Rapporto sui risultati

Zusammenstellung der Ergebnisse der Anhörung zum Entwurf zu Richtlinien über die Mindestanforderungen an das Datenschutzmanagementsystem

1. Allgemeine Bemerkungen zur Anhörung

Der Bundesrat hat am 28. September 2007 die Inkraftsetzung des revidierten

Datenschutzrechts auf den 1. Januar 2008 beschlossen. Die Revision sieht unter anderem die Möglichkeit vor, Datenschutzzertifizierungen durchzuführen. Dafür wurde eine eigene Verordnung (Verordnung über die Datenschutzzertifizierungen [VDSZ]) erlassen. Der

Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte ist beauftragt, Richtlinien über die Mindestanforderungen an das Datenschutzmanagementsystem zu erlassen.

Der Richtlinienentwurf ist für die Praxis, insbesondere für zahlreiche Bereiche der Wirtschaft, bedeutsam. Aus diesem Grund wurde am 31.10.2007 eine Anhörung eröffnet, die bis zum 28. Oktober 2007 dauerte.

28 Organisationen wurden eingeladen, zum Richtlinienentwurf Stellung zu nehmen.

Insgesamt sind acht Stellungnahmen eingegangen (vgl. Auflistung am Schluss).

2. Gegenstand der Anhörung

Gemäss Art. 4 Abs. 3 VDSZ hat der Beauftragte beim Erlass der Richtlinien internationale Normen und Standards für die Errichtung, den Betrieb, die Überwachung und die

Verbesserung von Managementsystemen, insbesondere die Normen ISO 9001:2000 und ISO 27001:2005 zu berücksichtigen. Gleichzeitig ist natürlich das Schwergewicht

Datenschutz zu wahren.

3. Zusammenfassung der Stellungnahmen zu den wesentlichen Punkten

3.1 Allgemeine Bemerkungen

Der Richtlinienentwurf wird vom Grundsatz her von fünf Organisationen begrüsst (SQS;

CLUSIS; SWISS TS; SGS; Datenschutzforum).

Einige Bemerkungen zur Sprache werden von vier Organisationen angebracht (Belser;

SWISS TS; SGS; FER).

Eine Organisation (CP) spricht sich dafür aus, dass wer bereits eine Qualitätszertifizierung („certification de qualité“) besitzt, vereinfacht eine DS-Zertifizierung erhalten müsste.

Zwei Organisationen (Belser, Datenschutzforum) weisen darauf hin, dass das DSMS zu kurz komme, und dass der Ansatz, den Begriff Informationssicherheit durch Datenschutz zu ersetzen, dem Datenschutz nicht gerecht werde.

Eine Organisation (Belser) hält weiter fest, dass der EDÖB nicht befugt sei, eine eigene Zertifizierungsnorm zu schaffen.

Dieselbe Organisationen (Belser) vertritt die Ansicht, dass die Hürden für eine DS-

Zertifizierung sehr hoch angesetzt seien und daher unattraktiv und unrealistisch. Zwei Organisationen (SQS; FER) halten fest, dass das enge Verhältnis zu ISO 27001 und 27002 subtil gestaltet werden müsse, da sonst die RL den Datenschutz besonders für KMUs erschweren würden. Es sei ein Anforderungskatalog zu erstellen, der auch von KMUs mit verhältnismässigem Aufwand erfüllt werden könne.

Gemäss einer Organisation (FER) sollte der EDÖB die Regeln betreffend geistiges Eigentum (propriété intellectuelle) der Daten in Erinnerung rufen; zudem sei ein Protokoll der

Übermittlung von Daten zwischen Staaten nötig.