaria and Portugal. There are, however, a few countries with authoritarian historical experiences (Spain, Greece) where citizens  considered privacy important and have little trust in government bodies in particular.

Europeans want security and privacy – and, oh yeah, privacy is not dead

Privacy is not dead, as the results of a major telephone survey of more than 27,000 respondents across Europe has found: 87% felt that protecting their privacy was important or very important to them. Even more, 92%, said that defending civil liberties and human rights was also important or very important.

The survey may be the most detailed assessment of how people in 27 EU Member States feel about privacy and security. It was conducted as part of the EU-funded PRISMS project (not to be confused with the once-clandestine PRISM program under which the US National Security Agency was collecting Internet communications of foreign nationals from Facebook, Google, Microsoft, Yahoo and other US Internet companies).

The survey showed that privacy and security both are important to people.  There were some consistent themes, e.g., Italy, Malta and Romania tend to be more in favour of security actions, while Germany, Austria, Finland and Greece were less so. Respondents were generally more accepting of security situations involving the police than the NSA.

60% said governments should not monitor the communications of people living in other countries, while one in four (26%) said governments should monitor such communications, while the remainder had no preference or didn’t know. Predictably, there were significant differences between countries. Three out of four respondents in Austria, Germany and Greece said governments should not monitor people’s communications, which was somewhat higher than most other EU countries.

70% of respondents said they did not like receiving tailored adverts and offers based on their previous online behaviour. 91% said their consent should be required before information about their online behaviour is disclosed to other companies. 78% said they should be able to do what they want on the Internet without companies monitoring their online behaviour. 68% were worried that companies are regularly watching what they do.

Some other results: 79% of respondents said it was important or essential that they be able to make telephone calls without being monitored. 76% said it was important or essential that they be able to meet people without being monitored. More than half (51%) felt they should be able to attend a demonstration without being monitored.

80% said camera surveillance had a positive impact on people’s security; 10 % felt it made no difference and even fewer (9%) felt it had a negative impact.  Almost three-quarters (73%) said the use of body scanners in airports had a positive impact on security, while fewer than one in five (19%) felt that the use of scanners had a negative impact on privacy. 38% said smart meters threatened people’s rights and freedoms.

More than one in five (23%) said they had felt “uncomfortable” because they felt their privacy was invaded when they were online. Almost the same (21%) felt uncomfortable because they felt their privacy was invaded when a picture of them was posted online without their knowing it. By contrast, a substantial majority (65%) didn’t feel uncomfortable when they were stopped for a security check at an airport. Respondents were asked if they had ever refused to give information because they thought it was not needed. 67% said yes, while 31% said no. Half of all respondents said they had asked a company not to disclose data about them to other companies.

While the survey generally showed that people were concerned about their privacy, there were some surprises. For example, 57% said it was not important to keep private their religious beliefs. Almost one-third (31%) said it was not important to keep private who they vote for. Only 13% had ever asked to see what personal information an organisation had about them. More than half (51%) had not read websites’ privacy policies.

Respondents had a very nuanced view of surveillance and its impact on their privacy.  Support or opposition to surveillance depends on the technology and the circumstances in which it is employed, if for example the surveillance activity was targeted and independently overseen.

The interviewers gave respondents eight vignettes, or mini-scenarios, and then asked them for their views on the privacy and security impacts, some of which are highlighted below. The vignettes concerned crowd surveillance at football matches, automated number plate recognition (ANPR), monitoring the Internet, crowd surveillance, DNA databases, biometric access control systems, NSA surveillance and Internet service providers’ collection of personal data.

A sizeable minority (30%) felt that monitoring demonstrations threatened people’s rights and freedoms, but that figure fell to 19% if the monitoring was of football matches. 70% felt crowds at football matches should be surveilled; 61% said surveillance at football matches helped to protect people’s rights and freedoms.

Opinion was more evenly divided about DNA databases: 47% felt that DNA databases were okay compared to 43% who did not agree. However, a substantial majority, 60%, opposed NSA surveillance and 57% felt NSA surveillance threatened people’s rights and freedoms.

