Erläuternder Bericht

Trotz der Minimierung allfälliger Risiken ist es sinnvoll, die Verantwortung für den Schutz der Daten des NAD ausdrücklich zu regeln. Das ist vor allem dann empfohlen, wenn die Personendaten von Bundes-, Kantons- und Gemeindebehörden gemeinsam oder zusammen mit Dritten bearbeitet werden. Wenn die jeweiligen Zuständigkeiten nicht bestimmt sind, könnte es sein, dass sich niemand als verantwortlich erachtet oder dass sich bei der Abgrenzung der Zuständigkeiten Fragen stellen.

Artikel 16 Absatz 2 DSG weist dem Bundesrat die Kompetenz zu, die Verantwortung und die Kontrolle jeweils besonders zu regeln, wenn ein Bundesorgan zusammen mit anderen Bundesorganen oder mit kantonalen Organen oder Privaten Daten bearbeitet.³⁶ Diese Bestimmung ist vor allem für grosse, dezentralisierte Informationssysteme oder für sogenannte Verbundsysteme gedacht. Dezentralisierte Systeme zeichnen sich dadurch aus, dass die Daten nicht vom Systembetreiber selber, sondern von Aussenstellen des Systems, an der sogenannten Peripherie, erhoben werden.³⁷ Verbundsysteme kommen durch eine Verknüpfung von an sich selbstständigen Rechneranlagen zustande.³⁸ Beim NAD handelt es sich zwar weder um ein dezentralisiertes System noch um ein Verbundsystem. Trotzdem erscheint es sinnvoll, die Verantwortung im Vorentwurf spezifisch zu regeln.

Der NAD entspricht im Wesentlichen einem «zentralisierten» System, er enthält aber auch «dezentralisierte» Elemente. Er ermöglicht es Bundes-, Kantons- und Gemeindebehörden sowie Dritten namentlich, die Adressen natürlicher Personen mit Wohnsitz in der Schweiz abzufragen. Die Daten werden dem BFS nach dem RHG von Kantons- und Gemeindebehörden geliefert. Sie werden vom BFS unverändert übernommen und im Informationssystem gespeichert.

Da die im System gespeicherten Daten von den Kantons- und Gemeindebehörden stammen, können nur sie die unvollständigen oder unrichtigen Daten berichtigen. Die Nutzer können hingegen andere Bearbeitungsvorgänge durchführen, die ebenfalls als Datenbearbeitung gelten. Sie können die Daten namentlich aufbewahren und zur Erfüllung ihrer gesetzlichen Aufgaben nutzen. Denn als Datenbearbeitung gilt «jeder Umgang mit Personendaten, unabhängig von den angewandten Mitteln und Verfahren, insbesondere das Beschaffen, Aufbewahren, Verwenden, Umarbeiten, Bekanntgeben, Archivieren oder Vernichten von Daten» (Art. 3 Bst. e DSG).

Die Tätigkeiten der Bundesorgane, der Privaten und der natürlichen und juristischen Personen, die öffentliche Aufgaben für den Bund erfüllen, werden durch das DSG geregelt. Das Kantons- und Gemeinderecht zum Datenschutz gilt für die Tätigkeiten der Kantons- und Gemeindebehörden. Wenn sich jedoch zeigt, dass die kantonalen Datenschutzvorschriften keinen angemessenen Schutz gewährleisten, können bestimmte Bestimmungen des DSG für kantonale Organe gelten, die beim Vollzug von Bundesrecht Personendaten bearbeiten (Art. 37 DSG).

Aus Gründen der Klarheit und der Rechtssicherheit erscheint es deshalb angemessen, festzuhalten, dass das BFS für den Schutz der im Informationssystem bearbeiteten Daten verantwortlich ist. Als verantwortliche Behörde ist das BFS auch dafür zuständig, das Informationssystem zu kontrollieren, damit gewährleistet ist, dass es den Anforderungen des DSG entspricht, namentlich den Anforderungen an die Datensicherheit.