Datenschutz im digitalen Bereich

Transkript

1 Juristische Fakultät Informations- und Telekommunikationsrecht (SS 2007): Datenschutz im digitalen Bereich David Rosenthal Themen - Was Datenschutz ist - Wann und wo Datenschutz zur Anwendung kommt - Bearbeitungsgrundsätze, Sanktionen - Rechtfertigungsgründe, technische Alternativen - Transparenz und Kontrolle - Exkurs: Cookies gem. FMG Datenschutz nach neuem Recht - Datenschutz in der Praxis - Beispiel Pervasive Computing 2 3

2 Datenschutz? - Datenschutz = Persönlichkeitsschutz - Schutz der Persönlichkeit durch gesetzliche Regeln für den Umgang mit Personendaten - Wahrung des "informationellen" Selbstbestimmungsrechts - Personendaten = alle Angaben, die sich auf bestimmte oder bestimmbare Personen beziehen - CH: Auch Daten juristischer Personen sind "geschützt" - Kundendaten, Personaldossier, Logs, s, Profile, Kontodaten, Festplatteninhalt, Zitate, Personenbilder, etc. 4 Datenschutz? - Datenschutzgesetz (DSG) regelt seit 1993 das Bearbeiten von Personendaten - Gilt für Privatpersonen und Bundesbehörden - Für kantonale Behörden gelten eigene Gesetze - Revidiertes DSG in Kraft ab Spätsommer 2007 (?) - Verordnungsentwürfe liegen vor zur Vernehmlassung - Bearbeiten: Daten beschaffen, aufbewahren, verwenden, umarbeiten, bekanntgeben, archivieren, vernichten, etc. - Egal ob manuell oder automatisiert 5 Datenbearbeitung durch Private - Sieben "Grundsätze" für die Bearbeitung von Daten - Art. 4 ff. DSG - Erfordernis eines Rechtfertigungsgrunds zur... - Bearbeitung von Personendaten auch gegen den ausdrücklichen Willen der betroffenen Person (Art. 12) - Weitergabe besonders schützenswerter Personendaten und von Persönlichkeitsprofilen ohne Einwilligung der betroffenen Person (Art. 12) - Flankierende Massnahmen für mehr Transparenz und Durchsetzung der Rechte der Betroffenen 6

3 Bearbeitungsgrundsätze 1 - Bearbeitung nur nach Treu und Glauben - Bearbeitung nur für jene Zwecke, die - bei der Beschaffung angegeben wurden oder - aus den Umständen ersichtlich waren oder - gesetzlich vorgesehen sind - Keine unverhältnismässig weitgehende Bearbeitung - Grundsatz der "Datensparsamkeit" - Bearbeitung nur soweit für den Zweck erforderlich 7 Mensch, Christian; Klement, Dietmar; Pressetexte; Tages-Anzeiger, Redaktion; Zürichsee-Zeitung, Stefan Schneiter; Zofinger Tagblatt, Dr. Paul Ehinger, Zofinger Tagblatt; Yves Steiner, Bakom; Walter Koller; Volksblatt, Alexander Batliner; Trudi Studerus; Thuner Tagblatt, René Gygax; Südostschweiz/ Seepresse/ Gasterländer; Seerundschau, C. Bordola; Rudenz Stoll; Ringier, Stephan Sutter; Ringier AG, Andreas Fuchs; R. Bösiger; Matthias Zehnder; Lokalinfo, Willi Glogger; Limmat Media AG, Christian Waefler; Klosterser-Zeitung, J. Haltliner; Klaus W. Bodenmann; Keystone, Hans-Ueli Blöchliger; Hans-Jörg Soldat; Frau Conrad, Pressebüro Seegrund; Felix Weber Texte, Felix Weber; Dreamfactory, H.P. Rusch; Dr. Hans Wicki; Domian Sigrist; Die Südostschweiz, Sebastian Kirsch; Die Südostschweiz, Redaktion; Der Zürcher Oberländer, Roland Eschle; Der Tössthaler; Der Landbote, Redaktion; Der Landbote, Dr. Alfred Lanz; Der Bund, R. Burger; Der Brienzer, Redaktion; Bodensee Tagblatt, Redaktion; Birsfelder Anzeiger, Redaktion; Bieler Tagblatt, Thomas Daehler; Bieler Tagblatt, Beat Staehli; Bernhard Schindler; Basler Zeitung, Patricia Faller, Basler Zeitung; Basellandschaftliche Zeitung, Walo Foster; Appenzeller Zeitung, Redaktion; Anzeiger von Saanen, Redaktion; Andreas Netzle; 20 Minuten (Schweiz) AG, Benedikt Unold, 20 Minuten (Schweiz) AG; Daniel Wagner; Oberländisches Volksblatt; Blick Ringier AG Sonntags-Blick Redaktion; SonntagsZeitung Redaktion 8 9

