Tätigkeitsbericht 2004

Tätigkeitsbericht 2004 Datenschutzbeauftragter der Stadt Zürich Röslistrasse 11 8006 Zürich Tel. 044 363 24 42 Fax 044 363 24 43 www.das.stzh.ch info@das.stzh.ch

Datenschutzbeauftragter der Stadt Zürich Tätigkeitsbericht 2004 Gestützt auf Art. 39 bis der Gemeindeordnung der Stadt Zürich vom 26. April 1970 und auf Art. 19 lit. c der Allgemeinen Datenschutzverordnung der Stadt Zürich (ADSV) vom 5. November 1997 erstattet der Datenschutzbeauftragte dem Gemeinderat und dem Stadtrat mindestens einmal jährlich Bericht über seine Tätigkeit. Der 6. Bericht deckt den Zeitraum vom 1. Januar 2004 bis 31. Dezember 2004 ab. 2

Inhaltsverzeichnis I. Vorwort...4 II. Schwerpunkt/Fälle...5 E-Government...5 - eadress - Parkkarten Geo-Daten...6 - Sind Raumdaten Personendaten? - Bestellung von Daten der amtlichen Vermessung im Internet - Denkmalpflegeinventar im Internet - Projekt GeoServer - Projekt ZüriPlan Videoüberwachung...9 - In Nachtbussen der VBZ - Videoüberwachung durch die Stadtverwaltung Forschungen...10 Kontrollen...10 - Im Sozialdepartement (Soziale Dienste) - Im Stadtspital Triemli Diverses...11 - Dauernde Onlinezugriffe für die Finanzkontrolle - Billag: Befreiung von der Meldepflicht - Sozialdepartement: Neues Fallmanagement-System III. Organisation...14 Personal......14 Regelmässige Sitzungen...14 - BeraterInnen für Datenschutz und Datensicherheit - Kommunale Datenschutzbeauftragte Statistiken...15 - Dienstleistungen - Internet IV. Anhang...17 Abkürzungsverzeichnis...17 3

I. Vorwort Für das Berichtsjahr 2004 stehe ich vor der nicht leichten Aufgabe, als Nachfolger über die Tätigkeiten des Vorgängers berichten zu müssen. Dank der grossartigen Unterstützung durch die Mitarbeitenden der Fachstelle konnte diese Aufgabe erfüllt werden. Ich möchte Frau Jöhri, Herrn von Flüe und Frau Magee für die Erstellung des vorliegenden Tätigkeitsberichtes und vor allem auch für die geleistete Arbeit im Berichtsjahr herzlich danken. Aufbau und Systematik der Tätigkeitsberichte der Vorjahre werden im Folgenden weitgehend beibehalten. Die im Bericht exemplarisch erwähnten "Fälle" veranschaulichen, mit welchen Themen sich die Fachstelle im Berichtsjahr schwerpunktmässig beschäftigt hat. Die Beratungstätigkeit und die Abgabe von Stellungnahmen und Beurteilungen standen auch im Jahre 2004 im Vordergrund. Wie die Statistik am Schluss des Tätigkeitsberichtes zeigt, steigt die Nachfrage nach diesen für die Fachstelle zeit- und arbeitsintensivsten Dienstleistungen kontinuierlich an. Die zunehmende Nachfrage nach Beratung und Unterstützung in datenschutzrechtlichen Belangen verpflichtet und motiviert. Ich freue mich, diese vielfältigen und vielschichtigen Aufgaben zusammen mit einem engagierten Team erfüllen zu dürfen. Zürich, im April 2006 Marcel Studer Datenschutzbeauftragter der Stadt Zürich 4

