Der Europäische Gerichtshof hat das Privacy Shield-Abkommen für ungültig erklärt. Dies hat auch Auswirkungen auf die Schweiz. Die verantwortlichen Organe müssen genau prüfen, ob Datenbearbeitungen durch US-Unternehmen dem st.gallischen Datenschutzgesetz genügen. In jedem Fall bedarf es einer Risikoanalyse.

Die Totalrevision des Datenschutzgesetzes des Bundes ist abgeschlossen . Das Gesetz ist allerdings noch nicht in Kraft.

• indem auf die Bearbeitung von Personendaten verzichtet wird (Datenvermeidung)
• indem so wenig Personendaten wie möglich bearbeitet werden (Datensparsamkeit)
• indem Personendaten so bald als möglich gelöscht bzw. vernichtet werden

Für öffentliche Organe des Kantons St.Gallen (Kanton, Gemeinden) gilt bei der Bearbeitung von Personendaten das kantonale Datenschutzgesetz .

Für Stellen der kantonale Verwaltung gilt zudem die Verordnung über die Informatiksicherheit.

Datenschutz: Fachstelle Datenschutz, Regierungsgebäude, 9001 St.Gallen, T +41 58 229 14 14, M datenschutz@sg.ch

Informationssicherheit: Dienst für Informatikplanung, Unterstrasse 22, 9001 St.Gallen, T +41 58 229 36 30, M info.fddip@sg.ch

Nicht nur Gesundheitsdaten, weltanschauliche Ansichten oder genetische Daten sind besonders schützenswert, sondern dies kann auch für „gewöhnliche“ Personendaten gelten: Die Adresse einer Person im Frauenhaus ist genauso sensibel. Ob Personendaten sensibel sind oder nicht hängt auch wesentlich vom Kontext ab.

Was ist der Unterschied zwischen einem Persönlichkeitsprofil und einem Profiling?

Persönlichkeitsprofil: Nicht zwingend automatisiert, ist-Zustand, eher wertneutral.

Profiling: automatisiert, dient der Analyse oder Vorhersage (Prognose für Zukunft), tendenziell Werturteil.

Unter den rechtlichen Begriff der „Bearbeitung“ fällt jeder Umgang mit Personendaten. Ob jemand Personendaten beschafft, bekannt gibt, löscht, anonymisiert oder archiviert – alle diese Vorgänge fallen unter den Begriff der Bearbeitung.

Personendaten dürfen solange aufbewahrt werden, als sie für die Aufgabenerfüllung notwendig sind oder dies rechtlich vorgesehen ist. Danach müssen sie dem Staatsarchiv angeboten werden (bitte dazu Vereinbarung mit dem Staatsarchiv beachten). Zu beachten ist, dass damit eine Änderung des Zwecks der Bearbeitung verbunden ist. Die bisher bearbeitende Stelle darf danach auf diese Daten nur noch nach den Voraussetzungen des Gesetzes über Aktenführung und Archivierung Zugriff haben. Personendaten, die das Staatsarchiv nicht übernimmt, müssen vernichtet werden.

Jede Mitarbeiterin und jeder Mitarbeiter ist dafür verantwortlich, die Datenschutzbestimmungen einzuhalten. Dies bedeutet beispielsweise dass beim Verlassen des Arbeitsplatzes der Zugriff auf den Bildschirm gesperrt wird, dass allfällige papierene Akten mit Personendaten in abgeschlossenen Schränken aufbewahrt werden oder dass keine besonders schützenswerten Personendaten ausserhalb des KOMSG per Mail verschickt werden. 

Es besteht eine Anbietepflicht an das Staatsarchiv. Beachten Sie auch allenfalls mit dem Staatsarchiv abgeschlossene Vereinbarungen.

Wollen Sie die Bearbeitung von Personendaten an Dritte übertragen? In diesem Fall müssen die Voraussetzungen von Art. 9 des Datenschutzgesetzes erfüllt sein. Mit dem Dienstleister muss eine Vereinbarung abgeschlossen werden. Was geregelt werden muss, finden Sie im Merkblatt der Fachstelle Datenschutz Merkblatt Outsourcing

Formular und ein Merkblatt dazu finden Sie auf der Webseite der Fachstelle Datenschutz

Das Register der Datensammlungen ist öffentlich. Es muss mindestens jährlich aktualisiert werden.

Das öffentliche Organ ist für die Einhaltung der Datenschutzbestimmungen beweispflichtig. Dieser Beweispflicht kann durch eine Zertifizierung (ISO-Standard) nachgekommen werden. Wird auf eine Zertifizierung verzichtet, muss festgelegt werden, welche Dokumente notwendig sind, um der Pflicht nachzukommen. Beispiele dafür sind ein ISDS- oder ein Zugriffskonzept.

Was ist es? Eine Datenschutz-Folgenabschätzung ist die Risikoanalyse einer geplanten Bearbeitung von Personendaten.

Seit wann? Dieses Instrument wurde mit dem revidierten Datenschutzgesetz im Jahr 2019 neu eingeführt.

Ziel? Damit sollen Risiken identifiziert und bewertet werden, die durch den Einsatz von neuen Verfahren, Technologien und Systemen im Rahmen der Datenbearbeitung entstehen.

Wann? Kann das Vorhaben des öffentlichen Organs zu einem hohen Risiko für die Grundrechte der betroffenen Personen führen (Möglichkeit), muss eine Datenschutz-Folgenabschätzung gemacht werden.

Hohes Risiko? Dabei handelt es sich um einen unbestimmten Rechtsbegriff. Das Merkblatt zur Datenschutz-Folgenabschätzung gibt nähere Hinweise dazu, wann es sich um ein hohes Risiko handeln kann.

Wer führt sie durch? Die Datenschutz-Folgenabschätzung ist vom öffentlichen Organ bzw. von derjenigen Stelle innerhalb der Verwaltung durchzuführen, welche über das Projekt entscheidet und welche die Verantwortung für die Datenbearbeitung trägt.

Was ist es? Eine Vorabkonsultation ist eine Vorab-Prüfung einer geplanten Bearbeitung von Personendaten (Projekt) durch eine Datenschutzfachstelle.

Ziel? Ziel der Vorabkonsultation ist, bei neuen Vorhaben den Datenschutz frühzeitig sicherzustellen.

Wann?

• Wenn eine Bearbeitung von Personendaten zu einem hohen Risiko für die Grundrechte der betroffenen Person führt (ist sicher), muss das öffentliche Organ die erforderlichen Unterlagen gemäss Merkblatt der Datenschutzfachstelle zur Prüfung einreichen.
• Bei bestimmten Bearbeitungsvorgängen wie zum Beispiel der umfangreichen Bearbeitung besonders schützenswerter Personendaten müssen die Unterlagen immer zur Vorabkonsultation eingereicht werden.

Dieser Grundsatz meint, dass die Technik „in den Dienst der Rechtsdurchsetzung“ gestellt wird. Die eingesetzte Technik soll dazu beitragen, die Datenschutzbestimmungen einzuhalten. Dazu können etwa Pseudonymisierung, Verschlüsselung oder Anonymisierung zählen. Es sollen so wenig Personendaten wie möglich bearbeitet werden, sie sollen so rasch als möglich pseudonymisiert werden, Funktionen und Verarbeitung sollen transparent sein, die betroffene Person soll die Möglichkeit haben, die Bearbeitung zu überwachen und dem öffentliche Organ soll es möglich sein, Sicherheitsfunktionen zu schaffen und zu verbessern.