Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

Abs. 2

Einige Teilnehmende¹³⁴ lehnen eine allgemeine Protokollierungspflicht für die Bundesorgane ab, weil sie ihnen unverhältnismässig erscheint. Sollte wegen Artikel 25 der Richtlinie (EU) 2016/680 eine Bestimmung in der Schweiz erforderlich sein, so ist diese gemäss einigen Teilnehmenden¹³⁵ auf die Bundesorgane zu beschränken, die ihr unterliegen. Ansonsten sollte Artikel 3 Absatz 1 zur Anwendung kommen. Einige Teilnehmende¹³⁶ erinnern daran, dass Artikel 57l Buchstabe b Ziffer 4 des Regierungs- und Verwaltungsorganisationsgesetzes vom 21. März 1997¹³⁷ zwar die Aufzeichnung von Randdaten zum Nachvollzug des Zugriffs auf Datensammlungen erlaubt, aber eben nur insoweit, als die Aufzeichnung verhältnismässig ist. Dass selbst bei einfachen Personendaten eine Protokollierung erforderlich sein solle, gehe klar über diese Anforderung hinaus. Einige Teilnehmende¹³⁸ schlagen vor, die Bundesorgane in Absatz 1 aufzunehmen und Absatz 2 zu streichen. Verschiedene Teilnehmende¹³⁹ weisen ferner darauf hin, dass für Bundesorgane unabhängig davon, ob ein hohes Risiko besteht, eine Protokollierungspflicht gilt. Die Protokollierung erfolge bei jeder automatisierten Bearbeitung.

Einige Teilnehmende¹⁴⁰ vertreten die Meinung, dass die Regelung zumindest für Privatpersonen und Bundesorgane dieselbe sein sollte.

Gemäss der Swimag sollte im letzten Satz «sowie die jeweilige Zweckbindung bzw. den genauen Bearbeitungsgrund» eingefügt werden.

Abs. 3

Da es sich nicht bei jeder Bearbeitung um eine Bekanntgabe handelt, wäre es gemäss einigen Teilnehmenden¹⁴¹ sinnvoll, vor «die Identität der Empfängerin oder des Empfängers» das Wort «gegebenenfalls» einzufügen.

Gemäss einigen Teilnehmenden¹⁴² steht dieser Absatz im Widerspruch zu den beiden vorigen Absätzen. Er werde so verstanden, dass es nicht um Verletzungen der Datensicherheit, sondern um etwaige unzulässige Bearbeitungen geht. Es sollte präzisiert werden, dass mit «Empfänger» die Organisation, nicht die Einzelperson gemeint ist.

Nach Ansicht von zwei Teilnehmenden¹⁴³ ist die Protokollierung eine qualifizierte Dokumentation, die zu einem Profiling führt. Es könne festgestellt werden, wer, wann, wie und in welchem Masse Daten bearbeitet hat. Dabei handle es sich um eine qualifizierte und automatisierte Bearbeitung der Personendaten der datenbearbeitenden Person. Sie bedürfe demnach