Kapitel 3: Datenschutz im öffentlichen Bereich

Kapitel 3: Datenschutz im öffentlichenBereich • Große zentrale Register (> 5 Mio. Einträge) • Bundeszentralregister (Führungszeugnis) • Personalausweisregister • Stammsatzdatei für sämtliche vergebene Sozial- • Versicherungsnummern • Ausländerzentralregister • Wehrersatzwesen - Informationssystem (WEWIS) • DDR - zentrales Einwohnerregister + Personenkennzeichen (siehe BfD-Info 2 und Info 3)

Zentrale Register II • ZVS • Händlerregister (z.B. alle VW - Besitzer) • ZeVIS - zentrales Verkehrsinformationssystem(Zugriff der Polizei) • Schufa (Schutzvereinigung der Banken, 42 Mio. Einträge) • GEZ - zentrale Sammlung in Köln

Große verteilte Register • Melderegister • Handelsregister • Krankenkassen Mitgliederregister • Rentenversicherungen der Arbeiter • Versorgungsunternehmen • Gebührendateien der Telekom

Inhalt des Bundeszentralregisters Einträge: + strafgerichtliche Verurteilung + Entmündigungen + Entscheidungen von Verwaltungsgerichten und Behörden + Vermerke über Schuldunfähigkeit + gerichtliche Feststellungen + nachträgliche Entscheidungen und Tatsachen - Personendaten - entscheidende Stelle - Tag der letzten Tat - Tag der Rechtskraft - rechtl. Bezeichnung der Tat - alle Haupt- und Nebenstrafen

Melderegister 1 Namen, Doktorgrad, Geburtsdatum, -ort; Geschlecht, Familienstand, gegenwärtige Anschrift • Erwerbstätigkeit (ja/ nein), steuerrechtliche Daten • gesetzliche Vertreter (s. 1 + Sterbetag) • Kinder • Ehegatte • Staatsangehörigkeit, Religion • Tag des Ein- und Auszugs, frühere Anschriften, Haupt- und Nebenwohnung • Übermittlungssperren • Austellung von Paß, Ausweis • Ausschluß von Wahlrecht, Paßversagungsgründe • Wehr- oder Zivildienstüberwachung • ...

Abfragen bei ZeVIS H Daten des Halters (Name, Anschrift,Geburtsort) K Angaben zum Kraftfahrzeug A Auswahl von Kraftfahrzeugen anhand einzelner Merkmale F Negativabfrage zu Fahrerlaubnis anhand von Name und Geb. - Datum P sämtliche personenbezogenen Daten zu einem Namen oder Fahrzeug

Personenkennzeichen Ein zentrales Personenkennzeichen für alle Bundesbürger soll es nicht geben! Aber: Personalausweisnummer (automatisch erschließbar) • Name, Geb-Datum , Behördenkennzahl, 5 stellige Nr. • Einschränkung der Verwendung für Dateienerschließung UND: Sozialversicherungsnummer 2-stellige Bereichsnr.Geburtsdatum + 1. Buchstabe des Geburtsnamens+ 3 Ziffern zur Gewährleistung der Eindeutigkeit

Sozialverwaltung Sozialversicherung Arbeits- verwal- tung Sozial- hilfe KV RV UV Zugriffsmöglichkeiten mit der Sozialversicherungsnummer Staatl. Stellen Leistungen nach SGB Sozial- Vers.- nummer zugreifen

Statistiken Quantitative Darstellung von Grob- und Feinstrukturen, die über die Betrachtung von Einzelfällen hinausgeht • Relative oder absolute Angabe des Anteils einzelner Gegebenheiten mit gleichen Eigenschaftenunter Bezugnahme auf eine Gesamtheit • statistische Auswertungen vermitteln Rangfolgen und quantitative Zusammenhänge

z.B. Volkszählung Miet/ Eigentumsverhältnis bzgl. der Wohnung Bezugsdatum Ausstattung der Wohnung Heizart Zahl der Räume (>6 qm) Wohnfläche Miethöhe Art der Wohnung ... Person Geburtshalbjahr Geschlecht Familienstand Religion Staatsangehörigkeit Erwerbstätigkeit Ausbildung Verkehrsmittel ... Dateien mit Einzelfällen alsGrundlage für Statistiken Um Statistiken erzeugen zu können, führt man eine Erhebung der Gesamtheit der Einzelfälle durch und speichert das Ergebnis anonym ab.

