Tätigkeitsbericht der Datenschutzbeauftragten des Kantons Basel-Stadt 2016

Zusammenfassung

Rechtzeitige Kontaktaufnahme Die Vorabkontrolle ist ein Instrument des präventiven Datenschutzes. Lieber rechtzeitig den Datenschutz miteinbeziehen als nachher ein frisch beschafftes System teuer reparieren oder feststellen müssen, dass Teile davon nicht genutzt werden dürfen. Die Vorabkontrolle basiert auf Vorarbeiten des öffentlichen Organs, die es ohnehin leisten müsste – im neuen europäischen Recht ist dies als «Datenschutz-Folgenabschätzung» enthalten. Der Erfolg steht und fällt aber mit der rechtzeitigen Vorlage an den Datenschutzbeauftragten. Es empfiehlt sich, möglichst frühzeitig mit ihm Kontakt aufzunehmen, um den Aufwand für die Vorabkontrolle möglichst gering zu halten. Leider wird dieses sinnvolle Instrument des präventiven Datenschutzes noch zu wenig genutzt. Eine Verbesserung könnte erreicht werden, wenn die Vorabkontrolle (oder künftig eben treffender: die Vorabkonsultation) besser in die Standardprozesse integriert würde.

Thema 3 Auswirkungen der Datenschutzreform europäischen

Seit dem Erlass der europäischen Datenschutz-Regelwerken – 1981 die Europaratskonvention, 1995 die EG-Datenschutzrichtlinie 95/46 – hat die Technologie riesige Fortschritte gemacht. Nun werden

diese Regelwerke modernisiert und Bund und Kantone Inwiefern besteht Anpassungsbedarf beim Informations-

Ausgangslage

Europarats-Konvention Die Schweiz hat 1997 die Europaratskonvention 108 (ER-Konv 108) von 1981 (und 2006 das Zusatzprotokoll [ZP zur ER-Konv 108] von 2001) ratifiziert. Darum mussten Bund und Kantone ihre Datenschutzgesetze den Anforderungen anpassen.

EG-Datenschutz-Richtlinie Aufgrund der Schengen-Assoziierung der Schweiz wurde auch die Datenschutz-Richtlinie 95/46/EG (DS-RL 95/46/EG) für die Schweiz verbindlich¹. Wer Zugang zu den riesigen Datenbeständen des Schengener Informationssystems (SIS) will, muss auch einen Minimalstandard an Datenschutz gewährleisten. Bund und Kantone mussten auch deshalb ihre Datenschutzgesetze anpassen. Ausserdem wurde aufgrund der Schengen-Assoziierung 2010 für die Schweiz auch der Rahmenbeschluss 2008/977/JI, der Datenschutzvorgaben für die justizielle und polizeiliche Zusammenarbeit macht, verbindlich.

Umsetzung Der Kanton Basel-Stadt hat die Anpassungen, die nötig waren, um den Anforderungen der ER-Konv 108 und der EG-DSRL 95/46 zu entsprechen, durch eine Revision des Datenschutzgesetzes² vorgenommen. Die revidierten Bestimmungen traten per 1. Juni 2008 bzw. per 1. Februar 2009 in Kraft. Auf Änderungen zur Umsetzung des Rahmenbeschlusses 2008/977/JI wurde verzichtet. Die angepassten DSG-Bestimmungen wurden inhaltlich unverändert in das per 1. Januar 2012 in Kraft getretene Informations- und Datenschutzgesetz übernommen. müssen ihr Datenschutzrecht anpassen.

und Datenschutzgesetz des Kantons Basel-Stadt?

Europäische Datenschutzreform

Modernisierung der ER-Konv 108 Der Europarat ist daran, die Europarats-Konvention 108 zu modernisieren. Das ist nötig geworden, weil sich die Technologie seit der Verabschiedung dieser Konvention im Jahre 1981 erheblich verändert hat. Es ist davon auszugehen, dass die Bundesversammlung die modernisierte Konvention, die gleichsam einen globalen Minimalstandard umschreibt, ratifizieren wird, so dass Bund und Kantone verpflichtet sein werden, im Datenschutzrecht die notwendigen Anpassungen vorzunehmen.

