SCHRIFTLICHE ANFRAGE E-1723/02

von Bart Staes (Verts/ALE) an die Kommission

(13. Juni 2002)

Betrifft: Schutz der Privatsphäre und elektronische Datenverarbeitung

Im Rahmen des e-Government wurde von den Föderalbehörden im Herbst 2000 beschlossen, dass jeder Belgier ab 2005 einen elektronischen Personalausweis bei sich haben muss. In einem Artikel Neuer Personalausweis rückt Big Brother näher in De Morgen vom 21. Mai 2002, heißt es, dass an sogenannten Superdatenbanken gearbeitet wird, die neben steuerlichen und medizinischen auch polizeiliche Daten speichern. Ferner sollen auch biometrische Daten gespeichert werden, um die Authentizität anhand von Gesichtsmerkmalen verifizieren zu können. Über ein Portal wird es über den Geheimcode des Personalausweises möglich sein, an diese sehr persönliche Daten zu gelangen. Dafür ist nur eine vierziffrige Kombination nötig. Außerdem sollen diese Datenbanken laut Artikel miteinander verknüpft werden. Auf diese Weise wird der Zugang zu diesen Datenbanken natürlich sehr lukrativ.

Bislang gibt es fast keine Kontrolle derartiger Datenbestände. Die aufsichtsführende Stelle (die Kommission zum Schutz der Privatsphäre) untersteht nicht parlamentarischer Kontrolle und hat nicht genügend Mitarbeiter, um ordnungsgemäß Aufsicht zu führen. Außerdem ist ein Mitglied dieser Kommission auch Leiter der Stelle, die für die Leitung des Projekts des elektronischen Personalausweises verantwortlich ist.

Wie beurteilt die Kommission die Verknüpfung polizeilicher, medizinischer und steuerlicher Datenbanken?

Ist die Beteiligung der Kommission zum Schutz der Privatsphäre und die gleichzeitige Leitung des Projekts des elektronischen Personalausweises durch sie mit den gemeinschaftlichen Rechtsvorschriften im Einklang, und wie steht die Kommission dazu?

Ist nicht die Sicherung der Daten lediglich durch einen Pin-Code technisch und organisatorisch unzureichend, um den Schutz der Privatsphäre gewährleisten zu können, und auf welche Argumente stützt sich die Kommission?

Gemeinsame Antwortvon Herrn Bolkestein im Namen der Kommissionauf die Schriftlichen Anfragen E-1723/02 und E-1724/02

(26. September 2002)

Die Kommission hat im Zuge einer Notifikation in Anwendung der Richtlinie 98/34/EG(1) (Richtlinie, die die Notifikation von nationalen Entwürfen von Vorschriften vorschriebt, insbesondere bei den Diensten der Informationsgesellschaft) von belgischen Gesetzesentwürfen Kenntnis erhalten, die auf die Einführung eines elektronischen Personalausweises ausgerichtet sind. Belgien hat den Gesetzesentwurf mitgeteilt (unter Nr. 2001/474/B) und darum gebeten, die Texte vertraulich zu behandeln, in Anwendung von Artikel 8 Absatz 4 der genannten Richtlinie. Im Anschluss an die Analyse dieses Entwurfs hat die Kommission eine ausführliche Stellungnahme und Anmerkungen abgegeben. Die ausführliche Stellungnahme bezog sich im wesentlichen auf die technischen Anhänge und sollte die Vereinbarkeit dieser Anhänge mit den Richtlinien 73/23/EWG des Rates vom 19. Februar 1973 zur Angleichung der Rechtsvorschriften der Mitgliedstaaten betreffend elektrische Betriebsmittel zur Verwendung innerhalb bestimmter Spannungsgrenzen(2) und 89/336/EWG des Rates vom 3. Mai 1989 zur Angleichung der Rechtsvorschriften der Mitgliedstaaten über die elektromagnetische Verträglichkeit(3) sicherstellen. Was die Anmerkungen angeht, so bezogen sie sich auf Datenschutzaspekte.

Die Kommission weist darauf hin, dass nach dem derzeitigen Stand zwar eine Vereinfachung der bestehenden Verfahren betreffend den Zugang zu oder die Übermittlung von personenbezogenen Daten beabsichtigt wird, die vorgeschlagene Rechtsvorschrift jedoch nicht explizit die Verknüpfung von medizinischen oder steuerlichen Datenbanken vorsieht.

