Verordnung zum Gesetz über die Information und den Datenschutz

Die §§ 2–7 dieser Verordnung gelten für alle Datenbearbeitungen und für alle IT-Systeme, auf die die Verordnung über die Informationssicherheit (VIS)³ nicht anwendbar ist oder für die noch keine Sicherheitsmassnahmen im Sinne von § 1 VIS festgelegt sind.

Die öffentlichen Organe sind für die Sicherheit der von ihnen bearbeiteten Informationsbestände verantwortlich. Sie bezeichnen eine für die Umsetzung des Datenschutzes verantwortliche Person.

Die öffentlichen Organe sorgen mit angemessenen organisatorischen und technischen Massnahmen für die Vertraulichkeit, die Verfügbarkeit und die Richtigkeit der Daten.

Die gemäss § 8 IDG zu treffenden Massnahmen berücksichtigen die mit der Datenbearbeitung verbundenen Risiken für die Persönlichkeitsrechte der betroffenen Personen.

Die verantwortlichen Organe prüfen periodisch die Angemessenheit der in ihrer Organisation ergriffenen Sicherheitsmassnahmen und passen diese dem aktuellen Stand der Technik an.

Die Zuteilung der Gesamtverantwortung (§ 6 Abs. 2 IDG) richtet sich insbesondere nach folgenden Aspekten:

1. Möglichkeit eines beteiligten öffentlichen Organs, über den Inhalt und den Zweck des gemeinsamen Datenbestands zu entscheiden;

2. alleinige Verfügung über die zugeteilten personellen und finanziellen Ressourcen bei einem beteiligten öffentlichen Organ, um die rechtmässige Datenbearbeitung und die Informationssicherheit zu gewährleisten.

Der Nachweis für die Einhaltung der Datenschutzbestimmungen (§ 6 Abs. 3 IDG) wird erbracht durch die Dokumentation insbesondere:

1. der rechtlichen Grundlagen für die Bearbeitung der Personendaten,

2. der Risiken und Abhilfemassnahmen,

3. der Prozesse sowie

4. der Verantwortlichkeiten.

Die Dokumentation gemäss Abs. 6 hat in einem strukturierten Datenschutz-Managementsystem zu erfolgen, wenn das öffentliche Organ besondere Personendaten oder Personendaten bearbeitet, die einer spezialgesetzlichen Geheimhaltungspflicht unterliegen.

Unbefugten Personen ist der Zugang zu Räumlichkeiten zu verwehren, in denen Personendaten oder vertrauliche Informationen bearbeitet werden.

Das verantwortliche öffentliche Organ (§ 6 IDG) stellt beim Entwurf und beim Betrieb von IT-Systemen und Anwendungen sicher, dass nur berechtigte Personen auf IT-Systeme und auf Datenbestände zugreifen können.

Der Zugriff auf ein IT-System darf nur mit Hilfe von persönlichen Passwörtern, die periodisch zu wechseln und geheim zu halten sind, oder mit Hilfe einer anderen Authentifizierung möglich sein.

Datenbearbeitungen, die Personendaten umfassen, sind so zu speichern und zu sichern, dass sie nötigenfalls rekonstruiert werden können.

Die elektronische Bearbeitung von Personendaten (namentlich Vorbereitung/Durchführung und Programmierung/Operating) ist in der Regel so aufzuteilen, dass nicht eine Person allein die wichtigen Funktionen als Ganzes bearbeiten kann.

Das verantwortliche öffentliche Organ (§ 6 IDG) sensibilisiert seine Mitarbeitenden, die Auftragsdatenbearbeiterinnen und Auftragsdatenbearbeiter sowie die zugriffsberechtigten Dritten für die Belange der Informationssicherheit und stellt sicher, dass diese ihre Verantwortlichkeit kennen.

Liefert das öffentliche Organ regelmässig Personendaten zu statistischen Zwecken an das Amt für Daten und Statistik, informiert es die betroffene Person darüber bei der Erhebung der Daten.

Aufträge zum Bearbeiten von Personendaten durch Organisationseinheiten oder Private, die nicht dem Informations- und Datenschutzgesetz (IDG) unterstehen, müssen schriftlich erteilt werden.

Das verantwortliche öffentliche Organ stellt mit organisatorischen oder technischen Massnahmen sowie vertraglich sicher, dass die staatliche Aufgabenerfüllung auch dann ohne wesentliche Beeinträchtigung gewährleistet ist, wenn die Auftragsdatenbearbeiterin oder der Auftragsdatenbearbeiter die schriftliche Vereinbarung nicht einhält oder die Geschäftstätigkeit einstellt.

Ein hohes Risiko für die Grundrechte der betroffenen Personen im Sinn von § 12 Abs. 1 Bst. b IDG liegt insbesondere vor, wenn die Datenbearbeitung:

1. ein Abrufverfahren vorsieht oder

2. besondere Personendaten (§ 3 Abs. 4 IDG) betrifft oder

3. mit dem Einsatz neuer Technologien verbunden ist oder

4. eine grosse Anzahl von Personen betrifft oder

5. durch mehrere öffentliche Organe erfolgt.