EU-Datenschutzreform Am 27. April 2016 hat die Europäische Union nach mehrjährigen Verhandlungen eine Datenschutzreform beschlossen. Sie besteht aus

—der Datenschutz-Grundverordnung 2016/679 (DSGVO), die generell für alle Datenbearbeiter in der EU gilt, also für Private und staatliche Organe, und

—der Datenschutz-Richtlinie 2016/680 (DS-RL 2016/680), die das Datenbearbeiten im Rahmen der justiziellen und polizeilichen Datenbearbeitung regelt.

EU-Datenschutz-Grundverordnung Die DSGVO ist – als Verordnung – für die EU-Mitgliedstaaten unmittelbar verbindlich, nicht aber für die Schweiz, da die Verordnung nicht als schengen-relevant erklärt wurde. Die Schweiz ist auch nicht verpflichtet, sie umzusetzen. Allerdings muss die EU-Kommission nach Art. 45 DSGVO (wie schon bisher nach Art. 15 DS-RL 95/46/EG) darüber entscheiden, ob die Schweiz ein angemessenes Schutzniveau bietet. Nur dann ist eine Datenübermittlung in die Schweiz ohne weitere Massnahmen zulässig. Im Rahmen dieser Prüfung der Angemessenheit des Schutzniveaus wird dann natürlich auch darauf geachtet, wie die Schweiz den Datenschutz sicherstellt.

EU-Datenschutz-Richtlinie Die Datenschutz-Richtlinie 2016/680 wurde hingegen als schengen-relevant erklärt und der Schweiz am 1. August 2016 notifiziert³. Innerhalb von zwei Jahren ab diesem Zeitpunkt, also bis August 2018, müssen Bund und Kantone nun die entsprechenden Anpassungen in ihrem Datenschutzrecht vornehmen, wenn sie nicht die Kündigung des Schengen-Assoziierungs-Abkommens riskieren wollen.

Wer Zugang zu den riesigen Datenbeständen des Schengener Informationssystems (SIS) will, muss auch einen Minimalstandard an Datenschutz gewährleisten.

Schweizerische Datenschutzreform

Revisionsbemühungen im Bund Der Bundesrat hat am 21. Dezember 2016 die Vernehmlassung darüber eröffnet, wie er die Bundesgesetzgebung an die europäischen Anforderungen anpassen will. Ebenfalls berücksichtigt werden sollen die Ergebnisse der Evaluation des Bundesdatenschutzgesetzes. Die Vernehmlassungsfrist läuft anfangs April 2017 ab; es ist geplant, dass die Botschaft im Herbst 2017 veröffentlicht wird.

Anpassungsbedarf in den Kantonen Die Kantone müssen ihr Datenschutzrecht ebenfalls an die neuen Anforderungen anpassen⁴.

KdK-Leitfaden Um die kantonalen Rechtsetzungsbemühungen zu erleichtern, hat die Konferenz der Kantonsregierungen (wie schon mit der KdK-Wegleitung 2006⁵ bei der Schengen-Assoziierung) eine Hilfestellung zugunsten der Kantone verabschiedet: Der Leitfaden wurde in der interdisziplinär zusammengesetzten Arbeitsgruppe Datenschutz der Begleitorganisation Schengen/Dublin (BOSD) der Konferenz der Kantonsregierungen erarbeitet und soll 2017 den Kantonen zugestellt werden⁶.

Anpassungsbedarf im Kanton

Die wichtigsten Anpassungen In der Folge soll schon einmal kurz auf die wichtigsten Anpassungen im IDG des Kantons Basel-Stadt hingewiesen werden.

Geltungsbereich Die europäischen Vorgaben sehen keine Ausnahme mehr vor bei hängigen Verfahren der Zivil- und Strafgerichtsbarkeit und der Verwaltungs- und Verfassungsgerichtsbarkeit⁷. Das heisst, dass das IDG künftig auch in diesen Verfahren Anwendung finden soll. Die jetzigen Ausnahmeregelungen stammen aus einer Zeit, als noch unklar war, wie die verschiedenen Ebenen des Datenschutzrechts zusammenwirken: Das IDG enthält (als sog. «allgemeines Datenschutzrecht») nur die Grundsätze, die konkreten Regelungen für das Datenbearbeiten durch die öffentlichen Organe finden sich in den Fachgesetzen, also im Schulgesetz, im Polizeigesetz oder im Sozialhilfegesetz (sog. «besonderes oder bereichsspezifisches Datenschutzrecht»). Und eigentlich sind die Prozessordnungen nichts anderes als eben solches bereichsspezifisches Datenschutzrecht. Ihre Bestimmungen gehen als lex specialis den IDG-Bestimmungen als lex generalis vor, bleiben folglich auch wirksam, wenn das IDG in diesen Verfahren gilt. In einer Strafuntersuchung wird also beispielsweise die Staatsanwaltschaft weiterhin alle Befugnisse haben wie bisher⁸.

