Datenschutz und Archivierung

Transkript

1 Datenschutz und Archivierung 1

2 Ziele Aufgabe und Organisation des Öffentlichkeits-und Datenschutzbeauftragten bekannt Wesentliche Grundsätze des Datenschutzes bekannt Bezug und Zusammenhang zur Archivierungsverordnung erkannt Gestellte Fragen beantwortet 2

3 Organisation und Stellung Organisation 250 Stellenprozente Stao: Gotthardstr. 21, 6414 Oberarth administrativ unterstellt beim FD SZ Stellung Kantonales und kommunales Kontrollorgan im Sinne des Bundesgesetzes über den Datenschutz Verwaltungsunabhängig Gewählt für Amtsperiode Eigenes Budget Kann von Amtes wegen tätig werden Untersteht dem Amtsgeheimnis 3

4 Gesetzlicher Auftrag (Gesetz über die Öffentlichkeit der Verwaltung und den Datenschutz vom 23. Mai 2007) Überwachung der Anwendung der Vorschriften über den Datenschutz und das Öffentlichkeitsprinzip Kontrolle des Registers der Datensammlungen Beratung der öffentlichen Organe Mitwirkung bei der Gesetzgebung Vermittlung zwischen öffentlichen Organen und Privaten Information 4

5 Aufgaben Aufsicht und Kontrolle in den Verwaltungen (Kanton / Gemeinden) Kontrolle des Registers der Datensammlungen Beratung und Unterstützung in den Verwaltungen Sensibilisierung und Schulung der Verwaltungen Sensibilisierung und Information der Privaten Rechenschaftsablage 5

6 Arbeitsweise Beratung und Unterstützung Direkter Zugang (Telefon, ) Keine Formalismen Beratung vor Ort Aufsicht und Kontrolle Vorgängige Koordination Vorbesprechungen Gelegenheit zur Stellungnahme Schlussbesprechung Follow Up 6

7 DATENSCHUTZBEAUFTRAGTER Arbeitsweise - Grundsätze Unabhängig Partnerschaftlich Dienstleistungsorientiert 7

8 Rechtsgrundlagen & Abgrenzungen 8

9 Rechtsgrundlagen Bund Bundesgesetz vom 19. Juni 1992 über den Datenschutz (Datenschutzgesetz, DSG) Bundesgesetz vom 26. Juni 1998 über die Archivierung (Archivierungsgesetz, BGA) Kanton Gesetz vom 23. Mai 2007 über die Öffentlichkeit der Verwaltung und den Datenschutz (ÖDSG) Verordnung zum Öffentlichkeits- und Datenschutzgesetz (VÖDSG) Verordnung vom 10. Mai 1994 über das Archivwesen des Kantons Schwyz 9

10 Geltungsbereich Geltungsbereich ( 2 ÖDSG): Alle öffentlichen Organe des Kantons, der Bezirke und der Gemeinden Soweit sie hoheitlich handeln Ausnahmen ( 3 ÖDSG): Keine hoheitliche Handlung Gerichtliche Behörden Kantonalbank Anstalten des Kantons, der Bezirke und der Gemeinden, die am wirtschaftlichen Wettbewerb teilnehmen und nicht hoheitlich handeln Allmendgenossenschaften und ähnliche Körperschaften 10

11 Begriffe-I ( 4 ÖDSG) Öffentliche Organe: Verwaltungsstellen und Behörden aller Ebenen (Kanton, Bezirk, Gemeinde) Organisationen und Personen privaten Rechts, soweit sie mit einer öffentlichen Aufgabe betraut sind Personendaten: Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen bestimmbar = Rückschluss ohne erheblichen Aufwand möglich Besonders schützenswerte Personendaten: religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten Gesundheit, Intimsphäre, ethnische Zugehörigkeit vormundschaftliche Massnahmen Massnahmen der sozialen Hilfe administrative oder strafrechtliche Verfolgungen und Sanktionen 11

12 Begriffe-II ( 4 ÖDSG) Persönlichkeitsprofil (nicht explizit definiert): Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt Datensammlung: Bestand von Daten, der so aufgebaut ist, dass diese erschliessbar sind erschliessbar: Systematisierung und Katalogisierung, Such-und Filterfunktionen, Index etc. Bearbeiten: Jeder Umgang mit Daten, unabhängig von den angewandten Mitteln Beschaffen, Einsicht gewähren, Weitergeben, Veröffentlichen oder in anderer Weise zugänglich machen 12

13 Öffentlichkeitsprinzip und Datenschutz Öffentlichkeitsprinzip: Zugang zu amtlichen Dokumenten Datenschutz: Bearbeiten von Personendaten Das Öffentlichkeitsprinzip findet seine Grenze beim Datenschutz 13

