Gesetz über die Information und den Datenschutz

Dieses Gesetz regelt den Umgang der öffentlichen Organe mit Informationen.

Es bezweckt:

1. das Handeln der öffentlichen Organe transparent zu gestalten und damit die freie Meinungsbildung und die Wahrnehmung der demokratischen Rechte zu fördern, soweit nicht überwiegende öffentliche oder private Interessen entgegen stehen, und

2. die Grundrechte von natürlichen Personen zu schützen, über welche die öffentlichen Organe Personendaten bearbeiten.

Regierungsrat und Landrat sorgen dafür, dass interkantonale Institutionen mit basellandschaftlicher Beteiligung einen gleichwertigen Datenschutz gewährleisten.

Dieses Gesetz gilt für alle öffentlichen Organe gemäss § 3 Abs. 1.

Es findet keine Anwendung:

1. soweit ein öffentliches Organ am wirtschaftlichen Wettbewerb teilnimmt und dabei privatrechtlich handelt.

2. …

3. …

Die Rechte und Ansprüche der betroffenen Person während hängigen Verfahren der Zivilrechts- und Strafrechtspflege, der Verfassungs- und Verwaltungsgerichtsbarkeit sowie während hängigen Rechtshilfeverfahren richten sich ausschliesslich nach dem anwendbaren Verfahrensrecht.

Abweichende und ergänzende Bestimmungen in anderen Gesetzen bleiben vorbehalten, sofern sie den Schutz der Grundrechte von Personen, über welche die öffentlichen Organe Personendaten bearbeiten, im Sinne dieses Gesetzes sicherstellen.

Öffentliche Organe im Sinne dieses Gesetzes sind:

1. die Organisationseinheiten des Kantons und der Gemeinden, die eine öffentliche Aufgabe erfüllen;

2. die Organisationseinheiten der juristischen Personen des kantonalen und kommunalen öffentlichen Rechts, die eine öffentliche Aufgabe erfüllen;

3. Private, soweit ihnen von Kanton oder Gemeinden die Erfüllung öffentlicher Aufgaben übertragen ist.

Informationen im Sinne dieses Gesetzes sind alle Aufzeichnungen, welche die Erfüllung einer öffentlichen Aufgabe betreffen, unabhängig von ihrer Darstellungsform und ihrem Informationsträger.

Personendaten sind Informationen, die sich auf eine bestimmte oder bestimmbare natürliche Person beziehen.

Besondere Personendaten sind:

• a. Personendaten, bei deren Bearbeitung eine besondere Gefahr der Grundrechtsverletzung besteht, insbesondere Angaben über:

• 1. die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten,

• 2. die Gesundheit, das Erbgut (genetische Daten), die Intimsphäre oder die ethnische Herkunft,

• 2^bis. Behinderungen,

• 3. Massnahmen der sozialen Hilfe,

• 4. administrative oder strafrechtliche Verfolgungen und Sanktionen,

• 5. mit speziellen technischen Verfahren gewonnene personenbezogene Daten zu den physischen, physiologischen oder verhaltenstypischen Merkmalen einer natürlichen Person, welche die eindeutige Identifizierung dieser Person ermöglichen oder bestätigen (biometrische Daten).

• b. Zusammenstellungen von Informationen, die eine Beurteilung wesentlicher Aspekte der Persönlichkeit einer natürlichen Person erlauben (Persönlichkeitsprofil).

Bearbeiten ist jeder Umgang mit Informationen, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Lesen, Verändern, Bekanntgeben, Archivieren, Löschen oder Vernichten sowie das Durchführen logischer und/oder rechnerischer Operationen mit diesen Informationen.

Bekanntgeben ist jedes Zugänglichmachen von Informationen wie das Einsichtgewähren, Weitergeben oder Veröffentlichen.

Profiling ist jede Auswertung von Informationen, um wesentliche persönliche Merkmale zu analysieren oder Entwicklungen vorherzusagen, insbesondere bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, Intimsphäre oder Mobilität.

Auftragsdatenbearbeiterin oder Auftragsdatenbearbeiter ist die private Person oder das öffentliche Organ, die oder das Informationen im Auftrag des öffentlichen Organs bearbeitet, welches für die Bearbeitung verantwortlich ist.

Das öffentliche Organ gestaltet den Umgang mit Informationen so, dass es rasch, umfassend und sachlich informieren kann.

Dabei beachtet es die Anforderungen des Behindertenrechtegesetzes BL³.

Das öffentliche Organ verwaltet seine Informationen nach den Vorschriften über die Aktenführung gemäss dem Archivierungsgesetz.

Die Verantwortung für den Umgang mit Informationen trägt dasjenige öffentliche Organ, das die Informationen zur Erfüllung seiner gesetzlichen Aufgaben bearbeitet.

Bearbeiten mehrere öffentliche Organe einen gemeinsamen Informationsbestand, regeln sie die Verantwortung untereinander und legen fest, welches öffentliche Organ die Gesamtverantwortung trägt.