Die europäischen Vorgaben sehen keine Ausnahme mehr vor bei hängigen Verfahren der Zivil- und Strafgerichtsbarkeit und der Verwaltungs- und Verfassungsgerichtsbarkeit.

Kollisionsvermeidung Kollisionen kann es geben bezüglich der Informationsrechte der Betroffenen und bezüglich der Aufsicht. Diese lassen sich einfach verhindern, indem im IDG ausdrücklich festgehalten wird,

—dass sich die Rechte und Ansprüche der betroffenen Personen während hängigen Verfahren der Zivil- und Strafrechtspflege und während hängigen Verfahren der Verwaltungs- und Verfassungsgerichtsbarkeit ausschliesslich nach dem anwendbaren Verfahrensrecht richten, so dass das Recht auf Zugang zu den eigenen Personendaten (wie bisher) erst nach Abschluss eines Verfahrens geltend gemacht werden kann, und

—dass Datenbearbeitungen in hängigen Verfahren der Zivil- und Strafrechtspflege und in hängigen Verfahren der Verfassungs- und Verwaltungsgerichtsbarkeit nicht der Aufsicht der oder des Datenschutzbeauftragten unterstehen. > — S. 20 —Warum trotzdem? Wenn also – mit den erwähnten Zusatzregelungen – gar nicht viel ändert, warum ist die Korrektur beim Geltungsbereich trotzdem nötig? Die Verfahrensordnungen enthalten eben – zu Recht – nur die verfahrensspezifischen Bearbeitungsregeln. Allgemeine Bestimmungen wie etwa die Pflicht zur Sicherstellung der Informationssicherheit oder die Pflicht, bestimmte datenschutzrelevante Bearbeitungen der oder dem Datenschutzbeauftragten zur Vorabkontrolle vorzulegen, sind darin aber nicht enthalten. Dabei geht es nicht darum, künftig im konkreten Anwendungsfall zu kontrollieren, ob beispielsweise ein IMSI-Catcher oder ein «Staatstrojaner» zu Recht eingesetzt wird – genau das wird mit der zweiten oben genannten Ausnahme ja ausgeschlossen. Aber es soll vorher, generell und unabhängig von einem konkreten Anwendungsfall, dazu Stellung genommen werden können, wie der Einsatz solcher Mittel datenschutzkonform erfolgen kann.

Schutz für natürliche Personen Nur wenige Staaten haben wie die Schweiz den Schutz der Persönlichkeitsrechte auch juristischen Personen zukommen lassen. Das soll nun geändert werden – Personendaten sollen künftig nur noch Informationen über natürliche Personen sein⁹. Trotzdem werden juristische Personen nicht schutzlos: Die Bekanntgabe von oder der Zugang zu Informationen sind auch künftig noch einzuschränken, wenn private Geheimhaltungsinteressen überwiegen, also zum Beispiel Berufs-, Fabrikations- oder Geschäftsgeheimnisse offenbart oder Urheberrechte verletzt würden¹⁰.

Begriffsdefinitionen Im IDG müssen die Begriffsdefinitionen angepasst werden. «Genetische Daten»¹¹ können allenfalls unter «Daten über das Erbgut»¹² mitverstanden werden, «Daten zum Sexualleben oder zur sexuellen Orientierung» eventuell unter «Daten über Intimsphäre» oder «Daten über die persönliche Geheimsphäre»¹³. Neu sind aber «biometrische Daten» in die Kategorie der besonderen Personendaten aufzunehmen¹⁴. Biometrische Daten sind mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, welche die eindeutige Identifizierung dieser Person ermöglichen oder bestätigen (biometrische Daten), also etwa Gesichtsbilder (d.h. durch Gesichtserkennungsprogramme gewonnene Daten zu einem Gesicht – also nicht jede Foto eines Gesichts!), daktyloskopische Daten, Stimmmuster, Iris-Muster usw.

