Grundschulung Datenschutz Kanton Nidwalden
Ziele Aufgabe und Organisation des Datenschutzbeauftragten bekannt Wesentliche Begriffe und Grundsätze des Datenschutzes bekannt Bezug und Zusammenhang zu anderen kantonalen Fachgesetzen erkannt (z. B. Steuergesetz, Archivgesetz etc.) Gestellte Fragen beantwortet
Organisation und Stellung Organisation 250 Stellenprozente Stao: Gotthardstr. 21, 6414 Oberarth administrativ unterstellt beim FD SZ Stellung Kantonales und kommunales Kontrollorgan im Sinne des Bundesgesetzes über den Datenschutz Verwaltungsunabhängig Gewählt für Amtsperiode Eigenes Budget Kann von Amtes wegen tätig werden Untersteht dem Amtsgeheimnis
Gesetzlicher Auftrag (Gesetz über den Datenschutz vom 20. Februar 2008 [kantonales Datenschutzgesetz, kdsg]) Überwachung der Anwendung der Vorschriften über den Datenschutz Führung & Kontrolle des Registers der Datensammlungen Beratung der öffentlichen Organe Mitwirkung bei der Gesetzgebung Vermittlung zwischen öffentlichen Organen und Privaten Zusammenarbeit mit anderen Kantonen & Bund Rechenschaftsablage & Information
Arbeitsweise - Grundsätze Unabhängig Partnerschaftlich Dienstleistungsorientiert
Rechtsgrundlagen und Abgrenzungen
Rechtsgrundlagen Bund Art. 13 Bundesverfassung Bundesgesetz vom 19. Juni 1992 über den Datenschutz (Datenschutzgesetz, DSG) Art. 28 Zivilgesetzbuch Kanton Gesetz über den Datenschutz vom 20. Februar 2008 (kantonales Datenschutzgesetz, kdsg) Zahlreiche Spezialgesetze: Archivierungsgesetz Steuergesetz Sozialhilfegesetz Polizeigesetz Persönlichkeitsschutzgesetz u.a.m.
Verhältnis zu anderen Rechtsgrundlagen Datenschutzrecht Materielles Datenschutzrecht Grundlagen Verfassungsbestimmungen Schutz der Privatsphäre Datenschutzgesetze (Bund / Kanton) -- Grundsätze -- Zuständigkeiten & Verfahren -- Aufsicht Formelles Datenschutzrecht Fachgesetze Bund / Kanton (Steuergesetz, Sozialhilfegesetz, Polizeigesetz, AHV-Gesetz, etc.) -- Geheimhaltungspflichten -- Datenbearbeitung -- Amtshilfe
Abgrenzungen Bundesorgane unter sich Bundesorgane Private Private unter sich Kantonale öffentliche Organe unter sich Kantonale öffentliche Organe Private
Geltungsbereich kdsg (Art. 2 kdsg) Das kdsg gilt für öffentliche Organe des Kantons und der Gemeinden, die Daten natürlicher oder juristischer Personen bearbeiten, soweit sie hoheitlich handeln.
Öffentliches Organ Personendaten Bearbeiten hoheitliche Handlung
Geltungsbereich kdsg (Art. 2 kdsg) Das kdsg gilt für öffentliche Organe des Kantons und der Gemeinden, die Daten natürlicher oder juristischer Personen bearbeiten, soweit sie hoheitlich handeln. Nicht erfasst: Nicht hoheitliche Handlungen der Organe Geschäfte, über welche die Stimmberechtigten oder der Landrat beschliessen Hängige Verfahren (Zivilprozesse, Strafverfahren, Verwaltungsverfahren) Öffentliche Register des Privatverkehrs Verwaltungsinterne Akten (Notizen, persönliche Arbeitsmittel u.ä.)
Begriffe
Begriffe Organ (Art. 3 Ziff. 8 kdsg) Verwaltungsstellen und Behörden aller Ebenen (Kanton, Gemeinde, Gemeindeverbände) Selbständige öffentlichrechtliche Körperschaften und Anstalten Organisationen und Personen privaten Rechts, soweit sie mit einer öffentlichen Aufgabe betraut sind Privates Transportunternehmen, das mit der Kehrichtabfuhr beauftragt ist Private Garagen, die Fahrzeugkontrollen durchführen Privatpersonen als offizielle Übersetzer Privatspitäler, die auf der Spitalliste des Kantons stehen etc.
