Gesetz über die Information und den Datenschutz, Revision, Auftrag

A. Ausgangslage Das 2008 in Kraft getretene Gesetz über die Information und den Datenschutz (IDG; LS 170.4) bezweckt ein transparentes Handeln der öffentlichen Organe (Transparenz) sowie den Schutz der Grundrechte von Personen, über die öffentliche Organe Daten bearbeiten (Datenschutz). In den Jahren 2013–2017 wurden in vier Forschungsprojekten zentrale Wirkungsbereiche des IDG evaluiert und insgesamt 17 Empfehlungen für eine Optimierung des IDG und seiner Umsetzung festgelegt. Zusätzlich wurden im Kantonsrat verschiedene Vorstösse eingereicht, die auf das Öffentlichkeitsprinzip oder den Datenschutz zielten. Mit der Verabschiedung der «Strategie Digitale Verwaltung 2018–2023» vom 25. April 2018 (RRB Nr. 390/2018) machte der Regierungsrat sodann Vorgaben zur Verwendung von Daten durch die Verwaltung mit dem Ziel, Behördendaten als strategische Ressource zu verstehen und zu nutzen. Kernanliegen dieser Strategie ist, eine moderne Datennutzung zu ermöglichen, die es unter anderem zulässt, dass vorhandene Daten wiederverwendet werden dürfen (und müssen). Gestützt auf die «Strategie Digitale Verwaltung» wurde ein Impulsprogramm erarbeitet, das verschiedene Projekte enthält, die digitale Prozesse und die Verwendung von Daten betreffen. Bereits im Rahmen der Vorlage 5471 betreffend Anpassung des Gesetzes über die Information und den Datenschutz an die europäische Datenschutzreform wurde deshalb eine weitgreifende Revision des IDG ins Auge gefasst, im Hinblick auf die Dringlichkeit der Anpassungen an die geänderten europäischen Rechtsgrundlagen aber verschoben (vgl. RRB Nr. 740/2017 S. 4). Schliesslich zeigte sich im täglichen Umgang mit dem IDG in den Verwaltungen von Kanton und Gemeinden Anpassungsbedarf bei verschiedenen Bestimmungen. Diese verschiedenen Anliegen sind im Rahmen der vorliegenden Revision zu prüfen und soweit tunlich umzusetzen.

B. Rahmenbedingungen Bei jeder Revision des IDG ist vorab dem Grundrechtscharakter des Datenschutzes (Art. 13 Abs. 2 Bundesverfassung [SR 101]) Rechnung zu tragen. Zudem müssen die Anforderungen des europäischen Rechtsraums berücksichtigt werden, sei es direkt oder mittelbar. Bei der Bearbeitung von (Personen-)Daten kommt der Digitalisierung eine wichtige Rolle zu. Mit zahlreichen Gesetzgebungs- und anderen Projekten auf unterschiedlichen föderalen Ebenen soll die Digitalisierung gefördert und die Bearbeitung von Personendaten hinsichtlich unterschiedlicher Aspekte modernisiert werden. Hierzu zählt etwa die Schaffung der Bundesgesetze über das nationale System zur Abfrage von Adressen natürlicher Personen (BBl 2019, 5742 [Vernehmlassungsvorlage]) und über elektronische Identifizierungsdienste (E-ID-Gesetz, BBl 2019, 6567), die Revision des Bundesgesetzes über den Datenschutz (DSG, SR 235.1) sowie das Projekt der Konferenz der Kantonsregierungen mit dem Eidgenössischen Finanzdepartement zur Optimierung der bundesstaatlichen Steuerung und Koordination der digitalen Verwaltung. Diese laufenden Projekte sind bei der vorliegenden Revision zu berücksichtigen. Dabei ist noch nicht absehbar, ob bzw. in welcher Hinsicht aus diesen Vorhaben Anpassungsbedarf beim IDG entsteht. Die Entwicklungen sind jedoch zu verfolgen und regelmässig auf möglichen Anpassungsbedarf, der mit der vorliegenden Revision verwirklicht werden kann, zu prüfen. Weiter sind auch die Schnittstellen zu den Projekten des kantonalen Impulsprogramms (etwa IP2.1 [rechtliche Grundlagen des elektronischen Geschäftsverkehrs], IP3.1 [Data-Governance] und IP6.6 [koordinierte Ausbreitung der verwaltungsinternen elektronischen Geschäftsabwicklung]) regelmässig zu prüfen und zu berücksichtigen. Nicht zuletzt, weil der Kantonsrat die Revision des IDG in der laufenden Legislatur erwartet, kann eine umfassende Umsetzung einer modernen Datenstrategie nicht Teil des vorliegenden Projekts sein. Dies ist insbesondere deshalb der Fall, weil eine moderne Datenstrategie nicht nur die Bearbeitung von Personendaten betrifft, sondern auch technische Aspekte bei der Datenhaltung, dem Datenaustausch und dem Zugang zu Daten sowie das Organisationsrecht einschliesst. Insofern ist auf weitere Projekte innerhalb und ausserhalb des Impulsprogramms zur «Strategie Digitale Verwaltung» zu verweisen, die Teilaspekte einer modernen