Das verantwortliche öffentliche Organ muss gegenüber der Aufsichtsstelle Datenschutz nachweisen können, dass es die Datenschutzbestimmungen einhält.

Der Regierungsrat regelt das Nähere für die kantonale Verwaltung, der Gemeinderat regelt das Nähere für die kommunale Verwaltung. Soweit Gemeinden keine Regelungen erlassen, gelten diejenigen für die kantonale Verwaltung.

Das öffentliche Organ kann das Bearbeiten von Informationen einer Auftragsdatenbearbeiterin oder einem Auftragsdatenbearbeiter übertragen, wenn:

1. keine rechtliche Bestimmung oder vertragliche Vereinbarung entgegensteht und

2. sichergestellt wird, dass die Informationen nur so bearbeitet werden, wie es das öffentliche Organ tun dürfte.

Das öffentliche Organ bleibt für den Umgang mit Informationen nach diesem Gesetz verantwortlich.

Die Auftragsdatenbearbeiterin oder der Auftragsdatenbearbeiter darf ohne vorgängige schriftliche Zustimmung des auftraggebenden öffentlichen Organs die Informationsbearbeitung keiner weiteren Auftragsdatenbearbeiterin oder keinem weiteren Auftragsdatenbearbeiter übertragen.

Das öffentliche Organ schützt Informationen durch angemessene organisatorische und technische Massnahmen vor Verlust, Entwendung sowie unrechtmässiger Bearbeitung und Kenntnisnahme.

Die zu treffenden Massnahmen richten sich nach der Art der Information, nach Art und Zweck der Verwendung und nach dem jeweiligen Stand der Technik.

Der Regierungsrat regelt das Nähere.

Ein öffentliches Organ darf Personendaten bearbeiten, wenn:

1. dafür eine gesetzliche Grundlage besteht oder

2. dies zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist.

Besondere Personendaten dürfen bearbeitet und ein Profiling darf nur vorgenommen werden, wenn:

1. sich die Zulässigkeit ausdrücklich aus einem Gesetz ergibt oder

2. dies zur Erfüllung einer im Gesetz ausdrücklich umschriebenen Aufgabe erforderlich ist.

Das Bearbeiten von Personendaten hat nach Treu und Glauben zu erfolgen und muss verhältnismässig sein.

Personendaten dürfen nur so lange bearbeitet werden, als es zur Erfüllung der gesetzlichen Aufgabe erforderlich ist.

Der Regierungsrat kann, nachdem er im Rahmen einer Vorabkonsultation (§ 12) die Beurteilung der Aufsichtsstelle Datenschutz (§ 35) eingeholt hat, vor dem Inkrafttreten eines Gesetzes die Bearbeitung von besonderen Personendaten bewilligen, wenn:

1. die Aufgaben, die diese Bearbeitung erforderlich machen, in einem Gesetz geregelt sind, und

2. ausreichende Massnahmen zur Verhinderung von Persönlichkeitsverletzungen getroffen werden, und

3. die praktische Umsetzung einer Datenbearbeitung eine Testphase vor dem Inkrafttreten des Gesetzes zwingend erfordert.

Die praktische Umsetzung einer Datenbearbeitung kann eine Testphase zwingend erfordern, wenn die Erfüllung einer Aufgabe:

1. technische Neuerungen erfordert, deren Auswirkungen zunächst evaluiert werden müssen, oder

2. bedeutende organisatorische oder technische Massnahmen erfordert, deren Wirksamkeit zunächst geprüft werden muss, insbesondere bei der Zusammenarbeit mit öffentlichen Organen des Bundes und anderer Kantone und Privaten, oder

3. die Bekanntgabe von besonderen Personendaten an Dritte mittels eines Abrufverfahrens erfordert.

Pilotprojekte sind auf maximal 5 Jahre zu befristen.

Jedes Pilotprojekt ist zu evaluieren.

Der Regierungsrat regelt die Modalitäten der Datenbearbeitung in einer Verordnung.

Personendaten müssen richtig und, soweit es der Verwendungszweck erfordert, vollständig sein.

Wer Personendaten bearbeitet, hat sich über deren Richtigkeit zu vergewissern.

Es sind alle angemessenen Massnahmen zu treffen, damit Daten berichtigt oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind.

Personendaten dürfen nur zu dem Zweck bearbeitet werden, zu dem sie erhoben worden sind, soweit nicht eine gesetzliche Grundlage ausdrücklich eine weitere Verwendung vorsieht oder die betroffene Person im Einzelfall einwilligt.

Zu einem nicht personenbezogenen Zweck darf das öffentliche Organ Personendaten bearbeiten, wenn sie anonymisiert werden, sobald es der Bearbeitungszweck zulässt; aus den Auswertungen dürfen keine Rückschlüsse auf betroffene Personen möglich sein.

Das verantwortliche öffentliche Organ prüft bei jedem Vorhaben für eine Personendatenbearbeitung, ob voraussichtlich ein hohes Risiko für die Grundrechte der betroffenen Personen besteht.