II. Schwerpunkte E-Government eadress 1 Nach 9 DSG gibt die Einwohnerkontrolle einer privaten Person oder Organisation im Einzelfall auf Gesuch ohne Einschränkung Name, Vorname, Adresse, Datum von Zuund Wegzug sowie Beruf einer Person bekannt (Abs. 1). In der Stadt Zürich hat das Personenmeldeamt jährlich ca. 80'000 Adressauskünfte zu bewältigen. Mit einer neuen Online-Applikation hofft das Personenmeldeamt den Aufwand für die Bearbeitung von Adressauskünften jährlich um ca. 30 000-40'000 Auskünfte reduzieren zu können. Der Datenschutzbeauftragte hat bei der Erarbeitung der notwendigen gesetzlichen Grundlagen mitgewirkt. Am 7. April 2004 stimmte der Gemeinderat dem neuen Artikel 6 bis der ADSV zu, welcher den Onlinezugriff auf Personendaten des Personenmeldeamtes regelt. Die Online-Applikation bietet ausserdem den Vorteil, dass die Anfragen jederzeit und auch an Wochenenden getätigt werden können. Berechtigte Personenkreise, welche eine Bewilligung für Onlinezugriffe erlangen möchten, haben dem Stadtrat ein Gesuch zu stellen, aus welchem ihre öffentliche Aufgabe, der Rechtsanspruch bzw. der Nachweis eines berechtigten Interesses auf die verlangten Personendaten, der Verwendungszweck und die Verwendungshäufigkeit ersichtlich wird (Art. 2 der Vollzugsbestimmungen) 2. Gleichzeitig ist dem Stadtrat ein Vertrag mit dem Bevölkerungsamt zur Prüfung vorzulegen, welcher die Einhaltung der gesetzlichen Bestimmungen, insbesondere die Art und Weise der Abfragen, die Sicherheitsbestimmungen, die Überprüfungsmöglichkeiten sowie allfällige Entschädigungen regelt (Art. 3 der Vollzugsbestimmungen). Eine Berechtigung für das Einholen von Adressauskünften erhalten vorerst nur Krankenkassen, städtische Spitäler und Amtsstellen, welche aufgrund einer entsprechenden Rechtsgrundlage Anrecht auf unentgeltliche Auskunft haben. Parkkarten Zum Schutz vor übermässigen Verkehrsimmissionen in den Wohnquartieren sind in der Stadt Zürich seit 1989 Blaue Zonen angeordnet. Seit 2004 können verschiedene Parkkarten für die Blauen Zonen (namentlich Anwohnerparkkarten, Parkkarten für Ersatzfahrzeuge, Tagesbewilligungen für Fahrzeuge von Handwerksbetrieben und Servicebeauftragten sowie Tagesbewilligungen) online im Internet bestellt (bzw. gleich zu Hause ausgedruckt) und mittels Kreditkarte bezahlt werden. Bereits in einer frühen Projektphase hat sich die für die Realisierung des Projekts verantwortliche Abteilung Verkehr des Polizeidepartements an den Datenschutzbeauftragten gewandt. Der Datenschutzbeauftragte hat die Abteilung Verkehr bei der Umsetzung der Anforderungen des Datenschutzes im Zusammenhang mit der Online-Bestellung der Parkkarten beraten und unterstützt. 1 Vgl. zum Projekt eadress auch die Tätigkeitsberichte 2002 (S. 10) und 2003 (S. 7). 2 Die in Art. 6 bis Abs. 3 ADSV genannten Vollzugsbestimmungen hat der Stadtrat mit den Vollzugsbestimmungen über die Onlinezugriffe auf Personendaten des Personenmeldeamtes der Stadt Zürich erlassen (vgl. Stadtratsbeschluss vom 3. Dezember 2003, ASZ 236.101). 5

Geo-Daten Sind Raumdaten Personendaten? In der Stadtverwaltung befassen sich verschiedene Dienstabteilungen mit Projekten, welche die Bearbeitung von Raumdaten bzw. Geodaten beinhalten. Der Datenschutzbeauftragte wurde auch in diesem Berichtsjahr eingeladen, zu verschiedenen Projekten Stellung zu nehmen und beratend Unterstützung zu leisten. Dabei war in einem ersten Schritt abzuklären, ob die Bearbeitung von Raumdaten bzw. Geodaten überhaupt von der Datenschutzgesetzgebung erfasst wird. Das Datenschutzgesetz des Kantons Zürich und die Allgemeine Datenschutzverordnung der Stadt Zürich kommen zur Anwendung, wenn Behörden und Dienstellen der Stadt Personendaten bearbeiten bzw. im Auftragsverhältnis bearbeiten lassen. Der Begriff Personendaten umfasst alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen. Betroffene Personen können natürliche oder juristische Personen sein, über die Daten bearbeitet werden. Raumdaten, welche einen Personenbezug aufweisen, sind als Personendaten bzw. personenbezogene Daten im Sinne der Datenschutzgesetzgebung zu qualifizieren. Dabei muss nicht ein direkter Personenbezug vorliegen. Ein Personenbezug liegt auch dann vor, wenn ein solcher Bezug auf Grund der vorhandenen Angaben ohne unverhältnismässigen Aufwand hergestellt werden kann. Werden auf einem Plan beispielsweise die Katasternummern oder die Adressen von Parzellen angegeben, kann mit geringem Aufwand die Eigentümerschaft eruiert werden: Eine Anfrage beim zuständigen Grundbuchamt genügt. Raumdaten sind demnach meistens auch als personenbezogene Daten im Sinne der Datenschutzgesetzgebung zu qualifizieren, weshalb die datenschutzrechtlichen Bestimmungen und Prinzipien bei den meisten Raumdaten-Projekten zur Anwendung kommen bzw. zu beachten sind. Dabei ist dem Prinzip der (Personen)datensparsamkeit grosse Priorität einzuräumen. Bestellung von Daten der amtlichen Vermessung im Internet Wie bereits im Tätigkeitsbericht 2003 ausführlich berichtet wurde 3, soll im Rahmen von egovernment für die Öffentlichkeit künftig die Möglichkeit geschaffen werden, Daten der amtlichen Vermessung über das Internet zu bestellen. Dazu wurde von Geomatik und Vermessung Stadt Zürich ein Pilotprojekt lanciert. Das Amt für Raumordnung und Vermessung des Kantons Zürich (ARV) verlangte die Begleitung des Pilotprojektes durch eine Kommission, welche sich unter anderem aus Vermessungsfachleuten des Kantons und der Stadt sowie privaten Geometern zusammensetzt. Auch der Datenschutzbeauftragte hat in dieser Kommission mitgewirkt. Die Kommission befürwortet die definitive Einführung des produktiven Betriebs. Bezüglich Datensicherheit konnten beim Pilotprojekt keine Unregelmässigkeiten festgestellt werden. Damit die Datensicherheit auch bei einem grösseren Benutzerkreis gewährleistet ist, wird im produktiven Betrieb ein Sicherheits-Audit durchgeführt. Der produktive Betrieb wird vorgängig durch das ARV und den Stadtrat zu bewilligen sein. Der Datenschutzbeauftragte wurde zur Stellungnahme eingeladen 4. Denkmalpflegeinventar im Internet Seit dem Sommer 2004 ist das Inventar der kunst- und kulturhistorischen Schutzobjekte der Stadt Zürich im Internet (www2.plaene-zuerich.ch/dp-inventar) online abrufbar. Im Zusammenhang mit der Onlineschaltung des Inventars der kunst- und kul- 3 TB 2003, S. 10 f. 4 In der Zwischenzeit wurde das Projekt genehmigt und der erwähnte Sicherheits-Audit durchgeführt. Die Applikation wird voraussichtlich Ende April 2006 in Produktion gehen. 6

