Beilage 1.1 Bericht 2021 DSKO

text: \n  \n \n\nDatenschutz- \n\nKontrollorgan  \n\nPoststrasse 23 \n9001 St. Gallen \nwww.ar.ch \nTel. 071 228 29 30 \n \nStefan Gerschwiler \n\nlic. iur., Rechtsanwalt \nstefan.gerschwiler@ar.ch \n \n\nDatenschutz-Kontrollorgan, 9001 St. Gallen  \n \n\n \n\nSeite 1/4 \n\n \n\nSt. Gallen, 28. Februar 2022 \n\nBericht 2021 des Datenschutz-Kontrollorgans \n\n \n\nSehr geehrte Frau Kantonsratspräsidentin \nSehr geehrte Damen Kantonsrätinnen \nSehr geehrte Herren Kantonsräte \n\n \n\nGerne berichte ich (im Sinne von Art. 27 Abs. 1 Bst. h DSG) über meine Tätigkeit als Datenschutz-\nKontrollorgan im Jahr 2021. \n\nA. Tätigkeitschwerpunkte \n\n1. Beratung von öffentlichen Organen \n\n \nIm Berichtsjahr waren rund 60 Anfragen von öffentlichen Organen zu bearbeiten, eine deutliche Steigerung im \nVergleich zur Vorperiode (rund 40). \n \nAuf Stufe Gemeinden sind insbesondere die Einwohnerkontrollen regelmässig mit datenschutzrechtlichen \nFragestellungen an mich gelangt. Das liegt angesichts ihrer Aufgaben auch nahe und die Anfragen konnten \nmeist rasch geklärt werden. \n \nWiederkehrendes Thema waren ausserdem Anfragen von Gemeinden rund um ihre Websites. Hier habe ich \ninsbesondere auf die Pflicht zur Schaffung von Transparenz (vgl. Art. 7 Abs. 1 Datenschutzgesetz, bGS 146.1) \ngegenüber den Website-Benutzern über damit verbundene Datenbeschaffung hingewiesen, ausserdem auf \ndatenschutzfreundliche Auswertungstools. Auch Fragen rund um die Übertragung von Anlässen oder \n\nAn den Kantonsrat \n\n0100.151 - Beilage 1.1\n\n\n\n \n\nSeite 2/4 \n\nVeranstaltungen übers Internet waren zu beurteilen; dies nicht zuletzt natürlich vor dem Hintergrund der \neingeschränkten Teilnahmemöglichkeiten wegen der COVID19-Pandemie. \n \nDie besonderen Herausforderungen der Pandemie, insbesondere die Notwendigkeit sehr raschen Handelns, \nhaben sich teilweise auch auf den Datenschutz in Appenzell Ausserrhoden ausgewirkt. So kam es im Rahmen \neiner Ausbruchtestung an einer Primarschule zu vereinzelten Problemen bei der Übermittlung der Testresultate \nper E-Mail. Die Information der Eltern und die Abläufe wurden in der Folge verbessert. Eine Grundproblematik \nbleibt allerdings, dass E-Mail zwar allgemein verbreitet ist und eine rasche Kommunikation zulässt, ohne \nbesondere, in vielen Fällen nicht erfüllte Vorkehren aber gegen unbefugte Einsichtnahme nicht gesichert ist. \nAuch deshalb bleibt die stete Sensibilisierung der Mitarbeitenden von öffentlichen Organen, die mit den heute \nzur Verfügung stehenden Kommunikationsmitteln Daten bearbeiten, eine wichtige Daueraufgabe - nicht nur im \nSchulbereich. \n \nIm Rahmen des Projekts der AR Informatik AG zur Implementierung der vorgeschriebenen Protokollierung aller \nZugriffe auf die kantonale Einwohnerdatenplattform waren noch letzte Umsetzungsfragen zu klären. Die \nLogging-Prozesse konnten im Berichtsjahr in den produktiven Betrieb überführt werden. Erste Auswertungen \nwerden mit meinem nächsten Tätigkeitsbericht erfolgen können. In einem Einzelfall kam es wegen einer \nFehlbedienung dazu, dass einer Stelle, die berechtigt ist, gewisse Daten aus der Registerplattform zu \nbeziehen, mehr Daten übermittelt wurden, als gemäss