Beispiel für eine Statistikdatei Beispiel Tabelle 1a: SDB mit N = 13 Studenten Name Geschlecht Hauptfach Jahrgang ND SAT Allen Weiblich Chemie 1980 3.4 600 Baker Weiblich Englisch 1980 2.5 520 Cook Männlich Englisch 1978 3.5 630 Davis Weiblich Chemie 1978 4.0 800 Evans Männlich Biologie 1979 2.2 500 Frank Männlich Englisch 1981 3.0 580 Good Männlich Chemie 1978 3.8 700 Hall Weiblich Kunst 1979 2.8 580 Iles Männlich Chemie 1981 3.2 600 Jones Weiblich Biologie 1979 3.8 750 Kline Weiblich Kunst 1981 2.5 500 Lane Männlich Englisch 1978 3.0 600 Moore Männlich Chemie 1979 3.5 650 ND = Notendurchschnitt SAT = Schüler Eignungsprüfung

Notendurchschnitt der Biologie- studenten = 3 (n=2); der weibl. Kunst und Bio- Stud. =3,33 (n=3); der weibl. Kunststud. =2,65 (n=2); Beispiel für eine Statistikdatei Beispiel Tabelle 1a: SDB mit N=13 Studenten Notendurchschnitt der männlichen Biologie- studenten = 2.2 (n=1)

Angreifer Prinzip der Deanonymisierung Deanonymisierungsaktivität einer beliebigen Person eine beliebige Eigen- schaft xi zuordnen beliebigen Person Pi beliebige Eigenschaften xi zuordnen Einer ausge- wählten Person Pi möglichst viele Eigen- schaften xi zuordnen zu einer Eigenschaft xi möglichst viele Pi finden prüfen, ob für Pi xi gilt Muß SP in YY enthalten sein? Zuordnungsver- suche mittels Ei entspricht ge- fundene SP dem Interesse? Ausreißer aufspüren ja ja Treffer Anonyme Datei XX Identifkationsfile YY Datensatz einer statistischen Person SP Datensatz zu einer Person allgemeines Zusatz- wissen N N Eigenschaft xi Zusatzwissen Zi N N vergleichb. Eigenschaft Ei vergleichb. Eigenschaft Ei

Mögliche Ergebnisse derZuordnung interessante Person 1 1 Datensatz aus XX; anonym Datensatz aus YY n a m m n b m c m m > n 1 1 zx zy interessante Eigenschaft xi interessantes Zusatzwissen Zi Annahme: XX ist Teilmenge von YY a) auf m-n Personen trifft die Zuordnung nicht zu. Falls zy für alle m gegeben ist, kann Zi zu XX hinzugefügt werden b) Es liegt ein Fehler vor c) Falls zx für alle m zutrifft, dann trifft xi auf die gefundenen Personen zu YY ist Teilmenge von XX a) Fehler b und c) Falls zx für "m, dann trifft Xi für alle gefundenen Personen zu

A) 5 Personen aus XX sind >2m (Ei), 10 Personen aus YY sind >2m und alle sind verheiratet (Zi) --> alle 5 Personen aus XX sind verheiratet Mögliche Ergebnisse derZuordnung interessante Person 1 1 Datensatz aus XX; anonym Datensatz aus YY n a m m n b m c m m > n 1 1 zx zy interessante Eigenschaft xi interessantes Zusatzwissen Zi Annahme: XX ist Teilmenge von YY a) auf m-n Personen trifft die Zuordnung nicht zu. Falls zy für alle m gegeben ist, kann zi zu XX hinzugefügt werden b) Es liegt ein Fehler vor c) Falls zx für alle m zutrifft, dann trifft xi auf die gefundenen Personen zu YY ist Teilmenge von XX a) Fehler b und c) Falls zx für "m, dann trifft xi für alle gefundenen Personen zu

B) 5 Personen aus XX sind >2m (Ei), 3 Personen aus YY sind >2m --> geht nicht, da alle Personenn aus XX in YY repräsentiert sein müssen Mögliche Ergebnisse derZuordnung interessante Person 1 1 Datensatz aus XX; anonym Datensatz aus YY n a m m n b m c m m > n 1 1 zx zy interessante Eigenschaft xi interessantes Zusatzwissen Zi Annahme: XX ist Teilmenge von YY a) auf m-n Personen trifft die Zuordnung nicht zu. Falls zy für alle m gegeben ist, kann zi zu XX hinzugefügt werden b) Es liegt ein Fehler vor c) Falls zx für alle m zutrifft, dann trifft xi auf die gefundenen Personen zu YY ist Teilmenge von XX a) Fehler b und c) Falls zx für "m, dann trifft xi für alle gefundenen Personen zu

C) 5 Personen aus XX sind >2m (Ei) und haben 3 Kinder (Xi), 5 Personen aus YY sind >2m (Ei) --> die gefundenen Personen aus YY haben jeweils drei Kinder Mögliche Ergebnisse derZuordnung interessante Person 1 1 Datensatz aus XX; anonym Datensatz aus YY n a m m n b m c m m > n 1 1 zx zy interessante Eigenschaft xi interessantes Zusatzwissen Zi Annahme: XX ist Teilmenge von YY a) auf m-n Personen trifft die Zuordnung nicht zu. Falls zy für alle m gegeben ist, kann zi zu XX hinzugefügt werden b) Es liegt ein Fehler vor c) Falls zx für alle m zutrifft, dann trifft xi auf die gefundenen Personen zu YY ist Teilmenge von XX a) Fehler b und c) Falls zx für "m, dann trifft xi für alle gefundenen Personen zu

