DSV

Die Protokollierung wird in Artikel 10 VDSG geregelt, der aufgrund des Verweises in Artikel 20 Absatz 1 erster Satz VDSG auch auf Bundesorgane Anwendung findet. Artikel 4 übernimmt diese Regelung in geänderter Form. Die Protokollierung stellt eine Massnahme im Sinne von Artikel 3 Art. dar. Dadurch wird dem Umstand Rechnung getragen, dass das Schweizer Recht im Unterschied zur DSGVO keine allgemeine “Rechenschaftspflicht” vorsieht. Überdies wird die Protokollierung auch von gewissen europäischen Datenschutzbehörden empfohlen. Ausserdem handelt es sich bei der Protokollierung um ein klassisches, präventives Mittel zur Gewährleistung der Cybersicherheit.

Der Zweck der Protokollierung besteht darin, dass Bearbeitungen von Personendaten nachträglich überprüfbar sind, so dass im Nachhinein festgestellt werden kann, ob Daten abhandengekommen sind oder gelöscht, vernichtet, verändert oder offengelegt wurden. Ausserdem geht es auch um die Gewährleistung der Zweckkonformität und einer angemessenen Datensicherheit. So können sich aus der Protokollierung auch Hinweise ergeben, ob Personendaten zweckkonform bearbeitet wurden. Weiter können die Protokollierungen auch dazu dienen, Verletzungen der Datensicherheit aufzudecken und aufzuklären. Die Protokollierung hat hingegen nicht zum Ziel, die Nutzerinnen und Nutzer, die Personendaten bearbeiten, zu überwachen. Bei der Protokollierung handelt es sich um einen automatisierten Prozess. Heutzutage gibt es kaum ein Informationssystem oder ein System zur automatisierten Datenbearbeitung, in dem die Datenbearbeitung nicht protokolliert wird.

Artikel 4 Absatz 1 Art. verlangt die Protokollierung für den privaten Verantwortlichen und seinen privaten Auftragsbearbeiter bei der automatisierten Bearbeitung besonders schützenswerter Daten in grossem Umfang oder beim Profiling mit hohem Risiko, wenn die präventiven Massnahmen den Datenschutz nicht gewährleisten können und wenn ohne diese Massnahme nicht nachträglich festgestellt werden kann, ob die Daten für diejenigen Zwecke bearbeitet wurden, für die sie beschafft oder bekanntgegeben wurden. Protokolliert werden müssen zumindest die Vorgänge des Speicherns, Veränderns, Lesens, Bekanntgebens, Löschens und Vernichtens von Daten. Der Vorgang des “Lesens” ist als Zugriff ohne “Verändern” zu verstehen; es reicht demnach aus, wenn die Zugriffe auf Personendaten und das Verändern dieser Daten protokolliert werden. Der Protokollierung des “Lesens” wird damit Genüge getan. Der Satzteil “können die präventiven Massnahmen den Datenschutz nicht gewährleisten” wurde aus dem geltenden Recht übernommen. In der Praxis ist er von untergeordneter Bedeutung, da die präventiven Massnahmen den Datenschutz nur selten gewährleisten.

Gemäss Absatz 2 protokollieren das verantwortliche Bundesorgan und sein Auftragsbearbeiter bei der automatisierten Bearbeitung von Personendaten zumindest das Speichern, Verändern, Lesen, Bekanntgeben, Löschen und Vernichten der Daten. Dies sind die gleichen Bearbeitungsvorgänge, die auch der private Verantwortlichen protokollieren muss, allerdings muss die Protokollierung bei Bundesorganen in einer grösseren Anzahl von Fällen (bei jeder automatisierten Bearbeitung) erfolgen. Damit wird den im Rahmen der Schengener Zusammenarbeit im Strafrechtsbereich geltenden Anforderungen von Artikel 25 der Richtlinie (EU) 2016/680 Rechnung getragen. Wie oben ausgeführt, ist es in Bezug auf das “Lesen” ausreichend, wenn die Zugriffe auf Personendaten und das Verändern dieser Daten protokolliert werden. Für die Umsetzung der Protokollierungspflicht wird für Datenbearbeitungen, die nicht in den Anwendungsbereich der Richtlinie (EU) 2016/680 fallen, in Artikel 46 Absatz 1 eine Übergangsfrist von drei Jahren vorgesehen.