turhistorischen Schutzobjekte der Stadt Zürich werden jeweils folgende Daten der inventarisierten Schutzobjekts bekannt gegeben: Hauptadresse, Baujahr, Bezeichnung, Inventar, StRB-Nummer, Stadtkreis und Quartier. Vereinzelt vor allem bei besonders interessanten Schutzobjekten werden auch Fotografien vom inventarisierten Schutzobjekt online abrufbar sein. Im Hintergrund wird eine Datenbank aufgeschaltet, die es erlaubt, einzelne Schutzobjekte anhand von Strassenbezeichnung, Hausnummer, Stadtkreis und Baujahr online zu suchen. Auf Grund der Wiederherstellbarkeit eines Personenbezugs waren die datenschutzrechtlichen Bestimmungen zu beachten. Der Datenschutzbeauftragte wurde schon frühzeitig von den Projektverantwortlichen des Hochbaudepartements konsultiert. Für die Bekanntgabe des Denkmalpflegeinventars ist gestützt auf 8 DSG eine gesetzliche Grundlage notwendig. Eine anwendbare gesetzliche Grundlage findet sich in 203 Abs. 2 PBG, wonach die für Schutzmassnahmen zuständigen Behörden Inventare über die Schutzobjekte erstellen, die von der Gemeindeverwaltung zur Einsichtnahme offen gelegt werden müssen. Da diese gesetzliche Grundlage eine Publikation im Internet nicht explizit vorsieht, wurden aus datenschutzrechtlichen Gründen für die Publikation im Internet unter anderem folgende Massnahmen ergriffen: Keine Publikation der Eigentümerschaft Zugriff nur im Read only modus Beschränkung auf die Publikation von Rasterdaten Erstellen von Nutzungsbestimmungen Erstellen einer Privacy Policy Der Stadtrat hat mit Beschluss vom 23. Juni 2004 die Bewilligung mit den entsprechenden Auflagen erteilt. In den Medien wurde ausführlich über das Projekt berichtet. Projekt GeoServer Innerhalb der Stadtverwaltung werden heute Geoinformationen in vielen Aufgabenbereichen wie z.b. in der Stadtentwicklung, der Siedlungs-, Verkehrs- und Grünplanung, der Baukoordination oder bei den Industriellen Betrieben benötigt. Mit dem Projekt GeoServer soll nun eine Informationsplattform für Geodaten geschaffen werden, die der gesamten Stadtverwaltung zur Verfügung steht. Die Plattform soll Doppelspurigkeiten bei der Datenaufbereitung, Datenhaltung, Datenverteilung und dem Datenzugriff verhindern. Verantwortlich für den Aufbau und den Betrieb dieser Informationsplattform ist Geomatik und Vermessung Stadt Zürich (GeoZ). Der Datenschutzbeauftragte wurde bereits in die Vorabklärungen miteinbezogen. Im Berichtsjahr ging es darum, die datenschutzrechtlichen und organisatorischen Rahmenbedingungen auszuarbeiten und technisch umzusetzen. Die Projektverantwortlichen erarbeiteten ein Organisationskonzept und ein Geo-Server-Reglement. Der Datenschutzbeauftragte stand - zusammen mit dem Berater für Datenschutz und Datensicherheit des Hochbaudepartements - den Projektverantwortlichen beratend zur Seite. Die Prüfung der Datensicherheit übernahm die IT-Security-Abteilung der OIZ (Organisation und Informatik Stadt Zürich). Der Stadtrat hat mit Beschluss vom 7. Juli 2004 das Projekt GeoServer GIS Stadt Zürich genehmigt. Der Vorsteher des Tiefbau- und Entsorgungsdepartements wurde zum Erlass des GeoServer-Reglementes ermächtigt. Für die Geodaten und deren Bearbeitung im GeoServer wurden folgende verbindlichen Grundsätze formuliert: Im GeoServer werden grundsätzlich keine Personendaten bearbeitet. Die Daten sind vorgängig zu anonymisieren oder mindestens zu pseudonymisieren. Geodaten, die einen Personenbezug aufweisen und nicht anonymisiert oder mindestens pseudonymisiert werden können, dürfen nur dann in den GeoServer 7