Also predictably, there were differences in political views. 68% of people on the left felt that foreign governments’ monitoring people’s communications was a threat to their rights and freedoms, compared to 53% of people on the right who felt this way. 60% said these practices made them feel vulnerable. More than half (53%) did not feel these practices made the world a safer place. 70% did not trust government monitoring of the Internet and digital communications. In response to a question about how much trust they had on a scale of 0 (none) to 10 (complete) in various institutions, more than half (51%) of all respondents said they had little or no trust in their country’s government compared to 39% in the press and broadcasting media and 31% in the legal system. Half of all respondents had some or complete trust in businesses, and an astounding 70% trusted the police.

Interviewers described a scenario in which parents find out that their son is doing some research on extremism and visits online forums containing terrorist propaganda. They ask him to stop because they are afraid that the police or counter-terrorism agencies will start to watch him. 68% said security agencies should be watching this kind of Internet use, compared to 20% who said they should not. 53% said security agencies’ doing this helps to protect people’s rights and freedoms. One in five (22%) disagreed.  41% of respondents felt that parents should worry if they find their child visiting such websites. One in five felt parents should not worry because they believed that security agencies can tell the difference between innocent users and those they need to watch.

Another vignette concerned companies wanting to sell information about their customers’ Internet use to advertisers. The companies say the information they sell will be anonymous, but 82% of respondents still said service providers should not be able to sell information about their customers in this way. The figure was 90% in Germany and France, the highest in Europe. 72% of respondents in the UK and across the Union felt such practices were a threat to their rights and freedoms.

The European PRISMS project started in February 2012 and finished in August 2015.  The project has been analysing the traditional trade-off model between privacy and security and devising a more evidence-based perspective for reconciling privacy and security. Among other things, the project is examining how technologies aimed at enhancing security are subjecting citizens to an increasing amount of surveillance and, in many cases, causing infringements of privacy and fundamental rights. The project is also devising a decision support system aimed at those who deploy and operate security systems so that they take better account of how Europeans view privacy and security.

The project has been undertaken by a consortium comprising eight partners from five countries: the Fraunhofer Institute for Systems and Innovation Research (Germany), TNO, the Dutch research organisation, Zuyd University (Netherlands), the Free University of Brussels, the Eötvös  Károly  Policy  Institute  (EKINT) in Hungary and three partners from the UK: Trilateral Research, Ipsos MORI and Edinburgh University.

Ipsos MORI conducted the interviews between February and June last year, since when the other partners have been poring over the results and are now making some of the survey results and their analysis publicly available. The PRISMS consortium said further analysis of the survey data would examine the relationships between demographics, attitudes and values in relation to privacy and security.

More results from the PRISMS project can be found at prisms-project.eu.

David Wright and David Barnard-Wills

Selbstdatenschutz kann staatliche Schutzpflichten nicht ersetzen

Am 28. Januar ist Europäischer Datenschutztag. Aus diesem Anlass findet vom 21. bis zum 23. Januar 2015 in Brüssel die Computers, Privacy and Data Protection Conference statt. Das Fraunhofer-Institut für System- und Innovationsforschung ISI, das in vielen Projekten zu Fragen des Datenschutzes forscht, beteiligt sich an dieser Veranstaltung: Dr. Michael Friedewald, Projektleiter am Fraunhofer ISI, wird im Rahmen eines Panels über Selbstdatenschutz diskutieren. Zu diesem Thema hat der vom Fraunhofer ISI im Auftrag des Bundesministeriums für Bildung und Forschung (BMBF) koordinierte Forschungsverbund “Forum Privatheit und selbstbestimmtes Leben in der digitalen Welt” ein White Paper veröffentlicht.

In dieser Publikation werden die gesellschaftlichen, rechtlichen und technischen Rahmenbedingungen des Selbstdatenschutzes analysiert sowie Schutzmaßnahmen aufgezeigt, unter anderem die Verschlüsselung von Daten, E-Mails und Kurznachrichten, die Nutzung von Anti-Tracking-Maßnahmen und Anonymisierungstools sowie die Verwendung gängiger Verschlüsselungsprotokolle.

