Grundschulung Datenschutz Spitex Obermarch
←
→
Transkription von Seiteninhalten
Wenn Ihr Browser die Seite nicht korrekt rendert, bitte, lesen Sie den Inhalt der Seite unten
Grundschulung Datenschutz
Spitex ObermarchZiele • Aufgabe und Organisation des Öffentlichkeits- und Datenschutzbeauftragten bekannt • Wesentliche Grundsätze des Datenschutzes bekannt • Bezug zu den Aufgaben der SPITEX hergestellt • Gestellte Fragen beantwortet
Beauftragter für Öffentlichkeit und Datenschutz
• Jules Busslinger, lic. iur., 1962
• 1991 Lizentiat Universität Zürich
• 1992 – 1995 Chef Rechtsdienst KMV
• 1995 – 2000 Generalsekretariat EMD/VBS
− Stv. Departements-Personalchef
• 2000 – 2005 Stv. Generalsekretär EFD
− Chef Ressourcen (Personal, Informatik, Finanzen)
• 2006 – 2007 selbständig
• 2007 – 2008 Gemeindeschreiber HorgenOrganisation und Stellung
• Organisation
– 250 Stellenprozente
– Stao: Gotthardstr. 21, 6414 Oberarth
– administrativ unterstellt beim FD SZ
• Stellung
– Kantonales und kommunales
Kontrollorgan im Sinne des
Bundesgesetzes über den Datenschutz
– Verwaltungsunabhängig
– Gewählt für Amtsperiode
– Eigenes Budget
– Kann von Amtes wegen tätig werden
– Untersteht dem AmtsgeheimnisGesetzlicher Auftrag
(Gesetz über die Öffentlichkeit der Verwaltung und den Datenschutz vom 23. Mai 2007)
• Überwachung der Anwendung der
Vorschriften über den Datenschutz
und das Öffentlichkeitsprinzip
• Kontrolle des Registers der
Datensammlungen
• Beratung der öffentlichen Organe
• Mitwirkung bei der Gesetzgebung
• Vermittlung zwischen öffentlichen
Organen und Privaten
• InformationRechtsgrundlagen und Abgrenzungen
Rechtsgrundlagen
• Bund
– Bundesgesetz vom 19. Juni 1992 über den Datenschutz
(Datenschutzgesetz, DSG)
– Bundesgesetz vom 26. Juni 1998 über die Archivierung
(Archivierungsgesetz, BGA)
– Art. 28 Zivilgesetzbuch
• Kanton
– Gesetz vom 23. Mai 2007 über die Öffentlichkeit der Verwaltung und
den Datenschutz (ÖDSG)
– Verordnung zum Öffentlichkeits- und Datenschutzgesetz (VÖDSG)
– Gesetze der verschiedenen Sachgebiete
• Gesundheitsverordnung des Kantons SchwyzAbgrenzungen
Bundesorgane unter sich Kantonale öffentliche Organe
unter sich
Bundesorgane
Kantonale öffentliche Organe
Private
Private
Private unter sichGeltungsbereich ÖDSG • Geltungsbereich (§ 2 ÖDSG): – Alle öffentlichen Organe des Kantons, der Bezirke und der Gemeinden – Soweit sie hoheitlich handeln
«Hoheitliche Handlung»
Hoheitlich Nicht hoheitlich
• Baubewilligung • Verkauf von SBB-Tageskarten
• Steuerveranlagung • Verkauf von Karten und
• Vollstreckungsverfügung Broschüren
• Datensperre • Verkauf von
• Fahrzeugprüfung Energiesparlampen
• Patenterteilung • Verkauf verbilligter
Saisonabonnemente
• Sozialhilfegewährung
• etc.
• Abfallentsorgung (öfftl. Raum)
• etc.«Hoheitliche Handlung»
Gemeinde Gemeinde Vertrag Private
Anfechtbare
Verfügung
PrivateGeltungsbereich ÖDSG
• Geltungsbereich (§ 2 ÖDSG):
– Alle öffentlichen Organe des Kantons, der Bezirke und der Gemeinden
– Soweit sie hoheitlich handeln
• Ausnahmen (§ 3 ÖDSG):
– Gerichtliche Behörden
– Kantonalbank
– Anstalten des Kantons, der Bezirke und der Gemeinden, die am
wirtschaftlichen Wettbewerb teilnehmen und nicht hoheitlich handeln
– Allmendgenossenschaften und ähnliche KörperschaftenBegriffe – „Öffentliches Organ“ (§ 4 ÖDSG)
• Öffentliche Organe:
– Verwaltungsstellen und Behörden aller Ebenen (Kanton, Bezirk, Gemeinde)
– Organisationen und Personen privaten Rechts, soweit sie mit einer öffentlichen Aufgabe
betraut sind
• In Bezug auf Spitex:
– Verein nach ZGB (Privatrecht)
– § 3 Gesundheitsverordnung:
„Kanton, Bezirke und Gemeinden können Dienstleistungen, die nach dieser Verordung
anzubieten sind, vertraglich anderen Gemeinwesen, Organisationen oder Privatpersonen
übertragen.“
§ 15 Abs. 1 Gesundheitsverordnung:
„Jede Gemeinde stellt ein Angebot für die Hauskrankenpflege, die hauswirtschaftlichen
Dienste sowie den Entlastungsdienst für betreuende und pflegende Angehörige sicher.