Berechtigungskonzept vorgesehen. Der Fehler wurde \numgehend erkannt, mir vom Chief Information Security Officer der AR Informatik AG gemeldet und die zu viel \nübermittelten Daten wurden gelöscht. \n \nRecht intensiv (auch vom zeitlichen Umfang her) war meine Beteiligung an einer von der Informatikstrategie-\nKommission ab März 2021 eingesetzten Arbeitsgruppe, die zum Ziel hatte, für Kanton und Gemeinden eine \nCloud Computing Policy zu erarbeiten. Damit sollte die Basis geschaffen werden für eine geordnete, sichere \nund effiziente Nutzung von Cloud Computing unter Berücksichtigung der geltenden Rechtsgrundlagen. Cloud \nComputing hat bereits hohe und weiter steigende praktische Bedeutung. Die technische Entwicklung schreitet \nin diesem Bereich besonders rasch voran. Zugleich ist die Rechtslage in Bewegung: Nach der \nUngültigerklärung des Safe-Harbor-Abkommens im Jahr 2015 hat der Europäische Gerichtshof 2020 auch das \nNachfolge-Abkommen EU-US-Privacy Shield aufgehoben. Nach der als Folge dieses Urteils im September \n2020 verschärften Praxis des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) kann das \nDatenschutzniveau in den USA nicht ohne weiteres als angemessen beurteilt werden, namentlich wegen \nungenügendem Rechtsschutz gegen Überwachungsmassnahmen der Nachrichtendienste (Foreign Intelligence \nSurveillance Act) und der Strafverfolgungsbehörden (CLOUD Act). Im Dezember 2021 hat die \nInformatikstrategie-Kommission die gemeinsam erarbeitete Cloud Computing Policy in zweiter Lesung \nverabschiedet. Der Einsatz von Cloud Computing setzt gemäss Policy eine Risikoanalyse voraus. Je nach \nfestgestelltem Schutzbedarf stehen insbesondere technische (z.B. Verschlüsselung) und rechtliche (z.B. \nVertragsinhalte) Massnahmen zur Verfügung, um den identifizierten Risiken zu begegnen. Nochmals weise ich \nan dieser Stelle darauf hin, dass ein weiterer wichtiger Baustein zur Gewährleistung des Datenschutzes auch \ndie korrekte Ausbildung / Instruktion und ständige Sensibilisierung der Daten bearbeitenden Personen ist. \n \nDer rege Gebrauch, den die öffentlichen Organe im Kanton vom bei mir bestehenden Beratungsangebot \nmachen, legt nahe, dass vielerorts eine Grundsensibilität für Fragen des Datenschutzes vorhanden ist. Das \nfreut mich, wie auch die generell gute Zusammenarbeit mit den anfragenden Stellen auf allen Ebenen. \n \n\n0100.151 - Beilage 1.1\n\n\n\n \n\nSeite 3/4 \n\n2. Zusammenarbeit mit anderen Kantonen und Bund \n\n \nDer Austausch mit Datenschutzbehörden anderer Kantone und mit dem EDÖB bleibt intensiv und wichtig. So \nnimmt etwa die Cloud Computing Policy auch auf das Merkblatt "Cloud-spezifische Risiken und Massnahmen" \nBezug, das von der Konferenz der schweizerischen Datenschutzbeauftragten (privatim) herausgegeben wird \nund dessen Überarbeitung im Rahmen des Herbstplenums 2021 in Biel beraten wurde. \n \nInterkantonale Zusammenarbeit war im Berichtsjahr und bleibt auch weiterhin zentral etwa beim Projekt \n"Nationale Datenbewirtschaftung (NaDB)", das der Verantwortung des Bundesamts für Statistik unterliegt. \nSteuerbehörden und Datenschutzbehörden zahlreicher Kantone nahmen hier differenziert und durchaus \nkritisch Stellung zu einem Teilprojekt, das