aufgenommen und genutzt werden, wenn entsprechende gesetzliche Grundlagen vorhanden sind. Im GeoServer werden keine besonders schützenswerte Personendaten ( 2 DSG) aufgenommen. Mit dem Verknüpfen von Daten im GeoServer darf nur dann ein Personenbezug oder Profil hergestellt werden, wenn hierfür eine gesetzliche Grundlage besteht. Die bildliche Darstellung von raumbezogenen Informationen wird so gestaltet, dass Personen und deren Lebensgewohnheiten nicht erkennbar werden. In Bezug auf im GeoServer gespeicherte Daten richten sich die Zugriffsberechtigungen und Bearbeitungsmöglichkeiten der städtischen Dienstabteilungen nach den gesetzlichen Grundlagen. Basierend auf dem GeoServer-Reglement schliesst Geomatik und Vermessung Stadt Zürich mit allen am GeoServer beteiligten Dienstabteilungen entsprechende Datenlieferungs- und Nutzungsvereinbarungen ab und erstellt ein Berechtigungskonzept für Zugriffe auf den GeoServer. Um den Administrationsaufwand auf das notwendige Minimum zu beschränken, wird eine GeoServer-Metadatenbank erstellt (vorgesehen ist die Metadatenbank des Bundes: geocat.ch). In der Metadatenbank beschreiben die verantwortlichen Organe ihren Datenbestand mit den konkreten Nutzungs-, Zweckund Publikationsbestimmungen. Aktualisierungen bzw. Änderungen der Angaben im Metadatensystem sind jederzeit und ohne grossen Aufwand möglich. Die in der Metadatenbank angegeben Nutzungs- und Zweckbestimmungen sind integraler Bestandteil der erwähnten Datenlieferungs- und Nutzungsvereinbarungen. Damit erhalten die verantwortlichen Datenlieferanten bzw. Dienstabteilungen ein einfaches und sehr flexibles Instrument zur Steuerung der Datennutzung. Projekt ZüriPlan Aktuell bietet die Stadt Zürich einen Stadtplan an, der in einem gemeinsamen Projekt mit dem Kanton Zürich realisiert wurde und seither von Geomatik und Vermessung (GeoZ) gepflegt wird. Mit der positiven Beantwortung der Einfrage : «Realisierung einer Plattform für einheitliche, kartenbasierte Auskunftssysteme im Internet» beauftragte der Stadtrat Ende April 2004 die Internetdienste der Stadt Zürich, in einem Konzept bis Ende 2004 die Grundlagen für die Umsetzung zu erarbeiten. Die Projektverantwortlichen definierten als eines der Projektziele, dass der Datenschutz und die Datensicherheit gewährleistet sein müssen. Der Datenschutzbeauftragte wurde bereits in der Konzeptphase konsultiert. Das Projekt Züriplan sieht einen Datenbezug aus dem GeoServer vor. Das GeoServer-Reglement regelt dabei im Rahmen übergeordneter gesetzlicher Bestimmungen - auch die Voraussetzungen für die Publikation im Internet. Es wird daher grundsätzlich auf die Ausführungen und insbesondere auf die Grundsätze zum Projekt GeoServer verwiesen. Dabei ist für den Datenschutz jenes Organ verantwortlich, das die Personendaten zur Erfüllung seiner Aufgaben bearbeitet oder bearbeiten lässt. Die einzelnen Dienstabteilungen, welche Daten für die Publikation im Züriplan vorsehen, haben auf Grund ihrer Verantwortlichkeit vorgängig die datenschutzrechtlichen Voraussetzungen zu prüfen. Es gilt der Grundsatz von 4 DSG, wonach Personendaten nur bearbeitet und damit im Internet publiziert werden dürfen, wenn dazu eine gesetzliche Grundlage besteht. 8

