Gesetz über die elektronischen Identifizierungsmittel und das sichere Portal für Online-Dienstleistungen des Staates (LCyber) - Zweck (LCyber)

1. Dieses Gesetz legt die Bedingungen und das Verfahren für die Ausgabe eines elektronischen Identifikationsmittels durch den Staat sowie die Bedingungen für die Organisation, den Betrieb und die Nutzung des sicheren Online-Dienstportals des Staates (im Folgenden: das sichere Portal) fest.

1. Es bedeuten

a. gesichertes Portal: die gesamte Einrichtung für die gesicherte elektronische Kommunikation, die der Staat den Nutzern zur Verfügung stellt, um ihnen den Zugang zu Online-Dienstleistungen zu ermöglichen;

b. Online-Dienstleistungen: die vom Staat den Nutzern über das gesicherte Portal angebotenen Dienste;

c. elektronisches Identifizierungsmittel: die elektronischen Elemente, die zur Identifizierung und Authentifizierung einer natürlichen Person verwendet werden;

d. persönliche Identifikationsdaten: alle Daten, die es dem Staat ermöglichen, ein elektronisches Identifizierungsmittel auszustellen, insbesondere Vor- und Nachnamen, Geburtsdatum, Kopie des Ausweisdokuments, Wohnadresse, E-Mail-Adresse, AHV-Versichertennummer;

e. Nutzer: die natürliche Person oder die juristische Einheit mit einer Unternehmens-Identifikationsnummer im Sinne des Bundesgesetzes vom 18. Juni 2010 über die Unternehmens-Identifikationsnummer [A] (nachstehend: eine Einheit mit UID), die einen Zugang zum gesicherten Portal besitzt;

f. Kontodaten: die Daten betreffend das Zugangsverfahren zum gesicherten Portal, die Erstellung und Führung des Nutzerkontos, insbesondere für den Nutzer als natürliche Person seine persönlichen Identifikationsdaten und für den Nutzer als Einheit mit UID die Unternehmens-Identifikationsnummer, deren Firmenname oder Bezeichnung, deren Domizil- oder Sitzadresse, die AHV-Versichertennummer, das Geburtsdatum und die E-Mail-Adresse der zur Vertretung berechtigten Personen;

g. Inhaltsdaten: die den Anfragen und Mitteilungen, einschliesslich den Verfügungen, inhärenten Daten, die zwischen dem Nutzer und dem Staat über das gesicherte Portal übermittelt werden;

h. Metadaten: die Daten, welche die formalen Merkmale der über das gesicherte Portal übermittelten Inhaltsdaten beschreiben, insbesondere deren Autor, Titel, Empfänger, Datum und Uhrzeit.

1. Die Ausstellung eines elektronischen Identifikationsmittels durch den Staat und der Zugang zum gesicherten Portal sind kostenlos.

2. Eine Gebühr kann erhoben werden, wenn der Zugang zum gesicherten Portal mit einem anderen elektronischen Identifikationsmittel als dem vom Staat ausgestellten erfolgt.

1. Das für Informationssysteme zuständige Departement (nachstehend: das Departement) [B] ist die zuständige Behörde für die Ausführung dieses Gesetzes, insbesondere für

a. die Ausgabe, Verwaltung und Deaktivierung elektronischer Identifizierungsmittel;

b. die Gewährung des Zugangs zum sicheren Portal an einen Nutzer;

c. die Ausübung der Aufsicht über das sichere Portal;

d. die Sicherstellung der administrativen Organisation des sicheren Portals;

e. die Entwicklung und Wartung der technischen Infrastruktur des sicheren Portals;

f. die Gewährleistung der Sicherheit des sicheren Portals;

g. den Erlass der Nutzungsbedingungen des sicheren Portals;

h. die Benennung der Personen, die gemäss Artikel 13 Absätze 2 und 3 dieses Gesetzes zum Zugriff auf die Nutzerdaten berechtigt sind;

i. den Erlass aller Entscheidungen in Anwendung dieses Gesetzes.

2. Das Departement kann die Ausführung seiner Aufgaben dem für Informationssysteme zuständigen Dienst (nachstehend: der Dienst) [B] übertragen.

3. Der Staatsrat kann vorsehen, dass weitere kantonale Dienste und Behörden an der Durchführung des Verfahrens zur Ausgabe elektronischer Identifizierungsmittel und zum Zugang zum sicheren Portal mitwirken.

