Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

Der erste Satz bestimmt, dass die Datenschutz-Folgenabschätzung in verständlicher Form schriftlich festzuhalten ist. Die Schriftform umfasst insbesondere Dokumente in Papier- oder elektronischer Form. Sie ist insbesondere für den Nachweis von Bedeutung, dass eine Datenschutz-Folgenabschätzung erfolgt ist.

Der zweite Satz betrifft die Aufbewahrungsdauer. Der Grund für die Aufbewahrung der Datenschutz-Folgenabschätzung über die Vornahme der Datenbearbeitung hinaus besteht darin, dass sie ein zentrales datenschutzrechtliches Instrument darstellt. Sie kann insbesondere bei der Abklärung von Verletzungen der Datensicherheit oder der Beurteilung der Strafbarkeit eines Verhaltens von Bedeutung sein. So gibt die Datenschutz-Folgenabschätzung darüber Auskunft, wie die Risiken für die Persönlichkeit oder die Grundrechte bewertet wurden und welche Massnahmen getroffen wurden. Bei Bundesorganen, die grundsätzlich nur gestützt auf Rechtsgrundlagen Daten bearbeiten können, kann es aufgrund der Beständigkeit gewisser Rechtsgrundlagen vorkommen, dass eine Datenschutz-Folgeabschätzung über einen sehr langen Zeitraum aufzubewahren ist (z. B. mehrere Jahrzehnte).

Im Falle der Bundesorgane wird weiter zu regeln sein, wie die Datenschutz-Folgenabschätzung zeitlich mit dem Gesetzgebungsverfahren zur Schaffung der Rechtsgrundlagen für die Datenbearbeitung zu koordinieren ist. Es soll vorgesehen werden, dass die Bundesorgane die Datenschutz-Folgenabschätzung zusammen mit den Erlassentwürfen dem Antrag an den Bundesrat beifügen müssen und sie die Resultate der Datenschutz-Folgenabschätzung in der Botschaft des Bundesrats festhalten müssen. Da die Regelung aber nur Weisungscharakter innerhalb der Bundesverwaltung aufweist, ist sie nicht auf Verordnungsstufe zu regeln. Es ist geplant, die Regelung in den Richtlinien für Bundesratsgeschäfte («roter Ordner») und im Botschaftsleitfaden umzusetzen.

Art. 19 Meldung von Verletzungen der Datensicherheit

Artikel 24 Absatz 2 nDSG enthält die Mindestanforderungen an eine Meldung des Verantwortlichen von Verletzungen der Datensicherheit an den EDÖB: Dazu gehört die Art der Verletzung der Datensicherheit, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen. Der Inhalt dieser Meldung an den EDÖB wird in Artikel 19 Absatz 1 E-VDSG weiter präzisiert. Dabei ist zu beachten, dass die Meldung an den EDÖB gemäss Artikel 24 Absatz 1 nDSG auf Verletzungen der Datensicherheit beschränkt ist, die voraussichtlich zu einem hohen Risiko für die Persönlichkeit oder die Grundrechte der betroffenen Person führen. Die Formulierung «voraussichtlich» macht dabei deutlich, dass auch in Zweifelsfällen, in welchen das Vorliegen eines hohen Risikos nicht ausgeschlossen werden kann, eine Meldung zu erfolgen hat.

Absatz 1 enthält folgenden Katalog an Angaben: Nebst der bereits im Gesetz erwähnten Art der Datensicherheitsverletzung (Bst. a), ist weiter vorgesehen, dass, soweit möglich, auch der Zeitpunkt und die Dauer der Datensicherheitsverletzung mitgeteilt werden muss (Bst. b). Somit wird für den EDÖB überprüfbar, ob der Verantwortliche seine Pflicht, ihm die Meldung so rasch als möglich zukommen zu lassen, wahrgenommen hat. Weiter müssen, soweit möglich, auch die Kategorien und ungefähre Anzahl der Personendaten, die von der Verletzung der Datensicherheit betroffen sind (Bst. c), gemeldet werden sowie die Kategorien und ungefähre Anzahl der betroffenen Personen (Bst. d). Diese Informationen sind von grundsätzlicher Bedeutung, damit das Ausmass der Verletzung abgeschätzt werden kann. Dabei ist insbesondere erforderlich, dass bekannt ist, welche Kategorien von Personendaten von der Verletzung betroffen sind (z. B. Adressen, Kreditkartenformationen, Gesundheitsdaten), damit die Ausführungen zu den Folgen, Risiken und Massnahmen überhaupt nachvollziehbar sind. Im Zusammenhang mit der Meldung von Folgen und Risiken für die betroffenen Personen