Welche Personendaten dürfen im Zusammenhang mit COVID19 bearbeitet werden, zum Beispiel für das Identifizieren von infektiösen Personen?
Das Bundesgesetz über die Bekämpfung übertragbarer Krankheiten des Menschen (Epidemiengesetz, EpG) gibt dem Bundessamt für Gesundheit (BAG) und anderen Behörden in der Schweiz unabhängig von der heutigen ausserordentlichen Lage (Art. 7 EpG) umfassende Kompetenzen.
Wenn das BAG keine aktuellen und genauen Zahlen liefern kann, liegt es nicht am Datenschutz.
Das BAG hat – wie viele anderen Behörden auch – die Digitalisierung verschlafen. Daniel Koch, Leiter der Abteilung Übertragbare Krankheiten beim BAG, lobte noch vor einigen Tagen ausdrücklich Handarbeit und die Verwendung von Fax für die Meldung von Fällen. Die führende Visualisierung von COVID-19-Fällen in der Schweiz hatte in der Zwischenzeit ein Informatiker in seiner Freizeit gebaut.
Epidemiengesetz: Umfassende Kompetenzen für Behörden
Art. 58 Abs. 1 EpG über die Bearbeitung von Personendaten lautet wie folgt:
«Das BAG, die zuständigen kantonalen Behörden und die mit Aufgaben nach diesem Gesetz betrauten öffentlichen und privaten Institutionen können Personendaten, einschliesslich Daten über die Gesundheit, bearbeiten oder bearbeiten lassen, soweit dies zur Identifizierung von kranken, krankheitsverdächtigen, angesteckten, ansteckungsverdächtigen und Krankheitserreger ausscheidenden Personen im Hinblick auf Massnahmen zum Schutz der öffentlichen Gesundheit, insbesondere zur Erkennung, Überwachung und Bekämpfung übertragbarer Krankheiten, erforderlich ist.»
«Bearbeiten lassen» bedeutet, dass auch die Auftragsbearbeitung von Personendaten wie insbesondere Daten über die Gesundheit möglich ist. Contact Tracing beispielsweise könnte von Behörden in Zusammenarbeit mit Partnern aus Privatwirtschaft, Wissenschaft und Zivilgesellschaft ermöglicht werden. Was wann verschlafen wurde, ist bei der aktuellen Bekämpfung von COVID-19 nicht massgeblich.
Personendaten für Behörden in der Schweiz und im Ausland
Art. 59 Abs. 1 EpG gewährleistet die Bekanntgabe von Personendaten zwischen Bund und Kantonen:
«Die für den Vollzug dieses Gesetzes zuständigen Stellen des Bundes und der Kantone können sich gegenseitig Personendaten, einschliesslich Daten über die Gesundheit, bekannt geben, die sie zur Erfüllung der ihnen durch dieses Gesetz zugewiesenen Aufgaben benötigen.»
Art. 62 Abs. 1 EpG erlaubt die Bekanntgabe auch an ausländische Behörden und internationale Organisationen, sofern ein angemessener Datenschutz gewährleistet ist:
«Das BAG und die zuständigen kantonalen Behörden dürfen zum Vollzug dieses Gesetzes den mit entsprechenden Aufgaben betrauten ausländischen Behörden sowie supranationalen und internationalen Organisationen Personendaten, einschliesslich Daten über die Gesundheit, bekannt geben, wenn der betreffende Staat und insbesondere seine Gesetzgebung oder die supranationale oder internationale Organisation einen angemessenen Schutz der Pbersönlichkeit der betroffenen Person gewährleistet.»
Informationssystem für Identifizierung und Statistik
Art. 60 Abs. 1 EpG gibt dem BAG die Aufgabe, ein Informationssystem zu betreiben (oder betreiben zu lassen):
«Das BAG betreibt ein Informationssystem, in das Daten über Personen aufgenommen werden, die krank, krankheitsverdächtig, angesteckt oder ansteckungsverdächtig sind oder Krankheitserreger ausscheiden.»
Das Informationssystem dient gemäss Art. 60 Abs. 3 lit. a u. Abs. 4 EpG einerseits der …
«Identifizierung und Benachrichtigung von Personen, die krank, krankheitsverdächtig, angesteckt oder ansteckungsverdächtig sind oder Krankheitserreger ausscheiden
… und andererseits der …
«einheitlichen Bearbeitung der Daten durch die zuständigen Behörden, der Erstellung von Statistiken und der Vollzugskontrolle.»