Begriffe Hoheitliche Handlung Gemeinde Gemeinde Vertrag Private Anfechtbare Verfügung Private
Begriffe Hoheitliche Handlung Hoheitlich Baubewilligung Steuerveranlagung Vollstreckungsverfügung Datensperre Fahrzeugprüfung Patenterteilung Sozialhilfegewährung Abfallentsorgung (öfftl. Raum) etc. Nicht hoheitlich Verkauf von SBB-Tageskarten Verkauf von Karten und Broschüren Verkauf von Energiesparlampen Verkauf verbilligter Saisonabonnemente etc
Öffentliches Organ - Beispiel Spitex Spitex = Verein nach ZGB (Privatrecht) 3 Gesundheitsverordnung: Kanton, Bezirke und Gemeinden können Dienstleistungen, die nach dieser Verordnung anzubieten sind, vertraglich anderen Gemeinwesen, Organisationen oder Privatpersonen übertragen. 15 Abs. 1 Gesundheitsverordnung: Jede Gemeinde stellt ein Angebot für die Hauskrankenpflege, die hauswirtschaftlichen Dienste sowie den Entlastungsdienst für betreuende und pflegende Angehörige sicher. Sie kann weitere Dienstleistungen erbringen. Spitex nimmt also eine öffentliche Aufgabe wahr und gilt somit (in Bezug auf das kdsg) als öffentliches Organ.
Begriffe: Personendaten (Art. 3 Ziff. 1-3 kdsg) Personendaten: Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen bestimmbar = Rückschluss ohne erheblichen Aufwand möglich Natürliche und juristische Personen
Begriffe - Personendaten (Art. 3 Ziff. 1-3 kdsg) Personendaten: Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen bestimmbar = Rückschluss ohne erheblichen Aufwand möglich Natürliche und juristische Personen Besonders schützenswerte Personendaten: religiöse, weltanschauliche, politische oder gewerkschaftliche Ansichten oder Tätigkeiten Gesundheit, Intimsphäre, ethnische Zugehörigkeit vormundschaftliche Massnahmen Massnahmen der sozialen Hilfe administrative oder strafrechtliche Verfolgungen und Sanktionen
Begriffe: Persönlichkeitsprofil (Art. 3 Ziff. 4 kdsg) Zusammenstellung von Daten, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlaubt Beispiele: Einkaufsgewohnheiten und Produktvorlieben gestützt auf Auswertung COOP Supercard oder Migros CumulusCard Reisegewohnheiten und Produktvorlieben gestützt auf Auswertung Kreditkartenabrechnungen Produktvorlieben gestützt auf Auswertung von Zahlungsverkehrsinformationen
Begriffe: Datensammlung (Art. 3 Ziff. 7 kdsg) Bestand von Daten, der so aufgebaut ist, dass diese erschliessbar sind Systematisierung und Katalogisierung Such- und Filterfunktionen Index etc.
Begriff: Bearbeiten (Art. 3 kdsg Ziff. 5 und 6) Bearbeiten: Jeder Umgang mit Daten, unabhängig von den angewandten Mitteln! Beschaffen Bekanntgeben Einsicht gewähren Weitergeben Veröffentlichen Zugänglich machen Etc.
Grundsätze der Datenbearbeitung
Legalitätsprinzip (Art. 4 Abs. 1 und 11 kdsg) Rechtmässigkeit Gesetzliche Grundlage Einwilligung Freiwillig (Art. 4 Abs. 5 kdsg) Voraussetzung zur Bearbeitung von besonders schützenswerten Personendaten oder Persönlichkeitsprofilen: Ausdrückliche Gesetzesgrundlage formelles Gesetz i.sv. Art. 3 Ziff. 10 kdsg Für eine in einem Gesetz vorgesehene Aufgabe unentbehrlich Bewilligung durch den Regierungsrat im Einzelfall (keine Gefährdung der Rechte der betroffenen Person) ausdrückliche und freiwillige Einwilligung
Verhältnismässigkeit (Art. 4 Abs. 2 kdsg) Bearbeitung nur nach den Grundsätzen von Treu und Glauben und Verhältnismässigkeit Grundsätze: Notwendigkeit Datenvermeidung Datensparsamkeit Problem Datenflut, insbesondere beim Einsatz der EDV
Verhältnismässigkeit (Art. 4 Abs. 2 kdsg) 1. Nur, wenn nötig -Brauche ich die Information? 2. Nur soviel, wie nötig -Was brauche ich? 3. Nur so lange, wie nötig -Wie lange brauche ich sie?