14 Grundsätze Datenschutz 14

15 Grundsätze: Legalitätsprinzip ( 8 Abs. 1 ÖDSG) Rechtmässigkeit Gesetzliche Grundlage formelles Gesetz oder Verordnungs- bzw. Weissungsstufe Ermächtigung Einwilligung Voraussetzung zur Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen: Ausdrückliche Gesetzesgrundlage formelles Gesetz Für eine in einem Gesetz vorgesehene Aufgabe unentbehrlich Bewilligung durch den Regierungsrat im Einzelfall (keine Gefährdung der Rechte der betroffenen Person) Einwilligung 15

16 Grundsätze: Verhältnismässigkeit ( 8 Abs. 1 ÖDSG) Bearbeitung nur nach den Grundsätzen von Treu und Glauben und Verhältnismässigkeit Grundsätze: Notwendigkeit Datenvermeidung Datensparsamkeit Problem Datenflut, insbesondere beim Einsatz der EDV 16

17 Grundsätze: Korrektheit ( 8 Abs. 2 ÖDSG) Wer Daten bearbeitet ist auch für deren Richtigkeitund Aktualitätsowie entsprechend dem Zweck für deren Vollständigkeit verantwortlich Berichtigungs- und Unterlassungsanspruch ( 26 ÖDSG) 17

18 Grundsätze: Zweckbindungsgebot ( 8 Abs. 3 ÖDSG) Zweckbindung heisst: Daten dürfen nur bearbeitet werden, wenn (alternativ): Zweck gesetzlich vorgesehen ist; Zweck bei der Beschaffung angegeben wurde; Zweck aus den Umständen ersichtlich ist. Gilt auch für den Datenaustausch zwischen den öffentlichen Organen! 14 ÖDSG (Amtshilfe) 18

19 Bearbeitung von Personendaten 19

20 Datenbearbeitung Beschaffen Bekanntgeben/ Bearbeiten Datensicherheit Archivieren/ Vernichten 20

21 Grundvoraussetzung: Rechtsgrundlage Personendaten allgemein( 9 Abs. 1 ÖDSG) Gesetz, Verordnung, Reglement, Weisung Einwilligung der betroffenen Person Bearbeitung dient der Erfüllung einer gesetzlichen Aufgabe Bei besonders schützenswerten Personendaten oder Persönlichkeitsprofilen( 9 Abs. 2 und 3 ÖDSG) Gesetz im formellen Sinn, d.h. von der Legislative erlassen Kantonsrat, Gemeindeversammlung Für die Erfüllung einer gesetzlichen Aufgabe unabdingbar Einwilligung im Einzelfall Allgemeine Bekanntgabe durch die betroffene Person Im Ausnahmefall: Ermächtigung des Regierungsrates 21

22 Personendaten beschaffen ( 10, 11 ÖDSG) Beschaffen Archivieren/ Vernichten Bekanntgeben/ Bearbeiten Allgemein ( 10 ÖDSG): Rechtsgrundlage Datenerhebung bei Dritten nur ausnahmsweise (Vorschrift, besondere Gründe) Angabe des Zwecks auf Verlangen oder bei systematischer Erhebung Besonders schützenswerte Personendaten ( 11 ÖDSG): Rechtsgrundlage Datenerhebung bei Dritten nur ausnahmsweise (Vorschrift, besondere Gründe) Angabe des Zwecks und der Datenempfänger grundsätzlich zwingend Informationspflichten 22

23 Beschaffung bei Dritten ( 11 ÖDSG) Folgt aus Treu und Glauben Beschaffung von besonders schützenswerten Personendaten: Mitteilung, wenn die Daten bei Dritten beschafft wurden Information mindestens über: Inhaber/in der Datensammlung Zweck der Bearbeitung Datenempfänger/innen Ausnahmen ( 11 Abs. 2 ÖDSG): Information objektiv unmöglich Information mit einem unverhältnismässigen Aufwand verbunden Speicherung durch Gesetz ausdrücklich vorgesehen 23

24 Personendaten bekanntgeben ( ÖDSG) Beschaffen Archivieren/ Vernichten Bekanntgeben/ Bearbeiten Voraussetzungslos( 12 Abs. 1 Bst. a ÖDSG): Name, Vorname, Adresse An öffentliche Organe und Private Listenauskünfte durch Einwohnerkontrollen( 12 Abs. 1 Bst. b und Abs. 2-3 ÖDSG) Datensperre ( 13 ÖDSG) Amtshilfe ( 14 ÖDSG) An Private ( 15 ÖDSG) Rechtsgrundlage, Einwilligung Abrufverfahren ( 16 ÖDSG) Zulässig Bei besonders schützenswerten Personendaten ausdrückliche Gesetzesgrundlage Veröffentlichung ( 17 ÖDSG) Ins Ausland ( 18 ÖDSG) 24

