Vertrauliche Informationen

Was sind vertrauliche Informationen?

Zu vertraulichen Informationen gehört ein breites Spektrum an Daten. Allen ist jedoch gemeinsam, dass ihre Offenlegung Risiken für Menschen und Organisationen birgt. Zu den Arten vertraulicher Informationen gehören:

• Geschäftsbezogene Daten – Buchhaltungsinformationen, Finanz-, Planungs- und Geschäftsgeheimnisse
• Daten von Regierungsbehörden – vertrauliche, eingeschränkte, geheime und streng geheime Informationen
• Personenbezogene Daten – E-Mail-Adressen, Telefonnummern, Postanschriften und Krankengeschichten
• Transaktionsdaten – Bankkontoinformationen, Kreditkartennummern und Sozialversicherungsnummern

Die meisten vertraulichen Informationen werden durch ein Netz nationaler und internationaler Gesetze und Vorschriften geschützt, die von Regierungen und Organisationen erlassen und durchgesetzt werden. Diese Schutzmaßnahmen erfordern, dass vertrauliche Informationen vor einem unbefugten Zugriff geschützt werden.

Unabhängig davon, ob sie in physischer oder digitaler Form vorliegen, vertrauliche Informationen müssen im Ruhezustand (d. h. dort, wo sie gespeichert werden) und während der Übertragung (d. h. wenn sie über physische Kanäle wie per Post oder digitale Kanäle wie E-Mail gesendet oder zwischen Anwendungen geteilt werden) geschützt werden.

Nachfolgend finden Sie Einzelheiten zu mehreren der verschiedenen Kategorien vertraulicher Informationen.

Personenbezogene Daten

Personenbezogene Daten, oft auch als persönlich identifizierbare Informationen (PII) bezeichnet, sind ein großer Teil der vertraulichen Informationen, die direkt auf eine Person zurückgeführt werden können und der Person bei Offenlegung Schaden zufügen könnten. Da anhand dieser Art von vertraulichen Informationen eine Person von einer anderen unterschieden werden kann, könnten sie zur Deanonymisierung anonymer Daten verwendet werden.

Es ist wichtig zu beachten, dass personenbezogene Daten einzeln betrachtet keine vertraulichen Informationen darstellen. Werden jedoch mehrere personenbezogene Daten miteinander verknüpft, können diese zu PII werden. Organisationen werden daher dazu angehalten, sowohl personenbezogene als auch vertrauliche Informationen gleichermaßen zu schützen, um Strafen wegen Nichteinhaltung und andere negative Auswirkungen zu vermeiden.

Zu den Arten von vertraulichen Informationen, die in den personenbezogenen Daten enthalten sind, zählen beispielsweise:

• Ausländerregistrierungsnummer
• Biometrische Daten (z. B. Fingerabdruck, Stimmabdruck, Netzhaut- oder Irisbild oder andere eindeutige physikalische Messungen)
• Strafregister
• Geburtsdatum
• Führerscheinnummer
• Genetische Daten
• Internetprotokolladressen (IP-Adressen)
• Standortinformationen
• Mädchenname der Mutter
• Name
• Nicht-Fahrer-Identifikationskartennummer
• Reisepassnummer
• Telefonnummer
• Foto
• Geburtsort
• Politische Zugehörigkeit oder Meinung
• Rasse oder ethnische Herkunft
• Religiöse oder philosophische Überzeugung
• Sexuelle Orientierung
• Sozialversicherungsnummer
• Gewerkschaftsmitgliedschaft
• Daten zu Veteranenstatus und Behinderung

Geschäfts- und Kundeninformationen

Zu vertraulichen Geschäftsinformationen zählen alle Informationen, deren Offenlegung ein Risiko für ein Unternehmen darstellt. Beispiele für Geschäfts- und Kundeninformationen, die als vertraulich gelten können, sind:

• Bankkontoinformationen
• Karteninhaberdaten
• Gerichtsakten aus einem Verbraucherbericht
• Einkäufe mit Kredit- oder Debitkarte
• Kredit-Scores
• Kundendaten
• Bundessteueridentifikationsnummern
• Finanzdaten
• Daten zum geistigen Eigentum
• Bestandsinformationen
• Marketingpläne
• Betriebsinformationen
• Zahlungskarteninformationen
• Anstehende Unternehmensmaßnahmen oder -pläne, wie etwa ein Börsengang (IPO), Fusionen, Übernahmen oder Aktiensplits
• Verkaufszahlen
• Lieferanteninformationen
• Geschäftsgeheimnisse
• Unveröffentlichte Ertragsberichte

Geheime Regierungsinformationen

Unter Verschlusssachen versteht man staatliche Informationen, deren Zugriff auf der Grundlage der Vertraulichkeitsstufe – streng geheim, geheim und vertraulich – eingeschränkt ist.

