Grundschulung Datenschutz SpitexObermarch

Transkript

1 Grundschulung Datenschutz SpitexObermarch

2 Ziele Aufgabe und Organisation des Öffentlichkeits-und Datenschutzbeauftragten bekannt Wesentliche Grundsätze des Datenschutzes bekannt Bezug zu den Aufgaben der SPITEX hergestellt Gestellte Fragen beantwortet

3 Beauftragter für Öffentlichkeit und Datenschutz Jules Busslinger, lic. iur., Lizentiat Universität Zürich Chef Rechtsdienst KMV Generalsekretariat EMD/VBS Stv. Departements-Personalchef Stv. Generalsekretär EFD Chef Ressourcen (Personal, Informatik, Finanzen) selbständig Gemeindeschreiber Horgen

4 Organisation und Stellung Organisation 250 Stellenprozente Stao: Gotthardstr. 21, 6414 Oberarth administrativ unterstellt beim FD SZ Stellung Kantonales und kommunales Kontrollorgan im Sinne des Bundesgesetzes über den Datenschutz Verwaltungsunabhängig Gewählt für Amtsperiode Eigenes Budget Kann von Amtes wegen tätig werden Untersteht dem Amtsgeheimnis

5 Gesetzlicher Auftrag (Gesetz über die Öffentlichkeit der Verwaltung und den Datenschutz vom 23. Mai 2007) Überwachung der Anwendung der Vorschriften über den Datenschutz und das Öffentlichkeitsprinzip Kontrolle des Registers der Datensammlungen Beratung der öffentlichen Organe Mitwirkung bei der Gesetzgebung Vermittlung zwischen öffentlichen Organen und Privaten Information

6 Rechtsgrundlagen und Abgrenzungen

7 Rechtsgrundlagen Bund Bundesgesetz vom 19. Juni 1992 über den Datenschutz (Datenschutzgesetz, DSG) Bundesgesetz vom 26. Juni 1998 über die Archivierung (Archivierungsgesetz, BGA) Art. 28 Zivilgesetzbuch Kanton Gesetz vom 23. Mai 2007 über die Öffentlichkeit der Verwaltung und den Datenschutz (ÖDSG) Verordnung zum Öffentlichkeits- und Datenschutzgesetz (VÖDSG) Gesetze der verschiedenen Sachgebiete Gesundheitsverordnung des Kantons Schwyz

8 Abgrenzungen Bundesorgane unter sich Bundesorgane Private Private unter sich Kantonale öffentliche Organe unter sich Kantonale öffentliche Organe Private

9 Geltungsbereich ÖDSG Geltungsbereich ( 2 ÖDSG): Alle öffentlichen Organe des Kantons, der Bezirke und der Gemeinden Soweit sie hoheitlich handeln

10 «Hoheitliche Handlung» Hoheitlich Baubewilligung Steuerveranlagung Vollstreckungsverfügung Datensperre Fahrzeugprüfung Patenterteilung Sozialhilfegewährung Abfallentsorgung (öfftl. Raum) etc. Nicht hoheitlich Verkauf von SBB-Tageskarten Verkauf von Karten und Broschüren Verkauf von Energiesparlampen Verkauf verbilligter Saisonabonnemente etc.

11 «HoheitlicheHandlung» Gemeinde Gemeinde Vertrag Private Anfechtbare Verfügung Private

12 Geltungsbereich ÖDSG Geltungsbereich ( 2 ÖDSG): Alle öffentlichen Organe des Kantons, der Bezirke und der Gemeinden Soweit sie hoheitlich handeln Ausnahmen ( 3 ÖDSG): Gerichtliche Behörden Kantonalbank Anstalten des Kantons, der Bezirke und der Gemeinden, die am wirtschaftlichen Wettbewerb teilnehmen und nicht hoheitlich handeln Allmendgenossenschaften und ähnliche Körperschaften