25 Datensperre ( 13 ÖDSG) Rechtsanspruch Voraussetzung: Schutzwürdiges Interesse Glaubhaft machen ( beweisen) Verweigerung oder Aufhebung: Nachträglicher Wegfall des Grundes Entgegen stehende gesetzliche Vorschrift Überwiegende öffentliche oder private Interessen Rechtliches Gehör: Verweigerung oder Aufhebung nur nach Anhörung Erleichterte Datensperre: Für Listenauskunft durch die Einwohnerkontrolle ohne schutzwürdiges Interesse ( 13 Abs. 3 ÖDSG) 25

26 Amtshilfe ( 14 ÖDSG) Kanton Bezirk Gemeinde Datenaustausch innerhalb der Verwaltung nicht beliebig möglich Voraussetzungen: Rechtsgrundlage oder Ermächtigung Nachweis der Berechtigung durch den Empfänger (Ableitung aus gesetzlicher Aufgabe) Einwilligung Problem: Kleinstgemeinden 26

27 Publikation ( 17 ÖDSG) Gesetzliche Voraussetzungen: Gesetzliche Grundlage Bsp.: Jagdpatentinhaber, Handelsregister, Grundbuch Allgemeines (öffentliches) Interesse und keine besonders schützenswerten Personendaten Einwilligung Problematik: Botschaft für Gemeindeversammlungen auf Internet Informationen über Einbürgerungskandidaten, evtl. Fotos Information bleibt im Netz, Weiterverbreitung, Verlinkung, Google Verhältnismässigkeitsprinzip: Notwendigkeit von Fotos Nach Gemeindeversammlung nicht mehr notwendig Verfalldatum vorsehen Leidbilder auf Recht am Bild: Teil des Persönlichkeitsrechts Suchfunktion, Filtermöglichkeiten 27

28 Besondere Formen der Datenbearbeitung Für nicht personenbezogene Zwecke ( 19 ÖDSG, 8 Archivverordnung) Forschung, Planung, Statistik Anonymisierung: Person nicht mehr bestimmbar Mit verhältnismässigem Aufwand nicht mehr bestimmbar Bearbeitung durch Dritte (Universität, Institut, Forschungseinrichtung) Datenschutz-Revers Durch Dritte ( 20 ÖDSG) Datenschutz-Revers Mit Überwachungsgeräten ( 21 ÖDSG) Videoüberwachung 28

29 Videoüberwachung Öffentlicher Raum Beispiele: - Öffentliche Gebäude - Glassammelstellen - Öffentliche Parkhäuser - Schulhäuser - Öffentliche Wege und Plätze Privater Raum Beispiele: -Wohnräume - Videoüberwachung in Einkaufszentren - Videoüberwachung am Arbeitsplatz (Privatunternehmen) - Videoüberwachung im Restaurant 29

30 Videoüberwachung Öffentlicher Raum Privater Raum Bund Kantone & Gemeinden Eidg. Datenschutzgesetz Eidg. Datenschutzgesetz Kant. Datenschutzgesetz 30

31 Digitale Langzeitarchivierung Primärdaten und Metadaten (technisch, deskriptiv) Auffindbarkeit Speichermedium Mind. drei Kopien an zwei verschiedenen Standorten Datenschutz Regelung der Zugriffsberechtigungen Physische Sicherheit (Gebäude, Zutritt etc.) Datensicherheit Regelmässige Kontrolle Speichermedien nicht unbegrenzt haltbar Langfristige Verstehbarkeit Dateiformate 31

32 Haltbarkeit von Speichermedien Medium Steintafeln und Steinmalereien Filme auf Zelluloid Bücher Zeitungspapier CD-Rom / DVD Disketten QIC80 Magnetbänder Erwartete Lebensdauer mehrere tausend Jahre mehrere hundert Jahre Jahre Jahre Jahre 5-10 Jahre 1-3 Jahre 32