Streng geheim: Bei dieser Art von vertraulichen Informationen von Regierungsbehörden handelt es sich um Informationen der nationalen Sicherheit, die ein Höchstmaß an Schutz erfordern. Die Hürden für die Einstufung von vertraulichen Informationen als streng geheim sind hoch.

Gemäß dem Code of Federal Regulations ist bei einem unbefugten Zugriff auf diese Informationen davon auszugehen, dass dies zu einem „außergewöhnlich schweren Schaden für die nationale Sicherheit“ führen würde.

Beispiele für „außergewöhnlich schwere Schäden“, die im Code of Federal Regulations aufgeführt sind, sind:

• Bewaffnete Feindseligkeiten gegen die Vereinigten Staaten oder ihre Verbündeten
• Störung der Außenbeziehungen mit wesentlichen Auswirkungen auf die nationale Sicherheit
• Die Gefährdung wichtiger nationaler Verteidigungspläne
• Die Enthüllung vertraulicher Geheimdienstoperationen
• Die Offenlegung wissenschaftlicher Entwicklungen, die für die nationale Sicherheit von entscheidender Bedeutung sind

Geheim: Die zweithöchste Klassifizierung für Informationen von Regierungsbehörden wird auf vertrauliche Informationen angewendet, die gemäß dem Code of Federal Regulations „ein erhebliches Maß an Schutz“ erfordern, da bei einem unbefugten Zugriff darauf vernünftigerweise davon ausgegangen werden kann, dass sie „schweren Schaden für die nationale Sicherheit“ verursachen.

Beispiele für „schwerwiegende Schäden“, die im Code of Federal Regulations aufgeführt sind, sind:

• Störung der Außenbeziehungen mit erheblichen Auswirkungen auf die nationale Sicherheit
• Erhebliche Beeinträchtigung eines Programms oder einer Richtlinie, die in direktem Zusammenhang mit der nationalen Sicherheit steht
• Enthüllung bedeutender militärischer Pläne oder Geheimdienstoperationen
• Gefährdung bedeutender wissenschaftlicher oder technologischer Entwicklungen im Hinblick auf die nationale Sicherheit

Vertraulich: Bei als vertraulich eingestuften Regierungsinformationen ist im Falle eines unbefugten Zugriffs davon auszugehen, dass sie die nationale Sicherheit schädigen. Diese Informationen müssen geschützt werden, jedoch nicht in demselben Maß wie geheime und streng geheime Informationen.

Beispiele für vertrauliche Informationen sind:

• Die Offenlegung von Informationen über die Stärke der Boden-, Luft- und Seestreitkräfte in den Vereinigten Staaten und in Überseegebieten
• Einsatz- und Gefechtsberichte, die für den Feind wertvolle Informationen enthalten
• Geheimdienstberichte
• Dokumente und Handbücher mit technischen Informationen für die Ausbildung, Wartung und Inspektion klassifizierter Kriegsmunition
• Forschung, Entwicklung, Produktion und Beschaffung von Kriegsmunition
• Leistungsmerkmale, Testdaten, Design und Produktionsdaten zu Kriegsmunition
• Mobilisierungspläne
• Dokumente, die die Bedeutung von Codenamen oder Symbolen zeigen, die zur Bezugnahme auf vertrauliche Informationen verwendet werden
• Dokumente im Zusammenhang mit Sonderermittlungen, Sicherheitsüberprüfungen oder der Zuweisung von Personal, das Kenntnis von oder Zugang zu Verschlusssachen hat
• Einzelheiten zu den Merkmalen spezieller Versandbehälter, Routen und Zeitpläne für den Versand vertraulicher Materialien

