Rapport sur les résultats

Référence : BAV-011-11/15/2/1/3/1

werden, die es erlauben, den Vertrieb von Mobilitätsangeboten einfacher abzuwickeln, wie beispielsweise Buchungs- und Bezahlfunktionen. Den Datenschutz haben die Datenlieferantinnen und -lieferanten durch geeignete Massnahmen sicherzustellen (Ziff. 4.1.8.6.3, S. 28). Mit der NADIM soll grundsätzlich die Umsetzung der Prinzipien der digitalen Selbstbestimmung aktiv gefördert werden. In der ersten Phase der NADIM stehe dies jedoch voraussichtlich nicht im Fokus (Erläuternder Bericht, Seite 29). Für den VCS ist es aus Kundensicht zentral, dass falls über die NADIM nicht nur Sachdaten sondern auch Personendaten ausgetauscht werden, dabei das strickte Prinzip des Opt-In gilt: Sämtliche Personendaten dürfen ausschliesslich und nur dann über die NADIM ausgetauscht werden, wenn sich Seite 6 die betreffende Person aktiv für die Weitergabe ihrer Daten entscheidet. Personen, welche sich nicht ausdrücklich für die Weitergabe ihrer Daten entscheiden, sollen dadurch keine Nachteile – etwa bei der Benutzung der App – erwachsen.

VöV: Aus dem MODIG und dem erläuternden Bericht geht klar hervor, dass über die NADIM grundsätzlich Dienste und Funktionen angeboten werden können, welche u.a. die Bearbeitung von Personendaten zum Gegenstand haben. Diesfalls würden durch die MDA Personendaten bearbeitet werden. In diesem Zusammenhang erscheint der unter Art. 19 Abs. 3 MODIG erwähnte Haftungsausschluss problematisch. Denn als Verantwortlicher in Bezug auf die Datenbearbeitung gilt jede private Person oder Bundesorgan, die oder das allein oder zusammen mit anderen über den Zweck und die Mittel der Bearbeitung entscheidet (Art. 5 Bst. j revDSG). Sofern eine gemeinsame Verantwortlichkeit vorliegt, können betroffene Personen ihre Rechte grundsätzlich gegenüber sämtlichen Co-Verantwortlichen geltend machen und Behörden können gegen jeden von ihnen rechtlich vorgehen. Ob und inwiefern bezüglich der MODI eine alleinige bzw. gemeinsame Verantwortlichkeit der beteiligten Parteien vorliegt, gilt es hier nicht zu beurteilen. Es braucht jedoch eine gut durchdachte Regelung und die sich in diesem Zusammenhang stellenden Fragen müssen beantwortet werden können. Ein gänzlicher Haftungsausschluss erscheint unter Berücksichtigung des Umstandes, dass die MDA unter Umständen Personendaten bearbeiten kann, zudem kritisch. Umso wichtiger ist es, dass die NADIM ausschliesslich als schlanke Schnittstelleninfrastruktur ausgestaltet wird, die Mobilitätsdaten bereitstellt und deren Austausch ermöglicht, jedoch nicht darüberhinausgehende Dienste und Funktionen (wie z.B. Vertriebsfunktionalitäten) zur Verfügung stellt, welche u.a. die Bearbeitung von Personendaten erforderlich machen. Art. 18 MODIG (Bearbeitung von Personendaten) könnte diesfalls gestrichen werden.

ZG: Es bleibt unklar, ob auch Personendaten der Endkundinnen und -kunden zu den Kerndaten (Art.

6) zählen können. Die Lieferung von Personendaten durch die Datenlieferanten sind ausdrücklich als Kerndaten auszunehmen (siehe Antwort 19b).

Gemäss Art. 18 Abs. 2 wird eine gesetzliche Grundlage für Bewegungsdaten und besonders schützenswerte Personendaten geschaffen. Daraus könnte gefolgert werden, dass (einfache) Personendaten und personenbezogene Bewegungsdaten an sich bearbeitet werden dürfen (gemäss Art. 13 Abs. 2 Bst. c und d; siehe Erläuterung zu Art. 13 sowie Bemerkungen in Ziff. 7.8).Im Gesetz ist klar festzuhalten, wem gegenüber Personen- und Bewegungsdaten in welchen Fällen für wie lange zugänglich gemacht werden dürfen bzw. wann diese zu löschen sind (siehe Erläuterungen zu Art. 18).

Question 19b : CDM – Protection des données par les fournisseurs de données

Partagez-vous l’avis selon lequel il incombe en principe aux fournisseurs de données de garantir la protection des données personnelles de leurs clients finaux, par exemple en livrant des données anonymisées ?

Remarques des parties favorables

Oui – « Garantir la protection des données est toutefois une tâche commune. » 228/276