Profiling als Datenbearbeitungsart Der Begriff des Persönlichkeitsprofils¹⁵ ist in der Vergangenheit recht vage geblieben. Neu verwendet das europäische Recht den Begriff des «Profilings»¹⁶. Darunter wird jede Auswertung von Daten oder Personendaten verstanden, um wesentliche persönliche Merkmale zu analysieren oder Entwicklungen, insbesondere bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Intimsphäre oder Mobilität vorherzusagen. Anknüpfungspunkt ist somit nicht mehr die «gefährliche» Datenart, sondern die «gefährliche» Bearbeitungsart. Inhaltlich werden die Anforderungen nicht strenger werden.

Zeitliche Begrenzung Stärker als bisher wird die zeitliche Komponente des Verhältnismässigkeitsprinzips betont. Schon bisher gehörte zur Verhältnismässigkeit¹⁷, dass das Bearbeiten von Personendaten zeitlich befristet sein muss. Neu wird verlangt, dass für die Löschung (oder Anonymisierung) von Personendaten bzw. für eine regelmässige Überprüfung, ob Personendaten zur Aufgabenerfüllung noch erforderlich sind, Fristen vorzusehen sind und dass durch verfahrensrechtliche Vorkehrungen sicherzustellen ist, dass diese Fristen eingehalten werden¹⁸.

Nur wenige Staaten haben wie die Schweiz den Schutz der Persönlichkeitsrechte auch juristischen Personen zukommen lassen. Das soll nun geändert werden – Personendaten sollen künftig nur noch Informationen über natürliche Personen sein.

Nachweis der Compliance Mehrfach wird in den neuen Rechtsgrundlagen verlangt, dass das verantwortliche öffentliche Organ oder die Auftragsdatenbearbeiterin/der Auftragsdatenbearbeiter die Einhaltung der Datenschutzbestimmungen nachweisen können muss¹⁹. Dieser Nachweis kann in einem Datenschutzmanagementsystem (DSMS) erbracht werden. DSMS basieren auf den ISO-Standards des Qualitätsmanagements (ISO 9001) und der Informationssicherheit (ISO 27001 usw.). Es wird festzulegen sein, wann es ein solches Managementsystem braucht bzw. in welchen Fällen eine andere Form des Nachweises genügen soll.

Auftragsdatenbearbeitung Auftragsdatenbearbeitungen werden immer häufiger und führen dazu, dass die Kontrolle über die Datenbearbeitungen immer mehr aus den Händen gegeben wird. Damit das nicht zulasten der Grundrechte der betroffenen Personen geht, sind die Anforderungen an die Auslagerung von Datenbearbeitungen noch klarer zu regeln²⁰.

Pflicht zur Information der Betroffenen Schon aufgrund des Rahmenbeschlusses 2008/977 hätte die Pflicht der öffentlichen Organe, die betroffenen Personen aktiv darüber zu informieren, dass Personendaten über sie erhoben werden (nicht nur bei be- die sonderen Personendaten), eingeführt werden müssen – wie es der Bund in seinem DSG gemacht hat²¹. Das wird nun nachzuholen sein²².

Datenschutz-Folgenabschätzung und Vorabkonsultation Im Grunde genommen nichts Neues ist die «Datenschutz-Folgenabschätzung»²³: Das «Data Protection Impact Assessment» ist nichts anderes als die Vorbereitung des öffentlichen Organs, damit es die Voraussetzungen für den Nachweis der Einhaltung der Datenschutzvorschriften erbringen kann, und beschlägt dieselben Punkte, die bei Vorhaben, die voraussichtlich zu einem hohen Risiko für die Grundrechte der betroffenen Personen führen, für eine Vorabkonsultation erarbeitet werden müssen: Welche Risiken entstehen? Mit welchen Massnahmen werden die Risiken vermieden oder so weit vermindert, dass das verantwortliche öffentliche Organ das Restrisiko übernehmen kann? «Vorabkonsultation»²⁴ ist die bisherigen Vorabkontrolle – der neue Name passt besser, da es nicht um eine (nachträgliche) Kontrolle, sondern um eine (vorgängige) Beratung geht, bei welcher die oder der Datenschutzbeauftragte die Risikobeurteilung prüft und zu den vorgeschlagenen Massnahmen Stellung nimmt.

Neu wird verlangt, dass das verantwortliche öffentliche Organ oder die Auftragsdatenbearbeiterin/der Auftragsdatenbearbeiter die Einhaltung der Datenschutzbestimmungen nachweisen können muss.