Sie kann weitere Dienstleistungen erbringen.“
Die Spitex Obermarch ist ein öffentliches Organ
im Sinne von § 4 ÖDSGGeltungsbereich: Zusammenfassung
Öffentliches Private
Organ
Hoheitliche
ÖDSG ÖDSG
Handlung
Nicht-hoheitliche
DSG DSG
HandlungSpitex Obermarch
öffentliche Aufgabe
Verein nach ZGB
gestützt auf GesVSpitex Obermarch – Anwendung ÖDSG Hoheitliche Handlungen Nicht hoheitliche Handlungen • Liste der betreuten Personen • Mitgliederverwaltung Verein • Informationen über • Informationen über die Gesundheitszustand der interne Organisation gepflegten Personen • Personaladministration • Familiäre Verhältnisse • Lohnbuchhaltung • Einsatz- oder Dienstpläne • etc. • Leistungsabrechungen • Korrespondenz mit Krankenkassen • etc.
Begriffe - Personendaten (§ 4 ÖDSG)
• Personendaten:
– Angaben, die sich auf eine bestimmte oder bestimmbare Person
beziehen
• bestimmbar = Rückschluss ohne erheblichen Aufwand möglich
• Jegliche Information, unabhängig von der Form
– Schriftlich
– Mündlich
– Zufälliges Erfahren („etwas mitbekommen“)
– Etwas sehenBegriffe – „Personendaten“ (§ 4 ÖDSG)
• Besonders schützenswerte Personendaten:
– religiöse, weltanschauliche, politische oder gewerkschaftliche
Ansichten oder Tätigkeiten
– Gesundheit, Intimsphäre, ethnische Zugehörigkeit
– vormundschaftliche Massnahmen
– Massnahmen der sozialen Hilfe
– administrative oder strafrechtliche Verfolgungen und SanktionenBeispiele besonders schützenswerte Personendaten Krankengeschichte Gesundheitszustand Behandlungen/Therapien Medikation Sexuelle Vorlieben Essgewohnheiten Waschgewohnheiten Familiäre Verhältnisse, familiäre Schwierigkeiten Erzählungen aus dem Privatleben Etc.
Begriffe – „Persönlichkeitsprofil“ (§ 4 ÖDSG)
• Persönlichkeitsprofil (nicht explizit definiert):
– Zusammenstellung von Daten, die eine Beurteilung wesentlicher
Aspekte der Persönlichkeit einer natürlichen Person erlaubt
• Beispiele:
– Einkaufsgewohnheiten und Produktvorlieben gestützt auf Auswertung
COOP Supercard oder Migros CumulusCard
– Reisegewohnheiten und Produktvorlieben gestützt auf Auswertung
Kreditkartenabrechnungen
– Produktvorlieben gestützt auf Auswertung von
ZahlungsverkehrsinformationenBegriffe – „Datensammlung“ (§ 4 ÖDSG) • Datensammlung: Bestand von Daten, der so aufgebaut ist, dass diese erschliessbar sind – Systematisierung und Katalogisierung – Such- und Filterfunktionen – Index etc. • Art und Ort der Aufbewahrung/Speicherung unerheblich
Begriffe – „bearbeiten“ (§ 4 ÖDSG)
• Bearbeiten:
– Jeder Umgang mit Daten, unabhängig von den angewandten Mitteln!
