Leitfaden Datenschutz im Alltag von Integration und Familienförderung

Transkript

1 Leitfaden Datenschutz im Alltag von Integration und Familienförderung Dr.iur. René Huber Recht + Informatik / Zürich Der vorliegende Leitfaden sensibilisiert Sie im Umgang mit Personendaten und erklärt Ihnen die wichtigsten Grundsätze. 1

2 1. Einleitung Private Organisationen und Gruppierungen wie etwa Spielgruppen oder Müttertreffpunkte bearbeiten eine Vielzahl von Personendaten von Eltern, Kindern und weiteren Personen. Oft handelt es sich dabei um besonders schützenswerte Personendaten so etwa bei Daten über die Gesundheit, die finanzielle Situation oder die Familienverhältnisse. Es ist wichtig, dass mit solchen Daten korrekt und rechtmässig umgegangen wird, damit den betroffenen Personen kein Schaden zugefügt wird. Der vorliegende Leitfaden soll Sie dabei unterstützen. Er zeigt Ihnen auf, wie Sie mit Personendaten umzugehen haben, damit Sie die Vorgaben des Datenschutzes und der Datensicherheit einhalten. Es kann hier nur auf die wichtigsten Grundsätze hingewiesen werden. Am Ende finden Sie Hinweise auf Stellen, die Sie bezüglich Datenschutz unterstützen. Datenbearbeitungen privater Organisationen, die keine öffentliche Aufgabe wahrnehmen, unterliegen dem Bundesgesetz über den Datenschutz. Aufsichtsinstanz ist der Eidg. Datenschutz- und Öffentlichkeitsbeauftragte in Bern. 2

3 2. Welche Grundsätze müssen Sie bei der Bearbeitung von Personendaten beachten? Vorweg der Begriff «Datenbearbeitung» Unter Datenbearbeitung wird jeder Umgang mit Personendaten verstanden, insbesondere das Beschaffen, Aufbewahren, Verwenden, Abspeichern, Bekanntgeben, Vernichten, Löschen oder Archivieren von Personendaten. Es spielt keine Rolle, ob es sich um Papierdokumente, elektronische Dateien oder um mündliche Mitteilungen handelt, ebenso wenig die Art der Personendaten oder des Speichermediums (Textdokumente, Fotos, Filme, Gesprächsaufzeichnungen etc.). Rechtmässigkeit Daten über Personen dürfen Sie grundsätzlich nur dann bearbeiten, wenn die betroffene Person ihre Einwilligung dazu gegeben hat. Bestimmte Datenbearbeitungen sind aufgrund einer entsprechenden gesetzlichen Grundlage zulässig (etwa das Recht, der KESB eine Kindsgefährdung zu melden). Die Einwilligung ist nur zulässig, wenn Sie die betroffene Person über die Datenbearbeitung und deren Konsequenzen klar informiert haben und wenn die Einwilligung freiwillig erfolgt und verhältnismässig ist. Unzulässig sind etwa Vollmachten, die zu weit gefasst sind und Datenbezüge von alle denkbaren Stellen vorsehen. Es muss eine ausdrückliche Einwilligung vorliegen. Transparenz Sofern es nicht offensichtlich ist, dass Daten über Personen bearbeitet werden was etwa beim Ausfüllen eines Formulars der Fall ist müssen Sie die betroffene Person insbesondere über Zweck, Umfang und allfällige Datenweitergaben klar informieren. Aus Gründen der Beweisbarkeit, insbesondere bei heiklen Datenweitergaben, ist Schriftlichkeit zu empfehlen. Zweckbindung Personendaten dürfen Sie nur zu dem Zweck bearbeiten, der bei der Beschaffung angegeben wurde oder aus den Umständen ersichtlich ist (oder allenfalls gesetzlich vorgesehen ist). Verhältnismässigkeit Jegliche Datenbearbeitung muss verhältnismässig sein. Dies bedeutet insbesondere: Eignung: Ist die Datenbearbeitung überhaupt geeignet, um das verfolgte Ziel zu erreichen? Notwendigkeit: Ist die Art und der Umfang der Datenbearbeitung notwendig, um das verfolgte Ziel zu erreichen? Oder gibt es weniger weit gehende, weniger in die Persönlichkeit eingreifende Möglichkeiten? Datensparsamkeit: Es sollen so wenige Daten wie möglich erhoben werden, somit keine «Daten-Vorräte» angelegt werden. Benötigen Sie zu einem späteren Zeitpunkt von der betroffenen Person zusätzliche Daten, erheben Sie sie dannzumal. So haben Sie Gewähr, dass die Daten aktuell sind. Richtigkeit Wenn Sie Daten bearbeiten, müssen Sie sich vergewissern, dass diese aktuell, für den erforderlichen Zweck vollständig und richtig sind. Sie haben jedoch nicht die Pflicht, Ihre Datenbestände ständig auf Aktualität und Richtigkeit hin zu überprüfen. 3

