Präsident der JustizkommissionEin neues Bewusstsein für Datenschutz

Charles Margue, dem die Umsetzung der europäischen Richtlinie noch während seiner Zeit in der Direktion des Meinungsforschungsinstitutes Ilres viel Arbeit und Kopfzerbrechen bereitet hatte und der nach den Wahlen als grüner Abgeordneter ins Parlament wechselte, wunderte sich erst einmal darüber, wie wenig Bewusstsein es offensichtlich beim Staat für das Thema gegeben hatte: „Bei uns (Ilres; Anm. d. Red.) war das Klima während der Zeit der Umsetzung der Richtlinie grenzwertig, viele Ressourcen wurden hierfür aufgewendet.“ Die Sensibilität bei den öffentlichen Verwaltungen fehlte hingegen. Wohl habe es punktuelle Initiativen in einigen Ministerien gegeben, allgemein sei das Thema beim Staat aber nicht mit der nötigen Sorgfalt behandelt worden. Dies, so Margue, vielleicht auch wegen des fehlenden Drucks: Immerhin riskieren Unternehmen Strafen von bis zu 4 Prozent ihres Umsatzes, ein wirtschaftliches Damokles-Schwert, das beim Staat fehlte.

Nachdem ein Kandidat für einen Posten bei der Staatsanwaltschaft während des Einstellungsgesprächs mit leichteren Verfehlungen konfrontiert wurde, die nicht einmal zu Verurteilungen führten (Verkehrsdelikte und eine Schlägerei), stellte dieser sich berechtigte Fragen über die von der Justiz im sog. „Jucha“-Archiv gesammelten Daten. Dies löste oben beschriebene Inflation an Reaktionen aus. Schnell wurde auch das Polizeiregister ein öffentliches und politisches Thema. Die beiden Minister Bausch und Braz reagierten mit einem Verteidigungsschreiben an die Presse, die Staatsanwaltschaft versuchte sich während Pressekonferenzen zu rechtfertigen. Erst nach und nach setzte sich die Erkenntnis durch, dass nachgebessert werden müsse, was denn auch nach den Wahlen geschehen sollte. 

Die neu besetzte Justizkommission unter der Leitung des frischen Präsidenten Margue versuchte erst, sich einen Überblick zu verschaffen. Schnell, so Margue, wurde klar, dass bei der diffizilen Frage des Datenschutzes in den Verwaltungen nicht mit Nachbesserungen gearbeitet werden konnte. Die Datensammlungen sollten gesetzlich geregelt werden. 

Die ursprüngliche Aufregung legte sich. Im Parlament, so der Kommissionspräsident, habe sich die Position durchgesetzt, dass eigentlich keine Fraktion die Probleme kommen sah, die etwa mit dem Polizeiregister verbunden waren. Die rechtliche Basis der Sammlung wurde jahrelang als nebensächlich behandelt, zum Teil wurde sogar ganz vergessen, diese Grundlage zu erneuern. Dies verdeutliche die mangelnde Kontrolle des Parlaments über bestimmte Gesetze und deren Umsetzung. Margue regt deshalb an, ein Observatorium zu schaffen, das eben diese Kontrollfunktion ausüben könne und die notwendigen Mittel und Befugnisse erhalten müsse, um bei Bedarf einzugreifen. 

Nachdem es also zu einer Art Eingeständnis einer kollektiven Verantwortung im Parlament gekommen war, konnte die Kommission konstruktiv an dem Dossier arbeiten. Grundlage war u.a. ein Gutachten der nationalen Datenschutzkommission, die auf Initiative der Regierung hauptsächlich das Polizeiregister unter die Lupe nahm und eine ganze Reihe von Schwachstellen aufdeckte. 

