Rapport sur les résultats

Référence : BAV-011-11/15/2/1/3/1

Piratenpartei, SEV, SP, SGB: Der pauschale Verweis auf einen relativ begrenzten Bereich des Datenschutzgesetzes (Art. 33-42) erscheint uns sehr knapp. Wir bitten daher um eine Prüfung, ob dieser Bereich nicht ausgeweitet werden könnte bzw. sollte.

BE: Es ist für den Kanton Bern nicht nachvollziehbar, warum der Verweis in Artikel 18 Absatz 1 auf Kapitel 6 (Art. 33 bis 42) des neuen eidgenössischen Datenschutzgesetzes (nDSG) beschränkt ist. Mit wenigen Ausnahmen erachten wir auch die übrigen Kapitel für massgebend. Mit einer Ausdehnung des Verweises auf das gesamte nDSG würde auch das wichtige Thema der lnformationssicherheit verstärkt adressiert. Dies ist unseres Erachtens wichtig, weil die Daten schlimmstenfalls missbräuchlich verwendet werden könnten. Ferner kommt der Sicherheit des Systems ein grosser Stellenwert zu. Je nachdem, was mit den Daten beeinflusst werden kann, können bei einem allfälligen Cyberangriff mehrere Mobilitätssysteme ausfallen. Deshalb bedarf es einer soliden Rückfallebene. Ebenfalls ist zu prüfen, ob die mit Artikel 18 geschaffene Gesetzesgrundlage ausreicht, um Artikel 34 Absatz 2 Buchstabe b nDSG gerecht zu werden oder ob der Begriff Profiling explizit erwähnt werden müsste. Denn die Sammlung von besonders schützenswerten Personendaten in Verbindung mit Bewegungsdaten scheinen ein Profiling zumindest zu ermöglichen.

FR : Selon l’Autorité cantonale de la transparence, de la protection des données et de la médiation du canton de Fribourg, les conditions-cadres prévues à l’article 18 du projet en matière de traitement des données personnelles ne sont pas suffisantes pour garantir la protection des données car le traitement de données personnelles sensibles n’est pas suffisamment décrit. Il serait nécessaire, au vu des principes de protection des données, de mentionner explicitement les données traitées, le but du traitement, la durée de conservation respectivement la destruction et les destinataires des données. En outre, les mesures organisationnelles et techniques adaptées doivent être garanties. En outre, il serait opportun de préciser si les « données de déplacement » constituent des données personnelles.

TG: Es bestehen grundsätzliche datenschutzrechtliche Bedenken zur Vorlage (siehe Frage 1). Die möglichen Datenerhebungen würden die Personendaten einer Vielzahl von Personen verletzen. Es wird abgelehnt, dass der Bundesrat die Kompetenz erhalten soll, die Einzelheiten zur Bearbeitung der Daten zu regeln.

VD : Nous relevons que, en l’état, les seuls éléments contenus à l’art. 18 LIDMo, dans son commentaire et aux chapitres 4.1.8.6.3 et 4.1.11 ne permettent pas d’analyser si le traitement des données personnelles qui sera opéré dans le cadre de la MODI offre des garanties suffisantes en matière de protection des données. Il est difficile de comprendre la répartition des rôles et des responsabilités dans le traitement des données entre le CDM et les fournisseurs de données (dont certains pourraient être soumis aux droits cantonaux) sur la base du projet de loi et du rapport explicatif. A notre sens, le projet de loi gagnerait en clarté en précisant qui est le responsable de traitement des données personnelles. Les aspects relatifs au rôle de chacun des acteurs du projet quant à la sécurité des données devraient également être précisés :

SBB: Datensicherheit- und Datenschutzanliegen werden kaum berücksichtigt. Die MDA soll aus Prinzip nicht haften und die Hoheit der über NADIM bereitgestellten Daten bei den Datenlieferanten verbleiben. Das wäre nachvollziehbar, wenn Daten via NADIM nur ausgetauscht und die MDA diese Daten nicht persistent speichern würde (abgesehen von für die Funktion eines Austauschstandards zwingend nötigen Daten wie Teilnehmerverzeichnis, Cache etc.). Die Vorlage sieht aber vor, dass die MDA Kerndatensets definieren sowie diese Daten bearbeiten und speichern können soll. In diesem Fall ist es widersprüchlich, dass bei Fehlern nicht die MDA, sondern immer nur die Unternehmen haften sollen. Falls NADIM wie vorgesehen zusätzlich auch selbst Vertriebsfunktionen anbietet und damit Personendaten bearbeitet, braucht es klare und detaillierte Regeln zum Datenschutz. Die SBB ist der Meinung, dass - wenn eine MDA mit derart weitreichenden Kompetenzen gegründet würde - diese auch gesetzlich klar geregelte Verantwortung im Bereich Datensicherheit, Haftung sowie Datenschutz tragen müsste.