Die 1. Kontaktaufnahme mit der Aufsichtsstelle Datenschutz muss zu einem Zeitpunkt erfolgen, der es dem verantwortlichen öffentlichen Organ ermöglicht, das Ergebnis der Vorabkonsultation noch zu berücksichtigen.

Die Vorabkonsultation findet je nach Umfang des Vorhabens in einem Prüfungsschritt oder in mehreren Prüfungsschritten statt.

Die Aufsichtsstelle Datenschutz nimmt den jeweiligen Prüfungsschritt innert angemessener Frist vor und teilt dem öffentlichen Organ das Prüfungsergebnis mit.

Die vom öffentlichen Organ der Aufsichtsstelle Datenschutz vorzulegende Dokumentation enthält alle für die Beurteilung relevanten Unterlagen, insbesondere:

1. die Beschreibung des Vorhabens (einschliesslich der Prozesse und Abläufe),

2. die Rechtsgrundlage für die Datenbearbeitung und

3. eine Übersicht über die Massnahmen zur Verhinderung von Persönlichkeitsverletzungen.

Das Verzeichnis der Informationsbestände, die Personendaten enthalten, weist für jeden Datenbestand mindestens folgende Angaben auf:

1. die Bezeichnung des Informationsbestands,

2. die Rechtsgrundlage für die Datenbearbeitung,

3. den Zweck der Datenbearbeitung und

4. das verantwortliche öffentliche Organ.

Die Landeskanzlei setzt das Öffentlichkeitsprinzip bei den Geschäften des Gesamt-Regierungsrats um.

Die Direktionen der kantonalen Verwaltung, die Landeskanzlei, die Gerichte, die Gemeinden und weiteren Körperschaften sowie die selbständigen kantonalen und kommunalen Betriebe setzen das Öffentlichkeitsprinzip selbständig um.

Die Direktionen der kantonalen Verwaltung und die Landeskanzlei bezeichnen je eine Stelle, die mit der Umsetzung des Öffentlichkeitsprinzips in der Direktion respektive in der Landeskanzlei betraut ist.

Die Landeskanzlei erlässt Richtlinien für die Umsetzung des Öffentlichkeitsprinzips im Bereich der Kommunikation der Direktionen.

Die Direktionen der kantonalen Verwaltung teilen der Landeskanzlei jährlich mit:

1. die Anzahl der im Berichtsjahr schriftlich eingereichten Gesuche um Informationszugang,

2. die Anzahl der gutgeheissenen und der ganz oder teilweise abgewiesenen schriftlichen Gesuche, und

3. besondere Vorkommnisse im Zusammenhang mit der Gewährung des Informationszugangs.

Die Landeskanzlei stellt die Informationen der Aufsichtsstelle Datenschutz für die Berichterstattung gemäss § 47 IDG zur Verfügung.

Gesuche um Zugang zu Informationen sind zu behandeln:

1. vom öffentlichen Organ, das die Informationen bearbeitet oder durch Dritte bearbeiten lässt;

2. bei internen und externen Gutachten vom öffentlichen Organ, welches das Gutachten in Auftrag gegeben hat.

Für die Behandlung von Gesuchen um Informationszugang zu den Geschäften des Gesamt-Regierungsrats ist die Landeskanzlei zuständig.

Betrifft das Gesuch offensichtlich Informationen, die ein anderes öffentliches Organ bearbeitet oder durch Dritte bearbeiten lässt, wird das Gesuch unter Mitteilung an die gesuchstellende Person an das zuständige öffentliche Organ weitergeleitet. Dies gilt namentlich, wenn das angefragte öffentliche Organ zwar über die verlangte Information verfügt, sie aber nicht selbst erstellt oder in Auftrag gegeben oder als Hauptadressatin empfangen hat.

Betrifft das Gesuch Informationen mehrerer öffentlicher Organe, sprechen sich diese über die Behandlung des Gesuchs ab.

Eine Aufzeichnung gilt insbesondere als nicht fertig gestellt, wenn:

1. die Erstellerin oder der Ersteller sie noch nicht unterzeichnet hat;

2. die Erstellerin oder der Ersteller sie noch nicht der Adressatin oder dem Adressaten übergeben hat;

3. sie sich im Entwurfsstadium befindet;

4. der handschriftlich oder elektronisch verfasste Text mit Streichungen oder Anmerkungen versehen ist;

5. sie als informelle Arbeitsnotiz dient.

Datensammlungen sind so zu gestalten, dass die betroffene Person ihr Auskunftsrecht und ihr Recht auf Berichtigung wahrnehmen kann.

Das öffentliche Organ macht auf das Sperrecht aufmerksam durch:

1. einen schriftlichen Hinweis auf Formularen, mit denen es Daten erhebt;

2. einen Hinweis auf der Website bei Online-Datenerfassungen;

3. Hinweise in Publikationen, die über Datenerhebungen informieren.

Das öffentliche Organ, das die Sperrung vollzogen hat, sorgt dafür, dass andere öffentliche Organe, die von ihm gesperrte Personendaten erhalten, über die Sperrung informiert werden.