Datenstrategie verfolgen, so zum Beispiel die Arbeiten der Fachstelle Open Government Data. Dasselbe gilt insbesondere auch für die datenschutzrechtlichen Bezüge aus der Umsetzung des «once only»-Prinzips, das schwerpunktmässig im Projekt IP3.1 bearbeitet wird.

C. Projektumfang 1. Allgemeine Bemerkungen Die einleitend genannte Evaluation mit vier Forschungsprojekten zeigte sowohl im Bereich des Öffentlichkeitsprinzips als auch im Bereich des Datenschutzes Anpassungsbedarf. Soweit Empfehlungen die Ressourcensituation der oder des Beauftragten für den Datenschutz – die oder der Beauftragte für den Datenschutz führt nur so viele Kontrollen durch, dass die Mittel auch für Nachkontrollen und die notwendige Unterstützung bei der Umsetzung ihrer bzw. seiner Hinweise genügen – betreffen, erscheint eine gesetzliche Regelung dieses Anliegens nicht sinnvoll. Denn einerseits werden die Mittel vom Kantonsrat im Rahmen des Budgets bewilligt und anderseits liegt die Zahl der von der oder dem Beauftragten für den Datenschutz durchgeführten Kontrollen in deren bzw. dessen Organisationshoheit. Gleiches gilt für die Optimierung der Information durch die oder den Beauftragten für den Datenschutz, weshalb eine gesetzliche Regelung auch dafür nicht geeignet erscheint. Diese Empfehlungen sind deshalb nicht in die vorliegende Revision aufzunehmen. Die übrigen Empfehlungen sind im Rahmen der vorliegenden Revision zu prüfen (nachfolgend mit A gekennzeichnet). Dabei ist jedoch darauf hinzuweisen, dass das IDG an die europäische Datenschutzreform angepasst wurde (Vorlage 5471). Mit dieser Gesetzesrevision, die am 25. November 2019 vom Kantonsrat beschlossen wurde und die am 1. Juni 2020 in Kraft treten wird (RRB Nr. 184/2020), werden verschiedene Forderungen aus dem Bereich des Datenschutzes, die in der Evaluation angesprochen wurden, bereits erfüllt: – Verpflichtung der öffentlichen Organe, aktiv über die Beschaffung und Weitergabe von Personendaten zu informieren, – Anpassung des Katalogs der besonderen Personendaten im IDG, – Einführung einer Verfügungskompetenz für die oder den Beauftragten für den Datenschutz. In die vorliegende Revision sind sodann die vom Kantonsrat mittels parlamentarischer Vorstösse eingebrachten Änderungsvorschläge zu prüfen. Zudem sind auch die von der Subkommission der Geschäftsleitung / Geschäftsprüfungskommission des Kantonsrates gestellten Anträge durchgearbeitet worden, die der zuständigen Kommission im Verlaufe der Beratungen der Vorlage 5471 zugestellt, aber unter dem Hinweis auf die Dringlichkeit jener Vorlage nicht näher geprüft wurden (nachfolgend mit B gekennzeichnet).