Obwohl bereits 1983 im sogenannten Volkszählungsurteil die staatliche Schutz- und Förderpflicht der informationellen Selbstbestimmung formuliert wurde, dominiert bis heute die Vorstellung, dass es vor allem in der persönlichen Verantwortung des mündigen Bürgers liege, für den Schutz seiner persönlichen Daten und seiner Privatsphäre zu sorgen. Dazu gibt es bereits seit Jahren Verfahren und technische Werkzeuge, mit denen einzelne Aspekte des Selbstdatenschutzes wie Verschlüsselung oder Anonymisierung realisiert werden können. Diese werden allerdings von den Bürgerinnen und Bürgern bis heute wenig verwendet.

Die Gründe hierfür sind vielfältig: Auf den digitalen Märkten gibt es heute einen erheblichen Unterschied zwischen den Kenntnissen und Fähigkeiten der Bürgerinnen und Bürger auf der einen und denen der Geheimdienste und Unternehmen auf der anderen Seite. Dies führt dazu, dass Datensammlungen und Überwachung für die meisten Bürgerinnen und Bürger in der Regel kaum erkennbar sind und auch deshalb systematisch unterschätzt werden. Deren Vorstellung, sie hätten “doch nichts zu verbergen” und ihr Vertrauen in die Sicherheitsversprechungen leisten dieser Entwicklung weiteren Vorschub. Schließlich setzt ein umfassender Selbstschutz zu viele spezielle Kenntnisse voraus, die die meisten Computernutzerinnen und -nutzer nicht haben.

Angesichts der fortschreitenden Digitalisierung und dem Wirken der Geheimdienste müssen Bürgerinnen und Bürger umfassend über Möglichkeiten und Grenzen des Selbstschutzes informiert und die Nutzbarkeit und Leistungsfähigkeit der Werkzeuge verbessert werden.

Doch die Autoren des White Papers machen auch deutlich, dass die Verlagerung staatlicher Schutzpflichten auf das Individuum der gesellschaftlichen Bedeutung des Grundrechts auf informationelle Selbstbestimmung nicht gerecht werden kann. Informationelle Privatheit ist keine Frage individueller Vorlieben, sondern wichtig für ein freiheitlich-demokratisches Gemeinwesen. Deshalb muss der Staat wieder stärker seinem in der deutschen Verfassung verankerten Auftrag, die Bevölkerung vor unverhältnismäßiger Überwachung zu schützen, nachkommen.

Möglichkeiten dazu werden auf der Computers, Privacy and Data Protection Conference (CPDP) erörtert, die vom 21. bis zum 23. Januar 2015 zum achten Mal in Brüssel stattfindet. Diese vom Fraunhofer ISI mit veranstaltete Konferenz ist die größte europäische Veranstaltung, bei der Vertreterinnen und Vertreter aus Politik, Wirtschaft, Wissenschaft und Gesellschaft zusammenkommen, um sich auszutauschen und aktuelle Herausforderungen in den Bereichen Informationstechnologie, Privatheit, Datenschutz und Recht zu diskutieren. Dr. Michael Friedewald wird dort am 23. Januar 2015 das Thema “Selbstdatenschutz” im Rahmen eines Panels zur Diskussion stellen, das vom “Forum Privatheit” organisiert wird.

Verfahren zur Bewertung von Datenschutzfolgen bei Überwachungssystemen

Bei neuen Überwachungsmöglichkeiten müssen jedes Mal die Sicherheitsinteressen gegen die Freiheitsrechte abgewogen werden. Im EU-Projekt SAPIENT hat ein Konsortium unter der Leitung des Fraunhofer-Instituts für System- und Innovationsforschung ISI ein Verfahren entwickelt, mit dem sich die Folgen von Überwachung für den Schutz personenbezogener Daten und anderer Grundrechte abschätzen lassen. Dieses Verfahren, das in einem Handbuch dokumentiert ist, kann Unternehmen und öffentlichen Stellen bei der Entscheidung helfen, ob eine neue Technologie oder Dienstleistung genutzt werden sollte.

Eine Vorabbewertung von Datenschutzfragen wird beim Einsatz von Überwachungstechnologien und -dienstleistungen bald gesetzlich verpflichtend sein: Die Europäische Union beispielsweise listet im Entwurf für die künftige europäische Datenschutzgrundverordnung mehrere Prinzipien auf, die bei der generellen Verarbeitung personenbezogener Daten beachtet werden müssen. Dazu gehören der begrenzte Einsatz von Überwachungsinstrumenten, die zeitlich beschränkte Speicherung der Daten sowie eine allgemeine Berücksichtigung von Bürgerrechten.

