Grundschulung Datenschutz Kanton Schwyz

Transkript

1 Grundschulung Datenschutz Kanton Schwyz

2 Ziele Aufgabe und Organisation des Öffentlichkeits-und Datenschutzbeauftragten bekannt Wesentliche Grundsätze des Datenschutzes bekannt Bezug und Zusammenhang zur Archivierungsverordnungund zur Verordnung über das Einwohnermeldewesen erkannt Gestellte Fragen beantwortet

3 Datenschutzbeauftragter: Organisation und Stellung Organisation 250 Stellenprozente Stao: Gotthardstr. 21, 6414 Oberarth administrativ unterstellt beim FD SZ Stellung Kantonales und kommunales Kontrollorgan im Sinne des Bundesgesetzes über den Datenschutz Verwaltungsunabhängig Gewählt für Amtsperiode Eigenes Budget Kann von Amtes wegen tätig werden Untersteht dem Amtsgeheimnis

4 Gesetzlicher Auftrag (Gesetz über die Öffentlichkeit der Verwaltung und den Datenschutz vom 23. Mai 2007) Überwachung der Anwendung der Vorschriften über den Datenschutz und das Öffentlichkeitsprinzip Kontrolle des Registers der Datensammlungen Beratung der öffentlichen Organe Mitwirkung bei der Gesetzgebung Vermittlung zwischen öffentlichen Organen und Privaten Information

5 Arbeitsweise Beratung und Unterstützung Direkter Zugang (Telefon, ) Keine Formalismen Beratung vor Ort Aufsicht und Kontrolle Vorgängige Koordination Vorbesprechungen Gelegenheit zur Stellungnahme Schlussbesprechung Follow Up

6 Rechtsgrundlagen und Abgrenzungen

7 Rechtsgrundlagen Bund Bundesgesetz vom 19. Juni 1992 über den Datenschutz (Datenschutzgesetz, DSG) Bundesgesetz vom 26. Juni 1998 über die Archivierung (Archivierungsgesetz, BGA) Art. 28 Zivilgesetzbuch Kanton Gesetz vom 23. Mai 2007 über die Öffentlichkeit der Verwaltung und den Datenschutz (ÖDSG) Verordnung zum Öffentlichkeits- und Datenschutzgesetz (VÖDSG) Verordnung vom 17. Dezember 2008 über das Einwohnermeldewesen Verordnung vom 10. Mai 1994 über das Archivwesen des Kantons Schwyz

8 Abgrenzungen Bundesorgane unter sich Bundesorgane Private Private unter sich Kantonale öffentliche Organe unter sich Kantonale öffentliche Organe Private

9 Geltungsbereich ÖDSG Geltungsbereich ( 2 ÖDSG): Alle öffentlichen Organe des Kantons, der Bezirke und der Gemeinden Soweit sie hoheitlich handeln

10 «HoheitlicheHandlung» Gemeinde Gemeinde Vertra g Private Anfechtbare Verfügung Private

11 «Hoheitliche Handlung» Hoheitlich Baubewilligung Steuerveranlagung Vollstreckungsverfügung Datensperre Fahrzeugprüfung Patenterteilung Sozialhilfegewährung Abfallentsorgung (öfftl. Raum) etc. Nicht hoheitlich Verkauf von SBB-Tageskarten Verkauf von Karten und Broschüren Verkauf von Energiesparlampen Verkauf verbilligter Saisonabonnemente etc

12 Geltungsbereich ÖDSG Geltungsbereich ( 2 ÖDSG): Alle öffentlichen Organe des Kantons, der Bezirke und der Gemeinden Soweit sie hoheitlich handeln Ausnahmen ( 3 ÖDSG): Gerichtliche Behörden Kantonalbank Anstalten des Kantons, der Bezirke und der Gemeinden, die am wirtschaftlichen Wettbewerb teilnehmen und nicht hoheitlich handeln Allmendgenossenschaften und ähnliche Körperschaften

13 Begriffe Öffentliches Organ ( 4 ÖDSG) Öffentliche Organe: Verwaltungsstellen und Behörden aller Ebenen (Kanton, Bezirk, Gemeinde) Organisationen und Personen privaten Rechts, soweit sie mit einer öffentlichen Aufgabe betraut sind

14 Geltungsbereich: Zusammenfassung

15 Begriffe Personendaten ( 4 ÖDSG) Personendaten: Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen bestimmbar = Rückschluss ohne erheblichen Aufwand möglich Besonders schützenswerte Personendaten: religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten Gesundheit, Intimsphäre, ethnische Zugehörigkeit vormundschaftliche Massnahmen Massnahmen der sozialen Hilfe administrative oder strafrechtliche Verfolgungen und Sanktionen