Im Weiteren hat sich verwaltungsintern in verschiedenen Bereichen Revisionsbedarf ergeben, der im Rahmen der vorliegenden Revision ebenfalls geklärt werden soll (nachfolgend mit C gekennzeichnet).

Sollte sich während der Arbeiten zusätzlicher Revisionsbedarf ergeben, etwa in Zusammenhang mit Projekten der «Strategie Digitale Verwaltung», wird auch dieser zu prüfen und allenfalls umzusetzen sein. 2. Anpassung des IDG Die zu prüfenden Änderungen können in vier Themenbereiche gegliedert werden:

A. Anpassungen, die im Zusammenhang mit dem Öffentlichkeitsprinzip stehen: 1. Schaffung eines Organs zum Öffentlichkeitsprinzip (Öffentlichkeitsbeauftragte oder -beauftragter) (A, B) Dabei sind verschiedene Ausgestaltungen bezüglich des Umfangs der Tätigkeit (Beratung, Vermittlungsfunktion bei strittigen Gesuchen zur Zugangsgewährung, Aufsicht) und der organisatorischen Einbindung (bei der oder dem Datenschutzbeauftragten, bei einer Stelle in der kantonalen Verwaltung) zu analysieren. 2. Grössere Verbindlichkeit der Verwaltung zur Publikation von offenen Behördendaten (Open Government Data, OGD) Für eine Umsetzung ist der Begriff zu klären. Bei einer Umsetzung wäre der Schutz von Personendaten vor Re-Identifizierung sicherzustellen und die Interessen der Gemeinden zu berücksichtigen (C) 3. Prüfung der rechtlichen Verankerung von Auf‌lagen oder Bedingungen für die Gewährleistung des Informationszugangs (C)

B. Anpassungen betreffend den Informationszugang bzw. die Mitteilung von Personendaten an andere öffentliche Organe: 1. Anpassungen bei der Bekanntgabe von Personendaten gemäss §§ 16 und 17 IDG (C) Dabei ist die Frage zu prüfen, ob die Bekanntgabe von Personendaten an öffentliche Organe auch bei Vorliegen einer mittelbaren gesetzlichen Grundlage unabhängig vom Einzelfall zulässig sein soll (entsprechend anderen kantonalen Gesetzen, z. B. § 21 Abs. 1 lit. b des Gesetzes über die Information und den Datenschutz des Kantons Basel-Stadt vom 9. Juni 2010). 2. Klärung des Anspruchs auf Informationszugang (§ 20 Abs. 1 und 2 IDG) (C) Eigene Daten sind in der Praxis häufig nicht einfach von Personendaten Dritter zu trennen. Das Verfahren, insbesondere der Einbezug der Dritten, allfällige Anonymisierung und Vorgehen, falls keine Anonymisierung möglich ist, sollen geklärt werden.

3. Klärung des Verfahrens und des Umfangs der Geltung von § 26 Abs. 2 IDG (C) Die Zulässigkeit staatlicher Information auch bei Ablehnung durch die betroffenen Dritten unter Einbezug von Lehre und Rechtsprechung (Urteile des Verwaltungsgerichts VB.2010.00025 und VB.2014. 00341; Kommentar VRG, § 8 Rz. 26). Dabei ist auch der Frage des Amtsgeheimnisses Beachtung zu schenken. 4. Umfang des Schutzes Dritter (§ 27 Abs. 2 IDG) (C) Es soll geprüft werden, ob des IDG durch eine Norm analog Art. 12 Abs. 3 des Bundesgesetzes vom 17. Dezember 2004 über das Öffentlichkeitsprinzip der Verwaltung ergänzt werden soll.

