Erläuternder Bericht

Erläuternder Bericht zur Revision der Verordnung zum Bundesgesetz über den Datenschutz

Vom EDÖB wird gemäss Absatz 1 erwartet, dass er ein Bearbeitungsreglement für sämtliche automatisierten Bearbeitungen erstellt, und nicht nur in den in Artikel 5 Absatz 1 E-VDSG genannten Fällen, wie z. B. bei der Bearbeitung von besonders schützenswerten Personendaten oder bei einem Profiling.

Gemäss Absatz 2 sieht der EDÖB interne Prozesse vor, die gewährleisten, dass die Bearbeitungen entsprechend dem Bearbeitungsreglement vorgenommen werden. Er überprüft jährlich, ob das Bearbeitungsreglement eingehalten wird.

Art. 42 Zusammenarbeit mit dem Nationalen Zentrum für Cybersicherheit (NCSC)

Damit der EDÖB bei der Analyse einer eingetretenen Verletzung der Datensicherheit, die der Verantwortliche ihm gestützt auf Artikel 24 nDSG und Artikel 19 E-VDSG gemeldet hat, die technischen Fachspezialistinnen und Fachspezialisten des NCSC miteinbeziehen kann, wird in Absatz 1 vorgesehen, dass der EDÖB die Angaben zur Meldung einer Verletzung der Datensicherheit dem NCSC weiterleiten kann. Die Weiterleitung kann jegliche Angaben gemäss Artikel 19 Absatz 1 E-VDSG enthalten, muss sich aber gleichzeitig auf die für das NCSC für die Analyse des Vorfalls notwendigen Daten beschränken. Vorausgesetzt ist, dass der Verantwortliche, der zur Meldung an den EDÖB verpflichtet ist, vorgängig sein Einverständnis zur Weiterleitung gegeben hat. Ausserdem darf die Weiterleitung nicht dazu führen, dass Artikel 24 Absatz 6 nDSG umgangen wird, wonach die Meldung nur mit Einverständnis der meldepflichtigen Person im Rahmen eines Strafverfahrens verwendet werden darf. Absatz 1 soll bei nächster Gelegenheit auf Gesetzesstufe transferiert werden, etwa im Rahmen eines künftigen Gesetzes über kritische Infrastrukturen.

Absatz 2 hält fest, dass sich der EDÖB und der NCSC in überschneidenden Tätigkeitsbereichen koordinieren. Die Norm entspricht im Grundsatz Artikel 20 Absatz 3 zweiter Satz VDSG. Der EDÖB wird in Absatz 2 dazu verpflichtet, das NCSC zur Stellungnahme einzuladen, bevor er gegenüber einem Bundesorgan eine Massnahme nach Artikel 51 Absatz 3 Buchstabe b nDSG betreffend die Datensicherheit anordnet. Ziel ist es insbesondere, dass der EDÖB und das NCSC in demselben Bereich nicht unterschiedliche Vorgaben an die Bundesorgane stellen. Die Unabhängigkeit des EDÖB bleibt allerdings gewährleistet, da er einzig dazu verpflichtet wird, die Stellungnahme einzuholen, nicht aber auch diese zu berücksichtigen.

Art. 43 Register der Bearbeitungstätigkeiten der Bundesorgane

Aufgrund von Artikel 12 Absatz 4 nDSG müssen die Bundesorgane und deren Auftragsbearbeiter ihre Verzeichnisse der Bearbeitungstätigkeiten dem EDÖB melden. Von diesem wiederum wird in Artikel 56 nDSG verlangt, dass er ein Register der Bearbeitungstätigkeiten der Bundesorgane führt und dieses veröffentlicht.

In Artikel 43 Absatz 1 E-VDSG wird präzisiert, was das Register des EDÖB enthalten muss, nämlich die Angaben, die die Bundesorgane und deren Auftragsbearbeiter gemäss Artikel 12 Absätze 2 und 3 nDSG machen müssen. Zusätzlich enthält das Register auch die Angaben zu den geplanten automatisierten Bearbeitungstätigkeiten der Bundesorgane gemäss Artikel 32 Absatz 2 E-VDSG.

Der zweite Absatz präzisiert, dass das Register des EDÖB im Internet zu veröffentlichen ist. Nicht veröffentlicht werden dabei die Registereinträge über die geplanten automatisierten Bearbeitungstätigkeiten der Bundesorgane gemäss Artikel 32 E-VDSG, da diese im Zeitpunkt ihrer Anmeldung als noch nicht definitiv angesehen werden können beziehungsweise noch Änderungen unterliegen könnten.