1. Um die ihnen nach diesem Gesetz übertragenen Aufgaben zu erfüllen, sind die zuständigen Behörden im Sinne von Artikel 4 ermächtigt, die AHV-Versichertennummer systematisch zu verwenden von

a. Personen, die die Ausstellung eines staatlichen elektronischen Identifizierungsmittels beantragen;

b. Inhabern eines staatlichen elektronischen Identifizierungsmittels;

c. Nutzern.

1. Um die für die Ausführung dieses Gesetzes notwendigen Überprüfungen der Identität und der Vertretungsbefugnis sowie eine kontinuierliche Sicherheitskontrolle des Austauschs über das gesicherte Portal zu ermöglichen, können die zuständigen Behörden im Sinne von Artikel 4 zugreifen auf

a. die im kantonalen Personenregister enthaltenen Daten, mit Ausnahme der Daten betreffend den Aufenthalt in einer Justizvollzugsanstalt und die Zugehörigkeit zu einer Religionsgemeinschaft;

b. die im kantonalen Unternehmensregister enthaltenen Daten.

2. Die in Absatz 1 genannten Daten werden ihnen über ein Abrufverfahren zugänglich gemacht.

3. Der Staatsrat kann den Zugriff auf andere Register oder Datenbanken genehmigen, sofern dies für die Ausführung dieses Gesetzes notwendig ist.

1. Zu Beginn des Verfahrens sensibilisieren die zuständigen Behörden im Sinne des Artikels 4 jede Person, die ein elektronisches Identifikationsmittel beantragt oder darum ersucht, Nutzer des gesicherten Portals zu werden, für bewährte Verfahren in Bezug auf IT-Sicherheit und den Schutz personenbezogener Daten.

1. Der Staatsrat legt die persönlichen Voraussetzungen fest, die zu erfüllen sind, sowie das Verfahren, das einzuhalten ist, um ein vom Staat ausgestelltes elektronisches Identifikationsmittel zu erhalten.

2. Er kann elektronische Identifikationsmittel anerkennen, die von anderen öffentlichen oder konzessionierten Anbietern ausgestellt werden.

3. Die Verweigerung der Ausstellung eines elektronischen Identifikationsmittels durch den Staat oder dessen Deaktivierung unterliegt einer Entscheidung.

1. Der Inhaber eines von dem Staat ausgestellten elektronischen Identifikationsmittels muss dieses streng vertraulich behandeln.

2. Er trifft die angesichts der Umstände notwendigen und zumutbaren Maßnahmen, um einen Missbrauch zu verhindern. Diese Verpflichtungen werden ihm bei der Ausstellung eines elektronischen Identifikationsmittels in Erinnerung gerufen.

3. Im Falle eines Missbrauchs eines von dem Staat ausgestellten elektronischen Identifikationsmittels oder wenn Grund zu der Annahme besteht, dass ein solcher Missbrauch droht, können die zuständigen Behörden im Sinne von Artikel 4 dieses Mittel ohne vorherige Anfrage des Inhabers deaktivieren. In diesem Fall informieren die zuständigen Behörden den Inhaber.

1. Die Nutzung des gesicherten Portals für den Zugang zu einer staatlichen Dienstleistung ist freiwillig, außer in den vom Staatsrat vorgesehenen Ausnahmefällen.

1. Der Inhaber eines elektronischen Identifikationsmittels und die Einrichtung, die über eine IDE verfügt, können über die befugten Personen, die zur Vertretung berechtigt sind und ein elektronisches Identifikationsmittel besitzen, beantragen, Nutzer des gesicherten Portals zu werden.

2. Der Staatsrat legt das Verfahren und die Zugangsbedingungen zum gesicherten Portal fest.

3. Wenn ein Nutzer die Nutzungsbedingungen des gesicherten Portals verletzt, kann sein Zugang eingeschränkt, ausgesetzt oder widerrufen werden.

4. Die Verweigerung, Einschränkung, Aussetzung oder der Widerruf des Zugangs zum gesicherten Portal unterliegt einer Entscheidung.

1. Die zuständigen Behörden im Sinne des Artikels 4 sind befugt, folgende Daten zu verarbeiten

a. personenbezogene Identifikationsdaten;

b. Kontodaten sowie Inhaltsdaten und Metadaten, die mit der Verwaltung des Zugangs der Nutzer zum sicheren Portal verbunden sind;

c. Daten betreffend ein Verfahren zur Ablehnung oder Deaktivierung des vom Staat ausgestellten elektronischen Identifizierungsmittels oder betreffend ein Verfahren zur Einschränkung, Aussetzung oder zum Widerruf des Zugangs zum sicheren Portal;

2. Sie beschränken die Verarbeitung der in Absatz 1 genannten Daten auf das, was zur Erfüllung der ihnen gesetzlich zugewiesenen Aufgaben unbedingt erforderlich ist.