C. Anpassung bzw. Schaffung einzelner Gesetzesbestimmungen ohne Eingriff in Bedeutung und Struktur des IDG: 1. Einführung einer Pilotklausel (neue Bestimmung im Anschluss an § 3 IDG) (C) 2. Einfügen einer klaren Definition des IDG als Querschnittgesetz (C). Der Grundsatz, wonach spezialgesetzliche Regelungen denjenigen des IDG vorgehen, sollte verdeutlicht werden. Zudem ist zu prüfen, ob Schnittstellen zu anderen Gesetzen geklärt werden können (z. B. Archivgesetz [LS 170.6], Gesetz über die Gerichts- und Behördenorganisation im Zivil- und Strafprozess [GOG, LS 211.1] usw.). 3. Überprüfung der Verordnungskompetenz des Regierungsrates (§ 5 Abs. 4 IDG) (B, C) Die Verordnungskompetenz des Regierungsrates sollte auf Gemeinden und öffentliche Anstalten ausgedehnt werden, mindestens im Sinne einer Auffangnorm für das kantonale Verordnungsrecht, falls die Gemeinden nicht das gleiche Sicherheitsniveau garantieren können. 4. Klärung der Bedeutung der Verzeichnisse über die Informationsbestände mit Personendaten (§ 14 Abs. 4 IDG) (A) Es ist zu prüfen, ob die Verzeichnisse tatsächlich von Nutzen sind und ob Anpassungen der Rechtsgrundlage nötig sind oder die entsprechende Norm aufgehoben werden soll. 5. Präzisierung der Rechtsgrundlagen gemäss § 8 Abs. 2 IDG mit neuer Übergangsfrist (A) Es ist zu prüfen, ob die Art und Weise, wie Daten gehalten und ausgetauscht werden (Data-Governance), gesetzlich geregelt werden muss. Diesbezüglich ist insbesondere die Regelung in § 44 des Gesetzes über die Organisation des Regierungsrates und der kantonalen Verwaltung (OG RR, LS 172.1) zu beachten. 6. Schaffung von Regeln zur Videoüberwachung (C) Es ist zu prüfen, ob dieser Bereich durch eine generell-abstrakte Regelung im IDG geregelt werden kann.

7. Klärung verschiedener Verfahrensfragen (C) Geklärt werden sollten die Begriffe «hängige» Verfahren und «nicht rechtskräftig abgeschlossene» Verfahren (§§ 14 Abs. 3 und 20 Abs. 3 IDG) und auch das Akteneinsichtsrecht der Ombudsperson (§ 23 IDG in Verbindung mit § 92 Abs. 2 Verwaltungsrechtspflegegesetz [VRG, LS 175.2]). 8. Einführung einer umfassenden Verpflichtung zur Information der oder des Beauftragten für den Datenschutz über kantonale Gesetzgebungsprojekte und Vernehmlassungsverfahren zu Bundesvorhaben (A) 9. Neue Ausgestaltung der Kosten- und Gebührenregelung (§ 29 IDG) (A, B, C) In Umkehrung des bisherigen Systems soll die Kostenfreiheit für die Bearbeitung von Zugang zu Informationen eingeführt werden. Zusätzlich sind die Kosten/Gebühren zu klären.

