nDSG

(Diese Erläuterungen beziehen sich in der Botschaft auf den Art. 7 E-DSG, welcher im revDSG als Art. 8 ausgestaltet ist.)

Artikel 7 E‑DSG übernimmt Artikel 7 DSG mit einigen Änderungen. Die Pflicht, die Datensicherheit sicherzustellen, ist eine Anforderung des E‑SEV 108 (Art. 7) und der Richtlinie (EU) 2016/680 (Art. 29). Die Verordnung (EU) 2016/679 (Art. 32) enthält eine ähnliche Regelung. Der Verantwortliche und der Auftragsbearbeiter müssen durch geeignete technische und organisatorische Massnahmen eine dem Risiko angemessene Datensicherheit gewährleisten. Darin kommt der risikobasierte Ansatz zum Ausdruck. Je grösser das Risiko einer Verletzung der Datensicherheit, umso höher sind die Anforderungen an die zu treffenden Massnahmen.

Absatz 2 bestimmt das Ziel dieser Massnahmen. Diese sollen es erlauben, Verletzungen der Datensicherheit zu vermeiden, d.h. jede Verletzung der Sicherheit, die ungeachtet der Absicht oder der Widerrechtlichkeit dazu führt, dass Personendaten verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden (Art. 4 Bst. g E‑DSG). Solche Vorkehren können beispielsweise sein: die Pseudonymisierung von Personendaten, Massnahmen zur Wahrung der Vertraulichkeit und Verfügbarkeit des Systems oder dessen Dienste, die Entwicklung von Verfahren, mit denen regelmässig geprüft, analysiert und bewertet werden kann, ob die getroffenen Sicherheitsvorkehren wirksam sind.

Datenschutz und Datensicherheit stehen zwar in einer Wechselwirkung, sind aber voneinander abzugrenzen. Beim Datenschutz geht es um den Persönlichkeitsschutz des Einzelnen. Die Datensicherheit zielt hingegen generell auf die bei einem Verantwortlichen oder Auftragsbearbeiter vorhandenen Daten ab und umfasst den allgemeinen technischen und organisatorischen Rahmen der Datenbearbeitung. Demnach ist individueller Datenschutz nur möglich, wenn zugleich allgemeine technische Vorkehrungen zur Datensicherheit getroffen werden. Daraus ergibt sich auch die Abgrenzung der Pflicht zur Datensicherheit nach Artikel 7 E‑DSG zum Datenschutz durch Technik nach Artikel 6 Absatz 1 E‑DSG. Artikel 7 verpflichtet sowohl den Verantwortlichen als auch den Auftragsbearbeiter dazu, für ihre Systeme eine geeignete Sicherheitsarchitektur vorzusehen und sie z. B. gegen Schadsoftware oder Datenverlust zu schützen. Artikel 6 Absatz 1 zielt hingegen darauf ab, mit technischen Mitteln die Einhaltung von Datenschutzvorschriften sicherzustellen, z. B. dass die Datenbearbeitung verhältnismässig bleibt. Dabei können einzelne Massnahmen wie beispielsweise die Anonymisierung von Daten für beide Pflichten bedeutsam sein.

Absatz 3 verpflichtet den Bundesrat, Mindestanforderungen an die Datensicherheit zu definieren.