§ 4 Verordnung zum Gesetz über die Information der Öffentlichkeit, den Datenschutz und das Archivwesen (VIDAG) - Technische und organisatorische Massnahmen

1. Die öffentlichen Organe haben bei der elektronischen Bearbeitung von Personendaten zur Einhaltung der Vertraulichkeit, Integrität, Verfügbarkeit, Zurechenbarkeit und Nachvollziehbarkeit sowie der Löschfristen insbesondere folgende Massnahmen zu ergreifen

a) * Zugangskontrolle: unbefugten Personen ist der Zugang zu Einrichtungen, in denen Personendaten verarbeitet werden, zu verwehren,

b) * Datenträgerkontrolle: unbefugten Personen ist das Lesen, Kopieren, Verändern oder Entfernen von Datenträgern zu verunmöglichen,

c) * Transportkontrolle: bei der Bekanntgabe von Personendaten sowie beim Transport von Datenträgern ist zu verhindern, dass die Daten unbefugt gelesen, kopiert, verändert oder gelöscht werden können,

d) * Bekanntgabekontrolle: Datenempfänger, denen Personendaten mittels Einrichtungen zur Datenübertragung bekannt gegeben werden, müssen identifiziert werden können,

e) * Speicherkontrolle: unbefugte Eingabe in den Speicher sowie unbefugte Einsichtnahme, Veränderung oder Löschung gespeicherter Personendaten sind zu verhindern,

f) * Benutzerkontrolle: die Benutzung von automatisierten Datenverarbeitungssystemen mittels Einrichtungen zur Datenübertragung durch unbefugte Personen ist zu verhindern,

g) * Zugriffskontrolle: der Zugriff der berechtigten Personen ist auf diejenigen Personendaten zu beschränken, die sie für die Erfüllung ihrer Aufgabe benötigen,

h) * Eingabekontrolle: in elektronischen Systemen muss nachträglich überprüft werden können, welche Personendaten zu welcher Zeit und von welcher Person eingegeben wurden,

i) * Wiederherstellung: Gewährleistung, dass eingesetzte Systeme im Störungsfall wiederhergestellt werden können,

j) * Zuverlässigkeit, Integrität: Gewährleistung, dass alle Funktionen des Systems zur Verfügung stehen, auftretende Fehlfunktionen gemeldet werden und gespeicherte Personendaten nicht durch Fehlfunktionen des Systems beschädigt werden können.

2. Die Massnahmen orientieren sich nach dem Zweck, der Art und dem Umfang der Datenbearbeitung sowie den möglichen Gefahren für die Persönlichkeitsrechte betroffener Personen. Sie sind periodisch auf ihre Zweck- und Verhältnismässigkeit hin zu überprüfen und den technischen Entwicklungen anzupassen.

3. Öffentliche Organe legen ihr Datensicherheitskonzept fest und bestimmen die Aufbewahrungsfristen der von ihnen bearbeiteten Daten unter Beachtung der Anbietepflichten gemäss Archivgesetzgebung.

4. Spätestens ein Jahr nach Ablauf einer befristeten Anbietepflicht gemäss Archivgesetzgebung oder zehn Jahre nach ihrer Anlage sind vom Archiv nicht übernommene Personendaten zu löschen, ausser sie werden aufgrund einer nachweisbaren Überprüfung für die Aufgabenerfüllung oder zu Beweiszwecken weiterhin benötigt. Die Überprüfung ist spätestens nach zehn Jahren zu wiederholen. Sonderbestimmungen in anderen Erlassen bleiben vorbehalten.

← § 3 VIDAG Verordnung zum Gesetz über die Information der Öffentlichkeit, den Datenschutz und das Archivwesen (VIDAG) - Gesuch; Form, Inhalt § 5 VIDAG →