16 Begriffe Persönlichkeitsprofil ( 4 ÖDSG) Persönlichkeitsprofil (nicht explizit definiert): Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt Beispiele: Einkaufsgewohnheiten und Produktvorlieben gestützt auf Auswertung COOP Supercard oder Migros CumulusCard Reisegewohnheiten und Produktvorlieben gestützt auf Auswertung Kreditkartenabrechnungen Produktvorlieben gestützt auf Auswertung von Zahlungsverkehrsinformationen

17 Begriffe Datensammlung ( 4 ÖDSG) Datensammlung: Bestand von Daten, der so aufgebaut ist, dass diese erschliessbar sind Systematisierung und Katalogisierung Such- und Filterfunktionen Index etc.

18 Begriffe bearbeiten ( 4 ÖDSG) Bearbeiten: Jeder Umgang mit Daten, unabhängig von den angewandten Mitteln! Beschaffen Einsicht gewähren Weitergeben Veröffentlichen Zugänglich machen Etc.

19 Grundsätze der Datenbearbeitung

20 Legalitätsprinzip ( 8 Abs. 1 ÖDSG) Rechtmässigkeit Gesetzliche Grundlage formelles Gesetz oder Verordnungs- bzw. Weisungsstufe Ermächtigung Einwilligung Voraussetzung zur Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen: Ausdrückliche Gesetzesgrundlage formelles Gesetz Für eine in einem Gesetz vorgesehene Aufgabe unentbehrlich Bewilligung durch den Regierungsrat im Einzelfall (keine Gefährdung der Rechte der betroffenen Person) Einwilligung

21 Verhältnismässigkeit( 8 Abs. 1 ÖDSG) Bearbeitung nur nach den Grundsätzen von Treu und Glauben und Verhältnismässigkeit Grundsätze: Notwendigkeit Datenvermeidung Datensparsamkeit Problem Datenflut, insbesondere beim Einsatz der EDV

22 Verhältnismässigkeit ( 8 Abs. 1 ÖDSG) 1. Nur, wenn nötig -Brauche ich die Information? 2. Nur soviel, wie nötig -Was brauche ich? 3. Nur so lange, wie nötig -Wie lange brauche ich sie?

23 Korrektheit ( 8 Abs. 2 ÖDSG) Wer Daten bearbeitet ist auch für deren Richtigkeitund Aktualitätsowie entsprechend dem Zweck für deren Vollständigkeit verantwortlich Berichtigungs- und Unterlassungsanspruch ( 26 ÖDSG) Bestreitungsvermerk ( 26 Abs. 2 ÖDSG)

24 Zweckbindungsgebot( 8 Abs. 3 ÖDSG) Zweckbindung heisst: Daten dürfen nur bearbeitet werden, wenn (alternativ): Zweck gesetzlich vorgesehen ist; Zweck bei der Beschaffung angegeben wurde; Zweck aus den Umständen ersichtlich ist. Es braucht immer einen Zweck für die Datenbearbeitung! Gilt auch für den Datenaustausch zwischen den öffentlichen Organen! 14 ÖDSG (Amtshilfe)

25 Schutz der Daten ( 8 Abs. 4 ÖDSG) Technische Massnahmen Türschlösser Sicherheitstüren, Brandschutztüren, Sicherheitsglas Abschliessbares Mobiliar Live-Video, Alarmanlage Aktuelle Virenschutzprogramme, Firewall Back-Ups u.a.m. Organisatorische Massnahmen Schlüsselplan Berechtigungskonzepte Verschlüsselungen Geheimhaltungserklärungen Starke Passwörter, regelmässige Passwortänderungen Weisungen, Reglemente (insbes. IT-Sicherheit) Ausbildung, Sensibilsierung Einsatzplan Reinigungspersonal u.a.m.

