Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

Die Datenschutzgesetzgebung gilt auch für die Beschaffung von Big Data, sofern eine Person anhand aller erhobenen Daten identifiziert werden kann. In Bezug auf das Profiling enthält Artikel 27 des Dekrets 1558/2001 eine Vorschrift zum Profiling im Bereich der

Werbung. Gemäss diesem Artikel dürfen Daten ohne Einwilligung der betroffenen Person erhoben, bearbeitet und übermittelt werden, wenn dies dazu dient, Profile zu erstellen, sowie um Präferenzen und Verhaltensweisen zu kategorisieren. In diesem Zusammenhang sind jedoch zwei Voraussetzungen zu beachten: Die betroffenen Personen dürfen nur anhand ihrer Zugehörigkeit zu einer bestimmten Gruppe identifiziert werden, und der Umfang der erhobenen Personendaten muss auf das absolut notwendige Minimum beschränkt werden. Ausserdem muss in jeder Mitteilung zu Werbezwecken darauf hingewiesen werden, dass der Dateninhaber den Rückzug oder die Sperrung der Daten verlangen kann.

Bezüglich der Umsetzung des Datenschutzes durch Technikgestaltung und

datenschutzfreundliche Voreinstellungen hat die DNPDP einen «Leitfaden für Best Practices bei der Entwicklung von Softwareapplikationen» genehmigt, der sich an

Anwendungsentwickler richtet. In erster Linie soll dieser Leitfaden die Entwickler daran erinnern, bei der Entwicklung von Applikationen von Anfang an die Privatsphäre der

betroffenen Personen zu respektieren.

5.2 Neuseeland

In Neuseeland wird der Datenschutz hauptsächlich durch den «Privacy Act 1993»⁵⁹ geregelt. Dieses Gesetz wird gegenwärtig revidiert. Der Entwurf zu einem neuen «Privacy Act» wird voraussichtlich noch vor Ende 2016 in die Vernehmlassung gegeben und soll dem Parlament im Jahr 2017 vorgelegt werden.

Die vorgesehene Revision bezieht sich hauptsächlich auf die Funktionen der Behörde, die mit der Aufsicht im Bereich des Datenschutzes beauftragt ist, den sogenannten «Privacy Commissionner» (im Folgenden «PC»). Die Aufgaben des PC, der bislang die Regeln der Best Practices genehmigte, werden ausgebaut. Es wird ein System für die obligatorische Meldung von Verletzungen des Datenschutzes eingeführt, das mit zwei Verbesserungen für den PC kombiniert wird: Künftig kann er dringende Anfragen stellen, um Informationen zu erhalten, die er als notwendig erachtet, und er kann Zulässigkeitserklärungen bei Verstössen gegen den «Privacy Act» abgeben.

Die Revision hat nicht den Zweck, die Rechte von Privatpersonen zu stärken, da jene

gemäss dem «Privacy Act 1993» als ausreichend gelten. In Teil 2 dieses Gesetzes werden den Einzelpersonen mit den «Information Privacy Principles» (IPP) bereits Rechte

eingeräumt. Insbesondere die IPP 6 geben betroffenen Personen die Möglichkeit, sich darüber zu erkundigen, ob Daten über sie beschafft wurden, und Auskunft über diese Daten zu erhalten. Gemäss den IPP 7 können betroffene Personen um die Berichtigung von Daten über sie ersuchen. Wenn ihr Gesuch abgelehnt wird, können sie verlangen, dass die Daten mit einem Hinweis versehen werden, aus dem hervorgeht, dass um eine Berichtigung

ersucht wurde.

Gegenwärtig muss jede «Agency»⁶⁰ dafür sorgen, dass innerhalb der «Agency» mindestens ein «Privacy Officer» (im Folgenden «PO») tätig ist. Die PO sind statutarisch verpflichtet, die Konformität mit den verschiedenen IPP zu fördern, sich um die Ersuchen zu kümmern, die an die «Agency» gerichtet werden, und im Zusammenhang mit Untersuchungen zur

«Agency» mit dem PC zusammenzuarbeiten. Hinsichtlich der Pflichten der «Agencies» wird die Revision zwei wichtige Änderungen zur Folge haben. Diese sind künftig verpflichtet, dem PC bestimmte Datenschutzverstösse zu melden. Ausserdem verlangt eine neue IPP von den «Agencies», angemessene Massnahmen zu treffen, damit beim Austausch von Daten mit ausländischen Staaten ein annehmbarer Datenschutz gewährleistet ist.