4 Auf welcher Basis darf eine Mutter-Kind-Turngruppe Adressen von Familien sammeln, um die Eltern anzuschreiben? Im Rahmen ihrer Tätigkeit darf die Leiterin solche Adressen sammeln (Art. 13 Abs. 1 DSG). Die Sammlung muss verhältnismässig sein und die Betroffenen können jederzeit die Löschung verlangen. Wie muss eine Spielgruppenleiterin vorgehen, wenn sie für fremdsprachige und kulturfremde Eltern Gelder für den Spielgruppenbesuch bei einer Stiftung beantragen möchte? Sie benötigt die ausdrückliche Einwilligung der Betroffenen zu dieser Datenbekanntgabe. Kurt und Noah besuchen beide eine private Spielgruppe. Sie vertragen sich überhaupt nicht. Die Spielgruppenleiterin möchte dies der Schulleitung mitteilen, damit die Kinder nicht in dieselbe Kindergartengruppe eingeteilt werden. Wie ist das Vorgehen? Die Spielgruppenleiterin muss die Angelegenheit mit den betroffenen Erziehungsberechtigten besprechen. Nur falls diese einverstanden sind, darf die Spielgruppe diese Information dem Kindergarten bekanntgeben. Im Rahmen einer Evaluation möchten Kindergarten und Kindertagesstätte die Namen der Kinder austauschen, welche die Kita besucht haben. Wie ist das Vorgehen? Eine (rein private) Kita darf die Namen der Kinder nur mit ausdrücklicher Einwilligung der Erziehungsberechtigten dem gemeindlichen Kindergarten bekanntgeben. 4

5 3. Wann dürfen Sie Personendaten weitergeben? Alle Informationen bzw. Daten über Personen müssen Sie grundsätzlich vertraulich behandeln. Sie dürfen diese daher Dritten grundsätzlich nicht bekannt geben. Ausnahmsweise kann die Weitergabe von Personendaten aber zulässig sein. Wie bei jeder Datenbearbeitung müssen Sie auch bei der Bekanntgabe von Daten die vorne in Ziff. 2 erwähnten Grundsätze einhalten. Die Weitergabe von Personendaten ist besonders heikel, weil dadurch weitere Personen oder Stellen Kenntnis von Daten erhalten. Je mehr Personen oder Stellen etwas wissen, desto schwieriger ist es, die Kontrolle über die Daten zu behalten. Die Gefahr der Verletzung der Privatsphäre der betroffenen Person steigt. Sofern jedoch gesetzliche Melderechte oder sogar Meldepflichten bestehen, sind Sie berechtigt, die entsprechenden Stellen zu informieren. So darf gemäss Art. 443 ZGB jede Person der Kindes- und Erwachsenenschutzbehörde/KESB Meldung erstatten, wenn ein Kind hilfsbedürftig erscheint. Praxisbeispiel: Eine Freiwilligengruppe führt Deutschkurse durch. Die kantonale Stelle XY möchte Auskunft darüber, ob Frau A einen Kurs besucht und wie sie sich dort verhält. Frage: Ist diese Datenbekanntgabe zulässig? Antwort: Besucht Frau A den fraglichen Kurs freiwillig und aus eigenem Antrieb, darf die Freiwilligengruppe der Stelle XY nur mit ausdrücklicher Zustimmung von Frau A Auskunft erteilen. Ergänzend: Besucht Frau A den Kurs auf Geheiss der kantonalen Stelle und finanziert letztere den Kurs auch, so darf sich XY danach erkundigen, ob Frau A den Kurs vereinbarungsgemäss besucht und allenfalls, ob vereinbarte Ziele erfüllt werden. Informationen über das persönliche Verhalten sind hingegen grundsätzlich unzulässig, da unverhältnismässig. Praxisbeispiel: Die Leiterin der Gemeindeschule und die Spielgruppenleiterin möchten sich im Hinblick auf die Kindergarteneinteilung über die Kinder in der Spielgruppe austauschen. Frage: Ist dieser Datenaustausch zulässig? Antwort: Die Spielgruppenleiterin darf der Gemeindeschule nur mit ausdrücklicher Einwilligung der Erziehungsberechtigten Daten über die Kinder bekanntgeben. Ergänzend: Die vorstehende Antwort trifft auch dann zu, wenn die Spielgruppe eine Leistungsvereinbarung mit der Gemeinde hat. Praxisbeispiel: Die Muki-Turn-Leiterin hat die Befürchtung, dass ein Kind zu Hause massiv psychisch unter Druck gesetzt wird. Sie möchte dem Kind irgendwie helfen. Frage: Wem darf die Muki-Turn-Leiterin was melden? Antwort: Erscheint ein Kind «hilfsbedürftig» (= Gefährdung des Kindeswohls), so ist jede Person berechtigt, die Erwachsenenschutzbehörde (KESB) diesbezüglich zu informieren (vgl. Art. 443 Abs. 1 ZGB). Ergänzend: Die Leiterin ist von Gesetzes wegen diesbezüglich jedoch nicht verpflichtet. 5