Zweckbindungsgebot (Art. 4 Abs. 3 kdsg) Zweckbindung heisst: Daten dürfen nur bearbeitet werden, wenn (alternativ): Zweck gesetzlich vorgesehen ist; Zweck bei der Beschaffung angegeben wurde; Zweck aus den Umständen ersichtlich ist. Es braucht immer einen Zweck für die Datenbearbeitung! Gilt auch für den Datenaustausch zwischen den öffentlichen Organen!
Korrektheit (Art. 5 kdsg) Wer Daten bearbeitet ist auch für deren Richtigkeit und Aktualität sowie entsprechend dem Zweck für deren Vollständigkeit verantwortlich Ansprüche der betroffenen Personen: Berichtigungs- und Unterlassungsanspruch Ggf. Bestreitungsvermerk
Schutz der Daten (Art. 7 kdsg) Technische Massnahmen Türschlösser Sicherheitstüren, Brandschutztüren, Sicherheitsglas Abschliessbares Mobiliar Live-Video, Alarmanlage Aktuelle Virenschutzprogramme, Firewall Back-Ups u.a.m. Organisatorische Massnahmen Schlüsselplan Berechtigungskonzepte Verschlüsselungen Geheimhaltungserklärungen Starke Passwörter, regelmässige Passwortänderungen Weisungen, Reglemente (insbes. IT-Sicherheit) Ausbildung, Sensibilsierung Einsatzplan Reinigungspersonal u.a.m.
Bearbeitung von Personendaten
Datenbearbeitung
Grundvoraussetzung: Rechtsgrundlage Personendaten allgemein (Art. 11 Abs. 1 kdsg) Gesetz, Verordnung, Reglement, Weisung Bearbeitung dient der Erfüllung einer gesetzlichen Aufgabe Mangels Rechtsgrundlage: Einwilligung der betroffenen Person Kann ggf. auch auf Grund der konkreten Umstände vorausgesetzt werden Bei besonders schützenswerten Personendaten oder Persönlichkeitsprofilen (Art. 11 Abs. 2 kdsg) Gesetz im formellen Sinn, d.h. von der Legislative erlassen Kantonsrat, Gemeindeversammlung Für die Erfüllung einer gesetzlichen Aufgabe unabdingbar Ausdrückliche Einwilligung im Einzelfall Allgemeine Bekanntgabe durch die betroffene Person Im Ausnahmefall: Ermächtigung des Regierungsrates
Personendaten beschaffen (Art. 8 kdsg) Normalfall: Beschaffung bei der betroffenen Person Ausnahme: Datenerhebung bei Dritten nur wenn Vorschrift oder besondere Gründe vorhanden) Angabe des Zwecks auf Verlangen Besonders schützenswerte Personendaten (Art. 8 kdsg): Rechtsgrundlage Zwingende Informationspflichten
Informationspflichten bei Beschaffung von beso. schützenswerten Personendaten bei Dritten (Art. 8 kdsg) Information mindestens über (Art. 8 Abs. 2 kdsg): Inhaber/in der Datensammlung Zweck der Bearbeitung Datenempfänger/innen Keine Informationspflicht, wenn (Art. 8 Abs. 4 kdsg): Information bereits erfolgt Information objektiv unmöglich Information mit einem unverhältnismässigen Aufwand verbunden Speicherung durch Gesetz ausdrücklich vorgesehen
Personendaten bekanntgeben (Art. 13ff. kdsg) An wen? Private (Einzelpersonen, Institutionen, Vereine, Organisationen) Öffentliche Organe (Amtshilfe) Welche Daten? Name, Vorname, Geburtsdatum, etc? Durch wen? Alle öffentlichen Organe Nur Einwohnerkontrollen Voraussetzungen Voraussetzungslos? Interessennachweis? Rechtsgrundlage? Einwilligung/Ermächtigung?