• Beschaffen
• Einsicht gewähren
• Weitergeben
• Veröffentlichen
• Zugänglich machen
• Etc.Grundsätze der Datenbearbeitung
Legalitätsprinzip (§ 8 Abs. 1 ÖDSG) • Gesetzliche Grundlage • Ermächtigung • Einwilligung
Gesetzliche Grundlage
• Personendaten allgemein (§ 9 Abs. 1 ÖDSG)
– Gesetz, Verordnung, Reglement, Weisung
– Bearbeitung dient der Erfüllung einer gesetzlichen Aufgabe
• Bei besonders schützenswerten Personendaten oder
Persönlichkeitsprofilen (§ 9 Abs. 2 und 3 ÖDSG)
– Gesetz im formellen Sinn, d.h. von der Legislative erlassen
• Kantonsrat, Gemeindeversammlung
– Für die Erfüllung einer gesetzlichen Aufgabe unabdingbar
– Ausdrückliche Einwilligung im Einzelfall
– Allgemeine Bekanntgabe durch die betroffene Person
– Im Ausnahmefall: Ermächtigung des RegierungsratesEinwilligung durch die betroffene Person • Ausdrücklich – Schriftlich oder mündlich – Aus Beweisgründen Schriftlichkeit empfohlen • Auf Grund der konkreten Umstände vorausgesetzte Einwilligung – Restriktiv zu handhaben
Verhältnismässigkeit (§ 8 Abs. 1 ÖDSG) • Bearbeitung nur nach den Grundsätzen von Treu und Glauben und Verhältnismässigkeit • Grundsätze: – Notwendigkeit für die gesetzliche Aufgabe – Datenvermeidung – Datenvernichtung • Problem Datenflut, insbesondere beim Einsatz der EDV
Verhältnismässigkeit (§ 8 Abs. 1 ÖDSG)
1. Nur, wenn nötig
-Brauche ich die Information?
2. Nur soviel, wie nötig
-Was brauche ich?
3. Nur so lange, wie nötig
-Wie lange brauche ich sie?Aufzeichnung und Aufbewahrung von Patientenakten
Korrektheit (§ 8 Abs. 2 ÖDSG) • Wer Daten bearbeitet ist auch für deren Richtigkeit und Aktualität sowie – entsprechend dem Zweck – für deren Vollständigkeit verantwortlich • Berichtigungs- und Unterlassungsanspruch (§ 26 ÖDSG) • Bestreitungsvermerk (§ 26 Abs. 2 ÖDSG)
Zweckbindungsgebot (§ 8 Abs. 3 ÖDSG)
• Zweckbindung heisst: Daten dürfen nur bearbeitet werden,
wenn (alternativ):
– Zweck gesetzlich vorgesehen ist;
– Zweck bei der Beschaffung angegeben wurde;
– Zweck aus den Umständen ersichtlich ist.
• Es braucht immer einen Zweck für die Datenbearbeitung!
• Gilt auch für den Datenaustausch zwischen den öffentlichen
Organen oder mit anderen Spitex-Organisationen.Schutz der Daten (§ 8 Abs. 4 ÖDSG)
Technische Massnahmen Organisatorische Massnahmen
• Türschlösser • Schlüsselplan
• Sicherheitstüren, Brandschutz- • Berechtigungskonzepte
türen, Sicherheitsglas • Verschlüsselungen
• Abschliessbares Mobiliar • Geheimhaltungserklärungen
• Live-Video, Alarmanlage • Starke Passwörter, regelmässige
• Aktuelle Virenschutzprogramme, Passwortänderungen
Firewall • Weisungen, Reglemente (insbes.
• Back-Ups IT-Sicherheit)
• u.a.m. • Ausbildung, Sensibilsierung
• Einsatzplan Reinigungspersonal
• u.a.m.Bearbeitung von Personendaten
Datenbearbeitung
Bekanntgeben/
Beschaffen
Bearbeiten
Datensicherheit
Archivieren/
VernichtenPersonendaten beschaffen (§ 10, 11 ÖDSG)
• Grundsatz: Beschaffung bei der
betroffenen Person
• Allgemein Personendaten (§ 10
ÖDSG):
– Datenerhebung bei Dritten nur
ausnahmsweise (Vorschrift,
Beschaffen Bekanntgeben/ besondere Gründe)
Bearbeiten – Angabe des Zwecks auf Verlangen
oder bei systematischer Erhebung
• Besonders schützenswerte
Personendaten (§ 11 ÖDSG):
– Datenerhebung bei Dritten nur
Archivieren/ ausnahmsweise (Vorschrift,
Vernichten besondere Gründe)
– Angabe des Zwecks und der
Datenempfänger grundsätzlich
zwingend
• InformationspflichtenBeschaffung bei Dritten (§ 11 ÖDSG) • Beschaffung von besonders schützenswerten Personendaten: Mitteilung, wenn die Daten bei Dritten beschafft wurden • Information mindestens über: – Inhaber/in der Datensammlung – Zweck der Bearbeitung – Datenempfänger/innen • Ausnahmen (§ 11 Abs. 2 ÖDSG): – Information objektiv unmöglich – Information mit einem unverhältnismässigen Aufwand verbunden – Speicherung durch Gesetz ausdrücklich vorgesehen
Personendaten bekanntgeben (§§ 12-18 ÖDSG)
• An wen?
