Eine glaubwürdige EU-Cybersicherheitsstrategie muss auf Vertrauen und dem Schutz der Privatsphäre aufbauen

Cybersicherheit ist keine Entschuldigung für die unbegrenzte Überwachung und Analyse persönlicher Daten, so der Europäische Datenschutzbeauftragte heute aus Anlass der Veröffentlichung seiner Stellungnahme zur Cybersicherheitsstrategie der Europäischen Union. Die Strategie enthält zwar eine willkommene Bestätigung der Wichtigkeit der Datenschutzprinzipien, sie ist allerdings unklar bezüglich der Frage, wie diese Prinzipien in der Praxis umgesetzt werden sollen, um die Sicherheit von Personen, Unternehmen, Regierungen und anderen Organisationen zu schützen.

Peter Hustinx, EDSB, sagte hierzu: "Es gibt keine Sicherheit ohne Privatsphäre. Deswegen bin ich erfreut, dass die EU-Strategie anerkennt, dass es nicht um Privatsphäre gegen Cybersicherheit geht, sondern dass der Schutz der Privatsphäre und der Datenschutz Leitprinzipien für die Cybersicherheit sind. Allerdings spiegeln sich die Ambitionen der Strategie nicht in der geplanten Umsetzung wider. Wir erkennen an, dass Fragen der Cybersicherheit auf internationaler Ebene durch internationale Standards und Zusammenarbeit angegangen werden müssen. Nichtsdestotrotz muss Kooperation zwischen der EU und Drittstaaten wie den USA zwingend auf einem Fundament aus gegenseitigem Vertrauen und Respekt für die Grundrechte aufbauen; ein Fundament, das im Moment beschädigt erscheint."

Das allgemeine Ziel der EU-Strategie ist es, die Nutzung des Internets und aller mit ihm verbundenen Netzwerke und Informationssysteme sicherer zu machen, indem Organisation in den EU-Staaten dazu befähigt werden, Störungen und Cyber-Angriffe zu verhindern und auf sie zu reagieren. Das Ergebnis soll ein größeres Vertrauen von Personen und Organisationen in das Internet sein. Die Mitteilung der Kommission beachtet allerdings nicht genügend die Rolle des Datenschutzrechts und aktueller EU-Rechtsetzungsvorschläge, wie etwa der vorgeschlagenen Datenschutzgrundverordnung und der e-Trust-Verordnung bei der Förderung der Cybersicherheit. Sie ignoriert ebenfalls, wie wichtig es ist, den Datenschutz bereits in der Entwicklung von Systemen, die der Cybersicherheit dienen sollen, zu berücksichtigen - eingebauter Datenschutz -, um ein Fundament für Vertrauen zu schaffen. Die Folge ist, dass die Strategie nicht so effektiv und umfassend ist, wie die Kommission beabsichtigte.

Zwar können Maßnahmen zur Cybersicherheit die Analyse bestimmter personenbezogener Daten, wie etwa IP-Adressen, die zu einzelnen Personen zurückverfolgt werden können, mit sich bringen; Cybersicherheit kann aber auch eine grundlegende Rolle beim Schutz der Privatsphäre und des Datenschutzes in der Online-Umwelt spielen, vorausgesetzt, dass die Datenverarbeitung verhältnismäßig, notwendig und rechtmäßig ist.

Nationale Datenschutzbehörden (DSBs) spielen eine wichtige Rolle dabei, sicherzustellen, dass die der Verarbeitung personenbezogener Daten - auch im Internet und in Netzwerken und Informationssystemen - mit einem angemessenen Sicherheitsniveau erfolgt; sie haben ebenfalls eine Rolle in der Bewusstseinsbildung bezüglich der Regeln, die für Personen und Organisationen in den EU-Staaten gelten. Zusätzlichen müssen die DSB über alle neuen Verarbeitungsvorgänge, die personenbezogene Daten beinhalten sowie über Datenschutzverstöße informiert werden. Agenturen wie Europol, ENISA und andere, die in der Mitteilung aufgeführt werden, müssen in der Erfüllung ihrer Aufgaben mit den DSB in Kontakt bleiben. Auch wenn dies in der Strategie nicht angesprochen wird, muss der Beitrag der DSB zur Cybersicherheit anerkannt werden.