Erläuternder Bericht

Originaldokumente mit Hilfe der optischen Zeichenerkennung (OCR-Technik) durchsuchbar gemacht und Papierakten, welche digitalisiert und als Originaldokumente erfasst worden sind, vernichtet werden dürfen, entspricht dem heute geltenden Recht (vgl. Abs. 3 und 4 des vorliegenden Entwurfs und Art. 5 ISV-NDB).

Art. 4 Einzelbeurteilung und Erfassung von Personendaten

Gemäss Artikel 45 Absatz 1 und 2 NDG hat der NDB die Erheblichkeit, Richtigkeit und den Aufgabenbezug nach Artikel 6 NDG der Personendaten zu beurteilen, bevor er diese in einem seiner Informationssysteme erfasst. Diese Pflicht trifft nicht nur die für die Datenerfassung zuständigen Mitarbeiterinnen und Mitarbeiter des NDB (vgl. Abs. 1), sondern neu auch diejenigen der kantonalen Vollzugsbehörden bei der Erfassung von Vorabklärungen im INDEX NDB (vgl. Abs. 2). Dies bedingt, dass die Mitarbeiterinnen und Mitarbeiter der kantonalen Vollzugsbehörden auch entsprechend geschult werden. Wie heute sind die Daten bei negativem Befund zu vernichten oder zurückzuschicken, wenn diese von einer kantonalen Vollzugsbehörde stammen.

Art. 5 Erteilung und Entzug der Zugriffsrechte

Wie im heute geltenden Recht (vgl. Art. 3 ISV-NDB) wird eine Zugriffsberechtigung auf ein Informationssystem nur auf individuellen Antrag und bezogen auf eine bestimmte Einzelperson erteilt (vgl. Abs. 1). Dies gilt neu auch für die Speichersysteme gemäss Artikel 1 Absatz 2 des vorliegenden Verordnungsentwurfs. Für die ELD kann der Zugriff auch funktionsbezogen erfolgen. Typischerweise muss bei der ELD bei besonderen Ereignissen rasch einem nicht vorher namentlich bekannten Personenkreis der Zugriff gewährt werden können. Zudem ist es bei ELD Standard, dass externe Pikettdienste mit ständig wechselndem Personenkreis Zugriff haben müssen. Die Zugriffserteilung auf individueller Ebene ist hier mit verhältnismässigen Mitteln schlicht nicht machbar. Aber es erfolgt eine Individualisierung auf funktionaler Ebene. Das Zugriffsprofil, das zunächst lediglich auf die Funktion ausgestellt ist, wird dabei bei der Benutzung einer individuellen Person zugeordnet. Die Benutzerorganisation ist verpflichtet zu dokumentieren, welche Person wann auf die ELD zugegriffen hat. Damit kann die Nachvollziehbarkeit der Zugriffe jederzeit gewährleistet werden.

Neu wird explizit geregelt, dass der Antrag nicht nur die Personalien und die Funktion der Antrag stellenden Person enthalten muss, sondern dass er auch den Bezug zu einem im NDG verankerten Nutzungszweck ausweisen muss (vgl. Abs. 2). Dies entspricht geltender Praxis und ist eine Voraussetzung für die formelle Prüfung.

Neu ist nicht mehr die zuständige Direktionsbereichsleiterin oder der zuständige Direktionsbereichsleiter (vgl. Abs. 3) für die formelle Prüfung der Zugriffsanträge zuständig. Dies soll dazu führen, dass die Zugriffsberechtigungen im ganzen NDB und für alle Informations- und Speichersysteme zentral und nach gleichen Kriterien vergeben werden. Zudem ist neu explizit