Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

betroffenen Personen reduziert werden, die sich beispielsweise durch eine unbefugte Offenlegung von Personendaten ergeben können. Liegt eine Anonymisierung vor, so kommt das DSG gemäss dessen Anwendungsbereich gar nicht zur Anwendung.

− Verfahren zur Identifikation, Bewertung und Evaluierung der Risiken und Überprüfung der Angemessenheit der getroffenen Massnahmen: Ab einem gewissen Risiko wird es in vielen Fällen sinnvoll beziehungsweise sogar notwendig sein, dass standardisierte Verfahren und Prozesse implementiert werden, welche die Risiken und die Angemessenheit der getroffenen Massnahmen nicht nur regelmässig überprüfen, sondern auch bewerten und evaluieren. Solche Massnahmen sind insbesondere bei automatisierten Systemen bedeutsam. Sie tragen dazu bei, dass die Datensicherheit dauerhaft gewährleistet wird und auch ihr Nachweis einfacher erbracht werden kann.

− die Schulung und Beratung der mit der Umsetzung betrauten Personen: Diese Massnahme ist aus Sicht des Bundesrats bedeutsam, da die Umsetzung und Wirksamkeit der Datensicherheit auch insbesondere davon abhängt, ob die involvierten Personen die festgelegten Massnahmen anwenden. So kann eine fehlende Schulung und Beratung zu einer Datensicherheitsverletzung führen, z. B. wenn eine Mitarbeiterin oder ein Mitarbeiter eine E-Mail mit Malware öffnet.

Letztlich bleiben bei der Bestimmung der Massnahmen selbstredend die Umstände des Einzelfalls massgeblich. So sind die Massnahmen im Rahmen einer Abwägung der verschiedenen vorhandenen Interessen in einer gesamtheitlichen Betrachtung zu bestimmen.

Die Massnahmen sind gemäss Artikel 1 Absatz 2 wie gemäss geltendem Recht laufend zu überprüfen und ggf. anzupassen. Insbesondere ist zu überprüfen, ob die Massnahmen noch immer dem Risiko angemessen und wirksam sind. Statt «periodisch» muss die Überprüfung neu «in angemessenen Abständen» erfolgen. Der Überprüfungsbedarf hängt insbesondere von der Gefährdungslage für die Persönlichkeitsrechte und Grundrechte Betroffener ab: Je grösser die Gefährdung, desto grösser der Überprüfungsbedarf. Die Überprüfung soll in einem wiederkehrenden zeitlichen Rhythmus erfolgen, z. B. kann ein zeitliches Intervall von einem bis hin zu fünf Jahren vorgesehen werden. Eine Überprüfung kann sich zusätzlich aufdrängen, wenn eine Verletzung der Datensicherheit erfolgt oder die Bearbeitung von Personendaten angepasst worden ist. In Artikel 1 Absatz 2 wird ausserdem neu präzisiert, dass nicht nur die Gewährleistung der Datensicherheit, sondern auch deren Überprüfung über die gesamte Bearbeitungsdauer hinweg gewährleistet sein muss. Damit wird auch klargestellt, dass es sich bei der Datensicherheit und deren Überprüfung um eine Dauerpflicht handelt, die während des gesamten Lebenszyklus der Personendaten zu erfüllen ist.

Art. 2 Schutzziele

Artikel 2 enthält eine Auflistung der Schutzziele, auf welche die Massnahmen auszurichten sind. In Anwendung der Verhältnismässigkeit sind ausgehend davon die organisatorischen und technischen Massnahmen des Einzelfalls zu bestimmen. Die Verantwortlichen und Auftragsbearbeiter haben deshalb zu prüfen, mit welchen angemessenen Massnahmen sie die Schutzziele erreichen. Es ist durchaus vorstellbar, dass nicht jedes Schutzziel in jedem Fall von Relevanz ist. Ist ein Schutzziel in einem Fall nicht von Relevanz, so müssen der Verantwortliche und Auftragsbearbeiter aber in der Lage sein, zu begründen, weshalb dies der Fall ist.

Der Artikel stellt grösstenteils eine Übernahme des Artikels 9 VDSG dar: Die Regelung steht neu unter dem Titel «Schutzziele». Im Einleitungssatz wurden der Begriff «Inhaber der Datensammlung» und der Passus, wonach die Massnahmen insbesondere bei automatisierten Bearbeitungen von Bedeutung sind, gestrichen. Die bisherigen Schutzziele wurden inhaltlich