Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

thekarischen Daten scheine dies eher nicht der Fall zu sein. Auch jedes Medienunternehmen, das Berichte über Politik und Gesellschaft und damit auch besonders schützenswerte Personendaten (politische Ansichten usw.) bearbeite, werde erfasst sein. Für die Praxis bestehe folglich ein Klärungsbedarf (Arztpraxis usw.). Die Swimag schlägt vor, «umfangreich» zu streichen. Gerade bei geringfügiger und vereinzelter Bearbeitung besonders schützenswerter Personendaten brauche es eine hinreichende Sensibilisierung, was durch das dann auch notwendige Erstellen eines entsprechenden Bearbeitungsreglements Ausdruck finde. Sie schlägt auch vor, statt von «Profiling mit hohem Risiko» einfach von «Profiling» zu sprechen. Gemäss Bär & Karrer ist es für Unternehmen üblich, interne Richtlinien zu implementieren. Sie seien jedoch nicht so detailliert, wie es in Artikel 4 vorgeschlagen werde. Es sei eher praxisfern, ein solches Reglement für automatisierte Datenbearbeitungsprozesse, die stetigem Wandel unterliegen und regelmässig angepasst oder erweitert werden, zu erstellen. Einige Teilnehmende¹⁶⁹ weisen ebenfalls darauf hin, dass besonders heikle Datenbearbeitungen eine betriebsinterne Regelung erfordern können. Dieser Aspekt sei jedoch über Artikel 7 Absatz 1 nDSG bereits hinreichend geregelt. Der erläuternde Bericht suggeriere ferner, dass das Bearbeitungsreglement «vereinzelte Bearbeitungen» ausschliessen müsse. Einige Teilnehmende¹⁷⁰ weisen auf den grossen Auslegungsspielraum beim Begriff «hohes Risiko» hin. Sie empfehlen, die Informationen des erläuternden Berichts zu ergänzen.

Gemäss swissICT ist das Bearbeitungsreglement eine mögliche organisatorische und technische Massnahme zur Gewährleistung einer angemessenen Datensicherheit (entsprechend dem Grundsatz Privacy by Design und by Default), beim Aufgreifkriterium sei jedoch ein Logikfehler begangen worden. Es würden erhöhte Risiken für Persönlichkeitsrechte unzulässig mit Aspekten der Datensicherheit (Vertraulichkeit, Integrität, Verfügbarkeit) vermengt. Demzufolge sei die Struktur des Absatzes zu überdenken.

Abs. 2

In diesem Absatz sollte auf die Standards in der Informatik verwiesen werden. Zumindest sollte auf die spezifischen datenschutzrechtlichen Vorgaben hingewiesen werden (Bst. h und j).¹⁷¹ Gemäss ZH könnte bei Vorhandensein einer Zertifizierung (z. B. ISO 270001) auf die separate Erstellung eines Bearbeitungsreglements verzichtet werden.

Verschiedene Teilnehmende¹⁷² merken an, dass die Buchstaben a, b, c und f Bestandteil des Bearbeitungsverzeichnisses sind. Die übrigen Punkte müssten bei einer DSFA mitberücksichtigt werden, wenn diese für die Risikoabwägung bzw. als Massnahme zur Reduktion der Risiken relevant seien. Somit seien sie bereits dokumentiert. Augenscheinlich gehe es primär nicht um Datensicherheit, sondern um die Einhaltung des Datenschutzgesetzes.

Gemäss einigen Teilnehmenden¹⁷³ müsste präzisiert werden, dass die Angaben gemäss diesem Absatz einzig in Bezug auf Bearbeitungen gemacht werden müssen, die unter Artikel 1 Absatz 1 Buchstabe a und/oder b fallen.

Verschiedene Teilnehmende¹⁷⁴ fordern, die Auflistung zu kürzen, da die Anforderungen für die Bearbeitung besonders schützenswerter Daten zu aufwendig seien, namentlich für die