Besteht voraussichtlich ein hohes Risiko, ist eine Datenschutz-Folgenabschätzung durchführen.

Die Datenschutz-Folgenabschätzung enthält mindestens:

1. eine allgemeine Beschreibung der geplanten Bearbeitungsvorgänge;

2. eine Bewertung der Risiken für die Grundrechte der betroffenen Personen; sowie

3. eine Darstellung und Bewertung der geplanten Abhilfemassnahmen, Garantien, Sicherheitsvorkehren und Verfahren, durch die der Schutz der Grundrechte der betroffenen Personen sichergestellt und der Nachweis erbracht werden soll, dass die Datenschutzbestimmungen eingehalten werden.

Das verantwortliche öffentliche Organ legt der Aufsichtsstelle Datenschutz (§ 35) frühzeitig zur Vorabkonsultation vor:

1. Rechtsetzungsprojekte, die die Bearbeitung von Personendaten betreffen, und

2. Vorhaben zur Bearbeitung von Personendaten, die aufgrund der Art der Bearbeitung oder der zu bearbeitenden Daten voraussichtlich zu einem hohen Risiko für die Grundrechte der betroffenen Personen führen.

Die Aufsichtsstelle Datenschutz kann Kriterien für Bearbeitungsvorgänge festlegen, die ihr zur Vorabkonsultation zu unterbreiten sind.

Das öffentliche Organ gestaltet informationstechnologische Systeme so, dass keine oder möglichst wenig personenbezogene und personenbeziehbare Daten anfallen.

Insbesondere ist von den Möglichkeiten der Anonymisierung und Pseudonymisierung Gebrauch zu machen, soweit dies möglich ist und der Aufwand in einem angemessenen Verhältnis zum angestrebten Schutzzweck steht.

Das verantwortliche öffentliche Organ informiert die betroffene Person angemessen über jede Beschaffung von Daten; diese Informationspflicht gilt auch, wenn die Daten bei Dritten beschafft werden.

Zur Gewährleistung einer transparenten Datenbearbeitung und damit die betroffene Person ihre Rechte geltend machen kann, umfasst die Information mindestens Angaben über:

1. das verantwortliche öffentliche Organ samt Kontaktdaten;

2. die bearbeiteten Daten oder die Kategorien der bearbeiteten Daten;

3. alle verfügbaren Informationen über die Herkunft der Personendaten, wenn sie nicht bei der betroffenen Person erhoben worden sind;

4. die Rechtsgrundlage und den Zweck des Bearbeitens;

5. die Datenempfänger oder die Kategorien der Datenempfänger, falls die Daten Dritten bekanntgegeben werden; und

6. die Rechte der betroffenen Person.

Die Informationspflicht entfällt, wenn:

1. die betroffene Person bereits über die Informationen nach Abs. 2 verfügt;

2. das Bearbeiten der Personendaten gesetzlich ausdrücklich vorgesehen ist; oder

3. die Information nicht oder nur mit unverhältnismässigem Aufwand möglich ist.

Die Bekanntgabe der Informationen kann unter denselben Voraussetzungen eingeschränkt werden wie der Zugang zu den eigenen Personendaten.

Nicht mehr benötigte Personendaten, die von der gemäss Archivierungsgesetz zuständigen Stelle als nicht archivwürdig beurteilt werden, sind vom öffentlichen Organ zu vernichten.

Für alle Informationsbestände, die Personendaten enthalten, sind Fristen für die Beurteilung festzulegen, ob die Personendaten zur Aufgabenerfüllung noch benötigt werden oder ob sie archiviert oder vernichtet werden sollen.

Eine Datenschutzverletzung liegt vor, wenn die Sicherheit so verletzt wird, dass:

1. bearbeitete Personendaten unwiederbringlich vernichtet werden oder verloren gehen, unbeabsichtigt oder unrechtmässig verändert oder offenbart werden; oder

2. Unbefugte Zugang zu solchen Personendaten erhalten.

Das verantwortliche öffentliche Organ meldet der Aufsichtsstelle Datenschutz (§ 35) ohne unangemessene Verzögerung eine Datenschutzverletzung.

Die Auftragsdatenbearbeiterin oder der Auftragsdatenbearbeiter informiert das auftraggebende öffentliche Organ unverzüglich über eine Datenschutzverletzung.

Eine Meldepflicht des öffentlichen Organs besteht nicht, wenn die Datenschutzverletzung voraussichtlich nicht zu einem Risiko für die Grundrechte der betroffenen Person führt. Die Aufsichtsstelle Datenschutz kann Kriterien für Datenschutzverletzungen festlegen, die ihr zu melden sind.

Das öffentliche Organ informiert die betroffenen Personen, wenn die Umstände dies erfordern oder die Aufsichtsstelle Datenschutz es verlangt.

Die Benachrichtigung der betroffenen Personen kann ausserdem ganz oder teilweise unterbleiben oder aufgeschoben werden, wenn eine Einschränkung gemäss § 27 zulässig ist.