26 Bearbeitung von Personendaten

27 Datenbearbeitung

28 Grundvoraussetzung: Rechtsgrundlage Personendaten allgemein( 9 Abs. 1 ÖDSG) Gesetz, Verordnung, Reglement, Weisung Bearbeitung dient der Erfüllung einer gesetzlichen Aufgabe Mangels Rechtsgrundlage: Einwilligung der betroffenen Person Kann ggf. auch auf Grund der konkreten Umstände vorausgesetzt werden Bei besonders schützenswerten Personendaten oder Persönlichkeitsprofilen( 9 Abs. 2 und 3 ÖDSG) Gesetz im formellen Sinn, d.h. von der Legislative erlassen Kantonsrat, Gemeindeversammlung Für die Erfüllung einer gesetzlichen Aufgabe unabdingbar Ausdrückliche Einwilligung im Einzelfall Allgemeine Bekanntgabe durch die betroffene Person Im Ausnahmefall: Ermächtigung des Regierungsrates

29 Personendaten beschaffen ( 10, 11 ÖDSG) Allgemein ( 10 ÖDSG): Rechtsgrundlage Datenerhebung bei Dritten nur ausnahmsweise (Vorschrift, besondere Gründe) Angabe des Zwecks auf Verlangen oder bei systematischer Erhebung Besonders schützenswerte Personendaten ( 11 ÖDSG): Rechtsgrundlage Datenerhebung bei Dritten nur ausnahmsweise (Vorschrift, besondere Gründe) Angabe des Zwecks und der Datenempfänger grundsätzlich zwingend Informationspflichten

30 Beschaffung bei Dritten ( 11 ÖDSG) Beschaffung von besonders schützenswerten Personendaten: Mitteilung, wenn die Daten bei Dritten beschafft wurden Folgt aus Treu und Glauben Information mindestens über: Inhaber/in der Datensammlung Zweck der Bearbeitung Datenempfänger/innen Ausnahmen ( 11 Abs. 2 ÖDSG): Information objektiv unmöglich Information mit einem unverhältnismässigen Aufwand verbunden Speicherung durch Gesetz ausdrücklich vorgesehen

31 Personendaten bekanntgeben ( ÖDSG) An wen? Private (Einzelpersonen, Institutionen, Vereine, Organisationen) Öffentliche Organe Welche Daten? Name, Vorname, Geburtsdatum, etc? Durch wen? Alle öffentlichen Organe Nur Einwohnerkontrollen Voraussetzungen Voraussetzungslos Berechtigtes Interesse Ideelles und schutzwürdiges Interesse Rechtsgrundlage Einwilligung/Ermächtigung

32 Bekanntgabe von Personendaten ( ÖDSG) Personenbezogene Daten bekannt geben an Private an öffentliche Organe (Amtshilfe) 12 Abs. 1 Bst. a und b Einzelauskunft: Name, Vorname, Adresse, Geburtsdatum 12 Abs. 1 Bst. a und b voraussetzungslos Voraussetzungslos Einzelauskunft: Name, Vorname, Adresse, Geburtsdatum 12 Abs. 2 berechtigtes Interesse 12 Abs. 3 schützenswertes und ideelles Interesse glaubhaft machen Einzelauskunft: Staatsangehörigkeit, Zu-/Wegzug Listenauskunft: Name, Vorname, Adresse, Geburtsdatum Nur Einwohneramt! 14 Rechtsgrundlag eoder Einwilligung Einzelauskunft: Definierte Daten 15 Rechtsgrundlag e oder Einwilligung Einzelauskunft: Definierte Daten

33 Beispiele Listenauskunft ( 12 Abs. 3 ÖDSG) Wer/Zweck Politische Parteien (Mitgliederwerbung) PNOS Vereine; Neuzuzüger, bestimmte Jahrgänge (Mitgliederwerbung) pro senectute, pro infirmis (Spendenaufruf) Lokaler Gewerbeverein (Werbung) Felicitas (Geschenkköfferchen) Verein Landdienst (neu: agriviva), 14-Jährige gewinnen) Fahrschule (Geburtstagsgeschenk für 18-Jährige) bfu (Versand von Tipps zur Unfallverhütung) Bank, Adressen vermögender Personen (Kundengewinnung) Beurteilung

34 Datensperre ( 13 ÖDSG, 21 und 22 V Einwohnermeldewesen) Rechtsanspruch Zuständig: Gemeinderat Voraussetzung: Schutzwürdiges Interesse Glaubhaft machen ( beweisen) Verweigerung oder Aufhebung: Nachträglicher Wegfall des Grundes Entgegen stehende gesetzliche Vorschrift Überwiegende öffentliche oder private Interessen Rechtliches Gehör: Verweigerung oder Aufhebung nur nach Anhörung Erleichterte Datensperre: Für Listenauskunft durch die Einwohnerkontrolle ohne schutzwürdiges Interesse ( 13 Abs. 3 ÖDSG) Datensperre gebührenfrei ( 37 Abs. 2 ÖDSG) Weitergabe der Sperrvermerke ( 22 Abs. 4 V Einwohnermeldewesen)

