Datenschutzbeauftragter, 16. Tätigkeitsbericht 2010, Kenntnisnahme

1. Unterstützung und Beratung öffentlicher Organe Im Rahmen seiner Aufgaben zur Unterstützung und Beratung öffentlicher Organe hat der Datenschutzbeauftragte während der Berichtsperiode schwerpunktmässig an verschiedenen Rechtsetzungsprojekten der kantonalen Verwaltung mitgewirkt (z. B. Kantonsratsgesetz und Geschäftsreglement des Kantonsrats, Geoinformationsgesetz, Sozialhilfegesetz, Kinder- und Jugendhilfegesetz, verschiedene Gesetzgebungsprojekte im Bereich Gesundheit). Im Zusammenhang mit dem Erlass rechtlicher Bestimmungen über die Datenbearbeitung, insbesondere soweit besondere Personendaten im Sinne von § 3 IDG betroffen sind, weist der Datenschutzbeauftragte darauf hin, dass den entsprechenden Bestimmungen im Rahmen der Gesetzgebungsarbeiten die nötige Aufmerksamkeit zu schenken sei, damit einerseits für die Bürgerinnen und Bürger und anderseits für die öffentlichen Angestellten in Kanton und Gemeinden die nötige Klarheit und Transparenz im Umgang mit Personendaten geschaffen werde. Darüber hinaus legt der Datenschutzbeauftragte in den Grundsätzen dar, welchen Inhalt entsprechende gesetzliche Bestimmungen über die Bearbeitung von besonderen Personendaten aufweisen müssen, um den Anforderungen an die hinreichende Bestimmtheit von grundrechtseinschränkenden Rechtsnormen zu genügen: Zu regeln seien zum einen die Verantwortlichkeiten für bestimmte Datenbearbeitungen und die davon betroffenen Datenkategorien, zum andern die Zwecke, denen die Datenbearbeitungen konkret dienten. Nur anhand dieser Eckpunkte lasse sich beurteilen, welche Datenbearbeitungen zur Erfüllung einer bestimmten

Aufgabe geeignet und erforderlich seien. Dagegen könnten allgemeine Generalklauseln über die Datenbearbeitungen den Anforderungen des Datenschutzes nicht genügen. Einen weiteren thematischen Schwerpunkt bei der Beratung öffentlicher Organe bildete im Berichtsjahr die Zusammenarbeit mit verschiedenen Gemeinden im Hinblick auf die datenschutzkonforme Regelung von Videoüberwachungen: Der Datenschutzbeauftragte empfiehlt den Gemeinden diesbezüglich den Erlass eines Reglements, das die Einzelheiten der Videoüberwachung festlegt, oder eine Regelung auf Gesetzesstufe. Als Hilfsmittel stellt er den Gemeinden einen Leitfaden und ein Musterreglement zur Verfügung.

2. Kontrolle und Überwachung Im Rahmen seiner Kontroll- und Überwachungstätigkeit hat der Datenschutzbeauftragte in der Berichtsperiode verschiedene Datenbearbeitungen in Verwaltungsstellen vor allem im Hinblick auf die Informationssicherheit überprüft und beurteilt (Datenbearbeitung in Spitälern, in Bereichen des Strafvollzugs und bei der Kantonspolizei im Bereich Staatsschutz, Überprüfung der Vertraulichkeit der kantonalen E-Government-Plattform ZHservices). Bemängelt hat der Datenschutzbeauftragte in den untersuchten Bereichen schwergewichtig das Fehlen von Sicherheitsstrategien und Leitlinien, von Vorgaben an Dienstleistende bei Auslagerungen, von Richtlinien für die Bereiche des Incident- und Problemmanagements sowie von Rollen- und Berechtigungskonzepten. Empfehlungen im Sinne von § 36 IDG waren aber nicht erforderlich; die Hinweise und vorgeschlagenen Massnahmen des Datenschutzbeauftragten sollen den betroffenen Stellen aber ermöglichen, ihre Sicherheitsstandards weiter zu verbessern.

3. Wirkungen des IDG Wie schon im letzten Tätigkeitsbericht weist der Datenschutzbeauftragte erneut darauf hin, dass eine umfassende Wirkungsanalyse des nunmehr seit gut zwei Jahren in Kraft stehenden IDG noch verfrüht sei. Gleichwohl geben aus seiner Sicht verschiedene Gesetzesbestimmungen in der Praxis zu Fragen Anlass, weshalb er konkrete Problemstellungen systematisch erfasst, um künftig den gesetzgeberischen Handlungsbedarf besser beurteilen zu können. Jedoch empfiehlt der Datenschutzbeauftragte diesbezüglich, von isolierten Revisionen des IDG – wie sie seit Inkrafttreten des Gesetzes vereinzelt vorgenommen wurden – abzusehen und Anpassungen im Rahmen einer Gesamtbetrachtung vorzunehmen.

4. Beratung von Privatpersonen Im Rahmen seiner Beratungstätigkeit für Private hat der Datenschutzbeauftragte im Berichtsjahr zahlreiche telefonische Beratungen (rund 55% aller telefonischen Beratungen) durchgeführt und mehrere hundert Anfragen zu unterschiedlichsten Themen bearbeitet. Dabei bildeten Anfragen zur Datenpublikation im Internet und deren Löschung einen Schwerpunkt. Zahlreiche weitere Anfragen hatten die Datenerfassung im Zusammenhang mit der Registerharmonisierung zum Gegenstand.

5. Weitere Tätigkeiten Im Übrigen enthält der Tätigkeitsbericht 2010 zahlreiche ausgewählte Fallbeispiele zu verschiedenen datenschutzrechtlichen Problemstellungen, mit denen der Datenschutzbeauftragte im Berichtsjahr befasst war. Ferner informiert er auch über die Öffentlichkeitsarbeit des Datenschutzbeauftragten und über die Aus- und Weiterbildungsveranstaltungen, an denen dieser während der Berichtsperiode mitgewirkt hat. Der Regierungsrat nimmt vom Tätigkeitsbericht des Datenschutzbeauftragten und den darin dargelegten Sachverhalten Kenntnis, ohne im Einzelnen zu dessen Einschätzungen Stellung zu nehmen. Der Tätigkeitsbericht wird gemäss § 39 IDG veröffentlicht und der Öffentlichkeit im Rahmen einer Medienkonferenz am 26. April 2011 zur Kenntnis gebracht.