6 4. Datensicherheit was müssen Sie beachten? Bearbeiten Sie Personendaten in elektronischer Form oder auf Papier, so haben Sie diese durch angemessene organisatorische und technische Massnahmen stets so zu schützen, dass sie nicht Unbefugten zur Kenntnis gelangen und dass sie nicht verändert oder vernichtet werden. Hier kann nur kurz auf die folgenden Punkte hingewiesen werden konkrete Handlungsanweisungen finden Sie in Ziff. 7: Elektronische Dokumente Ihre elektronischen Geräte Handy, Notebook, Tablet, PC müssen Sie stets mit einem starken Passwort schützen. Betriebssystem, Software, Virenschutz und Firewall Ihrer Geräte müssen Sie auf dem aktuellsten Stand halten. s oder Anhänge von s, die Personendaten enthalten, dürfen Sie nur verschlüsselt übertragen. Wenn Sie in der Öffentlichkeit mit mobilen Geräten arbeiten, müssen Sie verhindern, dass Unberechtigte auf den Bildschirm Ihres Gerätes sehen oder Zugang zu Ihrem Gerät erhalten. Wenn Sie mit Ihrem Handy telefonieren, müssen Sie darauf achten, dass Dritte nicht mithören können. Die gleichen Vorgaben müssen Sie einhalten, wenn Sie zu Hause arbeiten. Papierakten Alle Papierakten müssen Sie stets verschlossen aufbewahren. Papierunterlagen, die Sie nicht mehr benötigen, müssen Sie im Schredder vernichten keinesfalls in der Altpapiersammlung entsorgen. 5. Welche Rechte haben Betroffene? Grundsätzlich haben die Betroffenen das Recht auf Einsicht in und Auskunft über alle bei Ihnen vorhanden Daten. Dieser Anspruch bezieht sich somit nur auf die eigenen Daten der betroffenen Person. Daten von anderen Personen gehören nicht dazu, solche sind abzudecken. Das Recht auf Einsicht und Auskunft steht auch Minderjährigen zu, sofern sie diesbezüglich urteilsfähig sind. Zeigt es sich, dass Daten unvollständig oder unrichtig sind, müssen Sie die fraglichen Daten entsprechend korrigieren oder löschen. 6

7 6. Was heisst das für Sie? Damit die Privatsphäre bzw. die Persönlichkeitsrechte von Personen, über die Sie Daten bearbeiten, geschützt bleiben, müssen Sie bei der Bearbeitung von Personendaten rechtmässig und sorgfältig vorgehen. Halten Sie die Vorgaben von Datenschutz und Datensicherheit stets ein. Insbesondere wenn Sie Daten weitergeben, müssen Sie sorgfältig abklären, ob Sie dazu berechtigt sind. Falls Sie Unterstützung benötigen, wenden Sie sich an Ihre vorgesetzte Stelle bzw. an Ihren Auftraggeber oder an eine im folgenden Abschnitt aufgeführte Stelle. Verletzen Sie die Vorgaben des Datenschutzes oder der Datensicherheit, kann dies für Sie allenfalls disziplinarische, zivilrechtliche oder strafrechtliche Konsequenzen haben. 7. Wo erhalten Sie Unterstützung? Datenschutz Für Datenbearbeitungen der kantonalen oder kommunalen Verwaltung des Kantons Nidwalden sowie für Stellen, die öffentliche Aufgaben wahrnehmen steht der Datenschutzbeauftragte des Kantons Nidwalden zur Verfügung: « Für Datenbearbeitungen durch private Personen oder Organisationen steht der Eidg. Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) zur Verfügung: « Datensicherheit Auf den folgenden Websites finden Sie eine ganze Reihe nützlicher Hinweise, Merkblätter, Leitfäden und auch e-learning-programme zur Datensicherheit: Datenschutzbeauftragter des Kantons Zürich: « (Rubrik «Informationssicherheit») Melde- und Analysestelle Informationssicherung MELANI: « (Rubrik «Dokumentation») Eidg. Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB): « (Rubrik «Datensicherheit») 7

8 Ein besonderer Dank geht an die Fach- und Kontaktstelle der Spielgruppen Nidwalden für die Mitarbeit bei der Erstellung des Leitfadens. Der vorliegende Leitfaden wurde vom Datenschutzbeauftragten des Kantons Nidwalden geprüft und bewilligt. Gesundheitsförderung und Integration Text: Peter Hruza Gestaltung und Realisation: triart.ch Gesundheitsförderung und Integration Marktgasse Stans