Erläuternder Bericht

Referenz/Aktenzeichen: COO.2180.109.7.190301 / 212.9/2015/00001

Aufsichts- und Regulierungsfunktion in Bezug auf Datenbearbeitungen aus, die von privaten Organisationen durchgeführt werden (der PDPA findet auf den öffentlichen Sektor keine Anwendung). Sie kann Richtlinien oder Verfügungen erlassen, um die Einhaltung des PDPA zu gewährleisten. Bei Gesetzesverstössen kann sie sogar eine Busse von höchstens 1 Million Dollar aussprechen (Art. 28 und 29 PDPA). Der PDPC stehen diesbezüglich

umfangreiche Untersuchungsmassnahmen zur Verfügung. Diese reichen vom Recht, in Privatwohnungen einzudringen, bis zum Recht, das Aushändigen von Informationen und Dokumenten zu verlangen, die beschlagnahmt werden können (Anhang 9 PDPA). Die PDPC kann aber auch versuchen, Streitigkeiten mit einer Mediation beizulegen (Art. 27 PDPA). Im Weiteren erarbeitet und realisiert die PDPC politische Konzepte (beispielsweise durch den Erlass von Verhaltensregeln), um die verschiedenen Organisationen und Privatpersonen für die Berücksichtigung des Datenschutzes zu sensibilisieren. Schliesslich vertritt die PDPC die Regierung Singapurs auf internationaler Ebene bei allen Fragen im Zusammenhang mit dem Datenschutz (Art. 6 PDPA).

Die betroffenen Personen können Auskunft über ihre Personendaten verlangen, über die eine Organisation verfügt oder die von ihr kontrolliert werden. Sie haben auch das Recht,

über die Art und Weise informiert zu werden, wie ihre Personendaten im Jahr vor ihrem Gesuch verwendet oder bekannt gegeben wurden, sofern dem kein überwiegendes

öffentliches oder privates Interesse entgegensteht (Art. 21 PDPA). Im Weiteren können die betroffenen Personen im Zusammenhang mit ihren Personendaten die Berichtigung falscher Informationen oder die Ergänzung fehlender Angaben verlangen (Art. 22 PDPA).

Sobald die Verantwortlichen Personendaten beschaffen, verwenden oder bekannt geben, sind sie grundsätzlich verpflichtet, sich über die ausdrückliche oder stillschweigende

Einwilligung der betroffenen Personen zu vergewissern. Das Einwilligungserfordernis seitens der betroffenen Person ist jedoch weniger weitgehend als in den anderen untersuchten Rechtsordnungen. So sieht das Singapurer Recht zahlreiche Ausnahmen vor, bei denen die Einwilligung nicht notwendig ist oder als gegeben vorausgesetzt werden kann (Art. 13–15 PDPA). Die Datenbearbeitung muss zu einem Zweck durchgeführt werden, welcher der betroffenen Person bekannt ist oder der jeder Person unter den gleichen Umständen als sinnvoll erscheint (Art. 18 PDPA). Die Verantwortlichen müssen für die Richtigkeit der Daten sorgen (Art. 23 PDPA) und sie sind verpflichtet, geeignete Vorsichtsmassnahmen zu

ergreifen, um das Abhandenkommen, das Kopieren oder den unerlaubten Zugriff auf in ihrem Besitz befindliche Personendaten zu verhindern (Art. 24 PDPA). Die Verantwortlichen müssen Personendaten vernichten oder anonymisieren, sobald deren Aufbewahrung nicht mehr dem Zweck ihrer Beschaffung entspricht und nicht durch einen rechtlichen oder

wirtschaftlichen Grund gerechtfertigt ist (Art. 25 PDPA). Die grenzüberschreitende

Bekanntgabe von Personendaten ist nur zulässig, wenn das Empfängerland ein

Schutzniveau gewährleistet, das mit jenem von Singapur vergleichbar ist (Art. 26 PDPA).

Anscheinend wurden keine spezifischen Massnahmen zur Förderung des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen vorgesehen. Die PDPC könnte dies jedoch gestützt auf ihre gesetzlich verankerte Befugnis, Massnahmen zur Sensibilisierung für den Datenschutz zu ergreifen (Art. 6 PDPA), tun.

6 Umsetzung

Im Rahmen der Regulierungsfolgenabschätzung wurde angetönt, unbestimmte

Rechtsbegriffe seien nach Möglichkeit zu vermeiden. Beim Datenschutzgesetz handelt es sich indes um eine technologieneutrale Rahmengesetzgebung, welche auf eine Vielzahl unterschiedlich gelagerter Fälle anwendbar bleiben und sich dynamisch weiterentwickeln können muss. Dem Bedürfnis nach exakteren, bereichsspezifischen

Ausführungsbestimmungen dienen jedoch die Empfehlungen der guten Praxis.

Im Weiteren wird die Verordnung zum Datenschutzgesetz angepasst, um das Gesetz nicht mit Detailregelungen zu überlasten.