Um die möglichen Risiken für den Einzelnen ebenso wie für die ganze Gesellschaft zu eruieren, braucht es eine fundierte Prüfung, welche Auswirkungen eine neue Technologie oder Dienstleistung haben kann. Im Rahmen des EU-Projekts SAPIENT (Supporting fundamentAl rights, PrIvacy and Ethics in surveillaNce Technologies) hat ein Konsortium unter der Leitung des Fraunhofer-Instituts für System- und Innovationsforschung ISI ein Handbuch zur Abschätzung der Auswirkungen von Überwachung (Surveillance Impact Assessment) entwickelt.

Oft ist in der Literatur und in Forschungsprojekten nur von einer Abschätzung der Auswirkungen für die Privatsphäre (Privacy Impact Assessment) die Rede, doch Projektleiter Dr. Michael Friedewald vom Fraunhofer ISI betont: “Überwachungssysteme haben nicht nur Auswirkungen auf die Privatsphäre. Es können auch andere Grundrechte betroffen sein, beispielsweise das Recht auf freie Meinungsäußerung oder die Versammlungsfreiheit. Ebenso besteht die Gefahr, dass sensible Informationen zu Herkunft, Religion, politischer Einstellung, Gesundheit und Sexualität zusammengeführt und genutzt werden. Der im Rahmen von SAPIENT entwickelte Fragenkatalog deckt gesellschaftliche, wirtschaftliche, politische, rechtliche und ethische Aspekte ab.”

Zu den Fragen, die sich politische Entscheidungsträger, technische Entwickler und andere gesellschaftliche Akteure möglichst schon vor, spätestens aber während der Entwicklung des Produkts stellen sollten, gehören: Wird das neue Überwachungssystem wirklich gebraucht? Ist der Nutzen erklärbar? Für welchen Auftraggeber wird es entwickelt? Auf wen ist es gerichtet, wer ist davon betroffen? Überwiegen die Vor- oder die Nachteile? Ist es rechtlich in Ordnung? Ist es ethisch vertretbar? Welche Ressourcen werden gebraucht?

Anhand der Antworten auf diese und viele andere Fragen lassen sich der Einfluss und die Risiken der geplanten Technologien und Dienstleistungen einschätzen. Die identifizierten Risiken können hinsichtlich Konsequenzen und Wahrscheinlichkeit analysiert und priorisiert werden. Dann muss versucht werden, die wahrscheinlichsten und gravierendsten Risiken zu reduzieren beziehungsweise Lösungen dafür zu finden. Letztlich zielt der Fragenkatalog darauf ab, bei der Entscheidung zu helfen, ob das neue Produkt eingesetzt werden sollte – oder eben nicht. Die frühestmögliche Auseinandersetzung mit den Folgen ist wichtig, da so noch Einfluss auf die Produkt- oder Serviceentwicklung genommen werden kann.

Michael Friedewald weist in diesem Zusammenhang auf das Konzept von “Privacy by design” hin, das von der künftigen europäischen Datenschutzverordnung vorgeschrieben wird: “Es ist entscheidend für die Wahrung von Grundrechten, sich frühzeitig Fragen zur Privatsphäre und zum Datenschutz zu stellen. Nur so können mögliche Risiken erkannt und entsprechende Lösungen bereits im Entwicklungsprozess gefunden werden, statt sie im Nachhinein zu implementieren. Ein gutes Beispiel für den Privacy-by-design-Ansatz ist die automatische Datenlöschung nach einer bestimmten Zeit.”

Aus dem Fragenkatalog ist ein Handbuch für Politiker, Entwickler und andere wichtige Akteure entstanden, wie und wann auf intelligente Überwachung zurückgegriffen werden sollte und wie sie sich in Einklang mit der Achtung von Privatsphäre bringen lässt. Das Handbuch präsentiert eine ausführliche Version für eine umfassende Analyse komplexer Systeme und eine Kurzversion, die eine rasche erste Bewertung erlaubt.

Das Handbuch mit dem Bewertungsverfahren und dem Fragenkatalog kann unterwww.sapientproject.eu/SIA_Manual.pdf heruntergeladen werden.