Videoüberwachung In Nachtbussen der VBZ Wie der Datenschutzbeauftragte im Tätigkeitsbericht 2003 bereits erwähnte, erliess der ZVV in Zusammenarbeit mit den Datenschutzbeauftragten des Kantons und der Stadt Zürich ausführliche Richtlinien für Pilotversuche zur Videoüberwachung in öffentlichen Verkehrsmittel. In zwei ersten Versuchen wurde die Videoüberwachung (im Rahmen der ausgearbeiteten Richtlinien) bei der Forch- und der Uetlibergbahn eingeführt. In den Richtlinien ist festgelegt, dass die Videoüberwachungsanlagen bewilligungspflichtig sind. Die Bewilligung erteilt der ZVV auf Antrag des Lenkungsausschusses des Projektes Sicherheit im ZVV (Ziff. 6 Richtlinien für Pilotversuche Videoüberwachung im ZVV vom 15.12.2003). Der ZVV erklärt sich für die Einhaltung der Vorgaben des Datenschutzes verantwortlich. Die zuständigen Datenschutzbeauftragten werden vor der Erteilung einer Bewilligung informiert und zur Stellungnahme eingeladen. Für die VBZ als konzessioniertes Transportunternehmen ist in datenschutzrechtlichen Belangen der Datenschutzbeauftragte der Stadt Zürich zuständig. Die VBZ informierte den Datenschutzbeauftragten während des Berichtsjahres über das neue Pilotprojekt Videoüberwachung in den Nachtbuslinien. Die VBZ begründete ihren Antrag damit, dass sie in deutlichem Ausmass mit Vandalenakten, Tätlichkeiten und Verunreinigungen konfrontiert seien. Die Richtlinien des ZVV definieren abschliessend, zu welchen Zielen die Videoüberwachungen eingesetzt werden dürfen: Sicherung von Beweisen zur Überführung der Täterschaft bei Straftaten. Als relevante Straftaten gelten: Gewaltdelikte, Tätlichkeiten, Drohungen gegenüber Personal und Fahrgästen, Handlungen gegen die sexuelle Integrität gegenüber Personal und Fahrgästen, wiederholte - nicht geringfügige Sachbeschädigung 5. Voraussetzung für die Planung einer Videoüberwachung ist das Kennen der relevanten Risiken, welche mit dieser Massnahme eliminiert oder gesenkt werden sollen. Dies setzt gemäss den Richtlinien des ZVV voraus, dass am betreffenden Einsatzort innerhalb des letzten Jahres Straftaten im Sinne von Ziffer 5.1 begangen wurden (Ziff. 5.2 Richtlinien). Ein Pilotversuch mit Videoüberwachung ist ausserdem nur dann zulässig, wenn eventuelle andere Methoden mit ähnlichem Aufwand, aber mit weniger Eingriffen in die persönliche Freiheit, nicht zum Erfolg führten (Ziff. 5.3 Richtlinien). Der Datenschutzbeauftragte hatte auf Grund der eingereichten Projektunterlagen Videoüberwachung in den Nachtbuslinien gewisse Zweifel, ob auch tatsächlich die in den Richtlinien des ZVV statuierten Voraussetzungen insbesondere bezüglich Zielsetzung der Videoüberwachung und Sicherheitslage in den einzelnen Nachtbuslinien - erfüllt werden und verlangte von den VBZ weitere Informationen. Der Datenschutzbeauftragte konnte in der Zwischenzeit für das Pilotprojekt Videoüberwachung in den Nachtbuslinien eine positive Stellungnahme abgeben. Die Medien haben ausführlich über das Projekt berichtet (vgl. Bsp. Tages-Anzeiger vom 18. August 2004, S. 14 Kameras überwachen die Fahrgäste ). Für eine zeitlich unbeschränkte - nicht im Rahmen eines Pilotversuchs bewilligte -Videoüberwachung in öffentlichen Verkehrsmitteln der Stadt Zürich fehlt es an einer genügenden gesetzlichen Grundlage. Videoüberwachungsanlagen in städtischen Liegenschaften Beim Datenschutzbeauftragten häufen sich in letzter Zeit Anfragen betreffend des Einsatzes von Videoüberwachungsanlagen an und in städtischen Liegenschaften. Für den Einsatz der Videoüberwachung in Gebäuden der Stadtverwaltung hat die IMMO 6 zusammen mit dem Datenschutzbeauftragten das «Merkblatt zur Datenerfassung im Zusammenhang mit Videoüberwachungsanlagen» erstellt 7. Das Merkblatt vom 14. Mai 5 Ziff. 5.1 Richtlinien 6 Immobilien-Bewirtschaftung der Stadt Zürich 7 www.das.stzh.ch 9

2004 wurde anlässlich des Einzugs der Stadtverwaltung in das Werd Hochhaus erstellt und hält fest, dass die eingesetzten Anlagen nicht als Personen-, sondern als Türüberwachung eingesetzt werden. Die Videoanlagen sind nur ausserhalb der Objektöffnungszeiten oder bei verschlossenen Türen aktiv und die Videoüberwachung wird nur bei besonderen Ereignissen, z.b. Überwachung bei Einbruch, aktiviert. Forschungen Das Datenschutzgesetz des Kantons Zürich sieht gewisse gesetzliche Erleichterungen für die Bearbeitung und Bekanntgabe von Personendaten für Forschungszwecke vor 8. Art. 9 ADSV 9 enthält Ausführungsbestimmungen für das Bearbeiten für nicht personenbezogene Zwecke in Forschung, Planung und Statistik durch Statistik Stadt Zürich oder ein anderes verantwortliches Organ. Der Datenschutzbeauftragte hat eine Checkliste 10 für Forschungsprojekte mit Angabe der gesetzlichen Bestimmungen erarbeitet. Zusammenfassend müssen insbesondere folgende Voraussetzungen erfüllt sein: Personendaten dürfen zu Forschungszwecken nur dann bearbeitet bzw. bekannt gegeben werden, wenn diese für das einzelne Forschungsprojekt geeignet und auch tatsächlich erforderlich sind. Die Daten müssen anonymisiert werden, sobald es der Zweck der Bearbeitung erlaubt. Sofern die Ergebnisse veröffentlicht werden, muss gewährleistet sein, dass die betroffenen Personen nicht bestimmbar sind. Die Personendaten sind nur solange aufzubewahren, wie es der Zweck des Forschungsprojektes erfordert. Nicht mehr benötigte Daten müssen vernichtet werden. Die beim Datenschutzbeauftragten im laufenden Jahr eingereichten Forschungsprojekte betrafen beispielsweise die Wohnqualität und Naherholung im Gebiet Hönggerberg/Affoltern, den Erholungswert des Zürcher Waldes, die Erfassung des Impfstatus von Kindern in der Schweiz, den schweizerischen Arbeitsmarkt sowie Umfragen bei Jugendlichen und Eingebürgerten der Stadt Zürich. Kontrollen Gemäss Art. 18 ADSV obliegt dem Datenschutzbeauftragten die Kontrolle des Datenschutzes in der Stadt Zürich. Dazu kann er bei öffentlichen Organen oder beauftragten Dritten schriftlich oder mündlich Auskünfte über die Bearbeitung von Personendaten einholen, Einsicht in Unterlagen oder Akten nehmen und sich Bearbeitungen vorführen lassen, soweit es für die Kontrolle notwendig ist. Behördenmitglieder und Personal der Stadtverwaltung sind ihr oder ihm gegenüber von ihrer Schweigepflicht entbunden. Gestützt auf diese Kompetenz hat der Datenschutzbeauftragte im Berichtsjahr zwei Kontrollen durchgeführt: 8 12 DSG. 9 Allgemeine Datenschutzverordnung der Stadt Zürich. 10 Abrufbar unter www.das.stzh.ch 10