13 Begriffe Öffentliches Organ ( 4 ÖDSG) Öffentliche Organe: Verwaltungsstellen und Behörden aller Ebenen (Kanton, Bezirk, Gemeinde) Organisationen und Personen privaten Rechts, soweit sie mit einer öffentlichen Aufgabe betraut sind In Bezug auf Spitex: Verein nach ZGB (Privatrecht) 3 Gesundheitsverordnung: Kanton, Bezirke und Gemeinden können Dienstleistungen, die nach dieser Verordung anzubieten sind, vertraglich anderen Gemeinwesen, Organisationen oder Privatpersonen übertragen. 15 Abs. 1 Gesundheitsverordnung: Jede Gemeinde stellt ein Angebot für die Hauskrankenpflege, die hauswirtschaftlichen Dienste sowie den Entlastungsdienst für betreuende und pflegende Angehörige sicher. Sie kann weitere Dienstleistungen erbringen. Die Spitex Obermarch ist ein öffentliches Organ im Sinne von 4 ÖDSG

14 Geltungsbereich: Zusammenfassung Hoheitliche Handlung Nicht-hoheitliche Handlung Öffentliches Organ ÖDSG DSG Private ÖDSG DSG

15 SpitexObermarch Verein nach ZGB öffentliche Aufgabe gestützt auf GesV

16 SpitexObermarch Anwendung ÖDSG Hoheitliche Handlungen Liste der betreuten Personen Informationen über Gesundheitszustand der gepflegten Personen Familiäre Verhältnisse Einsatz- oder Dienstpläne Leistungsabrechungen Korrespondenz mit Krankenkassen etc. Nicht hoheitliche Handlungen Mitgliederverwaltung Verein Informationen über die interne Organisation Personaladministration Lohnbuchhaltung etc.

17 Begriffe - Personendaten ( 4 ÖDSG) Personendaten: Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen bestimmbar = Rückschluss ohne erheblichen Aufwand möglich Jegliche Information, unabhängig von der Form Schriftlich Mündlich Zufälliges Erfahren ( etwas mitbekommen ) Etwas sehen

18 Begriffe Personendaten ( 4 ÖDSG) Besonders schützenswerte Personendaten: religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten Gesundheit, Intimsphäre, ethnische Zugehörigkeit vormundschaftliche Massnahmen Massnahmen der sozialen Hilfe administrative oder strafrechtliche Verfolgungen und Sanktionen

19 Beispiele besonders schützenswerte Personendaten Krankengeschichte Gesundheitszustand Behandlungen/Therapien Medikation Sexuelle Vorlieben Essgewohnheiten Waschgewohnheiten Familiäre Verhältnisse, familiäre Schwierigkeiten Erzählungen aus dem Privatleben Etc.

20 Begriffe Persönlichkeitsprofil ( 4 ÖDSG) Persönlichkeitsprofil (nicht explizit definiert): Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt Beispiele: Einkaufsgewohnheiten und Produktvorlieben gestützt auf Auswertung COOP Supercard oder Migros CumulusCard Reisegewohnheiten und Produktvorlieben gestützt auf Auswertung Kreditkartenabrechnungen Produktvorlieben gestützt auf Auswertung von Zahlungsverkehrsinformationen

21 Begriffe Datensammlung ( 4 ÖDSG) Datensammlung: Bestand von Daten, der so aufgebaut ist, dass diese erschliessbar sind Systematisierung und Katalogisierung Such- und Filterfunktionen Index etc. Art und Ort der Aufbewahrung/Speicherung unerheblich

22 Begriffe bearbeiten ( 4 ÖDSG) Bearbeiten: Jeder Umgang mit Daten, unabhängig von den angewandten Mitteln! Beschaffen Einsicht gewähren Weitergeben Veröffentlichen Zugänglich machen Etc.