A) 5 Personen aus XX sind >2m (Ei) und haben 3 Kinder (Xi), 10 Personen aus YY sind >2m (Ei) --> nicht möglich, da alle Personen aus YY in XX repräsentiert sind Mögliche Ergebnisse derZuordnung interessante Person 1 1 Datensatz aus XX; anonym Datensatz aus YY n a m m n b m c m m > n 1 1 zx zy interessante Eigenschaft xi interessantes Zusatzwissen Zi Annahme: XX ist Teilmenge von YY a) auf m-n Personen trifft die Zuordnung nicht zu. Falls zy für alle m gegeben ist, kann zi zu XX hinzugefügt werden b) Es liegt ein Fehler vor c) Falls zx für alle m zutrifft, dann trifft xi auf die gefundenen Personen zu YY ist Teilmenge von XX a) Fehler b und c) Falls zx für "m, dann trifft xi für alle gefundenen Personen zu

B) 5 Personen aus XX sind >2m (Ei) und haben 3 Kinder (Xi), 5 oder 3 Personen aus YY sind >2m (Ei) --> alle Personen aus YY haben drei Kinder Mögliche Ergebnisse derZuordnung interessante Person 1 1 Datensatz aus XX; anonym Datensatz aus YY n a m m n b m c m m > n 1 1 zx zy interessante Eigenschaft xi interessantes Zusatzwissen Zi Annahme: XX ist Teilmenge von YY a) auf m-n Personen trifft die Zuordnung nicht zu. Falls zy für alle m gegeben ist, kann zi zu XX hinzugefügt werden b) Es liegt ein Fehler vor c) Falls zx für alle m zutrifft, dann trifft xi auf die gefundenen Personen zu YY ist Teilmenge von XX a) Fehler b und c) Falls zx für "m, dann trifft xi für alle gefundenen Personen zu

Begünstigung der Deanonymisierung • Ausreißer - z.B. • Man weiß, daß es nur 1 Person mit einer bestimmten Merkmalsausprägung gibt • ... daß es eine Person mit einer solchen Ausprägung gibt (eine städtische Statistik weist 0 Andoraner aus => der andoranische Nachbar ist nicht gemeldet) • Ausgaben zu Anfragen erlauben auch kleine Stichproben • Beliebig viele Anfragen • Verfügbarkeit großer, nicht-anonymisierter Register

Deanonymisierungsbeispielanhand einer Unfallstatistik Datei 1) Journalist will beweisen, daß Reidentifikation gelingt (ein Fall genügt). 2) Fährt P vielleicht in betrunkenem Zustand? 3) Bei Unfällen prüfen, ob ein Mitarbeiter betroffen ist. ZEVIS + B Arbeitnehmerdatei eines Autokonzerns Personendaten Name Geschlecht Alter Wohnung Wohnort ... ... gekaufter Werks- Kaufdatum wagen KFZ-Typ Baujahr Farbe Fehlzeiten Art von bis ... ... A PKW - Unfälle Statistikdatei KFZ-Daten Typ Farbe Baujahr Unfall-Daten Ursache Tag S-Schaden P-Schaden KFZ-Halter- Alter Daten Geschlecht KFZ Halter= Fahrer Wohnort

Maßnahmen gegen Re-Identifizierung (1) • Verschlüsselung oder Pseudonyme • Formale Anonymisierung - offensichtlich mehr oder weniger eindeutige Identifikationsmerkmale wie Name, Adresse, Telefonnummer werden weggelassen • Vergröberung der Merkmale etwa durch Rundung oder Klassenbildung; statt "Mainz" wird "Großstadt" eingetragen, statt des Geburtsdatums "Alter 40 - 49" • Weglassen von einzelnen Datenfeldern mit extremen Merkmalsausprägungen wie "Größe 2.12 m" oder "Beruf: Bundeskanzler".

Maßnahmen gegen Re-Identifizierung (2) • Störung der Daten durch absichtliche Fehler, etwa Addition einer zufälligen Größe oder zufällige Rundung. • Stichprobenziehung - Statistische Prozeduren werden jeweils nur auf eine Stichprobe aus der Abfragemenge angewendet. • Konstruktion synthetischer Datensätze, so daß die multivariate Verteilung möglichst wenig verändert wird: • Austausch von Daten zwischen Datensätzen, Aggregation - Mittelbildung über jeweils 3 bis 5 Datensätze.

Schützendes Verändern schützendes Verändern reduzieren entschärfen filtern vergröbern aggregieren entpersonalisieren anonymisieren verschlüsseln der Identifikations- merkmale pseudonymi- sieren Stichprobe ziehen löschen sperren

Kapitel 3: Datenschutz im öffentlichen Bereich