Bekanntgabe allgemein (Art. 13 kdsg) Voraussetzungen (Art. 13 Abs. 1 kdsg) Gesetzliche Grundlage Unentbehrlich für Erfüllung einer gesetzlichen Aufgabe (im Einzelfall) Einwilligung im Einzelfall Betroffene Person hat die Information selbst allgemein zugänglich gemacht und Bekanntgabe nicht ausdrücklich untersagt Datenempfänger glaubhaft macht, dass die Einwilligung verweigert wird, um Rechtsansprüche oder Wahrnehmung anderer schutzwürdiger Interessen zu verhindern Stellungnahme der betroffenen Person Wahrung anderer öffentlicher oder privater Interessen (Art. 13 Abs. 2 kdsg): Verweigerung, Einschränkung oder Auflagen Spezialfall: Abrufverfahren (Art. 13 Abs. 2 kdsg)
Persönlichkeitsrecht: Informationelles Selbstbestimmungsrecht Jede Person bestimmt darüber, wer wie zu welchem Zweck persönliche Informationen verarbeiten darf Rechtmässigkeitsprinzip: Gesetzliche Grundlage Einwilligung Kontrollrechte: Register der Datensammlungen Einsichtsrecht Berichtigungs-/Unterlassungsanspruch Datenbearbeitung Sammlung Speicherung/Ablage Bearbeitung i.e.s. Bekanntgabe Vernichtung Datenbekanntgabe Bringprinzip Bekanntgabe im Einzelfall auf Anfrage Verantwortlicher Dateninhaber hat die Kontrolle darüber, wohin die Daten gehen und zu welchem Zweck sie verwendet werden. Datenbekanntgabe Holprinzip Abrufverfahren Verantwortlicher Dateninhaber hat keine Kontrolle mehr darüber, wer wann zu welchem Zweck die Daten abholt. Abrufverfahren muss gesetzlich ausdrücklich vorgesehen sein: Art. 13 Abs. 2 kdsg
Bekanntgabe durch Einwohnerkontrolle (Art. 14 kdsg) Bekanntgabe durch Einwohnerkontrolle (formelle Voraussetzung: Gesuch) Voraussetzungslos (Art. 14 Abs. 1 Ziff. 1) Einzelauskunft Name, Vorname, Geschlecht, Adresse Schriftlich oder mündlich Schutzwürdiges Interesse glaubhaft (Art. 14 Abs. 1 Ziff. 1) Einzelauskunft Geburtsdatum, Zivilstand, Heimatort, Staatsangehörigkeit, Zuzugsort Gesuch und Auskunft schriftlich Sammelauskünfte (Art. 14 Abs. 1 Ziff. 3) Mehrzahl systematisch geordnet Voraussetzung: 1. schützenswertes Interesse glaubhaft 2. ideller Zweck 3. Gesuchsteller Wohnsitz im Kanton NW Name, Vorname, Geschlecht, Geburtsdatum, Adresse, Zuzug Gesuch und Auskunft schriftlich
Beispiele Listenauskunft Wer/Zweck Politische Parteien (Mitgliederwerbung) PNOS Vereine; Zugezogene, bestimmte Jahrgänge (Mitgliederwerbung) pro senectute, pro infirmis (Spendenaufruf) Lokaler Gewerbeverein (Werbung) Felicitas (Geschenkköfferchen) Verein Landdienst (neu: agriviva), 14-Jährige gewinnen) Fahrschule (Geburtstagsgeschenk für 18-Jährige) bfu (Versand von Tipps zur Unfallverhütung) Bank, Adressen vermögender Personen (Kundengewinnung) Beurteilung ideell/schützenswert ideell/nicht schützenswert ideell/schützenswert ideell/schützenswert kommerziell kommerziell ideell/schützenswert kommerziell ideell/schützenswert kommerziell
Datensperre (Art. 14 kdsg) Rechtsanspruch Voraussetzung: Schutzwürdiges Interesse Glaubhaft machen ( beweisen) Verweigerung oder Aufhebung: Rechtspflicht zur Bekanntgabe oder Aufgabenerfüllung gefährdet Nachträglicher Wegfall des Grundes Überwiegende öffentliche oder private Interessen Rechtliches Gehör: Verweigerung oder Aufhebung nur nach Anhörung Gebührenfrei (Art. 33 Abs. 1 kdsg) Weitergabe der Sperrvermerke
