Ergebnisbericht

Ergebnisbericht Vernehmlassung: Totalrevision der Verordnung zum BG über den Datenschutz (VDSG)

e, f und g vor. Somit bestehe keine gesetzliche Grundlage.³⁵⁸ Deshalb sei laut der FER klarzustellen, dass diese Bestimmung nur gelte, wenn die betroffene Person gemäss dem Gesetz informiert werden müsse.³⁵⁹ Dementgegen wünscht die SP, dass der Zeitpunkt und die Dauer der Verletzung der betroffenen Person ebenfalls gemeldet werden müssen, damit diese das Ausmass und das Risiko der Verletzung so gut als möglich abschätzen könne. Die ASDPO möchte zudem, dass der betroffenen Person die Informationen nach den Buchstaben b und c mitgeteilt werden muss. Dies könne helfen, das Ausmass des Vorfalls zu bestimmen und entsprechende Massnahmen zu ergreifen.³⁶⁰ Andere Teilnehmende schlagen vor, Buchstabe g wegzulassen, da dieser Cyber-Attacken erleichtere bzw. es in grösseren Unternehmen nicht nur eine Kontaktperson gebe.³⁶¹

Abs. 4

HDC betont, dass Artikel 24 Absatz 6 nDSG vorsehe, dass eine Meldung nur mit Zustimmung der meldepflichtigen Person in einem Strafverfahren gegen diese verwendet werden dürfe. Daher sollte klargestellt werden, dass die Bestimmung im Falle einer juristischen Person die juristische Person als solche und jede natürliche Person innerhalb dieser juristischen Person zur Meldung verpflichte. Der Kanton Freiburg betont, dass zu vermeiden sei, dass jede Meldung vorzeitig an die Öffentlichkeit gelange. Das Bundesgericht habe jedoch entschieden, dass eine Meldung über Verletzungen der Datensicherheit dem Öffentlichkeitsprinzip unterliege (BGE 1C_500/2020 vom 11. März 2021). Da diese Meldung nun obligatorisch werde, sei es angebracht, eine zeitliche Begrenzung für die Einsicht in solche Meldungen vorzusehen.

Abs. 5

DigiGes betont, dass es für alle beteiligten Parteien wichtig sei, dass die Verletzung dokumentiert werde, wie dies in Artikel 19 Absatz 5 vorgesehen sei. Nach Ansicht der ASDPO wäre es sinnvoll, wenn alle Verstösse gemeldet werden müssten, damit der EDÖB oder andere Behörden im Falle einer Kontrolle in der Lage wären zu prüfen, ob ein Verstoss hätte gemeldet werden müssen, obwohl er nicht gemeldet wurde. Einige Teilnehmende befinden, es sei unklar, ob alle Verstösse zu dokumentieren seien, oder nur diejenigen, die dem EDÖB gemeldet werden müssten.³⁶² Andere wiederum gehen fest davon aus, dass nur meldepflichtige Verletzungen zu dokumentieren seien. Daher erschliesse sich auch der Sinn der Norm nicht wirklich, da der EDÖB bei Interesse sowieso nachfragen würde.³⁶³

Viele Stimmen verlangen, dass die Dokumentationspflicht nach Absatz 5 gestrichen wird, da sie einer gesetzlichen Grundlage entbehre.³⁶⁴ Die Pflicht zur Meldung von Verletzungen der Datensicherheit sei bereits auf Gesetzesstufe ausreichend klar, aber gleichwohl prinzipien- und risikobasiert geregelt. Dementsprechend wolle das Parlament darüber hinaus bewusst