Verlangt die betroffene Person die Aufhebung der Sperrung, teilt sie dies dem öffentlichen Organ schriftlich mit.

Bei besonderen Personendaten (§ 3 Abs. 4 IDG) wird vermutet, dass das private Interesse der betroffenen Person gegenüber dem Interesse einer Drittperson am Zugang überwiegt.

Es besteht kein Anspruch auf Zugang zu den Beschlussentwürfen und Berichten sowie zu den verwaltungsinternen Mitberichten oder Vernehmlassungen und anderen vergleichbaren Meinungsäusserungen, die die Direktionen und die Landeskanzlei sowie der Rechtsdienst von Regierungsrat und Landrat im Hinblick auf die Beschlussfassung durch den Regierungsrat erstellen.

Dies gilt sinngemäss auch für die Beschlussentwürfe und Berichte sowie die verwaltungsinternen Mitberichte oder Vernehmlassungen und anderen vergleichbaren Meinungsäusserungen, die im Hinblick auf die Beschlussfassung durch den Gemeinderat erstellt werden, sofern die Gemeinde keine abweichende Regelungen erlassen hat.

Das Gesuch um Zugang zu Informationen kann mündlich oder schriftlich gestellt werden und muss nicht begründet werden.

Auf mündliche Anfragen kann das öffentliche Organ mündlich Auskunft erteilen.

Die Gesuchstellerin oder der Gesuchsteller hat die ihr oder ihm zumutbaren Angaben zu machen, die es dem öffentlichen Organ erlauben, das verlangte amtliche Dokument zu identifizieren.

Das öffentliche Organ kann ein schriftliches Gesuch verlangen, wenn:

1. das mündliche Gesuch unklar oder umfangreich ist oder

2. für die Gesuchsbearbeitung eine Anhörung betroffener Dritter nach § 30 Abs. 2 IDG erforderlich ist oder

3. für die Vornahme der Interessenabwägung vertiefte Abklärungen zu treffen sind oder

4. die Gesuchsbearbeitung mit besonderem Aufwand verbunden ist.

Das öffentliche Organ kann verlangen, dass die Gesuchstellerin oder der Gesuchsteller das Gesuch präzisiert; es weist darauf hin, dass auf das Gesuch nicht eingetreten wird, falls die zur Identifizierung des verlangten Dokuments erforderliche Präzisierung nicht innert einer Frist von 20 Tagen erfolgt.

Bleibt die verlangte Präzisierung aus, teilt das öffentliche Organ der Gesuchstellerin oder dem Gesuchsteller schriftlich mit, dass auf das Gesuch nicht eingetreten wird.

Das öffentliche Organ nimmt eine Kopie des Identitätsausweises zu den Akten, falls es einen Ausweis verlangen muss, weil die Identität der gesuchstellenden Person nicht zweifelsfrei fest steht.

In der Regel beträgt die Frist für die Stellungnahme zu einem Informationszugangsgesuch:

1. 7 Tage für andere öffentliche Organe, die vom Gesuch betroffen sind;

2. 14 Tage für Drittpersonen, die vom Gesuch betroffen sind; geht innert Frist keine Stellungnahme ein, wird eine Nachfrist von höchstens 14 Tagen gewährt.

Wird keine Stellungnahme eingereicht, entscheidet das für die Zugangsgewährung zuständige öffentliche Organ aufgrund der ihm vorliegenden Akten.

Bei der Behandlung von Zugangsgesuchen Medienschaffender ist, soweit möglich, auf die zeitliche Dringlichkeit der Berichterstattung Rücksicht zu nehmen.

Der Arbeitsaufwand für das Verfahren auf Informationszugang ist bis zu 1 Stunde kostenlos.

Für den Arbeitsaufwand ab der 2. Stunde wird ein Stundenansatz von CHF 100.– in Rechnung gestellt.

Das öffentliche Organ teilt der gesuchstellenden Person mit, wenn der Arbeitsaufwand voraussichtlich mehr als 1 Stunde beträgt und nennt die ungefähren Kosten; gleichzeitig setzt es eine Frist für die Mitteilung, ob am Gesuch festgehalten wird.

Für die Anfertigung von Kopien oder von sonstigen Datenträgern werden folgende Gebühren erhoben:

1. für die Herstellung von Fotokopien oder von elektronischen Kopien (falls die Dokumente nicht bereits elektronisch vorliegen) pro Seite CHF 1.–; ab der 40. Seite pro Seite CHF 0.50;

2. für elektronische Kopien auf maschinenlesbarem Datenträger, zusätzlich zum allfälligen Seitenpreis nach Bst. a., pro Datenträger CHF 20.–;

3. pro Tonbandkassette, bespielt durch das öffentliche Organ, CHF 20.–;

4. für Vervielfältigungen, die durch externe Dienstleister angefertigt werden müssen, nach Offerte.

Die Verordnung vom 11. März 2008⁴ über die Informationssicherheit (VIS) wird wie folgt geändert: ...⁵

Die Verordnung vom 13. August 1991⁶ zum Datenschutzgesetz wird aufgehoben.

Diese Verordnung tritt am 1. Januar 2013 in Kraft.