4 Bezahlen Kundenprofil für Marketing Bearbeitungsgrundsätze 2 - Beschaffung von Personendaten und insbesondere Zweck der Bearbeitung muss für die betroffene Person erkennbar sein - Art. 4 Abs. 4 (= neuer Bearbeitungsgrundsatz) - War bisher nur für Bundesbehörden und dort nur bei der Beschaffung besonders schützenswerter Personendaten und Persönlichkeitsprofilen vorgeschrieben - Bearbeitung nur richtiger Daten - Hängt vom Zweck der Bearbeitung der Daten ab - Gilt auch bei der Beschaffung über Dritte 12

5 Bearbeitungsgrundsätze 3 - Personendaten müssen durch angemessene technische und organisatorische Massnahmen vor unbefugter Bearbeitung geschützt sein - Davon abzugrenzen: Auch Geheimhaltungspflichten in Gesetz und Verträgen erfordern Zugangsbeschränkungen - Beispiele: Berufsgeheimnis, Bankgeheimnis, Verbot wirtschaftlicher Nachrichtendienst (Art. 273 StGB) - Geheimhaltungspflichten werden in der Praxis als wesentlich gewichtiger empfunden 13 Verordnung zum Datenschutzgesetz 14 15

6 Folgen eines Verstosses... - Zivilrechtliche Forderungen - z.b. Schadenersatz, Genugtuung, Verbot, Publikation - Andere rechtliche Nachteile - Vertragsverletzung, Verwertungsverbote - Untersuchung Empfehlung des EDÖB* - Schafft Öffentlichkeit; kein Klagerecht gegenüber Privaten - Strafrechtliche Sanktion (Busse bis CHF 10'000) - Nur bei Verletzung von Informations-, Melde-, Auskunftsund Registrierungspflichten sowie Geheimnispflichten - Unbefugtes Beschaffen von Personendaten (Art. 179novies StGB) * Eidg. Datenschutz und Öffentlichkeitsbeauftragter 16 Alternativen 1 - Die betroffene Person hat ihre Daten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt (Art. 12 Abs. 3) - z.b. Information auf persönlichen Websites (Blogs...) - -Adressen auf Websites für unverlangte Werbe-E- Mails einsammeln? - Die betroffene Person hat eingewilligt - Implizite Einwilligung genügt, muss aber freiwillig nach vorheriger Information erfolgen ("informed consent") - Explizite Einwilligung im Falle von Persönlichkeitsprofilen und besonders schützenswerten Personendaten - Verzichtserklärungen ("waiver") sind meist beschränkt 17 18

7 Alternativen 2 - Andere Rechtfertigungsgründe (Art. 12) - Überwiegendes öffentliches Interesse - Überwiegendes Eigeninteresse des Bearbeiters - Abwicklung eines Vertrags mit der Person - Informationen über Konkurrenten sammeln - Bearbeitung z.b. für Forschung, Planung und Statistik, wo Daten anonym publiziert werden -... (weitere Beispiele Art. 13 DSG) - Aber: Verletzung der Bearbeitungsgrundsätze soll gem. revidiertem DSG nicht mehr rechtfertigbar sein (wie bisher) - Juristische Klimmzüge zur Korrektur erforderlich 19 Rechtfertigung (bisher) 1 Persönlichkeitsverletzung zulässig, wenn durch ein überwiegendes privates Interesse gerechtfertigt Interessen Bearbeiter Interessen Betroffener Hier: Interesse Betroffener überwiegt 20 Rechtfertigung (bisher) 2 Einschränkung des Umfangs der geplanten Datenbearbeitung = geringerer Eingriff in die Persönlichkeit der Betroffenen = geringere Anforderungen an das Interesse des Bearbeiters Interessen Bearbeiter Interessen Betroffener Hier: Interesse Bearbeiter überwiegt = Bearbeitung war zulässig 21

