Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

Gemäss einigen Teilnehmenden¹⁵² sollte die Formulierung «getrennt vom System, in welchem die Personendaten bearbeitet werden» durch «gesichert» ersetzt werden.

3.2.4 Art. 4 E-VDSG: Bearbeitungsreglement von privaten Personen

Mehrere Teilnehmende¹⁵³ begrüssen diese Bestimmung ausdrücklich. Sie wird als Kernstück des künftigen Datenschutzes gesehen. Andere Teilnehmende¹⁵⁴ möchten deren Tragweite sogar erweitern, da die Kriterien nach Absatz 1 nicht alle kritischen Datenbearbeitungen abdeckten. Die Massnahme wird folglich anerkannt, es werden jedoch Präzisierungen gefordert. Die Bestimmung wird als Massnahme zur Datenminimierung betrachtet.¹⁵⁵ Es sei auch gerechtfertigt, dass bei der Bearbeitung von besonders schützenswerten Personendaten, oder insbesondere bei der Durchführung eines Profilings mit hohem Risiko, höhere Anforderungen an den Datenschutz gestellt werden.¹⁵⁶

Für zahlreiche andere Teilnehmende¹⁵⁷ widerspricht die Bestimmung dem Willen des Gesetzgebers und ist überflüssig. Gemäss vielen Teilnehmenden¹⁵⁸ wurde in Bezug auf die Dokumentationspflicht entschieden, sich auf das Verzeichnis der Bearbeitungstätigkeiten bzw. die DSFA zu beschränken. Es wird vor allem kritisiert, dass dafür keine gesetzliche Grundlage bestehe. Das Bearbeitungsreglement diene augenscheinlich nicht der Sicherstellung der Datensicherheit im engeren Sinn (die in Art. 8 nDSG geregelt wird), sondern solle primär die Einhaltung der Bearbeitungsgrundsätze und die weiteren Vorgaben des Datenschutzes sicherstellen. Sie weisen darauf hin, dass die DSGVO kein Bearbeitungsreglement erwähnt, während die Dokumentationspflicht von der DSGVO übernommen wurde. Dieses Swiss Finish wird kritisiert. Es wird verlangt, dass diese Bestimmung gestrichen wird. Verschiedene Teilnehmende¹⁵⁹ sind der Ansicht, dass diese Pflicht dem risikobasierten Ansatz widerspricht. Einige Teilnehmende¹⁶⁰ erinnern daran, dass Artikel 11a DSG absichtlich nicht übernommen worden ist, wie dem erläuternden Bericht zu entnehmen sei.

Für mehrere Teilnehmende¹⁶¹ sieht der rechtliche Rahmen wie folgt aus: Artikel 36 DSG bietet die Möglichkeit, ein «Bearbeitungsreglement» zu erstellen, während Artikel 12 nDSG den Begriff «Verzeichnis der Bearbeitungstätigkeiten» einführt. Sie sind der Auffassung, dass das Reglement im System durch das Verzeichnis ersetzt wurde. Es wird darauf hingewiesen,

dass das Bearbeitungsreglement unter den Massnahmen nach den Artikeln 1 und 2 nicht aufgeführt ist. Ein Mehrwert des Bearbeitungsreglements sei in Bezug auf die Transparenz nicht