Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

ten für diejenigen Zwecke bearbeitet wurden, für die sie erhoben oder bekannt gegeben wurden (Art. 10 Abs. 1 VDSG). Verschiedene Teilnehmende¹²⁵ heben hervor, dass die Protokollierung der regulären Nutzung der Daten sich nicht dazu eigne, unerlaubte Datenabflüsse, Malware, Einbrüche usw. zu entdecken.

Gemäss einigen Teilnehmenden¹²⁶ wird nach Artikel 8 nDSG erwartet, dass der Datenschutz bedarfsorientiert und gemäss dem neusten technischen Stand umgesetzt wird. Das sei in der Praxis aber schwierig zu realisieren; dies insbesondere mit einer Bestimmung, die einen hohen Detaillierungsgrad aufweise, der einen entsprechend hohen Umsetzungsaufwand, eine Unübersichtlichkeit und mögliche Verwechslungsrisiken mit sich bringe. Trotzdem erscheint ihnen eine Protokollierung richtig, sofern keine anderen Massnahmen das gleiche Ziel mit weniger Aufwand erreichen können. Deshalb sollten sie und ihre Alternativen in der Verordnung zumindest ausdrücklich als Massnahme vorgesehen werden. ZH hält fest, dass die Vorgabe zur Protokollierung bei hohen Risiken dem Konzept, keine konkreten Massnahmen festzulegen, widerspreche. Gemäss einigen wenigen Teilnehmenden¹²⁷ ist die Protokollierungspflicht auf die Fälle zu beschränken, in denen noch ein hohes Risiko besteht bzw. wenn die Massnahme im Sinn von Artikel 1 angemessen ist. Folglich müssten der französische und der italienische Wortlaut in diesem Sinn angepasst werden. Die Einhaltung der Bestimmung sei in der Praxis schwierig, insbesondere aufgrund der strafrechtlichen Sanktionen (Art. 61 Bst. c nDSG), die bestimmt häufig sein werden. Einige Teilnehmende¹²⁸ weisen darauf hin, dass die Gefahr einer Überwachung der betroffenen Personen bestehe, die nur gerechtfertigt sei,

wenn die Bearbeitung ein hohes Risiko darstelle.

Abs. 1

Es wird verlangt, dass dieser Absatz überarbeitet wird. Mehrere Teilnehmende¹²⁹ erklären, dass eine DSFA nicht wegen mangelhafter Datensicherheit ein hohes Risiko ausweisen werde, sondern aufgrund der Art und Weise der Datenbearbeitung. Dementsprechend sind einige Teilnehmende¹³⁰ der Auffassung, dass die DSFA nichts mit Datensicherheit zu tun hat.

Gemäss einigen Teilnehmenden¹³¹ ist auf die Protokollierung des Lesens zu verzichten, da dies kaum umsetzbar sei. Die Swimag fordert, dass im letzten Satz «sowie die jeweilige Zweckbindung bzw. den genauen Bearbeitungsgrund» eingefügt wird.

Einige Teilnehmende¹³² werfen die Frage auf, ob der Begriff «automatisierte Bearbeitung» nicht definiert werden sollte. Gemäss einigen Teilnehmenden¹³³ ist unter dem Begriff das Gegenteil zur manuellen Bearbeitung zu verstehen. Somit sei darunter eine elektronische oder vergleichbare Datenbearbeitung zu verstehen.