Allerdings ist der Kommission die Bedeutung der vom Herrn Abgeordneten vorgebrachten Einwände bewusst, und sie wird dem im Rahmen der Bewertung der Durchführung der Richtlinie 95/46/EG des Europäischen Parlaments und des Rates vom 24. Oktober 1995 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr(4) Rechnung tragen; dieses Verfahren dürfte Ende 2002 abgeschlossen sein.

Auf alle Fälle muss jede Verarbeitung personenbezogener Daten, einschließlich der Verknüpfungen, im Zusammenhang mit dem elektronischen Personalausweis mit der Richtlinie 95/46/EG übereinstimmen. Diese Richtlinie, deren Anwendungsbereich auf das Gemeinschaftsrecht beschränkt ist, enthält die Grundsätze und Voraussetzungen für die Verarbeitung personenbezogener Daten. Sie enthält insbesondere die Verpflichtung, personenbezogene Daten nach Treu und Glauben zu behandeln und sie nur zu dem Zweck zu verarbeiten, für den sie gesammelt wurden. Die Richtlinie 95/46/EG enthält ferner einen Grundsatz, demzufolge die Verarbeitung von Daten über die Gesundheit, die verboten ist, wofür wiederum verschiedene Ausnahmen gelten. Darüber hinaus schreibt sie vor, dass die Anwendungsbedingungen für eindeutige Kennungen festgelegt werden.

Die Richtlinie 95/46/EG sieht enthält ferner die Verpflichtung, personenbezogene Daten vor zufälliger oder unrechtmäßiger Zerstörung, zufälligem Verlust, unberechtigte Änderung, unberechtigte Weitergabe oder unberechtigten Zugang oder jede andere Form der unrechtmäßigen Verarbeitung zu schützen. Die Richtlinie 97/66/EG des Europäischen Parlaments und des Rates vom 15. Dezember 1997 über die Verarbeitung personenbezogener Daten und den Schutz der Privatsphäre im Bereich der Telekommunikation, die ab dem 31. Oktober 2003 durch die Richtlinie 2002/58/EG(5) ersetzt wird, enthält ebenfalls spezifische Pflichten in bezug auf die Sicherheit der öffentlichen Telekommunikationsnetze und der öffentlich zugänglichen Telekommunikationsdienste.

Besonders aufmerksam verfolgt die Kommission die technischen Entwicklungen im Hinblick auf die Sicherheit des Datenaustauschs. Sie weist in diesem Zusammenhang darauf hin, dass das Sicherheitsniveau, das die Nutzung einer Infrastruktur mit öffentlichem Schlüssel bietet, nicht nur von dem Sicherheitsniveau der technischen Komponenten der Infrastruktur abhängt, sondern

auch von der Qualität der Sicherheitsmaßnahmen und vor allem von der Strenge ihrer Durchführung (Smartcard, Generierung der Schlüssel, Behörde, die die Zertifikate erteilt, Gültigkeit der Zertifikate usw.).

Die Kommission widmet den Sicherheitstechniken, die für die Übermittlung personenbezogener Daten verwendet werden, besondere Aufmerksamkeit. Sie weist dennoch darauf hin, dass es keine absolute Sicherheit gibt und dass gemäß Richtlinie 95/46/EG das angemessene Sicherheitsniveau in bezug auf die Gefahren der Verarbeitung personenbezogener Daten und die Art der zu schützenden personenbezogenen Daten unter Berücksichtigung des Stands der Technik und der Kosten für die Durchführung der Sicherheitsmaßnahmen festgelegt werden muss.