– Private (Einzelpersonen,
Institutionen, Vereine,
Organisationen)
Bekanntgeben/ – Öffentliche Organe
Beschaffen Bearbeiten
• Welche Daten?
– Name, Vorname, Geburtsdatum,
etc?
Archivieren/
Vernichten • Durch wen?
– Alle öffentlichen Organe
– Nur Einwohnerkontrollen
• Welche Voraussetzungen?Bekanntgabe von Personendaten (§§ 12-18 ÖDSG)
Personenbezogene Daten bekannt geben
an öffentliche Organe
an Private
(Amtshilfe)
§ 12 Abs. 1 § 12 Abs. 1
Bst. a und b Bst. a und b
voraussetzungslos voraussetzungslos
§ 12 Abs. 2 Nur Einwoh- § 14 Rechtsgrundlage, Ein-
berechtigtes Interesse
neramt! willigung/Ermächtigung
„glaubhaft
§ 12 Abs. 3 schützenswertes und machen“
ideelles Interesse
§ 15 Rechtsgrundlage oder
EinwilligungDatenbekanntgabe - für Spitex-Organisationen
relevante Bestimmungen
• (§ 12 Abs. 1 ÖDSG)
– Name, Adresse, Wohnort, Geburtsdatum
– Von der betreffenden Person allgemein zugänglich gemachte
Informationen
• § 14 ÖDSG: Bekanntgabe an andere öffentliche Organe
– Behörden und andere Spitex-Organisationen
– Voraussetzungen:
• Rechtsgrundlage oder Ermächtigung
• Nachweis der Berechtigung durch den Empfänger (aus gesetzlicher
Aufgabe)
• Keine entgegenstehende gesetzliche Geheimhaltungspflicht
• Einwilligung
• § 15 ÖDSG: Bekanntgabe an Private
– Rechtsgrundlage
– EinwilligungAmtshilfe (§ 14 ÖDSG)
Kanton
Bezirk
Gemeinde
SpitexBesondere Formen der Datenbearbeitung
• Für nicht personenbezogene Zwecke (§ 19 ÖDSG)
– Forschung, Planung, Statistik
– Anonymisierung: Person nicht mehr bestimmbar
• Mit verhältnismässigem Aufwand nicht mehr bestimmbar
– Bearbeitung durch Dritte (Universität, Institut, Forschungseinrichtung)
• „Datenschutz-Revers“
• Nur für den angegebene Zweck
• Anonymisierung sobald möglich
• Keine Weitergabe an Dritte
• Durch Dritte (§ 20 ÖDSG)
– „Datenschutz-Revers“Personendaten archivieren/vernichten
(§ 22 ÖDSG)
• Verhältnismässigkeitsprinzip:
– Datenbearbeitung nur so lange, wie
notwendig
– Kriterien: Ausdrückliche gesetzl.
Vorschrift, Verjährungsfristen
Bekanntgeben/ – Vernichtungspflicht bei Personendaten,
Beschaffen Bearbeiten die nicht mehr benötigt werden
• Archivierung, Anonymisierung,
Vernichtung (§ 22 ÖDSG)
Archivieren/
• Dauer der Aufbewahrung von
Vernichten
Patienteninformationen:
– § 28 GesV sinngemässVernichtung von Personendaten
• Achtung Festplatte!
– Multifunktionsdrucker
– Moderne Kopiergeräte
– PC-Systeme
• Schredder oder
spezialisierte FirmaDatensicherheit Beschaffen
Bekanntgeben/
Bearbeiten
Bekanntgeben/
Bearbeiten
Datensicherheit
Datensicherheit
Archivieren/
Archivieren/
VernichtenGrundsätze: Schutz der Daten (§ 8 Abs. 4 ÖDSG)
Technische Massnahmen Organisatorische Massnahmen
• Türschlösser • Schlüsselplan
• Sicherheitstüren, Brandschutz- • Berechtigungskonzepte
türen, Sicherheitsglas • Verschlüsselungen
• Abschliessbares Mobiliar • Geheimhaltungserklärungen
• Live-Video, Alarmanlage • Starke Passwörter, regelmässige
• Aktuelle Virenschutzprogramme, Passwortänderungen
Firewall • Weisungen, Reglemente (insbes.
