Datenschutz, Zugriff und Messzweck

Warum das wichtig ist

Werden Datenschutz, Zugriff und Messzweck gemeinsam definiert, wird die Entscheidung zur Datenerhebung konkreter. Wenn der Zweck darin besteht, die Dauer eines bestimmten Elements zu validieren, ist es keine natürliche Fortsetzung desselben Bedarfs, den gesamten Arbeitsbereich ununterbrochen aufzuzeichnen. Zuerst wird aufgeschrieben, welche Entscheidung getroffen wird, welches Ereignis zu sehen sein muss und welche Daten unnötig sind. Ein unnötiges Feld gar nicht erst aufzuzeichnen ist ein klarerer Entwurf, als es nachträglich vor allen zu verbergen. Der Umfang der Messung wird mit Produkt-, Arbeits- und Zeitgrenze beschrieben. Ein unklarer Produktivitätszweck gilt nicht als ausreichende Begründung, unbegrenzt Video- und Personeninformationen zu erheben.

Codes wie K01 machen einen Datensatz, der zu einer echten Person gehört, nicht von selbst anonym. Video, Schichtordnung, Stationsinformation oder eine gesonderte Zuordnungsliste können die Identifizierung einer Person ermöglichen. Deshalb wird der Zugriff auf eine codierte Messung nicht mit dem auf das Rohvideo gleichgesetzt. Die Prozessverantwortung muss nicht das gesamte Video jeder beschäftigten Person sehen, um das Ergebnis auf Stationsebene zu prüfen. Auch die verantwortliche Person für technische Instandhaltung braucht den Messinhalt möglicherweise nicht, um einen Verbindungsfehler zu untersuchen. Die Berechtigung wird nicht aus der Breite der Amtsbezeichnung, sondern aus den Daten abgeleitet, die die definierte Aufgabe erfordert. Ändern sich die Aufgaben innerhalb derselben Rolle, wird der Zugriffsbedarf neu bewertet.

Die Aufbewahrungsfrist lässt sich nicht lösen, indem man allen Daten ein einziges Datum zuweist. Das Rohvideo kann für kurze Zeit nötig sein, um Messgrenzen zu validieren; das aggregierte Ergebnis kann einen späteren Pilotvergleich stützen. Technische Ereignisprotokolle dienen dagegen der Untersuchung von Verbindungsproblemen. Diese verschiedenen Zwecke verlangen verschiedene Entscheidungen zu Umfang und Frist. Ein Video, dessen Erforderlichkeit endet, nur deshalb weiter aufzubewahren, weil Speicherplatz vorhanden ist, weitet den Datenzweck aus. Andererseits kann auch das zu frühe Trennen der für die Validierung nötigen Bindung das Ergebnis unprüfbar machen. Die Aufbewahrungsentscheidung muss klar sowohl über die Erforderlichkeit als auch über die Nachweiskette getroffen werden.

Diese Lektion ist kein Leitfaden, der die rechtlichen Pflichten eines Betriebs festlegt; sie lehrt den Messentwurf an synthetischen Schulungsdaten. Die Bedingungen, die für einen echten Datensatz gelten, werden gesondert von den zuständigen verantwortlichen Personen festgelegt. Dass für Schulungszwecke erzeugte Datensätze verwendet werden, bedeutet nicht, dass die ständige Überwachung echter Beschäftigter erlaubt wäre. Schulungs-, Prozessverbesserungs- und Personenbewertungszwecke können nicht ohne Erklärung ineinander übergehen. Ändert sich der Zweck, müssen Datenbedarf, Zugriff und Aufbewahrungsumfang neu behandelt werden. Der Nutzen der Messung wird auch nicht daran bewertet, dass Beschäftigte in jedem Moment sichtbar werden, sondern daran, dass die definierte Arbeit zuverlässig untersucht wird.

Beim Aufstellen der Tabelle des Mindestzugriffs muss auch geprüft werden, wie die tägliche Arbeit tatsächlich ablaufen wird. Kann die analysierende Person den erforderlichen Datensatz nicht sehen, kann das dazu führen, dass Personen die Datei auf anderen, unkontrollierten Wegen weitergeben. Deshalb muss der kontrollierte Zugriff sowohl ausreichen, um die Aufgabe zu erfüllen, als auch auf den Zweck begrenzt sein. Wurde für eine Rolle gewählt, dass sie nur das aggregierte Ergebnis sieht, wird bestätigt, dass der Bericht die für diese Entscheidung ausreichende Erklärung trägt. Ein Mittelwert ohne Erklärung gilt nicht als Ersatz für den Bedarf am Rohvideo. Die Prozessverantwortung muss verstehen können, welches Element gemessen wurde, welche Version verwendet wurde und welche Unsicherheiten bleiben. Diese Information lässt sich ohne personenbezogene Einzelheiten geben. Auch die technischen Spuren müssen für die Aufgabe ausreichen; fehlen Fehlerzeitpunkt und Vorgangskennung, kann die Supportperson dazu neigen, unnötige Inhalte anzufordern. Ein guter Entwurf verringert diesen Bedarf, indem er die notwendige technische Information vom Messinhalt trennt. In der Zugriffsüberprüfung werden nicht nur die Freigabeliste, sondern auch die verwendeten Berichte und Kopierwege untersucht. Dass die Regel schriftlich vorliegt, beweist nicht, dass sie angewendet wird. Zum Pilotabschluss wird geprüft, ob die Zugriffe mit dem Ende der erteilten Aufgaben tatsächlich geschlossen wurden. So bleiben Zweck, Berechtigung und Aufbewahrungsentscheidung nicht voneinander getrennte Dokumente.

Formel