Ergebnisbericht
Vernehmlassung 2021/26: Totalrevision der Verordnung zum Bundesgesetz über den Datenschutz (VDSG) · 90 Seiten
Fedlex · Ergebnisbericht · Seite 14Fedlex · Ergebnisbericht
Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)
Die Bestimmung ist trotzdem Gegenstand breiter Kritik. Für zahlreiche Teilnehmende92 ist eine Überarbeitung unerlässlich. Zwar wird die Anlehnung an Artikel 5 Absatz 1 Buchstabe h nDSG oder Artikel 32 Ziffer 1 DSGVO geschätzt. Aber als Schutzziele sollten ausschliesslich die Vertraulichkeit, die Integrität, die Verfügbarkeit und die Nachvollziehbarkeit genannt werden. Statt Maximalanforderungen sollten Minimalanforderungen formuliert werden. Eine Ausrichtung nach dem EU-Recht würde zudem die Umsetzung von nDSG und DSGVO erleichtern.93 In diesem Sinn verlangen einige Teilnehmende94 den Verzicht auf jegliches Swiss Finish. Die Bestimmung führe zu einer Dokumentationspflicht, die dem Willen des Gesetzgebers widerspreche.95 Gemäss der SPA ist eine solche Dokumentationspflicht nicht legitim; jedenfalls ist sie nur kurz für den Prozess und sein Ergebnis gerechtfertigt. Die Übernahme der Schutzziele nach der geltenden VDSG wird kritisiert.96 Einige Teilnehmende erachten sie als veraltet.97 Das DFS vertritt die Ansicht, dass die Bestimmung gemeinsam mit Informatik- und Datenschutzexpertinnen und -experten überprüft und bereinigt werden muss.
Gemäss einigen Teilnehmenden98 erfüllt Artikel 2 den Auftrag nach Artikel 8 Absatz 3 nDSG nicht ganz. Verschiedene Teilnehmende99 weisen darauf hin, dass in der Bestimmung nur Schutzziele genannt werden sollten, die vom Verantwortlichen beeinflusst werden können. Mit der Einführung von «Privacy by Design» werde die Verantwortung für die Datensicherheit auf den Verantwortlichen übertragen. Angesichts der technischen Entwicklung und mangels staatlicher Interventionen sei die Aufzählung zu überarbeiten. Damit werde der Aufwand für die Datensicherheit dem Betreiber und nicht dem Entwickler von Informationstechnologien auferlegt. Dies zulasten der Nutzerinnen und Nutzer von Informationstechnologien. Angesichts der heutigen Cyberrisiken seien so breit gefächerte, ambitionierte Schutzziele kaum realistisch, insbesondere im Lichte der strafrechtlichen Sanktionen des nDSG.100
Einige Teilnehmende101 werfen die Frage auf, ob der Bezug zu Artikel 1 nicht präzisiert werden sollte. Zumindest sollte erwähnt werden, dass nur die Punkte umgesetzt werden müssen, die zur Gewährleistung der Datensicherheit angemessen sind.
Gemäss BE sollte der Einleitungssatz mit «die technischen und organisatorischen Massnahmen» ergänzt werden. Eine überwiegende Mehrheit der Teilnehmenden102 schlägt namentlich vor dem Hintergrund von Artikel 61 Buchstabe c nDSG vor, «erreichen» durch «anstreben»
92 Kantone: AG, AR, BE, GL, NW, SZ, TG, VD, ZH; Parteien: FDP, SP; Organisationen: asut, Coop, DFS, die Inlandbanken, die Post, Datenschutzbeauftragter SZ/OW/NW, digitalswitzerland, economiesuisse, EXPERTsuisse, FMH, H+, HKBB, IGEM, kantonaler Datenschutz- und Öffentlichkeitsbeauftragter von NE/JU, Migros, privatim, Raiffeisen, Ringier, santésuisse, SBB, SBVg, Scienceindustries Switzerland, SDV, SPA, Sunrise, suva, SWICO, thurbo, UPC, veb.ch, VöV, VSKB, VUD, Walderwyss. Gemäss swissICT sollten die Vertraulichkeit, Verfügbarkeit und Nachvollziehbarkeit zumindest in den Kommentaren zu Art. 2 im erläuternden Bericht genannt werden; Privatperson: Beat Lehmann schlägt einen Absatz 1 «Im Allgemeinen» vor, in dem die zu erreichenden Schutzziele der Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit umschrieben werden.
93 Organisation: SAV.
94 Organisationen: asut, die Inlandbanken, die Post, digitalswitzerland, economiesuisse, HKBB, KMU-Forum, Raiffeisen, SBVg, Scienceindustries Switzerland, SDV, Sunrise UPC, SWICO.
95 Organisationen: Coop, die Post, HANDELSVERBAND.swiss, IGEM, Rega, suva, VUD. Für einige Teilnehmende wie SPA sind nicht unbedingt alle Schutzziele relevant. Es müsse anhand der Datenbearbeitung eruiert werden können, welche Schutzziele in Frage kommen.
96 Siehe dazu namentlich Fn. 50.
97 Organisationen: DFS, IGEM.
98 Partei: FDP; Organisationen: Datenschutzguide.ch, KMU-Forum, SPA, suisa, SwissFoundations.
99 Organisationen: Creditreform, PBS, RVS, sgv, vsi, VSP.
100 Partei: FDP; Organisationen: die Post, rega.
101 Kanton: BE; Organisationen: ASDPO, die Inlandbanken, die Post, digitalswitzerland, economiesuisse, HANDELSVERBAND.swiss, HKBB, Raiffeisen, SBVg, Scienceindustries Switzerland, SDV, swissICT.
102 Kanton: BE; Organisationen: asut, Coop, Creditreform, die Post, DigiGes, GastroSuisse, H+, IGEM, Migros, PBS, Raiffeisen, Ringier, RVS, santésuisse, SBB, SPA, SSO, Stiftung für Konsumentenschutz, Suisa, Sunrise UPC, suva, SWICO, swissICT, swissstaffing, thurbo, VöV, VSP, VUD, Walderwyss.