Datenschutzrisiko Maschinenidentität
Die Fragen nach dem Personenbezug bei Maschinendaten
Der Bayerische Landesbeauftragte für den Datenschutz hat in übersichtlicher und klarer Form dargelegt, dass nicht nur personenbezogene Daten ein Fall für den Datenschutz sind. So schreibt er in einer seiner Kurz-Informationen: Personenbezogene Daten liegen nicht erst dann vor, wenn sie sich auf eine identifizierte Person beziehen. Ausreichend ist, wenn natürliche Personen direkt oder indirekt „identifizierbar“ sind.
Bei der Frage, ob eine Person identifizierbar ist, kommt es sowohl nach der Datenschutz-Grundverordnung (DSGVO) als auch nach dem Europäischen Gerichtshof (EuGH) nicht nur auf Mittel des Verantwortlichen, sondern auch auf Mittel Dritter an. Mittel, die eine Identifizierung ermöglichen, werden aber nur so weit berücksichtigt, wie deren Nutzung hinreichend wahrscheinlich oder vernünftigerweise zu erwarten ist.
Wenn es also „hinreichend wahrscheinlich oder vernünftigerweise zu erwarten ist“, dass Maschinendaten auch einer Person zugeordnet werden, sind Maßnahmen erforderlich, die für den Datenschutz sorgen.
Maschinendaten können zu personenbeziehbaren Daten werden
Personenbeziehbare Daten aus dem Bereich der OT werden aber nicht automatisch dauerhaft bei den Maschinen und Anlagen verbleiben. Vielmehr findet zunehmend ein Datenaustausch zwischen OT und IT statt. Man spricht auch von einem Zusammenwachsen, einer Konvergenz von IT und OT.
Dabei ist wichtig zu bedenken, dass sich dadurch Maschinendaten mit weitaus mehr Personendaten in Verbindung bringen lassen. Zudem stehen in der IT womöglich weitere, fortgeschrittene Datenanalyse-Verfahren zur Verfügung, die zum Beispiel anhand der Maschinendaten eine Leistungs- und Verhaltensanalyse zu den zugehörigen Maschinenführerinnen und Maschinenführer möglich machen könnten.
Maschinendaten und Maschinenidentitäten können also ohne Weiteres zu einem Thema für den Datenschutz und für Datenschutzbeauftragte werden. Wer dann noch an die zunehmende Zahl von Cyberangriffen auf Industrieanlagen denkt, dem wird schnell klar, dass dadurch auch Personendaten in Gefahr sind und in die Hände der Internetkriminellen geraten können, auch wenn deren Angriffe zuerst den Maschinenhallen und den Geräten darin gelten.
Industrie 4.0 ist also auch oftmals ein Fall für den Datenschutz. Das aber ist in vielen Betrieben und Unternehmensleitungen noch nicht bewusst genug, sodass Datenschutzbeauftragte hierfür sensibilisieren sollten.