• Back-Ups IT-Sicherheit)
• u.a.m. • Ausbildung, Sensibilsierung
• Einsatzplan Reinigungspersonal
• u.a.m.Informatiksicherheit
Sichern
Schützen
Überwachen
Vorbeugen
AufpassenInformatiksicherheit
• Sichern
– Regelmässige Backups
• Schützen
– Aktueller Virenschutz
• Überwachen
– Firewall
• Vorbeugen
– Regelmässige Software-Updates
– Software nur aus vertrauenswürdigen Quellen
• Aufpassen
– Passwortschutz ist Pflicht
• Starke Passworte, regelmässiger Passwortwechsel, nicht notieren oder weitergeben!
– Time-Out / automatischer Bildschirmschoner
– Besondere Vorsicht bei Arbeit zu Hause
– Vorsicht mit mobilen Datenträgern!Umgang mit E-Mails
• E-Mails sind grundsätzlich unsicher
– können z.B. auf dem Versandweg, beim Server, auf schlecht
geschütztem Computer abgefangen werden
• Versand von E-Mails
– schützenswerte Dokumente/Informationen nicht per E-Mail versenden
(besser: Post)
• Verschlüsselung
– umständlich
– teuerUnsicherer E-Mail-Versand über Internet
PC I PC II
Server Server
HackerSicherer E-Mail-Versand im geschützten Netz
PC I PC II
Server Server
Geschütztes Netz
HackerAllgemeine Verhaltensregeln im Umgang mit E-Mails • Kein Versand von personenbezogenen Informationen über E- Mail • E-Mail ungelesen löschen wenn Absender unbekannt • Grundsätzlich dem Inhalt misstrauen, auch wenn Absender bekannt (erscheint) • Keine Links anklicken oder Attachments öffnen (vor allem in verdächtigen Emails) • Nicht auf SPAM antworten • Foren, Newsgroups, Chats, Gästebücher, Newsletter usw. vermeiden • E-Mail-Adresse zur Geheimsache erklären
Rechte und Pflichten
Ansprüche der betroffenen Personen
• Recht auf Einsichtnahme und Auskunft (§§ 24 und 25 ÖDSG)
– nur in Bezug auf eigene Daten
– Einsichtnahme in das Register der Datensammlungen
– Auskunft, ob in Datensammlung verzeichnet
– Einschränkungen:
• wichtige öffentliche Interessen/besonders schutzwürdige Interessen Dritter tangiert
• Bearbeitung ausschliesslich zu nicht personenbezogenen Zwecken
– kostenlos
• Berichtigungsanspruch (§ 26 ÖDSG)
– Berichtigung, Vervollständigung
– Unterlassung
– BeseitigungVerschiedene Fragen
Zuständigkeit für Datenbearbeitung (§ 27 ÖDSG)
• Das öffentliches Organ, das Personendaten bearbeitet (Daten-
Inhaber):
– für Einhaltung der Datenschutzbestimmungen verantwortlich
– sorgt für den Schutz der Personendaten vor unbefugtem Zugriff
(Daten-/Informatiksicherheit)
– entscheidet über Berichtigung, Beseitigung oder Unterlassung
– entscheidet über Bestreitungsvermerke
– erlässt ggf. Verfügungen
• keine Weisungsbefugnis des Öffentlichkeits- und
DatenschutzbeauftragtenVerfahren Gesuch -Einsicht in Datensammlung, Datensperre, Datenbekanntgabe, etc.
Rechtl. Gehör
Gutheissung Ablehnung
Akzeptiert Verfügung Schlichtungsverfahren
Gesuch erledigt (§ 33 ÖDSG)
Schlichtung Keine Einigung
Gesuch erledigt (§ 34 Abs. 3 ÖDSG)
Empfehlung ÖDSB
Befolgt Nicht befolgt
Gesuch erledigt
VerfügungRegister der Datensammlungen
Datensammlungen und Register
Gemeinde ÖDSB
• Führung der Datensammlungen • Führung des Registers der
• Verantwortung für Sicherheit, Datensammlungen
Richtigkeit, Aktualität… der Daten • Pflege des Registers
• Entscheid über Inhalt (was wird • Verantwortung für Sicherheit,
aufgenommen, was nicht) Richtigkeit, Aktualität des Registers
→ Erfassung der Rohdaten
• Pflege der Datensammlungen
• Auskunftserteilung und
ZugangsgewährungSie können auch lesen
