Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

1.2.5 OECD-Richtlinien über Datenschutz und grenzüberschreitende Ströme personenbezogener Daten

Der wirtschaftlichen Ausrichtung der Organisation für wirtschaftliche Zusammenarbeit und Entwicklung (OECD) entsprechend dienen die ursprünglich aus dem Jahr 1980 stammenden und im Jahr 2013 revidierten Datenschutz-Richtlinien³⁹ primär der Harmonisierung der unterschiedlichen nationalen Datenschutzniveaus. Die Richtlinien sollen – unter Wahrung der Menschenrechte – eine Basis für die Regulierung des internationalen Datenaustauschs schaffen, um wirtschaftliche Handelshemmnisse zu vermeiden und den freien globalen Datenaustausch und Informationsfluss zu gewährleisten. Obwohl den Datenschutz-

Richtlinien blosser Empfehlungscharakter zukommt und sie rechtlich nicht verbindlich sind, hatten sie nachhaltigen Einfluss auf die Entwicklung des Datenschutzrechts auf

internationaler und nationaler Ebene.

Der Anwendungsbereich der Datenschutz-Richtlinie erstreckt sich auf alle Daten aus dem öffentlichen und privaten Sektor, die aufgrund der Art ihrer Verarbeitung, ihrer Natur oder der Umstände, unter denen sie genutzt werden, eine Gefahr für die Privatsphäre und andere individuelle Freiheiten bedeuten. Mit acht datenschutzrechtlichen Grundprinzipien, die als Minimalstandards konzipiert sind, soll ein Gleichgewicht zwischen den beiden

konkurrierenden Konzepten der Privatsphäre und des freien Informationsflusses hergestellt werden (d.h. begrenzte Datenerhebung, Datenqualität, Zweckbestimmung,

Nutzungsbegrenzung, Datensicherheit, Transparenz, Mitspracherecht der Betroffenen und Verantwortlichkeit)⁴⁰. Die revidierten Datenschutz-Richtlinien traten im Juli 2013 in Kraft und enthalten, unter Beibehaltung dieser acht datenschutzrechtlichen Grundprinzipien,

verschiedene Präzisierungen und Erweiterungen; so wurden u.a. die Kriterien für

Datenübermittlungen ins Ausland präziser definiert und die internationale Zusammenarbeit verstärkt⁴¹. Die revidierten Datenschutz-Richtlinien sehen neu explizit vor, dass

Datenhauptverantwortliche stets für die unter ihrer Kontrolle stehenden Personendaten verantwortlich sind, dies ungeachtet des Standorts der Daten⁴². Ferner soll der

grenzüberschreitende Datenaustausch zwischen Teilnehmerstaaten und anderen Staaten nicht beschränkt werden, wenn letztere die Datenschutz-Richtlinien befolgen oder wenn ausreichende Garantien vorhanden sind, die das von den Datenschutz-Richtlinien verlangte Schutzniveau gewährleisten.

1.3 Ziele der Revision

Die Vorlage beruht auf dem Auftrag des Bundesrates an das EJPD, unter Berücksichtigung der Schlussfolgerungen des Berichts vom 29. Oktober 2014 mit dem Titel «Normkonzept zur Revision des Datenschutzgesetzes» sowie der Reformen des Europarats und der

Europäischen Union einen Vorentwurf für das DSG zu erarbeiten. Darüber hinaus gehört die Vorlage zu den Zielen des Bundesrates für das Jahr 2016 und ist Teil der Legislaturplanung 2015–2019 (Ziff. 10.1). Sie setzt eine grosse Zahl der parlamentarischen Vorstösse um, die unter Ziffer 1.1.5 aufgeführt sind.

Mit dem VE werden verschiedene Ziele verfolgt, die sich gegenseitig ergänzen. Zunächst dient die Vorlage der Anpassung des schweizerischen Rechts an die rasante technologische Entwicklung, die erhebliche Auswirkungen auf den Datenschutz hat. Dabei soll erstens den betroffenen Personen ermöglicht werden, die Kontrolle über ihre Daten wiederzuerlangen. Diese werden im Zusammenhang mit der Entwicklung der digitalen Gesellschaft in sehr grosser Zahl beschafft («Big Data»). Zudem wird deren Bearbeitung immer intransparenter (z.B. Profiling auf der Basis von Algorithmen). Zweitens soll die Eigenverantwortung der Verantwortlichen gefördert werden. Insbesondere sollen sie die Datenschutzvorschriften bei neuen Datenbearbeitungen bereits bei der Planung berücksichtigen, und standardmässig diejenige Lösung vorsehen, die am datenschutzfreundlichsten ist. Schliesslich geht es