Im Sozialdepartement (Soziale Dienste) Anlass einer vom Datenschutzbeauftragten organisierten Sitzung im Sozialdepartement war ein Fall, welcher beim Ombudsmann anhängig gemacht worden war. Dabei ging es um die einem nicht sorgeberechtigten, unterhaltspflichtigen Vater verweigerte uneingeschränkte Akteneinsicht in die vom Jugendamt der Stadt Zürich geführten Akten seiner inzwischen volljährigen Kinder 11. Der Ombudsmann zog den Datenschutzbeauftragten aufgrund des (teilweise) datenschutzrelevanten Sachverhalts bei. Dieser nahm den konkreten Fall zum Anlass, die Handhabung des Datenschutzes im Spannungsfeld der Interessen von Mutter/Kinder und dem nicht sorge- und obhutsberechtigtem Vater grundsätzliche zu prüfen. Das Augenmerk richtete sich dabei auf den datenschutzkonformen Aktenumgang, die datenschutzkonform gewährte (bzw. die verweigerte uneingeschränkte) Akteneinsicht und die praktische Durchsetzung der auf eigene Daten beschränkten Akteneinsicht. Der Datenschutzbeauftragte stellte fest, dass die einzelfallweise Handhabung des Akteneinsichtsrechts grundsätzlich vorbildlich ist und auf die Ausarbeitung von generellen Richtlinien und Empfehlungen zuhanden der involvierten Amtsstellen verzichtet werden kann. Im Stadtspital Triemli Anlass für eine Überprüfung gab in erster Linie die Umsetzung des Sicherheitskonzepts für den Zugriff auf das medizinische Informationssystem MedIS. Der Stadtrat hatte Anfang Juli 2003 das Sicherheits- und Zugriffskonzept für das medizinische Informationssystem MedIS der beiden Stadtspitäler Triemli und Waid bewilligt 12. Anlässlich der Kontrolle wurde im Stadtspital Triemli allerdings auch die Umsetzung von allgemeinen organisatorischen und technischen Massnahmen im Sinn der Datenschutzverordnung überprüft. Für die Kontrolle der IT-Security konnte der IT-Security- Spezialist des Kantonalen Datenschutzbeauftragten beigezogen werden. Die Einhaltung und Umsetzung von Datenschutzvorschriften beurteilte der Datenschutzbeauftragte grundsätzlich positiv. Mittelfristig umzusetzende Massnahmen betrafen vor allem die IT-Sicherheit und das Archiv. Diverses Dauernde Onlinezugriffe für die Finanzkontrolle? In seinem Tätigkeitsbericht 2003 hat der Datenschutzbeauftragte über das Begehren der Finanzkontrolle, auf verschiedene Datensammlungen der Stadtverwaltung einen Online-Zugriff zu erhalten, berichtet 13. Der Datenschutzbeauftragte hat in seinem Bericht die datenschutzrechtlichen Anforderungen und die Problematik eines Online- Zugriffs auf besonders schützenswerte Personendaten dargelegt. Noch offen war damals das weitere Vorgehen. In der Zwischenzeit wurde die Verordnung über den Finanzhaushalt 14 (Finanzverordnung) auf Antrag des Stadtrates durch den Gemeinderat angepasst 15. 11 Vgl. zum Sachverhalt und zum Bericht des Beauftragten in Beschwerdesachen ausführlich 2003/04, Fall 6 c, S. 66 ff. 12 Tätigkeitsbericht 2003, S. 11 13 Tätigkeitsbericht 2003, S. 9 14 Gemeinderatsbeschluss vom 18. Dezember 1985; AS 611.100 15 Gemeinderatsbeschluss vom 30. März 2005; Inkraftsetzung auf den 1. Juni 2005 11