die umfassende Lieferung von kantonalen Steuerdaten natürlicher \nund juristischer Personen and die Eidgenössische Steuerverwaltung zwecks "Mehrfachverwendung" auf Basis \neiner Rechtsgrundlagenänderung auf Verordnungsstufe vorsieht. \n \nEin Gegenstand des Erfahrungsaustausches der Ostschweizer Datenschutzstellen war die Information über \nein Projekt zum interkantonalen bzw. interbehördlichen Datenaustausch zum Betrieb von Lage- und \nAnalysesystemen im Bereich der seriellen Kriminalität. Nicht zuletzt vor dem Hintergrund der dabei als \nSchengen-Besitzstand zu beachtenden EU-Richtlinie 2016/680 stellen sich hier noch Fragen. \n \nIm Rahmen der Schengen-Koordinationsgruppe wurde darüber informiert, dass die Schweiz im Jahr 2023 \neiner weiteren Schengen-Evaluierung durch die EU unterzogen wird. Diverse Vorbereitungsarbeiten dafür \nwerden bereits im Jahr 2022 anfallen, unter anderem bei den kantonalen Datenschutzbehörden. \n \n \n\n3. Beratung von Privaten \n\n \nVon Privatpersonen erreichten mich im Berichtszeitraum rund 15 Anfragen - im Vergleich zu den 10 Anfragen \nin der Vorperiode eine klare Steigerung, allerdings auf weiter tiefem Niveau. \n \nDie Anliegen waren breit gefächert, es ging etwa um die Gebührenerhebung bei der Datenbearbeitung durchs \nBetreibungsamt, um Gesundheitskosten in der Steuererklärung, um die Anmeldepflicht von Datensammlungen \nund generell um Anfragen zu Rechtsgrundlagen und Organisation der Datenschutzaufsicht in Appenzell \nAusserrhoden. \n \n \n\nB. Ressourcen / Kontrolltätigkeit \n\n \nSehr erfreulich war, dass der Kantonsrat in seiner Sitzung vom 06.12.2021 mit dem Voranschlag 2022 eine \ndeutliche Erhöhung der mir zur Verfügung stehenden Ressourcen bewilligt hat. Dies wird mir ermöglichen, eine \nsystematische Kontrolltätigkeit aufzubauen - eine klare Erwartung des Kantonsrats und seiner \nGeschäftsprüfungskommission, der ich gerne nachkommen werde. \n\n0100.151 - Beilage 1.1\n\n\n\n \n\nSeite 4/4 \n\nDie Arbeit wird mir sicher nicht ausgehen. Nur manchmal lässt sich Datenschutz gemäss einer prägnanten \nFormel erreichen, die das Bundesgericht in einem Urteil vom 5. Januar 2021 (1C_273/2020) verwendet hat: \n"Der Grundsatz der Datenvermeidung und Datensparsamkeit bezweckt, dass nicht notwendige Daten gar nicht \nerst erhoben und bearbeitet werden. In diesem Sinne ist auch ihr Schutz besser gewährleistet: nicht existente \nDaten können nicht missbraucht werden." Das ist sicher richtig und wichtig, sehr oft ist die (korrekte) \nBearbeitung von Personendaten aber auch eine schlichte Notwendigkeit bei der Erfüllung staatlicher Aufgaben. \n \n \n\nC. Schlussbemerkungen und Antrag \n\n \nIch ersuche Sie, sehr geehrte Frau Kantonsratspräsidentin, sehr geehrte Damen Kantonsrätinnen und Herren \nKantonsräte, vom vorliegenden Bericht wohlwollend Kenntnis zu nehmen, \n \nund entbiete an dieser Stelle Ihrer GPK, Ihrer KIS, dem Departement Inneres und Sicherheit, der Informatik-\nStrategiekommission und der AR Informatik AG meinen besonderen Dank für die gute Zusammenarbeit bei der \nGewährleistung des Datenschutzes in Appenzell Ausserrhoden im Berichtsjahr. \n \n\nDatenschutz-Kontrollorgan \n\n \n \n \nStefan Gerschwiler \n\n0100.151 - Beilage 1.1\n\n\n\n\n