Was die Zusammensetzung Kontrollbehörden angeht, die für die Überprüfung der Anwendung der von den Mitgliedstaaten angenommenen Bestimmungen zuständig sind, so sieht die Richtlinie 95/46/EG vor, dass diese Behörden ihre Aufgaben völlig unabhängig erfuellen sollen. Die Richtlinie gibt allerdings keinen weiteren Hinweis auf die Art und Weise, wie die Unabhängigkeit gewährleistet werden soll. Die Kommission weist in diesem Zusammenhang darauf hin, dass gemäß dem belgischen Gesetz vom 8. Dezember 1992 über den Schutz der Privatsphäre bei der Verarbeitung personenbezogener Daten die für den Schutz personenbezogener Daten zuständige belgische Behörde ein Kollegium ist, dessen Mitglieder vom Parlament ernannt werden. Dieses Gesetz sieht ferner vor, dass die Mitglieder gewährleisten müssen, dass sie ihre Aufgaben unabhängig erfuellen können. Zu diesem Zweck sind verschiedene Maßnahmen vorgesehen, darunter die Auflage, dass die Mitglieder nicht an Beratungen über Themen teilnehmen dürfen, an denen sie ein persönliches Interesse haben.

Die Kommission erinnert außerdem daran, dass sie Forschungsprojekte über die Sicherheit der Smartcards fördert. Die Wissenschaftler Ross Anderson und Sergei Skorobogatov sind an dem Projekt G3CARD (IST-1999-26328) beteiligt. Dieses Projekt verfolgt ein doppeltes Ziel. Erstens ist es darauf ausgerichtet, alle überhaupt möglichen Angriffe auf eine Karte zu ermitteln (so wird beispielsweise der Flash-Angriff in diesem Projekt untersucht). Das zweite Ziel des Projekts ist die Entwicklung einer neuen Generation von Smartcards, die nicht für diese neuen Angriffe empfänglich ist.

Die Smartcard hat den Vorteil, dass sie das Sicherheitsniveau der Systeme ganz deutlich erhöht, indem sie Angriffe zugleich technisch schwierig und kostenaufwändig und somit während einer bestimmten Zeitspanne für Kriminelle unzugänglich macht. Es ist jedoch klar, dass man neue Angriffsmöglichkeiten finden wird, die die Entwicklung neuer Smartcards erforderlich machen werden.

Das Sicherheitsniveau des GSM wurde an die Anwendungen angepasst, die von den Entwicklern der Norm vor 15 Jahren vorgesehen worden waren; es handelt sich im Wesentlichen um Anwendungen im Bereich der Telefonie. Die neuen Normen für schnurlose Telefonsysteme der dritten Generation sehen eine größere Sicherheit vor, die auch wichtige Anwendungen erlaubt. Die Sicherheit der schnurlosen Transaktionen wird auch eines der Hauptthemen des IST-Programms innerhalb des 6. Rahmenprogramms für Forschung und technische Entwicklung der Gemeinschaft sein. Ab sofort besteht eines der Ziele des Forschungsprojekts Embedded Finread (IST-2000-30091) darin, die Sicherheit der Zahlungsterminals auf schnurlose Telefonsysteme, darunter das gegenwärtige GSM, zu übertragen.

Andere Projekte wie PKI Challenge (IST-2000-25012) und Digisec (IST-1999-20981) arbeiten an der Entwicklung der elektronischen Signatur und der dazugehörigen PKI-Infrastruktur. Das Projekt NESSIE (IST-1999-12324) definiert neue kryptographische Algorithmen, und Verificard (IST-2000-26328) konzentriert sich auf die Überprüfung der Sicherheit der On-board-Software der Karte. Projekte wie UFACE (IST-1999-11587) oder BANCA (IST-1999-11159) wiederum konzentrieren sich auf die technischen Aspekte der Biometrie.

Das Projekt Smartcities (IST-1999-12252) befasst sich mit einer Smartcard für Städte. Es hat jedoch auch den Vorteil, dass es Mechanismen zur Gewährleistung der Datensicherheit entwickelt. Laut Smartcities wird der Datenschutz ein Verkaufsargument werden. Die Mechanismen könnten später auch in anderen Projekten eingesetzt werden.

(1) Richtlinie 98/34/EG des Europäischen Parlaments und des Rates vom 22. Juni 1998 über ein Informationsverfahren auf dem Gebiet der Normen und technischen Vorschriften, ABl. L 204 vom 21.7.1998.

(2) ABl. L 77 vom 26.3.1973.

(3) ABl. L 139 vom 23.5.1989.

(4) ABl. L 281 vom 23.11.1995.

(5) ABl. L 24 vom 30.1.1998 und ABl. L 201 vom 31.7.2002.