23 Grundsätze der Datenbearbeitung

24 Legalitätsprinzip ( 8 Abs. 1 ÖDSG) Gesetzliche Grundlage Ermächtigung Einwilligung

25 Gesetzliche Grundlage Personendaten allgemein( 9 Abs. 1 ÖDSG) Gesetz, Verordnung, Reglement, Weisung Bearbeitung dient der Erfüllung einer gesetzlichen Aufgabe Bei besonders schützenswerten Personendaten oder Persönlichkeitsprofilen( 9 Abs. 2 und 3 ÖDSG) Gesetz im formellen Sinn, d.h. von der Legislative erlassen Kantonsrat, Gemeindeversammlung Für die Erfüllung einer gesetzlichen Aufgabe unabdingbar Ausdrückliche Einwilligung im Einzelfall Allgemeine Bekanntgabe durch die betroffene Person Im Ausnahmefall: Ermächtigung des Regierungsrates

26 Einwilligung durch die betroffene Person Ausdrücklich Schriftlich oder mündlich Aus Beweisgründen Schriftlichkeit empfohlen Auf Grund der konkreten Umstände vorausgesetzte Einwilligung Restriktiv zu handhaben

27 Verhältnismässigkeit ( 8 Abs. 1 ÖDSG) Bearbeitung nur nach den Grundsätzen von Treu und Glauben und Verhältnismässigkeit Grundsätze: Notwendigkeit für die gesetzliche Aufgabe Datenvermeidung Datenvernichtung Problem Datenflut, insbesondere beim Einsatz der EDV

28 Verhältnismässigkeit ( 8 Abs. 1 ÖDSG) 1. Nur, wenn nötig -Brauche ich die Information? 2. Nur soviel, wie nötig -Was brauche ich? 3. Nur so lange, wie nötig -Wie lange brauche ich sie?

29 Aufzeichnung und Aufbewahrung von Patientenakten

30 Korrektheit ( 8 Abs. 2 ÖDSG) Wer Daten bearbeitet ist auch für deren Richtigkeitund Aktualitätsowie entsprechend dem Zweck für deren Vollständigkeit verantwortlich Berichtigungs- und Unterlassungsanspruch ( 26 ÖDSG) Bestreitungsvermerk ( 26 Abs. 2 ÖDSG)

31 Zweckbindungsgebot ( 8 Abs. 3 ÖDSG) Zweckbindung heisst: Daten dürfen nur bearbeitet werden, wenn (alternativ): Zweck gesetzlich vorgesehen ist; Zweck bei der Beschaffung angegeben wurde; Zweck aus den Umständen ersichtlich ist. Es braucht immer einen Zweck für die Datenbearbeitung! Gilt auch für den Datenaustausch zwischen den öffentlichen Organen oder mit anderen Spitex-Organisationen.

32 Schutz der Daten ( 8 Abs. 4 ÖDSG) Technische Massnahmen Türschlösser Sicherheitstüren, Brandschutztüren, Sicherheitsglas Abschliessbares Mobiliar Live-Video, Alarmanlage Aktuelle Virenschutzprogramme, Firewall Back-Ups u.a.m. Organisatorische Massnahmen Schlüsselplan Berechtigungskonzepte Verschlüsselungen Geheimhaltungserklärungen Starke Passwörter, regelmässige Passwortänderungen Weisungen, Reglemente (insbes. IT-Sicherheit) Ausbildung, Sensibilsierung Einsatzplan Reinigungspersonal u.a.m.

33 Bearbeitung von Personendaten

34 Datenbearbeitung Beschaffen Bekanntgeben/ Bearbeiten Datensicherheit Archivieren/ Vernichten

35 Personendaten beschaffen ( 10, 11 ÖDSG) Beschaffen Archivieren/ Vernichten Bekanntgeben/ Bearbeiten Grundsatz: Beschaffung bei der betroffenen Person Allgemein Personendaten ( 10 ÖDSG): Datenerhebung bei Dritten nur ausnahmsweise (Vorschrift, besondere Gründe) Angabe des Zwecks auf Verlangen oder bei systematischer Erhebung Besonders schützenswerte Personendaten ( 11 ÖDSG): Datenerhebung bei Dritten nur ausnahmsweise (Vorschrift, besondere Gründe) Angabe des Zwecks und der Datenempfänger grundsätzlich zwingend Informationspflichten

