Vorlage

Identifizierungselementen gespeichert wird, der es den Berechtigten erlaubt im Bedarfsfall eine Verknüpfung mit der betroffenen Person (bestimmbar im Sinne des DSG) herzustellen. Der strategische Vorteil besteht darin, dass die derart pseudonymisierten Daten gegenüber allen Personen, die keinen Zugang zur Korrespondenztabelle haben, als « anonym » betrachtet werden können. Ein solches Vorgehen macht nur Sinn, wenn die Korrespondenztabelle einen beispielhaften Schutz geniesst, sei es, dass sie nur durch berechtigte und authentifizierte Personen verwaltet wird, nur in chiffrierter Form gespeichert wird und im Prinzip nur eine Reidentifizierung im Einzelfall und unter einer abschliessenden Protokollierung der

ausgeführten „Depseudonymisierungen“ erlaubt.

Betreffend biometrische Daten, die aus menschlichen physiologischen Eigenschaften wie der Fingerabdruck, die Hand, das Gesicht, die Iris oder der genetische Abdruck, oder aber Verhaltenseigenschaften wie die Unterschrift, die Stimme oder der „Tasteneingabe“

(keystroke) erhoben werden, muss das Verhältnis zwischen dem verfolgten

Bearbeitungszweck und dem Eingriff in die Persönlichkeit der betroffenen Personen

vernünftig bleiben. Diese Abwägung muss insbesondere den einmaligen und unersetzbaren Charakter der biometrischen Daten berücksichtigen, sowie ihre primäre Natur (Rohdaten) oder ihre sekundäre Natur (abgeleitete Daten; Templates). In einer ersten Analyse bevorzugen wir eine Verwendung von biometrischen Merkmalen, die keine physischen Spuren

hinterlassen (bspw. Handumriss), eine Dezentralisierung der biometrischen Daten (im alleinigen Besitz der betroffenen Personen) und eine Benutzung von biometrischen Templates (weniger eingreifend als die entsprechenden primären Daten).

4. Zweckbindung (Art. 4 Abs. 3 DSG)

Ziel des Grundsatzes: sicherstellen, dass die Personendaten nur zu dem Zweck bearbeitet werden, der bei der Beschaffung angegeben wurde; gesetzlich vorgesehen ist oder aus den Umständen ersichtlich ist.

4.1 Spezifikation/Änderung der Zweckmässigkeit (Art. 3 Bst. i DSG)

Massnahme

Der „Inhaber der Datensammlung“ muss den Zweck der „Bearbeitung“ und ein ad-hoc-Dokument eintragen.

Umsetzung

Der Zweck der Bearbeitung muss in einem spezifischen und konzisen Dokument umschrieben sein, in schriftlicher Form und in einer klaren und für die betroffenen Personen leicht

verständlichen Sprache. Dieses Dokument muss datiert sein und durch den „Inhaber der Datensammlung“ unterschrieben werden.

Jede nachträgliche Änderung des ursprünglichen Zwecks muss nachvollziehbar sein,

desgleichen wie alle gegenüber den betroffenen Personen gemachten informationellen Handlungen (Veröffentlichungen, neue Einwilligungen, etc.).

4.2 Einschränkung der Bearbeitung

Massnahme

Sicherstellen, dass die „Bearbeitung“ der Personendaten im Rahmen des definierten Zwecks bleibt.