Personendaten müssen durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten
geschützt werden. Wer als Privatperson Personendaten bearbeitet oder ein Datenkommunikationsnetz zur Verfügung stellt, sorgt für die Vertraulichkeit, die Verfügbarkeit und die Integrität der Daten, um einen angemessenen Datenschutz zu gewährleisten.
Vorgeschriebene Massnahmen
Vor allem sind Dokumente mit Personendaten zu schützen gegen unbefugte oder zufällige Vernichtung, zufälligen Verlust, technische Fehler, Fälschung, Diebstahl oder widerrechtliche Verwendung, unbefugtes Ändern, Kopieren, Zugreifen oder andere unbefugte Bearbeitungen. Die technischen und organisatorischen Massnahmen müssen angemessen sein und angepasst an Zweck, Art und Umfang der Datenbearbeitung und dem gegenwärtigen Stand der Technik. Dazu sollten die möglichen Risiken für die betroffenen Personen richtig eingeschätzt werden. Diese Vorschriften gelten nicht nur für automatisierte Datenverarbeitungen, sondern auch für Daten, die noch auf Papier bearbeitet werden, sowie für Archive. Für diese sind folgende Massnahmen besonders wichtig:
- Unbefugten Personen ist der Zugang zu den Einrichtungen zu verwehren, in denen Personendaten bearbeitet werden.
- Personendatenträgerkontrolle: Unbefugten Personen ist das Lesen, Kopieren, Verändern oder Entfernen von Datenträgern zu verunmöglichen.
- Transportkontrolle: Bei der Bekanntgabe von Personendaten sowie beim Transport von Datenträgern ist zu verhindern, dass die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können.
- Zugriffskontrolle: Der Zugriff der berechtigten Personen ist auf diejenigen Perso-nendaten zu beschränken, die sie für die Erfüllung ihrer Aufgabe benötigen.
Die Datensammlungen sind so zu gestalten, dass die betroffenen Personen ihr Auskunftsrecht und ihr Recht auf Berichtigung wahrnehmen können. Das heisst, auch Datensammlungen auf Papier sind so zu ordnen, dass man einzelne Dokumente im Archiv wieder findet.
Öffentliche Organe
Das Datenschutzgesetz regelt auch das Bearbeiten von Personendaten durch Bundesorgane. Für den Datenschutz ist das Bundesorgan verantwortlich, das die Personendaten in Erfüllung seiner Aufgaben bearbeitet oder bearbeiten lässt (DSG Art. 16). Zusätzlich gibt es kantonale Vorschriften, die den Umgang von öffentlichen Organen des Kantons und der Gemeinden mit Informationen und mit Personendaten regeln. Für den Umgang mit vertraulichen Papierdokumenten sowie deren Entsorgung gilt auch für Verwaltung und öffentliche Organe im Prinzip dasselbe wie für private Unternehmen.
Beim Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) sind einige Leitfäden über Datenschutz zu finden. Meistens handelt es sich um das Management von elektronischen Daten; einige der empfohlenen Massnahmen sind jedoch auch gut bei Papier anzuwenden.