35 Datensperre Einzelauskunft nach 12 Abs. 1 und 2 ÖDSG Listenauskunft nach 12 Abs. 3 ÖDSG Voraussetzung: Schützenswertes Interesse glaubhaft gemacht Zuständigkeit: Gemeinderat Dauer: Periodische Überprüfung Voraussetzung: keine Zuständigkeit: Delegierbar Dauer: Bis auf Widerruf

36 Beispiele Datensperre Wer Tina Turner, Ottmar Hitzfeld (Schutz vor Paparazzi ) Cervelatprominenz (lokale Persönlichkeiten; keine Belästigungsgefahr) Beurteilung Schutz vor Nachstellungen (Kind, das vom Vater missbraucht wurde) aus Haft Entlassene (eines medienwirksamen Delikts -> Start neues Leben) sehr vermögende Personen Arbeit als Sicherheitspersonal (Bodyguards, Securitas, ) Verhinderung Durchsetzung von Rechtsansprüchen (z.b. Unterhaltszahlungen, Schadenersatz) ehemals gültiger Grund nicht mehr aktuell (z.b. Tod eines Stalkers)

37 Amtshilfe ( 14 ÖDSG) Datenaustausch innerhalb der Verwaltung nicht beliebig möglich Voraussetzungen: Rechtsgrundlage oder Ermächtigung Nachweis der Berechtigung durch den Empfänger (aus gesetzlicher Aufgabe) Keine gesetzl. Geheimhaltungspflicht Einwilligung Problem: Kleinstgemeinden

38 Publikation ( 17 ÖDSG) Gesetzliche Voraussetzungen: Gesetzliche Grundlage Bsp.: Jagdpatentinhaber, Handelsregister, Grundbuch Allgemeines (öffentliches) Interesse und keine besonders schützenswerten Personendaten Einwilligung

39 Botschaft für Gemeindeversammlungen auf Internet Grundsätzlich zulässig Problematik: Informationen Einbürgerungskandidaten Verhältnismässigkeitsprinzip Homepage als Informationsmittel zulässig Notwendigkeit von Fotos & Lebenslauf zur Entscheidfindung nach Gemeindeversammlung nicht mehr notwendig Entfernung, weil Entscheid gefällt Verfalldatum vorsehen Information bleibt im Netz - Kontrolle praktisch unmöglich! Weiterverbreitung (download, copy/paste ) Verlinkung Publikation in sachfremdem Zusammenhang Verunglimpfungen, Entstellungen, Fotomontagen etc.

40 Übersicht Bekanntgabe von Personendaten

41 Besondere Formen der Datenbearbeitung Für nicht personenbezogene Zwecke ( 19 ÖDSG, 8 Archivverordnung) Forschung, Planung, Statistik Anonymisierung: Person nicht mehr bestimmbar Mit verhältnismässigem Aufwand nicht mehr bestimmbar Bearbeitung durch Dritte (Universität, Institut, Forschungseinrichtung) Datenschutz-Revers Durch Dritte ( 20 ÖDSG) Datenschutz-Revers Mit Überwachungsgeräten ( 21 ÖDSG) Videoüberwachung

42 Videoüberwachung Öffentlicher Raum Privater Raum Bund Kantone & Gemeinden Eidg. Datenschutzgesetz Eidg. Datenschutzgesetz Kant. Datenschutzgesetz

43 Videoüberwachung ( 21 ÖDSG) Was? Nur Öffentlich zugängliche Orte Zu welchem Zweck? Ausschliesslich zum Zweck des Schutzes von Personen und Sachen Wer? Öffentliches Organ dem das Benützungsrecht zusteht Empfehlung: Entscheid Gemeinderat Wie? Verhältnismässigkeit (Alternativen prüfen!) Erkennbarkeit Schutz der Daten Regelung des Zugriffs und der Verantwortlichkeiten Löschung nach max. 120 Stunden Information ÖDSB

44 Beispiele Videoüberwachung Für Gemeinde relevant Für Gemeinde nicht relevant Zweck = Schutz von Personen und Sachen auch zu anderen Zwecken (z.b. zur Strafverfolgung) Abfallsammelstellen Gebäude der Verwaltungen Schulhäuser Öffentliche Parkhäuser Öffentliche Plätze & Wege private Gebäude (Ausnahme: Zweck) Arbeitsplatzüberwachung (bei Privatunternehmungen) Tunnelüberwachung (Verkehrsfluss) Einkaufszentren Videoüberwachung im Restaurant Webcam zur Verfolgung Baufortschritt