Weitere Informationen zum Projekt SAPIENT gibt es unter www.sapientproject.eu.

Bundesforschungsministerin Wanka stellt in Berlin das Projekt „Privatheit und selbstbestimmtes Leben in der digitalen Welt“ vor

Neue Technologien und die globale Vernetzung haben die gesellschaftliche Kommunikation maßgeblich verändert, sie aber auch verwundbarer gemacht. Insbesondere der Schutz der Privatheit wird durch diese Entwicklungen vor neue Herausforderungen gestellt. Wie sich diese meistern lassen und welchen Beitrag die Forschung leisten kann, sind Fragen, mit denen sich das Forschungsprojekt „Privatheit und selbstbestimmtes Leben in der digitalen Welt“ auseinandersetzt. Bundesforschungsministerin Johanna Wanka stellt dieses Projekt am 20. Oktober 2014 in Berlin auf dem gleichnamigen wissenschaftlichen Symposium der Öffentlichkeit vor.

Die fortschreitende Digitalisierung und das Aufkommen neuer Technologien haben viele neue Nutzungs- und Vernetzungsmöglichkeiten geschaffen. Etliche Beispiele wie Big Data, Cloud Computing oder vernetzte Autos führen vor Augen, was heute oder in wenigen Jahren technologisch möglich ist. Gleichzeitig geht damit oft eine kontinuierliche Datensammlung durch Unternehmen und staatliche Stellen einher, wodurch die Bürgerinnen und Bürger ihr Grundrecht auf informationelle Selbstbestimmung nur erschwert wahrnehmen können. Aus diesem Grund gilt es diesem Schutzbedürfnis mehr Beachtung zu schenken und die Gesellschaft stärker für dieses Thema zu sensibilisieren.

Zur öffentlichen und wissenschaftlichen Debatte um Privatheit im Online-Zeitalter trägt auch das vom Bundesministerium für Bildung und Forschung (BMBF) geförderte Projekt „Privatheit und selbstbestimmtes Leben in der digitalen Welt“ bei, das am 20. Oktober 2014 von 11 bis 18 Uhr in der Kalkscheune in Berlin ein Symposium zum Auftakt des BMBF-Förderschwerpunkts Privatheit veranstaltet. Peter Zoche, Koordinator des Forums Privatheit und Projektleiter am Fraunhofer ISI, äußert sich wie folgt zu den Zielen des Forschungsprojekts und Symposiums:

„Durch die zunehmende Vernetzung, von der moderne Gesellschaften gekennzeichnet sind, haben sich auch die Voraussetzungen für Privatheit verändert. Das Projekt sowie das Symposium setzen hier an und erarbeiten ein zeitgemäßes Begriffsverständnis. Technische, ethische, juristische und ökonomische Aspekte von Privatheit werden dabei genauso betrachtet wie sozialwissenschaftliche und miteinander verknüpft. Eine besondere Rolle spielen zudem die künftigen Implikationen für die Forschung im Bereich Privatheit, die das Privacy-Forum aufgreift und diese auf der Konferenz thematisiert.“

Im vom BMBF geförderten Forum Privatheit setzen sich nationale und internationale Experten interdisziplinär drei Jahre lang mit Fragestellungen zum Schutz der Privatheit auseinander. Das Projekt wird vom Fraunhofer ISI koordiniert, Partner sind das Fraunhofer SIT, die Universität Hohenheim, die Universität Kassel (provet und Institut für Soziologie), die Eberhard Karls Universität Tübingen, das Unabhängige Landeszentrum für Datenschutz Schleswig-Holstein sowie die Ludwig-Maximilians-Universität München. Die Forschungsergebnisse des Forums Privatheit fließen dabei nicht nur in den wissenschaftlichen Diskurs ein, sondern sollen auch Bürgerinnen und Bürger über Fragen des Privatheitsschutzes informieren.

Weitere Informationen zum Programm des Symposiums finden sich unter http://www.forum-privatheit.de. Die Veranstaltung ist öffentlich, Anmeldungen können ebenfalls auf der Webseite vorgenommen werden.

Schüren Vertrauensprobleme die Angst vor Massenüberwachung in Europa?