Geschützte Gesundheitsinformationen (PHI) oder elektronisch geschützte Gesundheitsinformationen (ePHI)

PHI (ePHI) ist eine Art vertraulicher Informationen, die durch den US-amerikanischen Health Insurance Portability and Accountability Act(HIPAA) geregelt sind. Dazu gehören alle medizinischen Informationen, die eine Person identifizieren können oder die bei der Erbringung von Gesundheitsdienstleistungen erstellt, verwendet oder offengelegt werden. Dies schließt alle Informationen im Zusammenhang mit der medizinischen, körperlichen oder geistigen Gesundheit einer Person ein, die in physischen oder digitalen Aufzeichnungen aufgezeichnet und gespeichert werden.

Beispiele für PHI und ePHI sind:

• Termine
• Gerätekennungen und Seriennummern
• Krankengeschichten
• Angebotene Gesundheitsdienstleistungen
• Labor- oder Testergebnisse
• Krankenakten
• Arztrechnungen
• Patientenformulare
• Rezepte
• Kommunikationsunterlagen von Ärzten oder Patienten

Bildungsunterlagen

Bildungsinformationen und -unterlagen gelten als vertraulich und der Zugriff durch potenzielle Arbeitgeber, öffentlich finanzierte Bildungseinrichtungen und ausländische Regierungen ist streng geregelt.

Beispiele für Bildungsunterlagen sind:

• Akademische Spezialisierungen und Aktivitäten
• Beratungsunterlagen
• Verliehene Auszeichnungen
• Belegte Kurse
• Geburtsdatum und -ort
• Erworbene Abschlüsse
• Disziplinarunterlagen
• Anwesenheitsnachweis
• In Anspruch genommene Bildungsleistungen
• Notfallkontaktinformationen der Eltern und/oder Erziehungsberechtigten
• Noten und/oder Notendurchschnitt
• Von der Schule erstellte oder gesammelte und verwaltete medizinische und gesundheitliche Unterlagen
• Anzahl der Kurse, für die der Schüler eingeschrieben ist
• Offizielle Schreiben zum Status des Schülers an der Schule
• Adressen der Eltern und/oder Erziehungsberechtigten
• Stundenplan
• Besuchte Schulen
• Unterlagen zur Sonderpädagogik
• E-Mail-Adresse des Schülers
• Schüleridentifikationsnummer
• Testergebnisse

Vertrauliche Informationen vs. personenbezogene Daten

Gesetze und Vorschriften zu vertraulichen Informationen

Nachfolgend sind einige Gesetze und Vorschriften aufgeführt, die sich auf vertrauliche Informationen beziehen und deren Schutz vorschreiben.

Nationale Gesetze

Vereinigte Staaten (USA)

• Children’s Online Privacy Protection Act (COPPA)
• Family Educational Rights and Privacy Act (FERPA)
• Gramm-Leach-Bliley Act (GLBA)
• Health Insurance Portability and Accountability Act (HIPAA)
• US Privacy Act (Datenschutzgesetz) von 1974

International

• Australian Federal Privacy Act (Bundesdatenschutzgesetz)
• Australian Privacy Act (Datenschutzgesetz) und vertrauliche Informationen
• Brasiliens Lei Geral de Proteção de Dados (LGPD)
• Kanadas Gesetz zum Schutz personenbezogener Daten und elektronischer Dokumente (PIPEDA)
• Chiles Gesetz Nr. 19.628 zum Schutz der Privatsphäre
• Chinas Datenschutzgesetz, das Gesetz zum Schutz personenbezogener Daten (PIPL)
• Ägyptens Gesetz zum Schutz personenbezogener Daten (PDPL)
• Datenschutz-Grundverordnung der Europäischen Union (DSGVO)
• Japanisches Gesetz zum Schutz personenbezogener Daten
• Nigerianische Datenschutzverordnung (NDPR)
• Thailändisches Gesetz zum Schutz personenbezogener Daten (PDPA)
• Großbritanniens Datenschutzgesetz

