Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

Die Mindestanforderungen der Datensicherheit sind gemäss geltendem Recht in Artikel 8–12 und Artikel 20–21 VDSG geregelt. Der Bundesrat hat entschieden, am geltenden Standard der Datensicherheit anzuknüpfen. Die materiell-rechtlichen Vorgaben werden daher im

Grundsatz so übernommen. Anpassungen werden nur vorgenommen, wo dies aufgrund der Digitalisierung bzw. des technischen Fortschritts, der Vorgaben im revidierten Gesetz oder der für die Schweiz massgeblichen Richtlinie (EU) 2016/680, namentlich deren Artikel 29, angezeigt scheint. Zudem hat sich der Bundesrat auch an der Verordnung (EU) 2016/679 orientiert, damit Schweizer Unternehmen, die in der EU tätig sind und eine gemäss der DSGVO konforme Datensicherheit gewährleisten, auch in der Schweiz davon ausgehen können, dass sie die Mindestanforderungen erfüllen.

In systematischer Hinsicht wird die Datensicherheit neu in einem eigens dafür vorgesehenen Abschnitt normiert. In der aktuellen VDSG wird die Datensicherheit für Private und Bundesorgane getrennt geregelt, aus Gründen der Übersichtlichkeit und der besseren Lesbarkeit werden die Bestimmungen neu zusammengeführt. Wo unterschiedliche Vorgaben für Private und Bundesorgane gelten, werden diese in getrennten Artikeln oder Absätzen geregelt.

Art. 1 Grundsätze

Artikel 1 E-VDSG regelt die Grundsätze, die bei der Bestimmung der Massnahmen zu beachten sind. Im Vergleich zur bisherigen Regelung in Artikel 8 VDSG wurde die normative Dichte von Artikel 1 E-VDSG reduziert. Artikel 1 Absätze 1 und 2 E-VDSG entspricht im Wesentlichen Artikel 8 Absätze 2 und 3 VDSG. Artikel 8 Absatz 1 VDSG wurde hingegen gestrichen, da die Ziele zur Gewährleistung der Datensicherheit neu auf Gesetzesebene angesiedelt sind. Artikel 8 Absatz 2 nDSG legt namentlich fest, dass die Massnahmen der Datensicherheit es ermöglichen müssen, Verletzungen der Datensicherheit zu vermeiden. Eine Verletzung der Datensicherheit liegt gemäss Artikel 5 Buchstabe h nDSG vor, wenn Personendaten unbeabsichtigt oder widerrechtlich verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden. Daraus lassen sich die herkömmlichen IT-Schutzziele der Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit ableiten.

Gemäss Artikel 8 Absatz 1 nDSG müssen der Verantwortliche und der Auftragsbearbeiter eine dem Risiko angemessene Datensicherheit gewährleisten. Artikel 1 Absatz 1 E-VDSG greift diesen Grundsatz auf und legt fest, welche Kriterien bei der Beurteilung der Angemessenheit der technischen und organisatorischen Massnahmen zu berücksichtigen sind. Der Katalog der Kriterien entspricht weitgehend dem geltenden Recht, einzelne Formulierungen wurden aber angepasst.

− Zweck, Art, Umfang und Umstände der Datenbearbeitung (Bst. a): Im Rahmen von Buchstabe a geht es insbesondere um das Schutzniveau, das angesichts der Gefährdung für die Persönlichkeitsrechte und Grundrechte Betroffener gewährleistet werden muss. Denn: Je höher der Schutzbedarf, desto höher die Anforderungen an die Massnahmen. Massgeblich ist in diesem Zusammenhang etwa der Umstand, ob besonders schützenswerte Personendaten bearbeitet werden oder der Zweck der Bearbeitung ein erhöhtes Risiko für die Persönlichkeitsrechte bzw. die Grundrechte Betroffener birgt. Bei der Art der Datenbearbeitung kann auch der Aspekt des Automatisierungsgrades herangezogen werden: Der Schutzbedarf kann zum Beispiel bei einer vollständig automatisierten Bearbeitung (namentlich der Anwendung künstlicher Intelligenz) höher einzuschätzen sein als bei Datenbearbeitungen, die von natürlichen Personen getätigt und überprüft werden. Buchstabe a wurde entsprechend Artikel 22 Absatz 2 nDSG mit dem Ausdruck der «Umstände» der Datenbearbeitung ergänzt.