8 Bearbeitungsgrundsätze 4 - Kein Export ins Ausland ohne adequaten Schutz - Wenn das Zielland keinen angemessenen Datenschutz bietet, ist der Datenexport nur in sieben Fällen erlaubt, u.a. - Datenschutzvertrag (z.t. meldepflichtig) - Einwilligung im Einzelfall - Bearbeitung in unmittelbarem Zusammenhang mit dem Abschluss oder der Abwicklung eines Vertrags, sofern es um Personendaten des Vertragspartners geht - Gilt auch für firmeninterne Datentransfers - Gilt auch für Auslandszugriffe auf Computer in der Schweiz Outsourcing prinzipiell erlaubt - Beispiele - Outsourcing des Informatik-Betriebs - Auslagerung der Auftragsbearbeitung ins Ausland - Marktforschungsinstitut führt Kundenbefragung durch - Beauftragte darf Daten aber nur so bearbeiten, wie sie auch sein Kunde bearbeiten dürfte - Bearbeitung der Daten im Namen und Auftrag des Kunden - Vertrag und Kontrolle durch den Kunden ist erforderlich - Keine Geheimhaltungspflicht darf verletzt sein - Angemessene Sicherheitsmassnahmen 24

9 Technische Lösungen - Einschränken der Datenbearbeitungsmöglichkeiten - Auch innerhalb eines Betriebes (und Konzerns) - Steuerung des Bearbeitungszwecks und der Zugriffsrechte z.t. bis auf die Ebene einzelner Datensätze - Anwendung des Datenschutzes verhindern - Anonymisierung von Daten vor Weitergabe - Pseudonymisierung von Daten vor Weitergabe - Anonymisierung, die rückgängig gemacht werden kann - Verschlüsselung von Daten vor Weitergabe - Zugangsschutzkonzepte 25 Pseudonymisierung Heinz Müller Nora Zuber Fritz Boller Hauser AG Simone Ott Pseudonymisierung Heinz Müller Nora Zuber Fritz Boller Hauser AG Simone Ott Für Dritte keine Personendaten mehr 27

10 Quelle: Sonntagszeitung (Beat Schmid) 28 Zugangsschutzkonzepte Verschlüsselung Zugangskontrolle, Verschlüsselung - Datenzugriff - Administration Daten - HW-Betrieb 29 Transparenz & Kontrolle - Meldepflicht von gewissen Datenschutzverträgen und -weisungen (Art. 6 Abs. 3) - Registrierpflicht von Datensammlungen (Art. 11a) - Informationspflicht bei sensitiven Daten (Art. 7a) - Auskunftsrecht der Betroffenen (Art. 8) - Auskunft muss i.d.r. kostenlos erfolgen - Auskunft darf nur in bestimmten Fällen verweigert werden - Musterbriefe: - Untersuchungsrecht des EDÖB* (Art. 29) * Eidg. Datenschutz und Öffentlichkeitsbeauftragter 30

