Erläuternder Bericht

Prinzipien der Zweckbestimmung, der Rechtmässigkeit der Bearbeitung, der Verhältnismässigkeit, der Datenrichtigkeit und das Prinzip von Treu und Glauben.

Darüber hinaus schützt Artikel 13 Absatz 2 BV den Einzelnen vor Beeinträchtigungen, die durch die staatliche Bearbeitung seiner persönlichen Daten entstehen. Dies gilt auch für die Verwendung von Personenidentifikatoren. Diese Bestimmung hat in der Doktrin für Meinungsverschiedenheiten gesorgt. Umstritten ist namentlich, ob damit ein subjektives Recht des Einzelnen auf informationelle Selbstbestimmung geschaffen wird, oder ob sich der Gehalt der Bestimmung aus einer wörtlichen Auslegung ergibt. Auch die diesbezügliche Rechtsprechung des Bundesgerichts ist uneinheitlich. Es folgt mitunter der Auslegung nach dem Wortlaut (z.B. mit Entscheid vom 8. Januar 2016, IC_323/2015), zuweilen entnimmt es der Formulierung das Bestehen eines individuellen Freiheitsrechts auf informationelle Selbstbestimmung (z.B. BGE 140 I 381). Zur erwähnten Kontroverse hat sich das Bundesgericht bislang nicht geäussert. Nach der neueren schweizerischen Lehre ist Artikel 13 Absatz 2 BV als Anweisung an den Gesetzgeber zu verstehen. Dieser hat den Auftrag, alle erforderlichen Massnahmen zu treffen, um die Bürgerinnen und Bürger vor missbräuchlicher Verwendung ihrer persönlichen Daten zu schützen. Insbesondere soll er sicherstellen, dass die Behörden mit Personendaten sorgsam umgehen.

1.1.3 Datenschutz

Infolge der Digitalisierung und der vermehrten systematischen Verwendung der AHVN stellt sich die Frage nach allfälligen Risiken für den Datenschutz.

Die AHVN ist eine nicht sprechende, zufällig generierte Zahlenfolge. Die ersten drei Ziffern beinhalten gemäss internationalen Standards den Ländercode für den ausstellenden Staat. Darüber hinaus enthält die AHVN keine Informationen über den jeweiligen Inhaber, sie erlaubt also keine Rückschlüsse auf dessen persönliche Eigenschaften. Die AHVN dient ausschliesslich dazu, innerhalb einer Datensammlung einen Satz von Personendaten der richtigen Einzelperson zuordnen zu können. Dieses Identitätsmerkmal wird neben den üblichen Personenattributen (Name, Vorname, Geburtsdatum usw.) nur zu administrativen Zwecken verwendet. Keinesfalls handelt es sich um einen Benutzercode, der Zugang zu allen personenbezogenen Daten verleiht, oder um ein Passwort, mit dem man sich unerlaubten Zugriff zu den Informatiksystemen verschaffen kann. Die Authentifizierung für die Informatiksysteme erfolgt nicht über die AHVN; die AHVN ist nicht Teil des Authentifizierungsprozesses. Folglich besteht durch die systematische Verwendung der AHVN kein höheres Risiko für die Datenbanken. Die Datenbanken von Bund, Kantonen und Gemeinden sind dezentral organisiert und können mit der AHVN nicht untereinander verknüpft werden. Der Zugriff auf die allgemeinen Büroanwendungen der öffentlichen Verwaltungen erfolgt in der Regel über eine Zwei-Faktor-Authentisierung (z. B. «Smartcard» des Bundes). Zudem werden für die Nutzung von Fachanwendungen, die insbesondere Zugang zu Personendaten gewähren, spezifische Identifizierungsdaten benötigt (Benutzercode und Passwort).