45 Zusammenfassung Datenbearbeitung

46 Personendaten archivieren/vernichten ( 22 ÖDSG) Verhältnismässigkeitsprinzip: Datenbearbeitung nur so lange, wie notwendig Kriterien: Ausdrückliche gesetzl. Vorschrift, Verjährungsfristen Vernichtungspflicht bei Personendaten, die nicht mehr benötigt werden ( 8 Abs. 4 Archivverordnung) Archivierung, Anonymisierung, Vernichtung ( 22 ÖDSG) Ablieferungspflicht gemäss 5 Archivverordnung Anbietepflicht an Staatsarchiv Auch Personendaten und als geheim klassifizierte Daten Entscheid über die Archivwürdigkeit Sperrfrist 35 Jahre ( 7 Archivverordnung)

47 Datensicherheit Beschaffen Bekanntgeben/ Bekanntgeben/ Bearbeiten Bearbeiten Archivieren/ Archivieren/ Vernichten

48 Grundsätze: Schutz der Daten ( 8 Abs. 4 ÖDSG) Technische Massnahmen Türschlösser Sicherheitstüren, Brandschutztüren, Sicherheitsglas Abschliessbares Mobiliar Live-Video, Alarmanlage Aktuelle Virenschutzprogramme, Firewall Back-Ups u.a.m. Organisatorische Massnahmen Schlüsselplan Berechtigungskonzepte Verschlüsselungen Geheimhaltungserklärungen Starke Passwörter, regelmässige Passwortänderungen Weisungen, Reglemente (insbes. IT-Sicherheit) Ausbildung, Sensibilsierung Einsatzplan Reinigungspersonal u.a.m.

49 Zur IT-Sicherheit Datensicherheit / Server (Backups) Passwortschutz &-wechsel Einhaltung der IT-Grundsätze durch das Personal bedingt regelmässige Sensibilisierung Arbeitsplatzsperrung Versand von s sicher? Schutztechniken (Verschlüsselung) Kommunikation innerhalb welcher Netze? Aktualität: swissid

50 Betriebliche Verantwortung IT-Sicherheitsmanagement Strategische (politische) Verantwortung Operative Verantwortung

51 Rechte und Pflichten

52 Ansprüche der betroffenen Personen Recht auf Einsichtnahme und Auskunft ( 24 und 25 ÖDSG) Nur in Bezug auf eigene Daten Einsichtnahme in das Register der Datensammlungen Auskunft, ob in Datensammlung verzeichnet Einsicht in die eigenen Daten Einschränkungen: Wichtige öffentliche Interessen oder besonders schutzwürdige Interessen Dritter tangiert Bearbeitung ausschliesslich zu nicht personenbezogenen Zwecken Kostenlos Berichtigungsanspruch ( 26 ÖDSG) Berichtigung, Vervollständigung Unterlassung Beseitigung

53 Verschiedene Fragen

54 Zuständigkeit ( 27 ÖDSG) Das öffentliches Organ, das Personendaten bearbeitet (Daten-Inhaber): Ist für Einhaltung der Bestimmungen über den Datenschutz verantwortlich Sorgt für den Schutz der Personendaten vor unbefugtem Zugriff (Daten-/Informatiksicherheit) Entscheidet über Berichtigung, Beseitigung oder Unterlassung Entscheidet über Bestreitungsvermerke Erlässt ggf. Verfügungen Keine Weisungsbefugnis des Öffentlichkeits-und Datenschutzbeauftragten

55 Verfahren Gesuch -Einsicht in Datensammlung, Datensperre, Datenbekanntgabe, etc. Rechtl. Gehör Gutheissung Ablehnung Akzeptiert Verfügung Schlichtungsverfahren Gesuch erledigt ( 33 ÖDSG) Schlichtung Keine Einigung Gesuch erledigt ( 34 Abs. 3 ÖDSG) Empfehlung ÖDSB Befolgt Nicht befolgt Gesuch erledigt Verfügung

56 Register der Datensammlungen Datensammlungen und Register Gemeinde ÖDSB Führung der Datensammlungen Verantwortung für Sicherheit, Richtigkeit, Aktualität der Daten Entscheid über Inhalt (was wird aufgenommen, was nicht) Pflege der Datensammlungen Sicherheitsmassnahmen Auskunftserteilung und Zugangsgewährung Führung des Registers der Datensammlungen Pflege des Registers