In Absatz 3 wird neu festgehalten, dass bei Personendaten, welche allgemein öffentlich zugänglich sind, zumindest das Speichern, Verändern, Löschen und Vernichten der Daten protokolliert werden muss. Dies bedeutet z.B., dass die Konsultation des Staatskalenders, der allgemein öffentlich zugänglich ist, nicht zwingend protokolliert werden muss.

Die Regelung wurde mit einem neuen Absatz 4 ergänzt, wo die Inhalte der Protokollierung konkretisiert werden. So muss die Protokollierung Aufschluss geben über die Identität der Person, die die Bearbeitung vorgenommen hat, die Art, das Datum und die Uhrzeit der Bearbeitung sowie gegebenenfalls die Identität der Empfängerin oder des Empfängers der Daten.

In Absatz 5 wird Artikel 10 Absatz 2 VDSG in leicht geänderter Form übernommen. Die Protokolle müssen während mindestens eines Jahres getrennt vom System, in welchem die Personendaten bearbeitet werden, aufbewahrt werden. Dies bedeutet allerdings nicht, dass die Protokolle während einer unverhältnismässig langer Dauer aufbewahrt werden dürfen. Die Aufbewahrungsdauer muss im Vergleich zum Ziel einer angemessenen Datensicherheit in einem angemessenen Verhältnis stehen. Im Übrigen bleiben für Bundesorgane jedenfalls die spezialrechtlichen Vorschriften vorbehalten. So sieht insbesondere die Verordnung vom 22. Februar 2012 über die Bearbeitung von Personendaten, die bei der Nutzung der elektronischen Infrastruktur des Bundes anfallen, in Artikel 4 Absatz 1 Buchstabe b vor, dass Daten über die Nutzung der elektronischen Infrastruktur längstens zwei Jahre aufbewahrt werden dürfen. Die getrennte Aufbewahrung vom System ist notwendig, da ansonsten bei Cyberangriffen auch das Protokoll selber manipuliert oder verschlüsselt werden könnte. Die Protokolle sind ausschliesslich den Organen oder Personen zugänglich, denen die Überprüfung der Anwendung der Datenschutzvorschriften oder die Wahrung oder Wiederherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit der Daten obliegen, und dürfen nur für diesen Zweck verwendet werden. Mit letzterer Ergänzung kommt im Verordnungstext neu zum Ausdruck, dass die Protokolle auch Sicherheitsverantwortlichen zugänglich sein sollen, damit diese die Vertraulichkeit, Integrität, Verfügbarkeit und Nachvollziehbarkeit der Daten wiederherstellen können. Mit dem Ausdruck Wahrung soll überdies sichergestellt werden, dass auch Systemadministratoren Zugriff auf auf die im System generierten Protokolle haben, wenn sie den Verdacht haben, dass eine Sicherheitslücke besteht. Diese Daten dürfen folglich nicht zum Zweck der Überwachung der Nutzer und Nutzerinnen, insbesondere ihrer beruflichen Tätigkeit, verwendet werden. Vorbehalten bleibt natürlich die Verwendung für spezialgesetzlich vorgesehene Zwecke, wie etwa eine allfällige Verwendung in einem Strafverfahren.

Artikel 10 Absatz 1 dritter Satz VDSG wurde gestrichen. Er wäre systemwidrig, wenn der EDÖB im Bereich der Datensicherheit, die gemäss Artikel 61 Buchstabe c der Strafbarkeit unterliegt, Empfehlungen aussprechen könnte. Zudem kann der EDÖB gemäss seiner allgemeinen Verfügungskompetenz im Rahmen einer Untersuchung nach Artikel 51 nDSG ohnehin eine Protokollierung anordnen.