Das öffentliche Organ kann zur Sicherstellung der Qualität der Informationsbearbeitung seine Verfahren, seine Organisation und seine technischen Einrichtungen durch eine unabhängige und anerkannte Stelle prüfen und bewerten lassen.

Das öffentliche Organ informiert die Öffentlichkeit über seine Tätigkeiten und Angelegenheiten von allgemeinem Interesse.

Von allgemeinem Interesse sind Informationen, die Belange von öffentlichem Interesse betreffen und für die Meinungsbildung und zur Wahrung der demokratischen Rechte der Bevölkerung von Bedeutung sind.

Das öffentliche Organ stellt Informationen über seinen Aufbau, seine Zuständigkeiten und über Ansprechpersonen zur Verfügung.

Über hängige Verfahren darf das öffentliche Organ informieren, wenn dies zur Berichtigung oder Vermeidung falscher Meldungen erforderlich ist oder wenn in einem besonders schweren oder Aufsehen erregenden Fall angezeigt ist, unverzüglich zu informieren.

Der Regierungsrat regelt die Informationstätigkeit für die kantonale Verwaltung. Die Informationen erfolgen in sachlicher, einfacher und kostengünstiger Weise und vorzugsweise über das Internet.

Das öffentliche Organ gibt Personendaten bekannt, wenn:

1. eine gesetzliche Grundlage dazu verpflichtet oder ermächtigt oder

2. dies zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist oder

3. im Einzelfall die betroffene Person ausdrücklich zugestimmt hat oder, falls sie dazu nicht in der Lage ist, die Bekanntgabe in ihrem Interesse liegt und ihre Zustimmung in guten Treuen vorausgesetzt werden darf.

Durch ein Abrufverfahren dürfen Personendaten nur zugänglich gemacht werden, wenn die gesetzliche Grundlage dies ausdrücklich vorsieht.

Das öffentliche Organ gibt besondere Personendaten oder Resultate eines Profilings bekannt, wenn:

1. ein Gesetz dazu ausdrücklich verpflichtet oder ermächtigt oder

2. dies zur Erfüllung einer im Gesetz ausdrücklich umschriebenen Aufgabe erforderlich ist oder

3. im Einzelfall die betroffene Person ausdrücklich zugestimmt hat oder, falls sie dazu nicht in der Lage ist, die Bekanntgabe in ihrem Interesse liegt und ihre Zustimmung in guten Treuen vorausgesetzt werden darf.

Durch ein Abrufverfahren dürfen besondere Personendaten nur zugänglich gemacht werden, wenn ein Gesetz dies ausdrücklich vorsieht.

Das öffentliche Organ kann Personendaten zur Bearbeitung für einen nicht personenbezogenen Zweck bekannt geben, sofern dies nicht durch eine besondere Geheimhaltungsbestimmung ausgeschlossen ist.

Die Empfängerin oder der Empfänger hat sich zu verpflichten:

1. die Personendaten zu anonymisieren oder zu pseudonymisieren, sobald es der Bearbeitungszweck zulässt;

2. die Auswertungen nur so bekannt zu geben, dass keine Rückschlüsse auf betroffene Personen möglich sind.

Privaten werden Personendaten nur bekannt gegeben, wenn sie sich zusätzlich verpflichten, die Daten nicht für andere Zwecke zu bearbeiten und sie nicht an Dritte weiter zu geben sowie für die Datensicherung gesorgt ist.

Öffentliche Organe dürfen Personendaten anderen Organen oder Privaten, die nicht der Rechtshoheit eines Staates unterstehen, der dem Europaratsübereinkommen zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten beigetreten ist, nur bekannt geben, wenn:

1. die Gesetzgebung des Empfängerstaates einen angemessenen Schutz gewährleistet;

2. durch vertragliche Vereinbarungen ein angemessener Schutz garantiert wird;

3. dies im Einzelfall entweder für die Wahrung eines überwiegenden öffentlichen Interesses oder für die Feststellung, Ausübung oder Durchsetzung von Rechtsansprüchen vor Gericht unerlässlich ist, oder

4. im Einzelfall die betroffene Person ausdrücklich zugestimmt hat oder, falls sie dazu nicht in der Lage ist, die Bekanntgabe in ihrem Interesse liegt und ihre Zustimmung in guten Treuen vorausgesetzt werden darf.

Vorbehalten bleiben die gesetzlichen Bestimmungen über den Austausch und die Weiterverarbeitung von Personendaten im Rahmen des Schengener Informationssystems (SIS).

Die Strafverfolgungs-, Strafgerichtsbarkeits- und Strafvollzugsorgane führen ein vollständiges Verzeichnis ihrer Verfahren, bei denen Personendaten bearbeitet werden.

Das Verzeichnis ist der Öffentlichkeit leicht zugänglich zu machen, insbesondere durch öffentliche Datennetze.

Der Regierungsrat regelt in der Verordnung den Inhalt des Verzeichnisses und die Ausnahmen von der Veröffentlichungspflicht.