Gestützt auf die geänderte Finanzverordnung hat die Finanzkontrolle das Recht, die für die Wahrnehmung der Finanzaufsicht erforderlichen Daten einschliesslich Personendaten aus den Datensammlungen der Stadtverwaltung sowie der öffentlich-rechtlichen Anstalten, in denen sie Revisionsstelle ist, abzurufen. Soweit die Daten für die Aufgabenerfüllung geeignet und erforderlich sind, erstreckt sich das Zugriffsrecht auch auf besonders schützenswerte Personendaten. Die Finanzkontrolle darf die ihr derart zur Kenntnis gebrachten Personendaten nur bis zum Abschluss des Revisionsverfahrens aufbewahren oder speichern. Die Zugriffe auf die verschiedenen Datensammlungen und die damit verfolgten Zwecke müssen dokumentiert werden. 16 Die Finanzkontrolle erhält einen dauernden Lesezugriff (Abrufverfahren) auf die Gemeinde- und Stadtratsbeschlüsse, auf die Alpha-Datenbank des Bevölkerungsamtes und auf die Datensammlung Finanz-/Rechnungswesen (einschliesslich Budget und Finanzplanung) der Finanzverwaltung. 17 Billag: Befreiung von der Meldepflicht Wer Radio- und Fernsehprogramme empfangen will, muss dies der vom Bund beauftragten Inkassogesellschaft Billag AG vorgängig melden. Es ist eine entsprechende Empfangsgebühr zu bezahlen (Art. 55 Bundesgesetz über Radio und Fernsehen). Die Meldepflicht besteht, solange Programme empfangen werden. Von der Meldepflicht und damit von der Gebührenpflicht werden Personen befreit, die gemäss der Krankenpflege-Leistungsverordnung des Bundes Pflegeleistungen der dritten oder vierten Pflegebedarfsstufe beziehen (Art. 43 lit. b Radio- und Fernsehverordnung). Die Pflegezentren der Stadt Zürich übernehmen als freiwillige Dienstleistung an ihren BewohnerInnen die entsprechenden administrativen Modalitäten betreffend Befreiung von den Empfangsgebühren. Der Datenschutzbeauftragte hatte bereits im Jahre 2001 zu diesem Thema Stellung genommen und insbesondere konkret dargelegt, welche Angaben für die Bekanntgabe des meldepflichtigen Sachverhalts gegenüber der Billag (gestützt auf Art. 43 lit. b in Verbindung mit Art. 41 Abs. 2 der Radio- und Fernsehverordnung) nötig sind. Im Berichtsjahr wendeten sich die Pflegezentren der Stadt Zürich erneut an den Datenschutzbeauftragten. Offenbar wollte sich die Billag AG mit dem Vorschlag des Datenschutzbeauftragten nicht begnügen. Die Billag machte geltend, dass es ihr obliege, die Befreiung von der Meldepflicht zu überprüfen und sie daher auf zuverlässige Angaben angewiesen sei. Diese Angaben erhalte sie von den Berechnungsblättern der Krankenkassen. Da die Berechungsblätter der Krankenkassen besonders schützenswerte Personendaten enthalten und weit mehr Daten enthalten, als für die Abklärung der Meldepflicht notwendig sind, weigerten sich die Pflegezentren der Stadt Zürich zu Recht, die entsprechenden Berechnungsblätter ihrer BewohnerInnen der Billag bekannt zu geben. Ein Ausschwärzen der nicht benötigten Angaben auf den Berechnungsblättern hätte einen zu grossen administrativen Aufwand bedeutet. Der Datenschutzbeauftragte versuchte zwischen der Billag AG und den Pflegezentren zu vermitteln. Es konnte schliesslich erreicht werden, dass die Billag AG auf die Bekanntgabe der sehr sensiblen und umfassenden Berechnungsblätter der Krankenkassen verzichtet. Eine übergeordnete, zentrale Abteilung der Pflegzentren muss der Billag AG lediglich schriftlich bestätigen, dass sich eine gesuchstellende Person mindestens in der nach Art. 43 lit. b der Radio- und Fernsehverordnung angegeben Pflegebedarfsstufen befindet. 16 Art. 6 Abs. 3 der Finanzverordnung der Stadt Zürich, AS 611.100 17 Art. 6 Abs. 4 der Finanzverordnung der Stadt Zürich 12

Sozialdepartement: Neues Fallmanagement-System Die Neustrukturierung verschiedener Dienstabteilungen des Sozialdepartments der Stadt Zürich, welche zur Bildung von 5 regionalen Sozialzentren geführt hat, war Anstoss für das Projekt Grundlagen Fallmanagement Modell Zürich. In den bestehenden Fallverwaltungssystemen werden die Daten in unterschiedlichen Applikationen verwaltet, die seinerzeit separat für die verschiedenen Fachbereiche entwickelt worden sind. Mit einem neuen System wird beabsichtigt, mit genau definierten Rollen über ein einheitliches Berechtigungssystem auf die zentral gespeicherten Daten zuzugreifen. Die Projektverantwortlichen haben in Zusammenarbeit mit dem Datenschutzbeauftragten und Vertretern des Stadtarchivs die konkreten datenschutz- und archivrechtlichen Anforderungen an das neue System erarbeitet. Diese werden in den Anforderungskatalog für die bevorstehende Submission integriert. Dieses Vorgehen der Projektleitung trägt wesentlich zur Kostensenkung bei, da die entsprechenden Anforderungen bereits im Rahmen der Offertstellungen abgedeckt sind. 13