36 Beschaffung bei Dritten ( 11 ÖDSG) Beschaffung von besonders schützenswerten Personendaten: Mitteilung, wenn die Daten bei Dritten beschafft wurden Information mindestens über: Inhaber/in der Datensammlung Zweck der Bearbeitung Datenempfänger/innen Ausnahmen ( 11 Abs. 2 ÖDSG): Information objektiv unmöglich Information mit einem unverhältnismässigen Aufwand verbunden Speicherung durch Gesetz ausdrücklich vorgesehen

37 Personendaten bekanntgeben ( ÖDSG) Beschaffen Archivieren/ Vernichten Bekanntgeben/ Bearbeiten An wen? Private (Einzelpersonen, Institutionen, Vereine, Organisationen) Öffentliche Organe Welche Daten? Name, Vorname, Geburtsdatum, etc? Durch wen? Alle öffentlichen Organe Nur Einwohnerkontrollen Welche Voraussetzungen?

38 Bekanntgabe von Personendaten ( ÖDSG) Personenbezogene Daten bekannt geben an Private an öffentliche Organe (Amtshilfe) 12 Abs. 1 Bst. a und b voraussetzungslos 12 Abs. 1 Bst. a und b voraussetzungslos 12 Abs Abs. 3 berechtigtes Interesse schützenswertes und ideelles Interesse Nur Einwohneramt! glaubhaft machen 14 Rechtsgrundlage, Einwilligung/Ermächtigung 15 Rechtsgrundlage oder Einwilligung

39 Datenbekanntgabe -für Spitex-Organisationen relevante Bestimmungen ( 12 Abs. 1 ÖDSG) Name, Adresse, Wohnort, Geburtsdatum Von der betreffenden Person allgemein zugänglich gemachte Informationen 14 ÖDSG: Bekanntgabe an andere öffentliche Organe Behörden und andere Spitex-Organisationen Voraussetzungen: Rechtsgrundlage oder Ermächtigung Nachweis der Berechtigung durch den Empfänger (aus gesetzlicher Aufgabe) Keine entgegenstehende gesetzliche Geheimhaltungspflicht Einwilligung 15 ÖDSG: Bekanntgabe an Private Rechtsgrundlage Einwilligung

40 Amtshilfe ( 14 ÖDSG) Kanton Bezirk Gemeinde Spitex

41 Besondere Formen der Datenbearbeitung Für nicht personenbezogene Zwecke ( 19 ÖDSG) Forschung, Planung, Statistik Anonymisierung: Person nicht mehr bestimmbar Mit verhältnismässigem Aufwand nicht mehr bestimmbar Bearbeitung durch Dritte (Universität, Institut, Forschungseinrichtung) Datenschutz-Revers Nur für den angegebene Zweck Anonymisierung sobald möglich Keine Weitergabe an Dritte Durch Dritte ( 20 ÖDSG) Datenschutz-Revers

42 Personendaten archivieren/vernichten ( 22 ÖDSG) Beschaffen Archivieren/ Vernichten Bekanntgeben/ Bearbeiten Verhältnismässigkeitsprinzip: Datenbearbeitung nur so lange, wie notwendig Kriterien: Ausdrückliche gesetzl. Vorschrift, Verjährungsfristen Vernichtungspflicht bei Personendaten, die nicht mehr benötigt werden Archivierung, Anonymisierung, Vernichtung ( 22 ÖDSG) Dauer der Aufbewahrung von Patienteninformationen: 28 GesV sinngemäss

43 Vernichtung von Personendaten Achtung Festplatte! Multifunktionsdrucker Moderne Kopiergeräte PC-Systeme Schredderoder spezialisierte Firma

44 Datensicherheit Beschaffen Bekanntgeben/ Bekanntgeben/ Bearbeiten Bearbeiten Datensicherheit Datensicherheit Archivieren/ Archivieren/ Vernichten

45 Grundsätze: Schutz der Daten ( 8 Abs. 4 ÖDSG) Technische Massnahmen Türschlösser Sicherheitstüren, Brandschutztüren, Sicherheitsglas Abschliessbares Mobiliar Live-Video, Alarmanlage Aktuelle Virenschutzprogramme, Firewall Back-Ups u.a.m. Organisatorische Massnahmen Schlüsselplan Berechtigungskonzepte Verschlüsselungen Geheimhaltungserklärungen Starke Passwörter, regelmässige Passwortänderungen Weisungen, Reglemente (insbes. IT-Sicherheit) Ausbildung, Sensibilsierung Einsatzplan Reinigungspersonal u.a.m.