Mit der systematischen Verwendung der AHVN entsteht somit kein zusätzliches Risiko von Datendiebstahl oder Identitätsdiebstahl durch Missbrauch des Identifikators. Ob Datendiebstähle möglich sind, ist vielmehr eine Frage der Informationssicherheit. Insbesondere bei der Sicherheit von Informatiksystemen braucht es ständige, minutiöse Kontrollen, vor allem wenn sensible Personendaten darin gespeichert sind. Um Zwischenfälle zu verhindern, müssen die Prozesse und Sicherheitsverfahren permanent auf dem neusten Stand gehalten werden. Die Tatsache, dass die AHVN allenfalls Teil dieser Daten ist, hat keinen Einfluss auf diese Risikofaktoren. Ausserdem ist die AHVN kein amtliches Identitätsdokument, das heisst sie kann nicht als formeller Identitätsnachweis eingesetzt werden. Die AHVN befreit den systematischen Nutzer dieses Identifikators daher nicht von der gesetzlichen Pflicht, die Identität einer Person festzustellen, gegebenenfalls durch Vorlage eines amtlichen Ausweises. Auch ist es nicht möglich, einzig durch Vorweisen der AHVN Zugang zu Sozialversicherungsleistungen zu erhalten. Ein finanzieller oder immaterieller Nutzen aus dem Diebstahl der AHVN ist somit nicht gegeben.

Durch die in verschiedenen Systemen enthaltenen Daten könnten mehrere Merkmale derselben Person verknüpft werden (grundlegende Merkmale, gesundheits-, steuer- und rechtsrelevante Informationen). So liesse sich je nach verfügbaren Daten ein mehr oder weniger detailliertes Persönlichkeitsprofil erstellen. Allerdings setzt eine solche Verknüpfung und Kombination von Daten aus verschiedenen Quellen den Zugang zu mindestens zwei Datenbanken voraus, die von unterschiedlichen Behörden stammen. In den bestehenden offiziellen Systemen finden sich solche multithematischen Zugriffe aber nur selten und wenn doch, dann sind sie streng reglementiert. Denn zur Wahrung der Verhältnismässigkeit hat jeder Dienst nur Zugriff auf die Daten, für die er aufgrund einer klaren gesetzlichen Grundlage zuständig ist. Ein Potenzial zur Verknüpfung von verschiedenen personenbezogener Datenbanken besteht auch ohne Identifikator wie der AHVN. Alle behördlichen Personenregister enthalten notwendigerweise Identitätsattribute wie Namen, Vornamen, Geburtsdatum oder Geschlecht. Mit diesen Attributen lassen sich Daten aus anderen Registern leicht verknüpfen. Durch die rasche Entwicklung der Informatik können Datenverknüpfungen anhand dieser unterschiedlichen Merkmale schon heute mit einem Zuverlässigkeitsfaktor von 99.98 % vorgenommen werden. Gelingt es Hackern in zwei oder mehrere behördliche Datenbanken einzudringen, können sie die darin enthaltenen Personendaten auch ohne AHVN verknüpfen. Die Zahl der gesetzlich zulässigen Datenverknüpfungen wird durch die vorgeschlagene Neuregelung der systematischen Verwendung der AHVN nicht ausgeweitet. Sie sind nach wie vor nur mit einer formell-gesetzlichen Grundlage zulässig, wie sie beispielsweise im Bundesstatistikgesetz oder im Volkszählungsgesetz enthalten sind. Die systematische Verwendung der AHVN gefährdet somit weder den Datenschutz noch führt sie zum «Gläsernen Bürger».

1.2 Die beantragte Neuregelung

1.2.1 Generelle Berechtigung der Behörden

Die systematische Verwendung der AHVN ausserhalb der AHV ist aktuell wie folgt geregelt: Besteht für den Vollzug von Bundesrecht ein Bedarf nach systematischer Verwendung der AHVN, gibt es die Möglichkeit, eine hinreichende gesetzliche Grundlage ins jeweilige Bundesgesetz aufzunehmen. Die betreffende Gesetzesbestimmung hat die ermächtigten Nutzer und