Wie Margue bemerkt, gab es eine Reihe von Ursachen, die zu dem Durcheinander beim Aufbau des Registers, aber auch von Kompetenzen im Zusammenhang mit dem – aber nicht nur dem – Archiv geführt haben. Fehlende Technik, fehlendes Fachwissen, die Entwicklung der informatischen Mittel, die schnell zu weiteren Archiven auf den Rechnern der Polizei geführt hatte (etwa mit Fotos, mit Fingerabdrücken usw.), brachten die Polizei in die umstrittene Lage. 15.157 neue Dossiers wurden zwischen 2010 und 2019 jährlich neu angelegt, in dem gleichen Zeitraum wurden 176.550 jährliche Zugriffe auf das Archiv gezählt. Es gab offensichtlich keinerlei Bewusstsein für den Datenschutz.

Dies hat sich – so Margue – in den letzten Monaten dramatisch verändert. Die Einführung von sog. „Log-Files“, die es erlauben nachzuvollziehen, wer informatisch über eine Person nachforschte, haben bereits zu einer starken Abnahme der Konsultationen geführt. Interne Maßnahmen der Polizei halfen ebenfalls, die Problematik zu entschärfen. Die Zusammenarbeit der CNPD („Commission nationale pour la protection des données“) mit der Polizei habe wohl auch das Bewusstsein innerhalb des Korps geschärft.

Auch bei der Justiz, die ihre eigene, teils mit dem Polizeiregister in Verbindung stehende Datenbank („Jucha“) hat, geht man weitaus vorsichtiger mit den gesammelten Daten um. So hat sich die Institution bis auf weiteres eine Selbstbeschränkung auferlegt und verwertet zurzeit, bis zur definitiven rechtlichen Klärung, nur noch Daten, die nicht älter als drei Jahre sind.  

Einen ersten Text zu einem Gesetz über das Polizeiregister wird es im März geben; bis Ende des Jahres soll das Gesetz stehen. Noch ist nicht definitiv festgelegt, was der Text alles regeln wird: Klar ist aber jetzt schon, dass der (auch vom CNPD verlangte) Jugendschutz eine Rolle spielen wird, die Verweildauer bis zur definitiven Archivierung geregelt werden wird, die Zugangsrechte definiert werden.

Das, was in der Privatwirtschaft bereits bei den meisten Betrieben umgesetzt ist, verlangt Charles Margue nun für die staatlichen Institutionen: „Sie müssen einen DPO (Data Protection Officer), also einen Mitarbeiter, der sich mit den Fragen des internen und externen Datenschutzes beschäftigt, bekommen, und zwar Vollzeit.“ Ob jedes Ministerium seinen eigenen DPO braucht oder ob dies zentral geregelt werden soll, lässt der Kommissionspräsident dabei noch offen. Die Zeit des laienhaften Umgangs mit Daten soll jedenfalls auch beim Staat vorbei sein. 

Mit einem Gesetz über die Polizei- und die Justizdaten werde es allerdings nicht getan sein. Zahlreiche andere Datensammlungen, etwa die der sozialen Sicherheit, der Krankenkasse usw., bräuchten ihre eigenen Gesetzestexte, da die Vorgaben andere sind. Alles immer im Rahmen der europäischen Datenschutzrichtlinie.

Nach dem ersten Text werden demnach weitere folgen müssen, was die Kommission und das Parlament wahrscheinlich auf viele Jahre beschäftigen wird. 

Aufgepasst werden soll dabei darauf – und dies ist Margue wichtig –, dass die Regelungen nicht die Arbeit der Wissenschaft be- bzw. verhindern. Es müsse immer noch möglich bleiben, Forschungsarbeit mit zwar anonymisierten, aber weiterhin zugänglichen Daten zu betreiben. Als Beispiel nennt er das nationale Krebsregister, das zur Prävention und somit zur besseren medizinischen Lage der Bevölkerung genutzt werden könne und solle. Auch sozioökonomische  Studien etwa des Liser („Luxembourg Institute of Socio-Economic Research“) müssten aufgrund von existenten Daten möglich sein.