46 Informatiksicherheit Sichern Schützen Überwachen Vorbeugen Aufpassen

47 Informatiksicherheit Sichern Regelmässige Backups Schützen Aktueller Virenschutz Überwachen Firewall Vorbeugen Regelmässige Software-Updates Software nur aus vertrauenswürdigen Quellen Aufpassen Passwortschutz ist Pflicht Starke Passworte, regelmässiger Passwortwechsel, nicht notieren oder weitergeben! Time-Out / automatischer Bildschirmschoner Besondere Vorsicht bei Arbeit zu Hause Vorsicht mit mobilen Datenträgern!

48 Umgang mit s s sind grundsätzlich unsicher können z.b. auf dem Versandweg, beim Server, auf schlecht geschütztem Computer abgefangen werden Versand von s schützenswerte Dokumente/Informationen nicht per versenden (besser: Post) Verschlüsselung umständlich teuer

49 Unsicherer -Versand über Internet PC I PC II Server Server Hacker

50 Sicherer -Versand im geschützten Netz PC I PC II Server Server Geschütztes Netz Hacker

51 Allgemeine Verhaltensregeln im Umgang mit s Kein Versand von personenbezogenen Informationen über E- Mail ungelesen löschen wenn Absender unbekannt Grundsätzlich dem Inhalt misstrauen, auch wenn Absender bekannt (erscheint) Keine Links anklicken oder Attachments öffnen (vor allem in verdächtigen s) Nicht auf SPAM antworten Foren, Newsgroups, Chats, Gästebücher, Newsletter usw. vermeiden -Adresse zur Geheimsache erklären

52 Rechte und Pflichten

53 Ansprüche der betroffenen Personen Recht auf Einsichtnahme und Auskunft ( 24 und 25 ÖDSG) nur in Bezug auf eigene Daten Einsichtnahme in das Register der Datensammlungen Auskunft, ob in Datensammlung verzeichnet Einschränkungen: wichtige öffentliche Interessen/besonders schutzwürdige Interessen Dritter tangiert Bearbeitung ausschliesslich zu nicht personenbezogenen Zwecken kostenlos Berichtigungsanspruch ( 26 ÖDSG) Berichtigung, Vervollständigung Unterlassung Beseitigung

54 Verschiedene Fragen

55 Zuständigkeit für Datenbearbeitung ( 27 ÖDSG) Das öffentliches Organ, das Personendaten bearbeitet (Daten- Inhaber): für Einhaltung der Datenschutzbestimmungen verantwortlich sorgt für den Schutz der Personendaten vor unbefugtem Zugriff (Daten-/Informatiksicherheit) entscheidet über Berichtigung, Beseitigung oder Unterlassung entscheidet über Bestreitungsvermerke erlässt ggf. Verfügungen keine Weisungsbefugnis des Öffentlichkeits-und Datenschutzbeauftragten

56 Verfahren Gesuch -Einsicht in Datensammlung, Datensperre, Datenbekanntgabe, etc. Rechtl. Gehör Gutheissung Ablehnung Akzeptiert Verfügung Schlichtungsverfahren Gesuch erledigt ( 33 ÖDSG) Schlichtung Keine Einigung Gesuch erledigt ( 34 Abs. 3 ÖDSG) Empfehlung ÖDSB Befolgt Nicht befolgt Gesuch erledigt Verfügung

57 Register der Datensammlungen Datensammlungen und Register Gemeinde ÖDSB Führung der Datensammlungen Verantwortung für Sicherheit, Richtigkeit, Aktualität der Daten Entscheid über Inhalt (was wird aufgenommen, was nicht) Erfassung der Rohdaten Pflege der Datensammlungen Auskunftserteilung und Zugangsgewährung Führung des Registers der Datensammlungen Pflege des Registers Verantwortung für Sicherheit, Richtigkeit, Aktualität des Registers