III. Organisation Personal Das Team bestand am Ende des Berichtsjahres 2004 aus folgenden Personen: Thomas Bärlocher, lic.iur., Rechtsanwalt, Datenschutzbeauftragter, 70% Jürg von Flüe, lic.iur, juristischer Mitarbeiter, 80% Yvonne Jöhri, Dr.iur., juristische Mitarbeiterin, 60%. Sabine Magee, Sekretariat und Sachbearbeitung, 50% René Huber, Dr.iur., DSB Kanton Zug, ist per 1. Juli 2004 als nebenamtlicher Stellvertreter zurückgetreten. Regelmässige Sitzungen BeraterInnen für Datenschutz und Datensicherheit Mit den BeraterInnen der Departemente 18, welche eine wichtige Funktion bei der Umsetzung des Datenschutzes in der Stadt Zürich erfüllen, finden quartalweise Sitzungen mit dem Datenschutzbeauftragten statt. Der Informationsaustausch soll weiter intensiviert werden. Die Sitzungen sollen jeweils einem Schwerpunktthema gewidmet sein. Schwerpunktthemen im Jahr 2004 waren das neue Informations- und Datenschutzgesetz (IDG), eadress und die neue IP-Telefon-Lösung der OIZ. Kommunale Datenschutzbeauftragte An Sitzungen mit dem kantonalen Datenschutzbeauftragten besprachen die Datenschutzbeauftragten von Dietikon, Uster, Winterthur und Zürich aktuelle Fälle aus den Gemeinden. Kurse und Vorträge Auch im Jahr 2004 hat der Datenschutzbeauftragte in Zusammenarbeit mit HR Stadt Zürich den ganztägigen Kurs zum Thema «Datenschutz in der Stadtverwaltung Zürich» angeboten und durchgeführt. Regelmässig vertreten war der Datenschutzbeauftragte auch an den monatlichen Einführungsveranstaltungen für neue MitarbeiterInnen der Stadtverwaltung, welche von HR Stadt Zürich organisiert werden. 18 Art. 21 ADSV. 14

Statistiken Dienstleistungen Die folgende Statistik gibt einen Überblick über die Zahlen der erbrachten Dienstleistungen des Datenschutzbeauftragten sowie deren Veränderungen im Vergleich zu den vergangenen Jahren. Im Jahr 2004 ist die Anzahl unserer Beratungen an die Stadtverwaltung um fast 15% gestiegen. Die Auskünfte an Private, welche in unser Zuständigkeitsgebiet fielen, blieben sich ziemlich gleich, aber die Weiterleitungen und Vermittlungen von Privatpersonen an andere Dienstabteilungen erhörten sich 2004 um 20%. Auch stiegen in diesem Jahr die Medienkontakte um fast 50%. 500 400 300 200 100 Medienkontakte Stellungnahmen Weiterleitungen Vermittlungen Auskünfte an Private Beratungen an die Stadtverw altung 0 2000 2001 2002 2003 2004 15

Internet Erfreulich ist, dass sich die durchschnittliche Besucherzahl auf der Website des Datenschutzbeauftragten (www.das.stzh.ch) im Vergleich zum Jahr 2002 beinahe verdoppelt hat. Dies zeigt klar, dass sich unser Internetauftritt zunehmender Beliebtheit erfreut; dessen Potential dürfte aber noch nicht ausgeschöpft sein. Wir werden deshalb die Website weiterhin mit Aktualitäten und neusten Erkenntnissen zum Thema Datenschutz in der Stadt Zürich ergänzen. Internet Statistik 2004 4500 4000 3500 3000 2500 2000 1500 1000 500 0 Anzahl Anw endersitzungen/monat Anzahl der eindeutigen BesucherInnen Registerzugriffe FAQzugriffe Gesetze Januar Februar April Mai Juni Juli August September Oktober November Dezember Vorlagen 16

IV. Anhang Abkürzungsverzeichnis ADSV DSB DSG DSV EDSB GPK HRZ KDSB OIZ Register Allgemeine Datenschutzverordnung der Stadt Zürich (ADSV) vom 5. November 1997; AS 236.100 www.das.stzh.ch/gesetze Datenschutzbeauftragter Kantonales Gesetz über den Schutz von Personendaten (Datenschutzgesetz) vom 6. Juni 1993, LS 236.1; www.zhlex.zh.ch Kantonale Datenschutzverordnung vom 7. Dezember 1994, LS 236.11; www.zhlex.zh.ch Eidgenössischer Datenschutzbeauftragter; www.edsb.ch Geschäftsprüfungskommission des Gemeinderates der Stadt Zürich; www.stzh.ch/kap01/gemeinderat_stzh/ Dienstabteilung Human Resources Management Stadt Zürich Kantonaler Datenschutzbeauftragter; www.datenschutz.ch Dienstabteilung Organisation und Informatik der Stadt Zürich Öffentliches Verzeichnis der Datensammlungen der Stadt Zürich www.register.stzh.ch 17