D. Eingriffe in die Gliederung (ohne wesentliche inhaltliche Anpassungen): 1. Prüfung einer Trennung des Informationszugangsteils vom Datenschutzteil Dies soll unter anderem dem Ziel dienen, Ausnahmen vom Öffentlichkeitsprinzip einfacher und klarer vornehmen zu können (vgl. vor allem § 2b Abs. 1 und 2 IDG/GOG, § 8 Abs. 1 Satz 2 VRG / § 2b Abs. 2 IDG, § 44 OG RR [allgemeine Datenkategorien], § 8 Archivgesetz) (C). 2. Klarere Ausgestaltung der (Aufsichts-)Funktion der oder des Beauftragten für den Datenschutz (C) Im Zuge der EU-Datenschutzreform musste § 2 IDG angepasst werden, da allgemeine Ausnahmen gestützt auf die EU-Datenschutzreform nur noch von der Aufsicht möglich sind. Mittels einer neuen Gliederung können Ausnahmen (Kantonsrat, § 2a Abs. 2 IDG; Gerichte, § 2b Abs. 3 IDG) von der Aufsicht einfacher und klarer gelöst werden. 3. Anpassungsbedarf der Direktionen gestützt auf die Datenschutz-­ Grundverordnung Öffentliche Organe, die am wirtschaftlichen Wettbewerb teilnehmen und dabei nicht hoheitlich handeln, sind vom Geltungsbereich des IDG ausgenommen. Auf das private Datenbearbeiten dieser öffentlichen Organe sind die Regeln des DSG anwendbar (§ 2c Abs. 2 IDG). Falls einzelne öffentliche Organe grenzüberschreitend tätig sind und allenfalls gestützt auf das Marktortprinzip zusätzlich auch die Grundsätze der Datenschutz-Grundverordnung auf sie anwendbar sind, ist zu prüfen, ob die entsprechenden spezialgesetzlichen Regelungen angepasst werden müssen. Die Ermittlung dieses Anpassungsbedarfs ist Sache der zuständigen Direktionen (insbesondere Bildungsdirektion und Gesundheitsdirektion). Falls Anpassungen nötig sind, können diese aber gestützt auf Vorarbeiten der jeweils zuständigen Direktion im Rahmen der vorliegenden Gesetzesrevision erfolgen.

D. Ziel Mit der vorliegenden Revision sollen die vorne genannten Anliegen aus dem Kernbereich des IDG umgesetzt werden. Ziel ist es, bestehende Lücken zu schliessen und die Anwendung des IDG in Teilbereichen zu verbessern. Ob die Revision des IDG noch im Rahmen einer – wenn auch grösseren – Teilrevision durchgeführt werden kann oder ob eine Totalrevision durchgeführt werden muss, ist zurzeit noch nicht abschätzbar. Dieser – letztlich formale – Entscheid ist insbesondere davon abhängig ob Änderungen, die Auswirkungen auf die Systematik haben, vorgenommen werden (vgl. vorne Kapitel C.2. / Themenbereich D.).

E. Projektorganisation Für die Umsetzungsarbeiten erteilte die Generalsekretärin der Direktion der Justiz und des Innern am 30. Oktober 2019 einen Projektauftrag. Die Projektleitung ist im Generalsekretariat der Direktion der Justiz und des Innern angesiedelt. Vertretungen aller Direktionen und der Staatskanzlei, des Verbandes der Gemeindepräsidenten des Kantons Zürich, der obersten kantonalen Gerichte und der oder des Datenschutzbeauftragten sind in der Projektsteuerung vertreten. Das Projektteam setzt sich aus Mitarbeitenden des Generalsekretariates, der Staatskanzlei (Koordinationsstelle IDG) und der oder des Datenschutzbeauftragten des Kantons sowie dem Datenschutzbeauftragten der Stadt Zürich zusammen. In Einzelfragen (insbesondere bei der Klärung von Schnittstellen zu anderen Gesetzen) werden zusätzlich Fachspezialistinnen und Fachspezialisten der Direktionen (zu denken ist insbesondere an die Bildungs-, die Finanz-, die Gesundheits- und die Sicherheitsdirektion) sowie der obersten kantonalen Gerichte, der Strafverfolgungsbehörden und des Staatsarchivs beigezogen werden.

F. Planung Im Verlaufe des Jahres 2020 soll eine Vernehmlassungsvorlage ausgearbeitet werden. Diese soll – nach Einbezug der Projektsteuerung – dem Regierungsrat vorgelegt werden. Die Vernehmlassung soll 2021 durchgeführt werden und die Vorlage dem Regierungsrat Anfang 2022 unterbreitet werden.