33 Zusammenfassung Datenbearbeitung Allgemeine Personendaten Rechtsgrundlage Gesetz, Reglement oder Verordnung Dient der Erfüllung einer gesetzlichen Aufgabe Beschaffung I.d.R. bei der betroffenen Person Ausnahmsweise bei Dritten (gesetzl. Bestimmung, besondere Gründe) Information über den Zweck nur auf Verlangen oder bei systematischer Erhebung Bearbeitung Soweitvon der gesetzlichen Grundlage vorgesehen Verhältnismässigkeit Zweckbindung Listenauskunft Nur Personalien Ideeller Zweck nachgewiesen Keine Bekanntgabe an Dritte Erleichterte Datensperre Abrufverfahren An öfftl. Organ: Im Rahmen der Amtshilfe An Private: Gesetzl. Grundlage o. Einwilligung Besonders schützenswerte Personendaten Formelles Gesetz (Legislative) Für die Erfüllung einer gesetzlichen Aufgabe unabdingbar Bewilligung RR im Einzelfall I.d.R. bei der betroffenen Person Ausnahmsweise bei Dritten (gesetzl. Bestimmung, besondere Gründe) Angabe des Zweck und die Datenempfänger grundsätzlich zwingend Information: Nur, wenn diese unmöglich ist oder einen unverhältnismässig grossen Aufwand verursacht Soweitvon der gesetzlichen Grundlage vorgesehen Verhältnismässigkeit Zweckbindung Nicht möglich Ausdrückliche gesetzliche Grundlage nötig 33

34 Personendaten archivieren/vernichten ( 22 ÖDSG) Beschaffen Archivieren/ Vernichten Bekanntgeben/ Bearbeiten Verhältnismässigkeitsprinzip Datenbearbeitung nur so lange, wie notwendig Vernichtungspflicht bei Personendaten, die nicht mehr benötigt werden ( 8 Abs. 4 Archivverordnung) Archivierung, Anonymisierung, Vernichtung ( 22 ÖDSG) Ablieferungspflicht gemäss 5 Archivverordnung Anbietepflicht Auch Personendaten und als geheim klassifizierte Daten Entscheid über die Archivwürdigkeit Sperrfrist 35 Jahre ( 7 Archivverordnung) 34

35 Sperrfrist Vor Ablauf der Sperrfirst 8 Archivverordnung und 19 ÖDSG Bearbeitung von Personendaten für wissenschaftliche, nicht personenbezogene Zwecke Rückschluss auf betroffene Personen nicht möglich Bekanntgabe zur Bearbeitung: Datenschutz-Revers ( 19 Abs. 2 ÖDSG) lex specialis, d.h. gilt auch für die Bekanntgabe von Archivgut 8 Abs. 2 Archivverordnung revisionsbedürftig: Datenschutzkommission Nach Ablauf der Sperrfrist Persönlichkeitsschutz gilt weiter! Allgemeine Bestimmungen des ÖDSG Verlängerung der Sperrfrist gemäss 7 Abs. 4 Archivverordnung Evtl. Einführung einer Schutzfrist analog Archivgesetz Kanton NW: Schutzfrist von 100 Jahren Vorzeitige Beendigung 10 Jahre nach dem Tod 35

36 Rechte und Pflichten 36

37 Ansprüche der betroffenen Personen Recht auf Einsichtnahme und Auskunft ( 24 und 25 ÖDSG) Nur in Bezug auf eigene Daten Einsichtnahme in das Register der Datensammlungen Auskunft, ob in Datensammlung verzeichnet Einsicht in die eigenen Daten Einschränkungen: Wichtige öffentliche Interessen oder besonders schutzwürdige Interessen Dritter tangiert Bearbeitung ausschliesslich zu nicht personenbezogenen Zwecken Kostenlos Berichtigungsanspruch ( 26 ÖDSG) Berichtigung, Vervollständigung Unterlassung Beseitigung 37

38 Pflichten der öffentlichen Organe Schutz der Personendaten vor unbefugtem Zugriff durch technische und organisatorische Massnahmen ( 8 Abs. 4 ÖDSG) v.a. Informatik Aufbewahrung unter Verschluss Gebäudesicherheit Auch bei Vernichtung! Registerpflicht ( 23 ÖDSG) Kostenlose Gewährung von Einsicht Berichtigung bzw. Beseitigung unrichtiger bzw. unrechtmässig beschaffter Daten ( 26 ÖDSG) Ggf. Bestreitungsvermerk ( 26 Abs. 2 ÖDSG) 38

39 Zuständigkeit 39

40 Zuständigkeit für Datenbearbeitung ( 27 ÖDSG) Das öffentliches Organ, das Personendaten bearbeitet (Daten- Inhaber): Ist für Einhaltung der Bestimmungen über den Datenschutz verantwortlich Sorgt für den Schutz der Personendaten vor unbefugtem Zugriff (Daten-/Informatiksicherheit) Entscheidet über Berichtigung, Beseitigung oder Unterlassung Entscheidet über Bestreitungsvermerke Erlässt ggf. Verfügungen Keine Weisungsbefugnis des Öffentlichkeits-und Datenschutzbeauftragten 40