Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

fang des Begriffs «Risiko» als falsch. Es gehe um das Nettorisiko, und nicht um das Bruttorisiko. Ob eine Bearbeitung durch künstliche Intelligenz (KI) oder einen Menschen erfolgt, sei für die Frage der Datensicherheit nicht relevant.

Zahlreiche Teilnehmende⁶⁰ weisen allgemein auf den Einfluss des EU-Rechts und namentlich von Artikel 32 DSGVO hin. Sie schlagen vor, sich daran und an das ISG anzulehnen. Ihrer Ansicht nach sollte in zwei Schritten vorgegangen werden: Zuerst die Schutzziele, den

Schutzbedarf und die Risiken beurteilen. Obwohl die Schutzziele in Artikel 5 Absatz 1 Buchstabe h nDSG genannt und in Artikel 2 E-VDSG ausführlich aufgezählt werden, wird die mit dem vorliegenden Absatz getroffene Unterscheidung zwischen Kriterien zur Beurteilung des Schutzbedarfs (Bst. a), der Beurteilung des Risikos (Bst. b) und der Angemessenheit der Massnahmen begrüsst. Wie bei der DSFA erfolgt die Risikobeurteilung jedoch in einem zweiten Schritt (Art. 22 nDSG). In Bezug auf die Kriterien zur Angemessenheit der Massnahmen bedauern sie, dass diese nur eine indirekte Aussagekraft haben. Bezüglich der Angemessenheit von Massnahmen wäre in erster Linie zu beurteilen, ob eine Massnahme zu treffen ist und welche Massnahme konkret dem Risiko mit der nötigen Effektivität begegnet. Zwei Kantone⁶¹ sind ferner der Ansicht, dass der «Stand der Technik» ein indirektes Kriterium darstellt. Gemäss SZ ist ausserdem unklar, ob die Angemessenheitskriterien kumulativ zu verstehen sind. Dies würde der Kanton als nicht sachgerecht erachten. ZH ist ebenfalls gegen eine kumulative Anwendung der Kriterien. Der Kanton betont, dass die Ermittlung der Schutzziele (Art. 5 Bst. h nDSG), des Schutzbedarfs (Art. 1 Abs. 1 Bst. a E-VDSG) und der Risiken (Art. 22 nDSG) klarer aus der Bestimmung hervorgehen sollte.

BL schlägt vor, die Methode analog dem Bund mit HERMES zu vereinheitlichen. So solle Artikel 1 die Risikobeurteilung und die zu ergreifenden Massnahmen gemäss dem aktuellen Stand der fachlichen Diskussion wiedergeben.

Für die SP ist das Risiko einer Verletzung der Datensicherheit das viel relevantere Beurteilungskriterium für die zu treffenden Massnahmen.

Abs. 1 Bst. a

VD schlägt vor, in Buchstabe a Kriterien zum Profiling, zur länderübergreifenden Übermittlung und zur Auftragsbearbeitung (Cloud) aufzunehmen.

Inhaltlich bestreitet die SPA den Bezug der aufgeführten Kriterien zum Risiko, das von einer Datenbearbeitung ausgeht. Sie schlägt vor, basierend auf Artikel 8 Absatz 1 nDSG die Kriterien ausdrücklich zu benennen, über die ein Bezug zum Risiko hergestellt werden kann. Ein anderer Teilnehmender⁶² schlägt vor, den Begriff «Umstände» zu streichen, da er bereits im Begriff «Art» der Datenbearbeitung erfasst sei. Darüber hinaus empfiehlt er, den Entwurf der Europäischen Kommission für eine Verordnung zur künstlichen Intelligenz zu berücksichtigen.