David Barnard-Wills argumentiert, dass EU-Bürger für ihre  Sicherheit nicht unbedingt mehr von ihrer Privatsphäre aufgeben wollen – und dass Politiker dies bei Entscheidungen über Überwachungspraktiken Ernst nehmen sollten.

Angeheizt durch Edward Snowdens Enthüllung von immer mehr Details der Überwachungspraktiken von NSA und GCHQ, hat es in den vergangenen Monaten eine intensive Berichterstattung der Medien über Motive und Grenzen der staatlichen Überwachung gegeben und wie die Bürger über das Verhältnis von Sicherheit und Privatheit denken. Dies hat auf nationaler wie auch europäischer Ebene erhebliche politischer Aufmerksamkeit erregt. Bürgerrechtsgruppen haben Protestaktionen gegen Massenüberwachung organisiert, zuletzt am 11.2. unter dem Motto „The day we fight back“ (Der Tag, an dem wir zurückschlagen).

Es ist daher sowohl für Sozialwissenschaftler und Politiker besonders wichtig und drängend, die Reaktionen der Bürger auf die zunehmende Überwachung genauer zu verstehen. Welche Faktoren sind besonders kritisch und führen zu öffentlichen Protesten und unter welchen Umständen ist die Öffentlichkeit bereit, bestimmte Überwachungs-und Sicherheitsmaßnahmen zu akzeptieren?

Das von der Europäischen Union finanzierte Projekt PRISMS (Privacy and Security Mirrors) versucht, genau dies zu untersuchen. Es versucht, das Verhältnis zwischen Privatsphäre und Sicherheit zu analysieren und eine evidenzbasierte Perspektive für die Vereinbarkeit von Privatsphäre, Sicherheit und Vertrauen zu entwickeln. Es wird untersucht, wie sogenannte Sicherheitstechnologien Bürger zunehmend überwachen und dabei in vielen Fällen die Privatsphäre und andere Grundrechte verletzen.

Eines der wichtigsten Ziele des Projektes ist es, die sehr vereinfachte Annahme zu überwinden, wonach die Bürger Privatheit und Sicherheit als Nullsummenspiel betrachten und es akzeptieren, für ein Mehr an Sicherheit in zunehmendem Masse ihre Privatheit und informationelle Selbstbestimmung aufgeben zu müssen. Als Ergebnis soll das Projekt solche Faktoren ermitteln, die die Einstellungen der Bürger zu Privatheit und Sicherheit beeinflussen und in die Bewertung spezifischer Sicherheitstechnologie einfliessen. Die Berücksichtigung solcher Faktoren in Politik, Verwaltung und Unternehmen kann zu besseren Entscheidungen über Überwachungspraktiken beitragen.

Das Projekt lässt seit Mitte Februar vom  Meinungsforschungsinstitut  Ipsos Mori eine Befragung von 27.000 europäischen Bürgern durchführen, um ein genaues Bild über deren Einstellung zu Privatsphäre und Sicherheit zu erstellen, also zu einer Zeit, da diesen Themen eine erhöhte öffentliche Aufmerksamkeit erhalten. Erste Ergebnisse der Befragung werden im April 2014 verfügbar sein, aber bereits zur Vorbereitung der Umfrage wurden Fokus-Gruppen mit Bürgern in Deutschland, Belgien, Portugal, Dänemark, Estland, Ungarn, Rumänien und Großbritannien durchgeführt.

In den Fokusgruppen hatten viele der Teilnehmer das Gefühl, dass ihre Privatsphäre schwer zu schützen ist, wenn sie an der modernen Gesellschaft teilhaben wollten. Dennoch war ihnen zumindest prinzipiell  der Schutz ihrer Privatsphäre und ihrer persönlichen Daten sehr wichtig.

In den meisten Ländern waren die Teilnehmer der Ansicht, dass sie selbst die Hauptverantwortung für den Schutz ihrer Privatsphäre hätten. Allerdings erwarten Sie auch von den Regierungen ihrer Länder ersthafte Bemühungen, die richtigen Rahmenbedingungen zum Schutz ihrer Rechte zu entwickeln. Schließlich wünschen sie sich auch eine wirksame Durchsetzung dieser Rechte durch staatliche Stellen wie die Polizei und Aufsichtsbehörden. Organisationen, die personenbezogene Daten erheben, sollten dafür verantwortlich sein, dass diese sicher und rechtskonform gespeichert und verarbeitet werden.