US-Bundesgesetze zum Schutz vertraulicher Informationen

• California Privacy Rights Act (CPRA), eine Ergänzung zum California Consumer Privacy Act (CCPA)
• Colorado Privacy Act (CPA)
• Connecticut Personal Data Privacy and Online Monitoring Act
• Indiana Consumer Data Protection Act
• Iowa Consumer Data Protection Act (ICDPA)
• Maryland Online Consumer Protection Act
• Massachusetts Data Privacy Law
• Montana Consumer Data Privacy Act
• New York Privacy Act
• New York SHIELD Act (Stop Hacks and Improve Electronic Data Security Act)
• Oregon Consumer Privacy Act (OCPA)
• Tennessee Information Protection Act
• Texas Data Privacy and Security Act (TDPSA)
• Utah Consumer Privacy Act (UCPA)
• Virginia Consumer Data Protection Act

Wichtige Kategorien von vertraulichen Informationen in Gesetzen und Verordnungen

Nachstehend sind spezifische Punkte verschiedener US-amerikanischer Gesetze und Verordnungen aufgeführt, die den Umgang mit vertraulichen Informationen regeln.

Biometrie

• Verbraucher können dem Verkauf biometrischer Daten widersprechen
• Entwicklung einer schriftlichen Richtlinie zur Erfassung oder Speicherung biometrischer Identifikatoren
• Implementierung eines bestimmten Typs biometrischer Daten (z. B. Fingerabdrücke, Gesichts-, Stimm-, Iris- und Handflächendaten)

Online-Datenschutz für Kinder

• Verbot der Erfassung von Informationen über minderjährige Benutzer zu Marketingzwecken
• Die Betreiber von Websites, Onlinediensten oder Anwendungen müssen personenbezogene Daten von Minderjährigen löschen, wenn diese bereits erhoben wurden

Verbundene Geräte (z. B. Lautsprecher, Mobiltelefone, Kameras und Videoüberwachung) Können ohne die Zustimmung einer Person die folgenden Aktionen im Zusammenhang mit mit verbundenen Geräten erfassten Daten verbieten:

• Erfassung
• Speicherung
• Nutzung

Verbraucherrechte Gewährleistung spezifischer Verbraucherrechte in Bezug auf ihre vertraulichen Informationen und personenbezogenen Daten, wie beispielsweise das Recht auf:

• Zugriff: Alle über sie gespeicherten Informationen einsehen
• Löschen: Fordern Sie die Löschung aller Informationen über sie an
• Korrigieren: Fordern Sie die Aktualisierung fehlerhafter Informationen an

Standortdatenschutz

• Verbot der Übertragung oder des Verkaufs von Geolokalisierungs- oder GPS-Daten von Verbrauchern ohne Genehmigung

Datenschutz auf der Website

• Anforderung an den Betreiber einer kommerziellen Website oder eines Onlinedienstes, der personenbezogene Daten sammelt, seine Kunden über seine Praktiken zur Weitergabe personenbezogener Daten zu informieren
• Zustimmung erforderlich, bevor Internetbrowserinformationen weitergegeben werden

Sorgen Sie mit „Privacy by Design“ für den Schutz vertraulicher Informationen

Der Schutz vertraulicher Informationen ist für Unternehmen von größter Bedeutung. Immer mehr Organisationen setzen auf Privacy by Design, um vertrauliche Informationen zu schützen. Dieser Sicherheitsansatz integriert den Datenschutz in die Implementierung und Bereitstellung aller Richtlinien, Systeme und Geräte.

Privacy by Design unterstützt Unternehmen dabei, den Schutz vertraulicher Informationen mithilfe von sieben Grundprinzipien sicherzustellen:

1. Proaktiv, nicht reaktiv; präventiv, nicht abhelfend
2. Datenschutz als Standardeinstellung
3. Datenschutz im Design integriert
4. Volle Funktionalität – positive Summe, nicht Nullsumme
5. End-to-End-Sicherheit – Schutz über den gesamten Lebenszyklus
6. Sichtbarkeit und Transparenz – offen bleiben
7. Respekt für die Privatsphäre der Benutzer – benutzerzentriert bleiben

Unabhängig vom Ansatz müssen Unternehmen vertrauliche Informationen schützen, um zahlreiche Vorschriften und Gesetze einzuhalten und die Erwartungen an den Schutz vertraulicher Informationen zu erfüllen.