Beispiele Datensperre + - Tina Turner, Ottmar Hitzfeld (Schutz vor Paparazzi ) Cervelatprominenz (lokale Persönlichkeiten; keine Belästigungsgefahr) schützenswert nicht schützenswert Schutz vor Nachstellungen (Kind, das vom Vater missbraucht wurde) aus Haft Entlassene (eines medienwirksamen Delikts -> Start neues Leben) sehr vermögende Personen Arbeit als Sicherheitspersonal (Bodyguards, Securitas, ) Verhinderung Durchsetzung von Rechtsansprüchen (z.b. Unterhaltszahlungen, Schadenersatz) ehemals gültiger Grund nicht mehr aktuell (z.b. Tod eines Stalkers) schützenswert schützenswert schützenswert schützenswert nicht schützenswert nicht schützenswert
Amtshilfe (Art. 13 kdsg) kein beliebiger Datenaustausch innerhalb der Verwaltung Begriff Organ = funktional Voraussetzungen: Rechtsgrundlage oder 4 Varianten: unentbehrlich für Erfüllung gesetzlicher Aufgabe Einwilligung Zugänglichmachen & kein Bekanntgabeverbot Verhinderung von Rechtsansprüchen Problem: Kleinstgemeinden
Publikation Gesetzliche Voraussetzungen: Gesetzliche Grundlage Bsp.: Jagdpatentinhaber, Handelsregister, Grundbuch Allgemeines (öffentliches) Interesse und keine besonders schützenswerten Personendaten Einwilligung
Besondere Formen der Datenbearbeitung Für nicht personenbezogene Zwecke (Art. 16 kdsg) Forschung, Planung, Statistik Anonymisierung: Person nicht mehr bestimmbar Bearbeitung durch Dritte (Universität, Institut, Forschungseinrichtung) Datenschutz-Revers (Verpflichtung des Datenempfängers) Busse bis Fr. 100 000.- bei zweckfremder Verwendung (Art. 34 Ziff. 2 kdsg) Durch Dritte (Art. 9 kdsg) Zulässig, wenn Vereinbarung oder gesetzliche Bestimmung vorhanden Datenschutz-Revers Bsp.: ILZ Mit Überwachungsgeräten (Art. 17 kdsg)
Videoüberwachung Öffentlicher Raum Privater Raum Bund Kantone & Gemeinden Eidg. Datenschutzgesetz Eidg. Datenschutzgesetz Kant. Datenschutzgesetz
Videoüberwachung (Art. 17 kdsg) Was? Nur Öffentlich zugängliche Orte Bildaufzeichnungs- und Bildübermittlungsgeräte Zu welchem Zweck? Ausschliesslich zum Zweck des Schutzes von Personen und Sachen Wer? Öffentliches Organ dem das Benützungsrecht zusteht Empfehlung: Entscheid Gemeinderat Wie? Verhältnismässigkeit (Alternativen prüfen!) Erkennbarkeit Schutz der Daten Regelung des Zugriffs und der Verantwortlichkeiten Löschung nach 30 Tage Information DSB
Beispiele Videoüberwachung Für Gemeinde relevant Zweck = Schutz von Personen und Sachen Abfallsammelstellen Gebäude der Verwaltungen Schulhäuser Öffentliche Parkhäuser Öffentliche Plätze & Wege Für Gemeinde nicht relevant auch zu anderen Zwecken (z.b. zur Strafverfolgung) private Gebäude (Ausnahme: Zweck) Arbeitsplatzüberwachung (bei Privatunternehmungen) Tunnelüberwachung (Verkehrsfluss) Einkaufszentren Videoüberwachung im Restaurant Webcam zur Verfolgung Baufortschritt
Personendaten archivieren/vernichten (Art. 18 kdsg) Verhältnismässigkeitsprinzip: Datenbearbeitung nur so lange, wie notwendig Kriterien: Ausdrückliche gesetzl. Vorschrift, Verjährungsfristen Archivierung oder Vernichtung (Art. 18 kdsg) Evtl. Ablieferungspflicht an Staatsarchiv
Datensicherheit Beschaffen Bekanntgeben/ Bekanntgeben/ Bearbeiten Bearbeiten Archivieren/ Archivieren/ Vernichten
Grundsätze: Schutz der Daten ( 8 Abs. 4 ÖDSG) Technische Massnahmen Türschlösser Sicherheitstüren, Brandschutztüren, Sicherheitsglas Abschliessbares Mobiliar Live-Video, Alarmanlage Aktuelle Virenschutzprogramme, Firewall Back-Ups u.a.m. Organisatorische Massnahmen Schlüsselplan Berechtigungskonzepte Verschlüsselungen Geheimhaltungserklärungen Starke Passwörter, regelmässige Passwortänderungen Weisungen, Reglemente (insbes. IT-Sicherheit) Ausbildung, Sensibilsierung Einsatzplan Reinigungspersonal u.a.m.
