Erläuternder Bericht

Erläuterungen betreffend die „Richtlinien über die Mindestanforderungen an das Datenschutzmanagementsystem“

Gemäss Art. 4 Abs. 3 der Verordnung über die Datenschutzzertifizierungen (VDSZ) hat der Beauftragte Richtlinien zu erlassen, die sich hauptsächlich auf ISO/IEC 27001:2005

„Anforderungen für Informationsmanagementsysteme (ISMS)“ stützen, und gleichzeitig das

Schwergewicht Datenschutz wahren.

Um dem zu entsprechen, ging es in einem ersten Schritt darum, von ISO 27001 die

allgemeinen Anforderungen an Managementsysteme zu übernehmen, die ihrerseits aus den wichtigen Anforderungen von ISO 9001 für das Qualitätsmanagement stammen, wie sich dies aus dem informativen Anhang C von ISO 27001 ergibt. Das Schwergewicht Datenschutz ergibt sich teilweise aus zwei Einführungskapitel, d.h. „2. Normative Verweisungen“ und „3. Begriffe und Definitionen“, hauptsächlich aus dem Kapitel „4. Managementsystem“

insbesondere mit seinem Punkt 4.2.1 „Erstellung des Systems“ und, rein interpretativ in den beiden ersten „0. Einleitung“, „1. Anwendungsbereich“ und den vier letzten Kapiteln „5.

Verantwortung des Managements“, „6. Interne Audits“, „7. Managementbewertung“ und „8. Verbesserungen“.

Die Hauptschwierigkeit bestand darin, den Akzent mehr auf den Datenschutz als auf die Informationssicherheit zu setzen. Über Art. 7, der die durch das DSG auferlegten

Voraussetzungen der Datensicherheit deckt, kann man glücklicherweise den Datenschutz als Gesamtziel betrachten, das durch eine Verallgemeinerung dasjenige Ziel der in ISO 27001 verfolgten Datensicherheit. Damit zielt man darauf ab, ein Datenschutzmanagementsystem zu erstellen, das unter anderem eine Politik des ISMS, eine Auswahl von Massnahmen für die Behandlung von Nichtkonformitäten, eine Erklärung zur Anwendbarkeit der umgesetzten Massnahmen mit einer Begründung betreffend derjenigen, die ausgeschlossen wurden, einem Behandlungsplan der Nichtkonformitäten, einer Überprüfung/Nachprüfung der Datenschutz-Verletzungen oder –Zwischenfälle, und der Korrektur- oder Vorbeugungsmassnahmen zur Verbesserung des ISMS.

Der Knackpunkt dieser Schwergewichtung Datenschutz befindet sich zweifellos im

Risikomanagement, das den Ausgangspunkt bildet, ein ISMS zu erstellen und zu verwalten. Wenn ein solches Risikomanagement gut an die « internen » Informationssicherheitsziele angepasst ist, ist es dagegen überhaupt nicht was die « externen »

Datenschutzvoraussetzungen betrifft. Ein DSMS muss somit zwingend ein

Konformitätsmanagement dem Risikomanagement assoziieren, wobei letzteres für die Aspekte der Datensicherheit beibehalten wird (vgl. Prinzip/Ziel/Artikel 7).

Konkret besteht die Bewertungsmethode der Nichtkonformität aus einer Analyse der Nichtkonformität, die nach der Identifikation der Nichtkonformitätsquellen in eine

Einschätzung der Nichtkonformität mündet, in der Regel auf eine Skale mit zwei Werten:

erhebliche und leichte Nichtkonformität.

Dagegen ist keine Einschätzung der Nichtkonformität möglich, da eine Nichtkonformität weder akzeptiert (keine restliche Nichtkonformität ab ein hypothetisches akzeptables Niveau), noch übertragen werden kann! Mit anderen Worten muss eine Nichtkonformität zwingend durch geeignete Massnahmen behandelt oder aber beispielsweise durch den Verzicht auf die betreffende Datenbearbeitung vermieden werden.