Die Teilnehmer der Fokusgruppen wünschten sich in der Regel robuste Anwendungsfälle für Überwachungstechnologien, die auch umfänglich die Interessen der Betroffenen berücksichtigen. Insbesondere wollten die Personen würdevoll und individuell behandelt werden, ohne von Vorherein unter Generalverdacht zu stehen. Bei der Einführung von Technologien, von denen ihre Rechte unmittelbar berührt werden, wünschen sie sich eine frühzeitige und ernsthafte Information über die Funktionsweise und Implikationen der fraglichen Technologie und eine ernsthafte Konsultation der Bürger.

Der konkrete Kontext war allen beteiligten Bürgern sehr wichtig, zum Beispiel war die Akzeptanz von Sicherheits- und Überwachungstechnik auf Flughäfen höher als bei Anwendungen in anderen Lebensbereichen, wie z.B. von intelligenten Stromzählern. Die Vorteile solcher Smart Meter für die Verbraucher waren vielen Bürgern wenig einleuchtend.

Bei der Internetnutzung nehmen Bürger mittlerweile vielfach an, dass ihr Verhalten von staatlichen Stellen breit überwacht werden, um Terrorismus und organisierter Kriminalität vorzubeugen und halten dies (mit der Ausnahme der Deutschen) auch für legitim.

Bürger haben bei Überwachungspraktiken von Unternehmen noch größere Bedenken als bei (rechtmäßiger) staatlicher Überwachung. Sie hatten dabei vor allem Sorgen über die Folgen solcher Praktiken auf ihre körperliche und finanzielle Sicherheit. Die Bürger äußerten das Gefühl, dass sie mit der Wahrung ihrer Rechte sowie moralischen und kulturellen Werte gegenüber Unternehmen in vielen Fällen überfordert sind und hier vor allem der Staat in der Pflicht sei, die notwendige Balance zwischen den Interessen herzustellen.

Diese Befunde haben Konsequenzen für die Governance der Überwachung in Europa. Datenschutz und Privatsphäre sind immer noch wichtige gesellschaftliche Werte und sollten geschützt werden, auch wenn die Teilnehmer sagen, dass es in Einzelfällen, wie zum Beispiel Flugreisen, eingeschränkt werden könnte. Momentan seien die überzogenen staatlichen Sicherheitsansprüchen (Sicherheit als „Supergrundrecht“) nicht in Übereinstimmung mit den individuellen Bedürfnisse nach Sicherheit und Privatheit.

Die PRISMS Forscher der Freien Universität in Brüssel (VUB) haben vorgeschlagen, dass die Art und Weise, wie die Angst vor der Kriminalität häufig in Umfragen gemessen wird, von der Annahme ausgeht, dass sich Menschen normalerweise ein Maximum an Sicherheit wünschen. Empirische Ergebnisse legen aber mittlerweile nahe, dass dies nicht der Fall ist: Wenn Menschen Angst vor der Kriminalität zum Ausdruck bringen oder sich Sorgen über bestimmte Sicherheitsvorfälle machen, bedeutet dies nicht weder, dass sie zusätzliche Sicherheitsmaßnahmen unterstützen, noch dass die Menschen das Gefühl haben, deswegen ihre Grundrechte und Freiheiten aufgeben zu müssen.

Vielmehr scheint es darauf anzukommen, in welchem Maße die Bürger den öffentlichen und privaten Sicherheitskräften vertrauen. Der momentane Widerstand gegen Massenüberwachung durch die Geheimdienste legt jedenfalls nahe, dass es bei einem Teil der europäischen Öffentlichkeit zu einem erheblichen Vertrauensverlust gegenüber staatlichen Institutionen gekommen ist. Die in Kürze vorliegenden Ergebnisse der Umfrage sollte eine genauere Beantwortung dieser Frage ermöglichen und entsprechende Vorschläge für die Politik untermauern.

Alle PRISMS Forschungsberichte sind auf der Projekt-Webseite (http://prismsproject.eu) verfügbar.