Erläuternder Bericht

den Verwendungszweck zu bestimmen (Art. 50d Abs. 1 und Art. 50e Abs. 1 des Bundesgesetzes vom 20. Dezember 19468 über die Alters- und Hinterlassenenversicherung [AHVG]). Indem der Gesetzgeber im jeweiligen Spezialgesetz die Berechtigung erteilt, ist die betreffende systematische Verwendung demokratisch abgestützt. Dieselben Voraussetzungen gelten grundsätzlich auch für eine Verwendung zum Vollzug von kantonalem Recht (Art. 50d Abs. 1 und Art. 50e Abs. 3 AHVG), mit Ausnahme der vier Bereiche Prämienverbilligung, Sozialhilfe, Steuern und Bildungsinstitutionen. Hier ist die Berechtigung zur Verwendung durch kantonale Stellen bereits im AHV-Recht enthalten (Art. 50e Abs. 2 AHVG), es bedarf also keiner zusätzlichen Grundlage in einem kantonalrechtlichen Spezialgesetz. Rein private systematische Nutzungen sind grundsätzlich nicht zulässig. Allerdings wird die AHVN im Rahmen des Automatischen Informationsaustauschs in Steuersachen systematisch als Steueridentifikationsnummer im grenzüberschreitenden Datenaustausch verwendet. Sie wird ab Herbst 2018 an Finanzinstitute in über 50 Staaten und Territorien übermittelt.

Die Stellen, die nicht den Sozialversicherungen des Bundes angehören und die AHVN systematisch zu verwenden beabsichtigen, haben dies vorgängig der ZAS zu melden. Sind sie zur systematischen Verwendung ermächtigt, erhalten sie anschliessend Zugriff auf die von der ZAS betriebene Personendatenbank Unique Personal Identification Database (UPI). In dieser Personendatenbank ist jede Person, die eine AHVN erhalten hat, auf eindeutige Art und Weise aufgeführt. Dank dem regelmässigen Abgleich der Daten der ZAS mit Personenregistern des Bundes (u.a. im Eidgenössischen Zivilstandsregister Infostar und im Ausländer - und Asylbewerberregister ZEMIS) kann die ZAS die Aktualität, Vollständigkeit und Eindeutigkeit der geführten Daten sicherstellen. Im Interesse des Datenschutzes und der Datenqualität müssen die Zugriffsberechtigten technische und organisatorische Massnahmen treffen, die auf Verordnungsebene geregelt sind.9

Das aktuelle System überlässt den Entscheid über die Befugnis zur systematischen Verwendung der AHVN ausserhalb der AHV dem Gesetzgeber. Dieser trifft seine Entscheidung anhand einer allgemeinen Beurteilung der Informationssicherheit in der Materie, die er im jeweiligen Spezialgesetz regelt.

Nach der vorgeschlagenen Lösung sollen die Behörden des Bundes, der Kantone und – nach Massgabe des kantonalen Rechts – der Gemeinden für die Erfüllung ihrer gesetzlichen Aufgaben die AHVN systematisch ohne spezialgesetzliche Grundlage verwenden dürfen. Die Berechtigung zur systematischen Verwendung soll sich bereits aus der betreffenden Bestimmung des AHVG ergeben, es soll mithin eine generelle Erlaubnisnorm für Behörden geschaffen werden. Damit braucht es in Zukunft keine spezialgesetzliche Erlaubnisnorm für jeden einzelnen Verwendungszweck und jeden einzelnen Verwender. Der Gesetzgeber behält jedoch auch die Möglichkeit, bereichsspezifische Personenidentifikatoren zu schaffen und für den betreffenden Bereich den systematischen Gebrauch der AHVN zu untersagen.