Jede Person hat Anspruch auf Zugang zu den bei einem öffentlichen Organ im Sinne von § 3 Abs. 1 Bst. a und b vorhandenen Informationen, ausgenommen zu Aufzeichnungen, die nicht fertig gestellt sind.

In hängigen Verwaltungs- und Verwaltungsbeschwerdeverfahren richtet sich der Anspruch auf Zugang zu Informationen nach dem massgeblichen Verfahrensrecht.

Jede Person hat Anspruch darauf zu wissen, ob bei einem öffentlichen Organ Personendaten über sie vorhanden sind, und gegebenenfalls auf Zugang zu diesen eigenen Personendaten.

Der Zugang umfasst:

1. die Angaben nach § 14 Abs. 2 und

2. alle Personendaten zur gesuchstellenden Person.

Jede betroffene Person kann vom öffentlichen Organ verlangen, dass es kostenlos:

1. unrichtige Personendaten berichtigt oder, falls die Berichtigung nicht möglich ist, vernichtet;

2. das widerrechtliche Bearbeiten von Personendaten unterlässt;

3. die Folgen des widerrechtlichen Bearbeitens von Personendaten beseitigt;

4. die Widerrechtlichkeit des Bearbeitens von Personendaten schriftlich feststellt.

Bestreitet das öffentliche Organ die Unrichtigkeit, so hat es die Richtigkeit der Personendaten zu beweisen.

Kann der Natur der Daten nach weder die Richtigkeit noch die Unrichtigkeit von Personendaten bewiesen werden, insbesondere von solchen, die eine Wertung menschlichen Verhaltens enthalten, kann die betroffene Person die Aufnahme einer Gegendarstellung verlangen.

Die betroffene Person kann beim verantwortlichen öffentlichen Organ die Bekanntgabe ihrer Personendaten schriftlich sperren lassen.

Die Bekanntgabe ist trotz Sperrung zulässig, wenn:

1. das öffentliche Organ zur Bekanntgabe gesetzlich verpflichtet ist oder

2. die Bekanntgabe zur Erfüllung einer gesetzlichen Aufgabe erforderlich ist oder

3. die um Bekanntgabe ersuchende Person glaubhaft macht, dass die Personendaten zur Durchsetzung ihrer Rechtsansprüche erforderlich sind.

Jede Person kann der Aufsichtsstelle Datenschutz (§ 35) Tatsachen anzeigen, wonach ein öffentliches Organ oder eine Auftragsdatenbearbeiterin oder ein Auftragsdatenbearbeiter bei der Bearbeitung von sie betreffenden Personendaten gegen die datenschutzrechtlichen Vorschriften verstösst.

Die anzeigende Person hat nicht die Rechte einer Partei, doch ist ihr innerhalb von höchstens 3 Monaten Auskunft über das Ergebnis oder den Stand der Abklärungen zu erteilen.

Das öffentliche Organ hat die Bekanntgabe von oder den Zugang zu Informationen im Einzelfall ganz oder teilweise zu verweigern oder aufzuschieben, wenn eine besondere gesetzliche Geheimhaltungspflicht oder ein überwiegendes öffentliches oder privates Interesse entgegen stehen.

Ein überwiegendes öffentliches Interesse liegt insbesondere vor, wenn die Bekanntgabe der Information oder der Zugang zur Information:

1. die Sicherheit des Staates oder die öffentliche Sicherheit gefährdet oder

2. die Beziehungen zu einem anderen Kanton, zum Bund oder zum Ausland beeinträchtigt oder

3. den freien Meinungs- und Willensbildungsprozess der öffentlichen Organe beeinträchtigt oder

4. die Position in Verhandlungen beeinträchtigt oder

5. die zielkonforme Durchführung konkreter behördlicher, insbesondere polizeilicher Massnahmen beeinträchtigt.

Ein überwiegendes privates Interesse liegt insbesondere vor, wenn:

1. die Bekanntgabe der Information oder der Zugang zur Information den Schutz der Privatsphäre beeinträchtigt oder

2. die Bekanntgabe der Information oder der Zugang zur Information Berufs-, Fabrikations- oder Geschäftsgeheimnisse offenbart oder Urheberrechte verletzt oder

3. die Bekanntgabe von oder der Zugang zu Informationen verlangt wird, die dem öffentlichen Organ von Dritten freiwillig mitgeteilt worden sind und deren Geheimhaltung es zugesichert hat.

Der Zugang zu den eigenen Personendaten kann namentlich bei Personendaten in Krankheitsgeschichten und Akten des medizinischen und sozialen Bereichs sowie des Straf- und Massnahmenvollzugs ausserdem eingeschränkt werden, wenn es wegen der Interessen der um Zugang ersuchenden Person erforderlich ist.

Ist der Zugang zu den bei einem öffentlichen Organ vorhandenen Personendaten nicht schon nach § 27 ganz oder teilweise zu verweigern, sind diese Personendaten vor der Zugangsgewährung zu anonymisieren.