11 Registrierungspflicht - Pflicht zur Registrierung beim EDÖB wer... - regelmässig besonders schützenswerte Personendaten oder Persönlichkeitsprofile bearbeitet - regelmässig Personendaten Dritten bekanntgibt - Registrierung ist öffentlich (neu via Internet) - Wenige relevante Ausnahmen - Bei interner Datenschutzstelle Datenschutzzertifizierung - Journalisten und gesetzlich vorgesehene Datenbearbeitung - Weitere Ausnahmen in der Verordnung (z.b. für Archive, Forschungsdaten, gewisse Adressdateien) - Kenntnis der Betroffenen begründet keine Ausnahme mehr 31 Datenschutzsverantwortlicher (neu) - Anforderungen an "Datenschutzberater"?* - Keine Interessenskonflikte (darf aber Angestellter sein) - Erforderliche Fachkenntnis - In seiner Funktion nicht weisungsgebunden - Muss über alle erforderlichen Ressourcen verfügen - Muss Zugang zu Datensammlungen und -Bearbeitungen sowie allen nötigen Informationen haben - Prüft Bearbeitung von Personendaten im Betrieb - Kann Empfehlungen erlassen (keine Weisungen!) - Führt eine Liste der Datensammlungen - Outsourcing an externen Dienstleister möglich * Gem. Entwurf der Verordnung zum revidierten DSG (Jan. 2007) 32 Datenschutzzertifizierung (neu) - Für Private, Bundesbehörden und Hersteller von IT- Systemen und Bearbeitungssoftware - Bewertung von Systemen, Verfahren und Betrieben (Organisation) im Hinblick auf Datenschutz und Datensicherheit - Durch anerkannte Zertifizierungsstelle - Bundesrat muss Vorschriften erlassen - Berücksichtigung international anerkannter technischer Normen und internationalen Rechts 33

12 Informationspflicht 1 - Aktive Informationspflicht des Datenbearbeiters bei der Beschaffung besonders schützenswerter Personendaten oder Persönlichkeitsprofilen - Gilt für den Inhaber der Datensammlung - Pflicht zur Information über (i) Inhaber und (ii) Zweck der Datensammlung, sowie (iii) Arten etwaiger Drittempfänger - z.b. Daten über Gesundheit, weltanschauliche und politische Tätigkeiten, Interessensprofile, Vorstrafen, Intimsphäre, Sozialhilfe 34 Informationspflicht 2 - Informationspflicht gilt auch bei Beschaffung der Daten über Dritte, ausser: - die Person wurde bereits informiert - die Speicherung oder Bekanntgabe ist ausdrücklich im Gesetz vorgesehen - die Information ist nicht oder nur mit unverhältnismässig hohem Aufwand möglich - Vorsätzliche Nichtbefolgung: Busse bis CHF 10' Informationspflicht 3 - Gemäss Art. 9 kann eine Information oder Auskunft verweigert, eingeschränkt oder aufgeschoben werden, soweit - ein formelles Gesetz dies vorsieht - dies wegen überwiegender Interessen Dritter nötig ist - eigene überwiegende Interessen es erfordern, die Personendaten Dritten jedoch nicht bekanntgegeben werden - Aber: Auch Konzerngesellschaften sind Dritte 36

13 Cookies 1 Neues Fernmeldegesetz (FMG) (gilt seit dem 1. April 2007) 37 Cookies 2 - Regelung stammt aus der EU - Gilt auch für anonyme Datenbearbeitung - Beispiele: Cookies; Applets, welche Daten auf dem Benutzerrechner bearbeiten oder dort installiert werden - Datenschutzerklärung wird damit auch auf Schweizer Websites faktisch zur Pflicht - Vom FMG erforderliche Ablehnungsmöglichkeit erfolgt u.a. durch Browser-Konfiguration - Ablehnung bei gewissen "Session-Cookies" illusorisch 38 Beispiel: Pervasive Computing 39

14 RFID-Chip in WM 2006-Tickets Sicherheitszwecke Verhinderung von "Schwarzhandel" Quelle: 40 Regulierung durch Technik? - Technik gegen Einsatz von Technik - z.b. RFID-Stör- und Löschgeräte - Technik zur Sicherung der Wahlfreiheit - Erlaubt "skalierbare" Zustimmungen - Erlaubt die Schaffung von "Pseudonymität" durch Einsatz digitaler, virtueller Identitäten - Aber: Bei überwiegenden Interessen muss Technik auch das Gegenteil sicherstellen 41 Regulierung durch die Branche? - Branchenkodizes, Labels - Standards (z.b. Datenformate), Checklisten - Thematisierung von Technologiefolgen in der Ausbildung der Entwickler - Aber: "Branche" ist als solche noch kaum organisiert, der Leidensdruck noch gering - Immerhin wird das Bedürfnis der Anwender nach Privatsphäre und Wahlfreiheit erkannt 42

15

16 Fragen? David Rosenthal Rechtsanwälte Weinbergstr , CH-8006 Zürich Tel Fax Ich danke für Ihre Aufmerksamkeit. 47