Einrichtungen ohne Behördencharakter, die mit der Erfüllung einer Verwaltungsaufgabe betraut sind, sollen wie bisher nur aufgrund einer spezialgesetzlichen Grundlage zur systematischen Verwendung der AHVN ermächtigt sein. Die Berechtigung zur systematischen Verwendung durch Bildungsinstitutionen ist – wie im geltenden Recht – bereits auf der Stufe des AHV-Rechts verankert, wobei die neue Regelung sämtliche Bildungsinstitutionen erfasst. Diese haben nämlich sozialversicherungsrechtliche Pflichten oder Aufgaben der Bundesstatistik zu erfüllen. Die nach dem aktuellen Recht bereits bestehenden gesetzlichen Berechtigungen zur systematischen Verwendung der AHVN werden angepasst. Unverändert sollen systematische Verwendungen rein privater Art ausgeschlossen sein.

1.2.2 Begleitmassnahmen

Heute arbeiten Behörden mit einer Vielzahl von Datenbanken und -quellen, aus denen sie ihre Informationen beziehen. Die AHVN ist eine zusätzliche Angabe, die bereits heute darin enthalten ist bzw., gemäss der vorgeschlagenen Lösung, sein wird. Die Behörden haben ein klares Interesse am Schutz ihrer Daten und sind gehalten, sämtliche Informationssicherheitsmassnahmen zu treffen. Dazu gehört auch die Informatiksicherheit. Dies gilt für jede Behörde, welche die AHVN systematisch verwendet.

Um fehlerhaften Gebrauch vermeiden und allfälligem Missbrauch begegnen zu können, bedarf es daher effektiver Leitplanken und technisch-organisatorischer Vorgaben. Das Hauptaugenmerk ist darauf zu richten, dass die Datenbanken vor nicht berechtigter Einsichtnahme und Manipulation gesichert sind. Die vom Bund betriebenen Datenbanken und Fachapplikationen weisen insgesamt ein vergleichsweise hohes Sicherheitsniveau auf. Dasselbe gilt für zahlreiche IT-Systeme von Kantonen und Gemeinden. Dennoch gibt es ausserhalb der Bundesverwaltung etliche Systeme, die den aktuellen Sicherheitsstandards nicht ganz genügen. Diese Situation muss mit Hilfe von organisatorischen, personellen, infrastrukturellen und technischen Sicherheitsmaßnahmen behoben werden, damit ein hinreichendes Sicherheitsniveau durchgesetzt werden kann. Die Schaffung von IT-Sicherheit ist keine Einzelmassnahme, sondern immer ein Prozess, der die kontinuierliche Betrachtung und Anpassung verschiedener Faktoren erfordert.

Konkret bedeutet dies zunächst, dass die Verantwortlichkeiten bezüglich der IT-Sicherheit geregelt sein müssen. Für die Abgrenzung der Aufgabengebiete, aber auch zur Vermeidung von Zuständigkeitslücken müssen die Verantwortlichkeiten für alle wesentlichen Aufgaben, insbesondere im Informationssicherheitsprozess, nachvollziehbar geregelt sein. Mitarbeitende, die mit Informatikmitteln zu tun haben, sollten im Umgang mit der IT-Infrastruktur hinsichtlich der IT-Sicherheit geschult sein. Sicherheitsrichtlinien und -anweisungen müssen in schriftlicher Form dokumentiert werden. Die Risiken im Bereich Informationssicherheit sind regelmässig zu prüfen und es ist ein Informationssicherheits- und Datenschutzkonzept (ISDS) zu erstellen. In infrastruktureller Hinsicht geht es in erster Linie darum, den Zugang zu Informatikmitteln und Datenspeichern physisch zu sichern. Eine weitere physische Sicherheitsmassnahme besteht darin, sicherzustellen, dass Informatikmittel und Datenspeicher vor der Reparatur, Entsorgung oder Vernichtung weder AHV-Nummern noch andere Personendaten mehr enthalten und dass solche nicht rekonstruiert werden können.

Des Weiteren müssen die technischen Zugriffsrisiken minimiert werden. Letzteres beinhaltet geeignete Authentisierungsverfahren sowie Informatiksicherheitsmassnahmen (Antiviren-Software, Firewall-Systeme). Die Software muss dem Stand der

8 SR 831.10