Ist eine Anonymisierung nicht oder nicht vollständig möglich, darf das öffentliche Organ den Zugang zu nichtanonymisierten Personendaten gewähren, wenn:

1. ein überwiegendes öffentliches Interesse am Zugang zu den nichtanonymisierten Personendaten besteht oder

2. die Voraussetzungen für die Bekanntgabe von Personendaten erfüllt sind (§ 18 ff.).

Wer Zugang zu Informationen gemäss den §§ 23 und 24 erlangen will, stellt schriftlich oder mündlich ein Gesuch, das die gewünschte Information hinreichend genau zu bezeichnen hat.

Die Person, die ein Gesuch auf Zugang zu den eigenen Personendaten stellt, muss sich über ihre Identität ausweisen, ausser wenn ihre Identität für das ersuchte öffentliche Organ zweifelsfrei feststeht.

Bezieht sich ein Gesuch ausschliesslich auf Informationen, die bereits öffentlich sind und auf angemessene Weise zur Verfügung stehen, tritt das öffentliche Organ unter Verweis auf die Quelle nicht auf das Gesuch ein.

Sind Interessen von Drittpersonen oder von anderen öffentlichen Organen im Sinne von § 27 betroffen, gibt das öffentliche Organ diesen Personen oder Organen Gelegenheit zur Stellungnahme innert angemessener Frist, ausser wenn auch ohne Stellungnahme klar ist, dass der Zugang ganz oder teilweise verweigert werden muss.

Steht dem Zugang zu Informationen nichts entgegen, gewährt das öffentliche Organ der gesuchstellenden Person den Zugang.

Zieht das öffentliche Organ aufgrund seiner Prüfung oder aufgrund der eingeholten Stellungnahmen die vollständige oder teilweise Abweisung des Zugangsgesuchs in Betracht, teilt es dies der gesuchstellenden Person mit.

Zieht es in Betracht, dem Zugangsgesuch entgegen den eingeholten Stellungnahmen zu entsprechen, teilt es dies den betroffenen Drittpersonen oder anderen öffentlichen Organen mit.

Innert 30 Tagen nach Eingang der Mitteilung gemäss den Abs. 2 und 3 können die gesuchstellende Person und die Drittperson beim öffentlichen Organ den Erlass einer anfechtbaren Verfügung verlangen.

Das öffentliche Organ gewährt Zugang zu den Informationen, indem es:

1. die Informationen schriftlich, in Form von Kopien oder auf Datenträgern aushändigt oder

2. mit dem Einverständnis der gesuchstellenden Person die Informationen mündlich mitteilt oder ihr vor Ort Einsicht in die Informationen gewährt.

Auf ein mündlich gestelltes Zugangsgesuch kann das öffentliche Organ der gesuchstellenden Person die Informationen mündlich mitteilen.

Das öffentliche Organ hat der gesuchstellenden Person innert 30 Tagen nach Eingang des Gesuchs:

1. den Zugang zu den Informationen zu gewähren,

2. eine Mitteilung gemäss § 31 Abs. 2 zukommen zu lassen oder,

3. wenn die Frist nicht eingehalten werden kann, unter Angabe der Gründe mitzuteilen, bis wann der Entscheid vorliegen wird.

Für das Verfahren auf Zugang zu Informationen werden in der Regel keine Gebühren erhoben.

Eine angemessene Gebühr nach Aufwand kann erhoben werden, in keinem Fall jedoch für den Zugang zu den eigenen Personendaten:

1. bei aufwändigen Verfahren, wie bei komplizierten Verhältnissen oder bei umfangreichen Anonymisierungen von Informationen;

2. bei Anfertigung von Kopien oder sonstigen Datenträgern für die gesuchstellende Person.

Das öffentliche Organ weist die gesuchstellende Person darauf hin, wenn das Gesuch mit erheblichen Kostenfolgen verbunden ist; in diesem Fall kann es vor der weiteren Gesuchsbearbeitung einen Kostenvorschuss einfordern.

Eignen sich Informationen für eine gewerbliche Nutzung, kann ein Entgelt erhoben werden, das sich nach dem Markt richtet.

Der Regierungsrat erlässt einen Gebührentarif.

Der Kanton führt unter dem Namen «Die Datenschutzbeauftragte» oder «Der Datenschutzbeauftragte» eine unabhängige Aufsichtsstelle.

Er kann die Aufsichtsstelle aufgrund eines Staatsvertrags gemeinsam mit anderen Kantonen führen.

Die Aufsichtsstelle erfüllt ihre Aufgaben weisungsunabhängig.

Der Aufsichtsstelle unterstehen nicht:

1. die Mitglieder des Landrats sowie der Landrat und der Regierungsrat als Behörden;

2. Datenbearbeitungen in hängigen Verfahren der Zivilrechts- und Strafrechtspflege, der Verfassungs- und Verwaltungsgerichtsbarkeit sowie in hängigen Rechtshilfeverfahren.

Der Landrat übt die Oberaufsicht über die Aufsichtsstelle aus.

Die Aufsichtsstelle ist administrativ der Landeskanzlei zugeordnet.

