Rapporto sui risultati

Riferimento: BAV-011-11/15/2/1/3/1

au vu des principes de protection des données, de mentionner explicitement les données traitées, le but du traitement, la durée de conservation respectivement la destruction et les destinataires des données. En outre, les mesures organisationnelles et techniques adaptées doivent être garanties. En outre, il serait opportun de préciser si les « données de déplacement » constituent des données personnelles.

TG: Es bestehen grundsätzliche datenschutzrechtliche Bedenken zur Vorlage (siehe Frage 1). Die möglichen Datenerhebungen würden die Personendaten einer Vielzahl von Personen verletzen. Es wird abgelehnt, dass der Bundesrat die Kompetenz erhalten soll, die Einzelheiten zur Bearbeitung der Daten zu regeln.

VD : Nous relevons que, en l’état, les seuls éléments contenus à l’art. 18 LIDMo, dans son commentaire et aux chapitres 4.1.8.6.3 et 4.1.11 ne permettent pas d’analyser si le traitement des données personnelles qui sera opéré dans le cadre de la MODI offre des garanties suffisantes en matière de protection des données. Il est difficile de comprendre la répartition des rôles et des responsabilités dans le traitement des données entre le CDM et les fournisseurs de données (dont certains pourraient être soumis aux droits cantonaux) sur la base du projet de loi et du rapport explicatif. A notre sens, le projet de loi gagnerait en clarté en précisant qui est le responsable de traitement des données personnelles. Les aspects relatifs au rôle de chacun des acteurs du projet quant à la sécurité des données devraient également être précisés :

SBB: Datensicherheit- und Datenschutzanliegen werden kaum berücksichtigt. Die MDA soll aus Prinzip nicht haften und die Hoheit der über NADIM bereitgestellten Daten bei den Datenlieferanten verbleiben. Das wäre nachvollziehbar, wenn Daten via NADIM nur ausgetauscht und die MDA diese Daten nicht persistent speichern würde (abgesehen von für die Funktion eines Austauschstandards zwingend nötigen Daten wie Teilnehmerverzeichnis, Cache etc.). Die Vorlage sieht aber vor, dass die MDA Kerndatensets definieren sowie diese Daten bearbeiten und speichern können soll. In diesem Fall ist es widersprüchlich, dass bei Fehlern nicht die MDA, sondern immer nur die Unternehmen haften sollen. Falls NADIM wie vorgesehen zusätzlich auch selbst Vertriebsfunktionen anbietet und damit Personendaten bearbeitet, braucht es klare und detaillierte Regeln zum Datenschutz. Die SBB ist der Meinung, dass - wenn eine MDA mit derart weitreichenden Kompetenzen gegründet würde - diese auch gesetzlich klar geregelte Verantwortung im Bereich Datensicherheit, Haftung sowie Datenschutz tragen müsste.

No - «Maggiore rispetto del diritto all'autodeterminazione digitale / Scambio di dati personali solo previo consenso esplicito / Necessità di definizioni più precise.»

AR: Im Gesetz ist klar festzuhalten, wem gegenüber Personendaten in welchen Fällen für wie lange zugänglich gemacht werden dürfen bzw. wann diese zu löschen sind:

Greenpeace, Pusch: Für uns ist es aus Kundensicht zentral, dass falls über die NADIM nicht nur Sachdaten sondern auch Personendaten ausgetauscht werden, dabei das strickte Prinzip des Opt-In gilt: Sämtliche Personendaten dürfen ausschliesslich und nur dann über die NADIM ausgetauscht werden, wenn sich die betreffende Person aktiv für die Weitergabe ihrer Daten entscheidet. Personen, welche sich nicht ausdrücklich für die Weitergabe ihrer Daten entscheiden, sollen dadurch keine Nachteile – etwa bei der Benutzung der App – erwachsen.

GR: Mit der Interoperabilität und der internationalen Vernetzung erscheint es uns wichtig, dass sie den europäischen Gesetzen genügen und ein Austausch der Daten so nicht verunmöglicht wird. Sofern Personendaten betroffen sind, dürfen diese nicht ohne Zustimmung der Betroffenen Dritten zur Verfügung gestellt werden. Eine betroffene Person muss nicht damit rechnen, dass seine dem Datenlieferanten zur Verfügung gestellten Daten über die MDA an Dritte weitergeleitet werden. Mit der Datenaufbereitung von Personendaten dürfen darüber hinaus nicht Persönlichkeitsprofile entstehen. Dabei handelt es sich um besonders schützenswerte Personendaten, die über Art. 18