Sensible Daten benötigen klare Zuständigkeiten
Die kantonale Fachstelle für Datenschutz hat ihren Tätigkeitsbericht über das Jahr 2024 veröffentlicht. Im Berichtsjahr prüfte sie unter anderem PUPIL Connect, einen Messenger für die Kommunikation der Volksschulträger mit Eltern. Besonders schützenswerte Personendaten dürfen damit nicht bearbeitet werden. Ausserdem beschäftigte sich die Fachstelle mit der Einführung von M365 im Kanton St.Gallen und gab in diesem Zusammenhang verschiedene Empfehlungen ab.
Weil bei E-Government-Projekten viele Anspruchsgruppen auf verschiedenen Staatsebenen involviert sind, ist es besonders wichtig, die Zuständigkeiten und Verantwortlichkeiten klar zu regeln. Das gilt auch für PUPIL Connect, einem Messenger für die Kommunikation der Volksschulträger mit Eltern. Diesen hat die kantonale Fachstelle für Datenschutz im Berichtsjahr 2024 geprüft. Den anwendenden Personen müssen die Bearbeitungsregeln bekannt sein. Besonders schützenswerte Personendaten dürfen damit nicht bearbeitet werden. Die datenschutzrechtliche Aufsicht für die Volksschulen obliegt den Gemeindefachstellen für Datenschutz, diese wurden deshalb ebenfalls in die Prüfung einbezogen.
Empfehlungen zu M365-Einführung
Der Kanton St.Gallen führte M365 rollend ab Herbst 2024 ein. Die Fachstelle für Datenschutz machte in diesem Zusammenhang verschiedene Empfehlungen: Fachapplikationen, in denen häufig besonders schützenswerte Personendaten bearbeitet werden, müssen auch langfristig bestehen bleiben. Vertraglich muss sichergestellt werden, dass Microsoft die Personendaten nur für die vereinbarten Zwecke verwenden darf. Der Grundsatz der Zweckmässigkeit ist angesichts der Herausforderungen von künstlicher Intelligenz besonders wichtig. Zudem müssen regelmässig Alternativen geprüft werden. Für die Bürgerinnen und Bürger muss zudem transparent sein, wenn ihre Daten in der Cloud von Microsoft bearbeitet werden.
Unverschlüsselte Datenträger bergen hohes Risiko
Zwei Meldungen von Datenschutzverletzungen betrafen die Verwendung von unverschlüsselten Datenträgern. Solche bergen ein sehr hohes Risiko für eine Datenschutzverletzung. Für die Bearbeitung von besonders schützenswerten Personendaten dürfen sie nicht verwendet werden. Der eine Fall betraf einen Verlust, der andere einen Diebstahl. In bestimmten Fällen müssen die betroffenen Personen über die Datenschutzverletzung informiert werden. Bei dieser Frage kann es eine Rolle spielen, ob der Datenträger verloren ging oder entwendet wurde: Im Fall des Diebstahls besteht bereits eine kriminelle Absicht, was die Gefahr für die betroffenen Personen zusätzlich erhöht.
Mehrere Anfragen betrafen die Publikationsplattform. Es ging darum, dass Personendaten auf der Plattform waren, obwohl Rechtsmittelfristen verstrichen waren oder ein Löschgesuch gutgeheissen wurde. Damit besteht kein Grund für die weitere Publikation und die Angaben müssen gelöscht werden. Die fristgerechte Löschung ist umso wichtiger, als mit einer neuen Suchfunktion nicht nur der Suchbegriff selbst, sondern auch semantisch ähnliche Begriffe gefunden werden.
Der Tätigkeitsbericht der Fachstelle Datenschutz ist hier einsehbar.