Die kantonale Aufsichtsstelle wird von einer in Datenschutzfragen ausgewiesenen Fachperson geleitet («Die Datenschutzbeauftragte» / «Der Datenschutzbeauftragte»).

Sie oder er wird vom Landrat auf Vorschlag des Regierungsrats auf Amtsperiode gewählt. Der Landrat ist an den Wahlvorschlag gebunden.

Die oder der Datenschutzbeauftragte ist im Rahmen des vom Landrat beschlossenen Budgetkredits für Anstellungen und Beförderungen der weiteren Mitarbeitenden der Aufsichtsstelle zuständig.

Für die Haushaltführung der Aufsichtsstelle gilt die Finanzhaushaltgesetzgebung, soweit dieses Gesetz keine besonderen Vorschriften enthält.

Die oder der Datenschutzbeauftragte:

1. verfügt in eigener Kompetenz über die vom Landrat beschlossenen Budgetkredite;

2. beschliesst in eigener Kompetenz über Kreditüberschreitungen und Kreditübertragungen;

3. bewilligt in eigener Kompetenz die Ausgaben, für die nicht der Landrat zuständig ist;

4. sorgt für ein zweckmässiges Controlling.

Nachtragskreditbegehren der Aufsichtsstelle werden dem Landrat unverändert unterbreitet.

Der Regierungsrat kann dem Landrat Antrag auf Änderung der Nachtragkreditbegehren der Aufsichtsstelle stellen.

Die Aufsichtsstelle erstellt ihren eigenen Aufgaben- und Finanzplan.

Der Regierungsrat übernimmt den Aufgaben- und Finanzplan der Aufsichtsstelle unverändert in denjenigen des Kantons.

Er kann dem Landrat Antrag auf Änderung des Aufgaben- und Finanzplans der Aufsichtsstelle stellen.

Die Aufsichtsstelle:

1. kontrolliert nach einem durch sie autonom aufzustellenden Prüfprogramm die Anwendung der Bestimmungen über den Umgang mit Informationen;

2. nimmt Stellung zu Rechtsetzungsprojekten und anderen Vorhaben, die ihr zur Vorabkonsultation (§ 12) unterbreitet werden;

3. berät die öffentlichen Organe in Fragen des Umgangs mit Informationen;

4. berät die betroffenen Personen über ihre Rechte;

5. vermittelt zwischen betroffenen Personen und öffentlichen Organen;

6. nimmt Stellung zu Erlassen, die für den Umgang mit Informationen oder den Datenschutz erheblich sind;

7. behandelt aufsichtsrechtliche Anzeigen (§ 26a) und informiert die Anzeigenden über das Ergebnis oder den Stand der Abklärungen;

8. sensibilisiert die öffentlichen Organe für ihre datenschutzrechtlichen Pflichten sowie die Öffentlichkeit für die Anliegen des Datenschutzes und der Transparenz;

9. verfolgt die für den Schutz von Personendaten und das Öffentlichkeitsprinzip massgeblichen Entwicklungen.

Die Aufsichtsstelle kann bei öffentlichen Organen, bei Auftragsdatenbearbeiterinnen und Auftragsdatenbearbeitern sowie bei Drittpersonen, die von einem öffentlichen Organ Personendaten erhalten haben, ungeachtet allfälliger Geheimhaltungspflichten, schriftlich oder mündlich Auskunft über Datenbearbeitungen einholen, Einsicht in alle Unterlagen nehmen, Besichtigungen durchführen und sich Bearbeitungen vorführen lassen.

Die öffentlichen Organe, die Auftragsdatenbearbeiterinnen und Auftragsdatenbearbeiter sowie die Drittpersonen sind verpflichtet, die Aufsichtsstelle bei der Erfüllung ihrer Aufgaben zu unterstützen. Sie wirken insbesondere an der Feststellung des Sachverhalts mit.

Die Berichte, welche die Aufsichtsstelle im Rahmen der Kontrolltätigkeit erstellt oder erstellen lässt, sind samt den ihnen zugrunde liegenden Materialien nicht öffentlich im Sinne von § 23 Abs. 1.

Werden schutzwürdige Interessen einer betroffenen Person offensichtlich gefährdet oder verletzt, fordert die Aufsichtsstelle das öffentliche Organ oder dessen vorgesetzte Stelle auf, unverzüglich die erforderlichen vorläufigen Massnahmen zu ergreifen.

Die Aufsichtsstelle kann zum Umgang mit Informationen Empfehlungen abgeben.

Das öffentliche Organ, an welches die Empfehlung gerichtet ist, hat in der Regel innert 4 Wochen gegenüber der Aufsichtsstelle zu erklären, ob es der Empfehlung folgen will.

Wenn ein öffentliches Organ erklärt, der Empfehlung der Aufsichtsstelle nicht folgen zu wollen, oder tatsächlich der Empfehlung nicht folgt, kann die Aufsichtsstelle, soweit das Interesse an der Durchsetzung schwer wiegt, ihre Empfehlung oder Teile davon als Weisung in Form einer Verfügung erlassen.