Meldepflicht bei Datenschutzverletzungen Die unter dem Namen «Data breach notification» bekannte Meldepflicht²⁵ soll – anders als bei der zu weiten Umschreibung in der Vernehmlassungsvorlage des Bundes – nur greifen, wenn die Sicherheit so verletzt wird, dass bearbeitete Personendaten unwiederbringlich vernichtet werden oder verloren gehen, unbeabsichtigt oder unrechtmässig verändert oder offenbart werden oder dass Unbefugte Zugang zu solchen Personendaten erhalten. Die Meldung erfolgt an die Datenschutzbeauftragte oder den Datenschutzbeauftragten und unter Umständen an die betroffenen Personen – dann nämlich, wenn diese zur Abwendung des Schadens Massnahmen ergreifen können.

«Vorabkonsultation» ist die bisherigen Vorabkontrolle – der neue Name passt besser, da es nicht um eine (nachträgliche) Kontrolle, sondern um eine (vorgängige) Beratung geht, bei welcher die oder der Datenschutzbeauftragte Risikobeurteilung prüft und zu den vorgeschlagenen Massnahmen Stellung nimmt.

Privacy by design und Privacy by default Damit der Grundrechtsschutz auch bei weiteren technischen Entwicklungen gewährleistet wird, sind die Prinzipien des «Privacy by design» und «Privacy by default» ins IDG aufzunehmen. Nach dem ersten sind bei Datenbearbeitungen von Anfang an Massnahmen zu treffen, die das Risiko von Verletzungen der Persönlichkeit oder der Grundrechte verringern und solchen Verletzungen vorbeugen. Nach dem zweiten Prinzip ist mittels geeigneter Voreinstellungen sicherzustellen, dass standardmässig nur diejenigen Personendaten bearbeitet werden, die für den jeweiligen Verwendungszweck erforderlich sind.

Nicht notwendige Ergänzungen Der Datenschutzbeauftragte ist der Überzeugung, dass aber verschiedene Vorgaben nicht zu Änderungen im IDG führen sollen:

—Es ist demnach keine Regelung für automatisierte Einzelentscheidungen nötig, weil sichergestellt ist, dass bei automatisierten Einzelentscheidungen die betroffene Person informiert wird (z.B. durch Eröffnung der entsprechenden Verfügung) und sie die Möglichkeit hat, sich zur Einzelentscheidung zu äussern (z.B. aufgrund des Anspruchs auf rechtliches Gehör). Auf die Informationspflicht oder das Anhörungsrecht könnte höchstens durch eine klare formellgesetzliche Regelung verzichtet werden, so dass eine entsprechende Regelung im IDG nicht nötig ist. >

—Es sind Sanktionen vorzusehen bei Verstössen gegen das IDG. Solche Möglichkeiten bestehen heute schon, zum Beispiel Strafbestimmung für Amtsgeheimnisverletzungen, Strafbestimmung für die auftragswidrige Verwendung oder Bekanntgabe von Personendaten durch die Beauftragten bei einer Datenbearbeitung im Auftrag usw. Auf die Einführung beispielsweise von Bussen gegen öffentliche Organ, die gegen das IDG verstossen, kann getrost verzichtet werden.

Weil der Kanton Basel-Stadt mit der Schengen-Revision des DSG von 2008 und vor allem mit der Schaffung des IDG von 2010 seine Hausaufgaben weitgehend gemacht hat, hält sich der Anpassungsbedarf im interkantonalen Vergleich in Grenzen.

Die Datenschutz-Richtlinie 2016/680 sieht vor, dass das nationale Recht (d.h. des Bundes bzw. der Kantone) die verantwortlichen öffentlichen Organe verpflichten muss, einen (amtsinternen²⁶) Datenschutzbeauftragten zu benennen. In der Praxis haben die grösseren Dienststellen mit heiklen Datenbeständen auch ohne gesetzliche Pflicht solche Personen bezeichnet; alle Dienststellen dazu zu verpflichten, macht angesichts der Kleinheit vieler Dienststellen keinen Sinn. Allenfalls kann diese Pflicht, die aus der schengen-relevanten Richtlinie stammt, bereichsspezifisch, d.h. für die Kantonspolizei und die Staatsanwaltschaft, umgesetzt werden.