Rechte und Pflichten
Ansprüche der betroffenen Personen Recht auf Einsichtnahme und Auskunft (Art. 22-23 kdsg) nur in Bezug auf eigene Daten Einsichtnahme in das Register der Datensammlungen Einschränkungen: Gesetzlich vorgesehen wichtige öffentliche Interessen/besonders schutzwürdige Interessen Dritter tangiert Strauntersuchunh oder Untersuchungsverfahren gefährdet kostenlos Weitere Ansprüche (Art. 24 kdsg) Berichtigung, Vervollständigung Unterlassung Beseitigung der Folgen Feststellung der Widerrechtlichkeit
Verschiedene Fragen
Zuständigkeit für Datenbearbeitung (Art. 10 kdsg) Das öffentliches Organ, das Personendaten bearbeitet (Daten-Inhaber): für Einhaltung der Datenschutzbestimmungen verantwortlich sorgt für den Schutz der Personendaten vor unbefugtem Zugriff (Daten-/Informatiksicherheit) entscheidet über Berichtigung, Beseitigung oder Unterlassung entscheidet über Bestreitungsvermerke erlässt ggf. Verfügungen keine Weisungsbefugnis des Öffentlichkeits- und Datenschutzbeauftragten Bei mehreren ist der Dateninhaber verantwortlich
Datenverantwortliche Rechte & Pflichten gemäss DSG Rechtliche Verantwortung Auftragsdatenverarbeiter Datenverarbeitung im Auftrag Technische Verantwortung Datenverantwortliche Rechte & Pflichten gemäss DSG Rechtliche Verantwortung Datenempfänger Zugriffssteuerung/ -kontrolle Rollen-/Berechtigungskonzept Datenlieferanten Datenplattform
Persönlichkeitsrecht: Informationelles Selbstbestimmungsrecht Jede Person bestimmt darüber, wer wie zu welchem Zweck persönliche Informationen verarbeiten darf Rechtmässigkeitsprinzip: Gesetzliche Grundlage Einwilligung Verhältnismässigkeitsprinzip: Nur so viel wie notwendig Nur so lange wie notwendig Nur so viele Bearbeiter wie notwendig Zweckbindungsgebot: Gesetzlich vorgesehener Zweck Zweck aus den Umständen ersichtlich Keine zweckfremde Bearbeitung Gesetzliche Kontrollrechte Einsichtsrechte Kostenlose Einsichtnahme Klagbarer Rechtsanspruch Korrekturrechte Beseitigung Unterlassung Berichtigung Schadenersatzansprüche Zentrales Instrument = Öffentliches Register der Datensammlungen
Rollen & Aufgaben Dateninhaber Gemeinden Art. 10 kdsg Haben die Datenhoheit Bearbeiten Daten im Rahmen der gesetzlichen Aufgabe Verantwortlich für die Einhaltung der datenschutzrechtlichen Grundsätze Gewähren die Kontrollrechte Art. 19 Abs. 1 kdsg Führen ein öffentliches Register der Datensammlungen ihrer Organe Melden Änderungen im Register der Aufsichtsstelle Datenschutzbeauftragter (Aufsichtsstelle) Art. 19 Abs. 2 Ziff. 2 und Abs. 3 kdsg Führt ein zentrales Register der registrierten Datensammlungen der Gemeinden Kann den Gemeinden Weisungen erteilen