3. Die in Absatz 1 genannten Daten werden fünf Jahre nach der Deaktivierung des vom Staat ausgestellten elektronischen Identifizierungsmittels oder der Ablehnung der Ausstellung desselben bzw. fünf Jahre nach Beendigung des Zugangs des Nutzers vernichtet.

1. Der Nutzer hat während der Aufbewahrungsdauer Zugang zu seinen Kontodaten, Inhaltsdaten und Metadaten.

2. Personen, die im Sinne von Artikel 4, Absatz 1, Buchstabe h zugelassen sind, können im Rahmen ihrer Tätigkeit auf die Kontodaten und Metadaten des Nutzers zugreifen.

3. Der Nutzer kann den Zugang zu den ihn betreffenden Inhaltsdaten den im Sinne von Artikel 4, Absatz 1, Buchstabe h zugelassenen Personen gestatten, insbesondere wenn er bei der Nutzung des sicheren Portals angeleitet werden muss oder dem Fachbereich eine Funktions- oder Inhaltsanomalie meldet. Es ist eine ausdrückliche Zustimmung erforderlich.

1. Die Kontodaten des Nutzers werden auf dem sicheren Portal bis zum Ende seines Zugangs gespeichert.

2. Die zwischen dem Nutzer und dem Staat ausgetauschten Inhaltsdaten und die dazugehörigen Metadaten werden auf dem sicheren Portal während der Bearbeitung des Online-Dienstantrags durch die zuständige Behörde und bis zu achtzehn Monate nach Abschluss des Verfahrens, jedoch spätestens bis zum Ende des Zugangs des Nutzers, gespeichert. Die Inhaltsdaten und Metadaten, die Entscheidungen betreffen, werden auf dem sicheren Portal achtzehn Monate nach ihrer Mitteilung, jedoch spätestens bis zum Ende des Zugangs des Nutzers, gespeichert.

3. Die in den Absätzen 1 und 2 genannten Daten werden nach Ablauf ihrer jeweiligen Aufbewahrungsdauer auf dem Portal gelöscht.

4. Die im Sinne von Absatz 2 zuständige Behörde entscheidet über Anträge auf Übermittlung der Inhaltsdaten und der dazugehörigen Metadaten.

1. Der Staat haftet nicht für Schäden, die durch die Unmöglichkeit entstehen, ein von ihm ausgestelltes elektronisches Identifikationsmittel zu nutzen oder auf das gesicherte Portal zuzugreifen und es zu benutzen.

2. Darüber hinaus findet das Gesetz vom 16. Mai 1961 über die Haftung des Staates, der Gemeinden und ihrer Bediensteten (LRECA) [C] Anwendung.

1. Der Nutzer trägt alle Risiken, die sich aus der Verwendung seines elektronischen Identifikationsmittels durch einen Dritten ergeben.

2. Er ist allein verantwortlich für den Schutz und die ordnungsgemäße Funktion seines Computersystems.

1. Der Staatsrat erlässt die Durchführungsbestimmungen zu diesem Gesetz.

1. Der Staatsrat wird dem Großen Rat innerhalb von 5 Jahren nach Inkrafttreten dieses Gesetzes einen Evaluationsbericht über die Umsetzung des vorliegenden Gesetzes vorlegen.

2. Dieser Bericht wird von einem Dekretentwurf begleitet, der Maßnahmen vorschlägt, falls die im Begründungsbericht definierten Ziele des Gesetzes nicht erreicht werden sollten.

1. Die persönlichen Voraussetzungen, die natürliche Personen erfüllen müssen, um ein von staatlicher Stelle ausgestelltes elektronisches Identifikationsmittel zu erhalten, und diejenigen, um Nutzer des gesicherten Portals zu werden, sind während der drei Jahre nach Inkrafttreten dieses Gesetzes identisch.

1. Der Staatsrat ist für die Ausführung dieses Gesetzes zuständig. Er wird den Text gemäß Artikel 84, Absatz 1, Buchstabe a) der Kantonalen Verfassung veröffentlichen und das Datum des Inkrafttretens durch einen Beschluss festlegen.