Ergebnisbericht

– Die Unabhängigkeit des Eidg. Datenschutz- und Öffentlichkeitsbeauftragten (E-

DÖB) ist nicht vollständig gewährleistet. Dies ist auf Verordnungsstufe nachzuholen (privatim).

– Der neue Art. 10a DSG gilt sowohl für den privaten wie den öffentlichen Bereich.

Daher wäre es angezeigt, auch Art. 1 Abs. 6 VDSG entsprechend anzupassen (swissbanking, swico).

– Art. 1 Abs. 7 VDSG sollte dahingehend ergänzt werden, dass eine gesetzliche

Geheimhaltungspflicht ebenfalls ein Grund für eine Einschränkung der Auskunft über Personendaten einer verstorbenen Person darstellen kann (swissbanking). Der swico schlägt vor, dass auch die gesetzlichen oder eingesetzten Erben als auskunftsberechtigt anerkannt werden sollten.

– Die Angemessenheit von Massnahmen zur Gewährleistung der Datensicherheit

nach Art. 8 Abs. 2 Bst. d sollte auch den personellen, technischen und finanziellen Aufwand umfassen, wie dies ausdrücklich in Art. 17 Abs. 1, 2. Satz, der EU-Datenschutzrichtlinie 95/46/EG vorgesehen ist (swico).

5. Beurteilung des Entwurfs zu einer Verordnung über die Datenschutzzertifizierungen

5.1 Allgemeine Bemerkungen

5.1.1 Allgemeine Würdigung des Enwurfs

Eine Bundesbehörde (EKK) und 3 Organisationen (acsi, kf, SDV) stimmen dem Entwurf ausdrücklich zu.

5 Organisationen äussern sich skeptisch (CP, FER, CVAM, IVSK, swico). Die Vorlage sei schwer verständlich und sehr technisch formuliert (CP, CVAM). Die FER ist der Ansicht, die vorgesehenen Voraussetzungen für eine Zertifizierung bedeuteten einen administrativen Aufwand, der, im Vergleich zum damit verbundenen Vorteil, kaum verhältnismässig sei (ähnlich auch swico). Die mit der Zertifizierung verbundenen Kosten seien für KMU wahrscheinlich prohibitiv. Auch die IVSK stellt sich die Frage nach dem Mehrwert der Zertifizierung. Die Einhaltung der rechtlichen Anforderungen sei an sich eine Selbstverständlichkeit. Das systematische Angehen des Datenschutzes und die Schulung der Mitarbeitenden stellten indessen tatsächlich einen Mehrwert dar. Die swico äussert sich positiv gegenüber der Datenschutzzertifizierung von Produkten. Diese wird den Einsatz von datenschutzgerechten informationstechnologischen Produkten fördern und damit längerfristig eine allgemeine Hebung des Datenschutzniveaus bewirken.

Eine Behörde (SAS) und 3 Organisationen (Datenschutzforum, privatim, SGS) sprechen sich gegen den Entwurf aus. Für die SAS ist nicht akzeptabel, dass die Vorlage kein offizielles Datenschutz-Qualitätszeichen (DSQ) vorsieht. Eine Organisation vertritt die Auffassung, das Zertifizierungsverfahren sei in der vorgeschlagenen Form untauglich (privatim). Nur eine unabhängige Stelle könne eine unabhängige Zertifizierung gewährleisten, daher müsse der EDÖB selbst die Zertifizierungen vergeben oder zumindest eine verbindliche Kontrolle der Prüfberichte vornehmen. Das Datenschutzforum und die SGS sind der Ansicht, dass der Entwurf die Mindestanforderungen an die Zertifizierung nicht klar regelt (so auch die RVK, ohne indessen die Vorlage ausdrücklich abzulehnen). Die von einer Arbeitsgruppe unter Leitung des EDÖB entworfene konkretisierende Regelung hätte die notwendige Klarheit geschaffen.