Ausserordentliche Lage: Verhältnismässigkeit und öffentliches Interesse
Mit der ausserordentlichen Lage sind die Behörden nicht mehr an diese Rechtsgrundlagen gebunden, sondern der Bundesrat kann Massnahmen, die erforderlich beziehungsweise notwendig sind, anordnen.
Als Schranken bleiben der Grundsatz der Verhältnismässigkeit und die Rechtfertigung durch ein – überwiegendes – öffentliches Interesse (Art. 36 Abs. 2 u. 3 der Bundesverfassung). Verhältnismässig sind Massnahmen, die erforderlich, geeignet und zumutbar sind.
Contact Tracing: Was bedeutet «Erforderlichkeit»?
«Erforderlichkeit» bedeutet beispielsweise, dass eine mildere Massnahme, die geeignet ist, bevorzugt werden muss. So ist es für Contact Tracing beispielsweise nicht erforderlich, die Vorratsdaten aus der Massenüberwachung der gesamten Bevölkerung zu verwenden.
Die Schweiz kann ihren digitalen Rückstand bei der Bekämpfung von COVID-19 aufholen, ohne den Datenschutz zu gefährden.
Man muss für Contact Tracing nicht wissen, wer jetzt und in den letzten sechs Monaten wann wo war und mit wem kommuniziert hat. Die Schweiz kann ihren digitalen Rückstand bei der Bekämpfung von COVID-19 aufholen, ohne den Datenschutz zu gefährden.
Für Contact Tracing kann es genügen, wenn mit Smartphone-Apps erfasst wird, wer sich in den letzten Wochen so nahe kam, dass eine Ansteckungsgefahr bestand. Dafür könnte eine App verwendet werden, die Bluetooth nutzt, um die Smartphones von Personen, die sich ganz in der Nähe befanden, zu erfassen. Die Ausgestaltung könnte so erfolgen, dass nur Personendaten offengelegt werden müssen, wenn sie tatsächlich benötigt werden. Datenschutz und Verhältnismässigkeit könnten durch Anonymisierung und Verschlüsselung gewährleistet werden.
Singapur: TraceTogether-App als Vorbild für die Schweiz?
Ein Beispiel für eine solche App ist TraceTogether aus Singapur. Die Nutzung ist freiwillig, die Daten sollen nur während 21 Tagen lokal auf dem Smartphone gespeichert werden und eine Erfassung von Standortdaten findet nicht statt.
Singapur stellt die App seit einigen Tagen zur weltweiten Verwendung zur Verfügung. In der Schweiz wird inzwischen daran gearbeitet, Contact Tracing dieser Art zu adaptieren.
Siehe auch: TraceTogether – Under the Hood.
Nachtrag 1: In Österreich hat das Rote Kreuz die «STOPP CORONA»-App lanciert:
«Jeder der die App hat, kann bei einer Begegnung mit Freunden, Familien oder im Beruf angeben sich mit dieser Person getroffen zu haben. Begegnungen werden anonym gespeichert.»
Und:
«Stellt ein Arzt COVID-19 fest, kann der User eine Meldung abgeben, um seine Kontakte anonymisiert zu benachrichtigen.»
Die App hat allerdings den Nachteil, dass Begegnungen von Hand erfasst werden müssen.
(Via Christian Ginsig.)
Nachtrag 2: DATAMED meldet, eine elektronische Schnittstelle für die Übermittlung von COVID-19-Testresultaten eingerichtet zu haben:
«Dieses Wochenende haben wir in Zusammenarbeit mit dem BAG und dem Kantonsspital Aarau eine Schnittstelle zur elektronischen Übermittlung der Resultate des COVID-19 Tests eingerichtet. Während der Nacht, gegen 0:00 Uhr, wird automatisch ein CSV File an eine HIN Adresse des BAG geschickt. Es ist zudem möglich, dass eine Kopie dieser Nachricht an eine Labor-interne Adresse geschickt wird.
Das BAG hat uns gebeten, diese Funktionalität auch allen anderen Kunden vorzuschlagen, welche die entsprechende Analyse durchführen. Diese Schnittstelle funktioniert unabhängig vom Modul ‹BAG-Meldung› und kann sehr kurzfristig implementiert werden.»
Und:
«Für unsere Kunden ist diese Funktionalität kostenlos. Mehrere namhafte Schweizer Spitallabore haben sind inzwischen ebenfalls in der Umsetzung. Und einem unserer Mitbewerber haben wir die Struktur des CSV Files kostenlos zur Verfügung gestellt.»
(Via Stephan Thommen, CEO von DATAMED.)