Keine Weisung kann gegenüber dem Kantonsgericht erlassen werden.

Die Aufsichtsstelle kann direkt eine Weisung erlassen, wenn absehbar ist, dass das öffentliche Organ eine Empfehlung ablehnen oder ihr keine Folge leisten wird.

Das öffentliche Organ, an welches die Weisung gerichtet ist, kann sie mit einer Beschwerde gemäss den §§ 27 ff. Verwaltungsverfahrensgesetz beim Regierungsrat anfechten.

Anstalten des kantonalen öffentlichen Rechts richten ihre Beschwerde direkt an das Kantonsgericht.

Die Aufsichtsstelle ist beschwerdeberechtigt gegen die Beschwerdeentscheide des Regierungsrats.

Die Aufsichtsstelle arbeitet zur Erfüllung ihrer Aufgaben mit den Organen der Gemeinden, der anderen Kantone, des Bundes und des Auslands, welche die gleichen Aufgaben erfüllen, zusammen.

Die Leiterin oder der Leiter und die Mitarbeitenden der Aufsichtsstelle unterstehen bezüglich der Informationen, die sie bei ihrer Tätigkeit zur Kenntnis nehmen, der gleichen Pflicht zur Verschwiegenheit wie das bearbeitende öffentliche Organ.

Die Pflicht zur Verschwiegenheit gilt über die Beendigung der Funktion hinaus.

Die Aufsichtsstelle erstattet der Wahlbehörde periodisch Bericht über Umfang und Schwerpunkte der Tätigkeiten sowie über wichtige Feststellungen und Beurteilungen.

Der Bericht wird veröffentlicht.

Die Gemeinde kann für den kommunalen Bereich eine eigene Aufsichtsstelle führen.

Sieht sie davon ab oder erfüllt die kommunale Aufsichtsstelle die Anforderungen an die Unabhängigkeit nicht, so ist die kantonale Aufsichtsstelle zuständig.

Die oder der kommunale Beauftragte und allfällige weitere Mitarbeitende dürfen zusätzlich keine anderen behördlichen Funktionen in der Gemeinde wahrnehmen.

Die §§ 40–47 gelten analog für die kommunale Aufsichtsstelle in ihrem Zuständigkeitsbereich.

Wer als beauftragte Drittperson gemäss § 7 ohne ausdrückliche Ermächtigung des auftraggebenden öffentlichen Organs Personendaten vorsätzlich oder fahrlässig für sich oder andere verwendet oder anderen bekannt gibt, wird mit Busse bestraft.

Wer Personendaten, die sie oder er von einem öffentlichen Organ zum Bearbeiten für einen nicht personenbezogenen Zweck erhalten hat, entgegen der Verpflichtung gemäss § 20 Abs. 3 vorsätzlich oder fahrlässig an Dritte weiter gibt, wird mit Busse bestraft.

Es werden geändert:

1. Kantonales Statistikgesetz: Das Kantonale Statistikgesetz vom 21. Februar 2008⁴ wird wie folgt geändert: ...⁵

2. Anmeldungs- und Registergesetz; Das Anmeldungs- und Registergesetz (ARG) vom 19. Juni 2008⁶ wird wie folgt geändert: ...⁷

3. Landratsgesetz: Das Gesetz vom 21. November 1994⁸ über die Organisation und die Geschäftsführung des Landrats (Landratsgesetz, LRG) wird wie folgt geändert: ...⁹

4. Verwaltungsorganisationsgesetz: Das Gesetz vom 6. Juni 1983¹⁰ über die Organisation des Regierungsrates und der kantonalen Verwaltung (Verwaltungsorganisationsgesetz) wird wie folgt geändert: ...¹¹

5. Personalgesetz: Das Gesetz vom 25. September 1997¹² über die Arbeitsverhältnisse der Mitarbeiterinnen und Mitarbeiter des Kantons (Personalgesetz) wird wie folgt geändert: ...¹³

6. Archivierungsgesetz: Das Gesetz vom 11. Mai 2006¹⁴ über die Archivierung (Archivierungsgesetz) wird wie folgt geändert: ...¹⁵

7. Gemeindegesetz: Das Gesetz vom 28. Mai 1970¹⁶ über die Organisation und die Verwaltung der Gemeinden (Gemeindegesetz) wird wie folgt geändert: ...¹⁷

8. Polizeigesetz: Das Polizeigesetz vom 28. November 1996¹⁸ wird wie folgt geändert: ...¹⁹

Das Gesetz vom 7. März 1991²⁰ über den Schutz von Personendaten (Datenschutzgesetz) wird aufgehoben.

Innerhalb 2 Jahre nach Inkrafttreten dieses Gesetzes sind die Verzeichnisse der Informationsbestände mit Personendaten gemäss § 22 zu veröffentlichen.

Der Regierungsrat kann die Frist auf begründetes Gesuch hin um ein Jahr verlängern.

Der Regierungsrat beschliesst das Inkrafttreten dieses Gesetzes.²¹