Erläuternder Bericht

2.6.5.5 4. Abschnitt: Datenschutz und Informatiksicherheit

Art. 93 Datensicherheit

Für die Gewährleistung der Datensicherheit gelten einerseits die Artikel 20 und 21 der Verordnung

33

vom 14. Juni 1993 zum Bundesgesetz über den Datenschutz sowie die Bundesinformatikverordnung

34

vom 9. Dezember 2011 .

Das BAG ist verpflichtet, im Bearbeitungsreglement die organisatorischen und technischen Massnahmen zur Gewährleistung der Datensicherheit, die Kontrolle der Datenbearbeitung sowie die Zugriffsberechtigung festzulegen. Die Zugangsberechtigung setzt voraus, dass die Nutzungsrichtlinie zur Kenntnis genommen und angewandt wird. Die Richtlinie beruht auf den Vorlagen des Bundesamtes für Informatik und Telekommunikation BIT und des Informatiksteuerungsorgans Bund ISB.

Die Sektion Meldesysteme im BAG stellt die Umsetzung der Datenschutzvorgaben sicher und verwaltet die Zugangsberechtigungen (Zertifikate und Anmeldedaten). Individuelle Anträge für den Zugriff auf das System Meldedaten von Mitarbeiterinnen und Mitarbeitern der kantonsärztlichen Dienste sind an die Sektion Meldesysteme zu richten. Die Kantonsärztinnen und Kantonsärzte überprüfen die Vollständigkeit und Korrektheit der Anträge aus ihrem Bereich. Sie stellen den verantwortungsvollen Umgang mit den besonders schützenswerten Daten ihres Zuständigkeitsbereichs sicher. Dies gilt insbesondere für Datenexporte aus dem System Meldedaten.

Art. 94 Protokollierung

Die Zugriffe auf das Informationssystem ISM müssen protokolliert werden. Die Protokollierung soll die Nachvollziehbarkeit der Zugriffe garantieren. Nicht protokolliert werden sollen die jeweiligen Änderungen im System, da dies zu einer unnötigen Komplizierung des Systems führen würde. Zudem ist eine solche umfassende Protokollierungspflicht nicht sachgerecht: Die Daten im System widerspiegeln in erster Linie die Meinung der meldepflichtigen Personen, z. B. der behandelnden Ärztin oder des behandelnden Arztes. Die Datensätze können auch fehlerhaft sein, ohne dass sich daraus Folgen für die betroffenen Personen ergeben. Zu berücksichtigen ist auch, dass keine Personenprofile angelegt werden.

Art. 95 Rechte der betroffenen Personen

Die Rechte der Personen, über die im Informationssystem Daten bearbeitet werden, insbesondere das Auskunfts-, das Berichtigungs- und das Löschungsrecht, richten sich nach dem Bundesgesetz

35

vom 19. Juni 1992 über den Datenschutz.

Will eine betroffene Person Rechte geltend machen, so hat sie sich über ihre Identität auszuweisen und ein schriftliches Gesuch bei der Vollzugsbehörde des Kantons, in dem sie ihren Wohnsitz hat, oder beim BAG einzureichen.

Art. 96 Löschungsfristen für Daten zur Identifizierung von Personen

Für die Kongruenz des Informationssystems ist es wichtig, dass die Aufbewahrungsdauer der Daten festgelegt wird. Gewisse Daten müssen im Hinblick auf die Besonderheiten bestimmter Krankheiten lange genug vorhanden sein. Die vorliegende Bestimmung konkretisiert Artikel 58 EpG in Bezug auf das Informationssystem. Als Grundsatz gilt, dass die zur Identifizierung von Personen notwendigen Daten im Informationssystem anonymisiert oder gelöscht werden, sobald sie nicht mehr für Massnahmen gegenüber einzelnen Personen benötigt werden (Abs. 1).

³³SR 235.11

34 SR 172.010.58