Datenschutzgesetz. Totalrevision und Änderung weiterer Erlasse zum Datenschutz

de Buman Dominique · P-M · Nationalrat · Freiburg · CVP-Fraktion

Antrag der Minderheit

(Wermuth, Barrile, Glättli, Masshardt, Meyer Mattea, Piller Carrard)

Rückweisung von Entwurf 1 an die Kommission

mit dem Auftrag, den Entwurf des Bundesrates ("Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz") integral zu beraten.

Proposition de la minorité

(Wermuth, Barrile, Glättli, Masshardt, Meyer Mattea, Piller Carrard)

Renvoyer le projet 1 à la commission

avec mandat d'examiner intégralement le projet du Conseil fédéral ("loi fédérale sur la révision totale de la loi fédérale sur la protection des données et sur la modification d'autres lois fédérales").

Le président (de Buman Dominique, président): Nous allons mener un débat d'entrée en matière commun sur les projets 1 et 2.

Jauslin Matthias Samuel · Mit-M · Nationalrat · Aargau · FDP-Liberale Fraktion

Wir kommen zum Geschäft 17.059, "Datenschutzgesetz. Totalrevision und Änderung weiterer Erlasse zum Datenschutz". Lassen Sie sich nicht täuschen! Sie haben eine Vorlage und eine Fahne mit einem ziemlich grossen Umfang vor sich. Es geht um Ihre Daten, es geht um die Verarbeitung von personenbezogenen Daten. Das betrifft uns alle.

Die Totalrevision des Datenschutzgesetzes löste in der Kommission keine helle Freude aus. Sie ist aber notwendig und fand auch in der Eintretensdebatte der Kommission eine Mehrheit. Der heutige Datenschutz entspricht nicht mehr den aktuellen Anforderungen. Die technischen Möglichkeiten zur Verarbeitung von personenbezogenen Daten entwickeln sich überproportional und rasend schnell. Demgegenüber hat der Bürger Anrecht auf seine Daten und soll selbstverständlich über deren Verwendung bestimmen können. In der westlichen Welt ist dieser Wille ausgeprägt und führte neben dem Datenschutzübereinkommen SEV 108 zu zwei wohl wegweisenden Regelwerken:

1. Die Verordnung EU 2016/679: Diese ist seit dem 25. Mai 2018, also seit einigen Tagen, in Kraft. Eine Anpassung an die EU-Datenschutz-Grundverordnung (DSGVO) im Rahmen des Gesetzentwurfes ist nicht Schengen-relevant. Für die Zusammenarbeit mit EU-Ländern benötigen wir nur einen Angemessenheitsbeschluss, also eine Bestätigung, dass unser Datenschutz dem geforderten Standard entspricht. Die EU hat im Jahr 2010 anerkannt, dass unser Datenschutzniveau bis heute angemessen ist. Schweizer Unternehmen, die wirtschaftliche Aktivitäten im EU-Raum entwickeln möchten, sind jedoch gezwungen, sich an die DSGVO zu halten, diese auch zu erfüllen. Aus dieser Sicht wäre es von Vorteil, wenn wir unsere Datenschutzbestimmungen der DSGVO angleichen würden, um auch in Zukunft das Kriterium der Angemessenheit zu erfüllen, aber nur so weit wie unbedingt nötig, mit Augenmass und ohne Swiss Finish.

2. Die Richtlinie EU 2016/680: Aufgrund der Wahrung des Schengen-Besitzstandes wären wir verpflichtet, die Anpassungen nach dieser Richtlinie bis im August 2018 vorzunehmen. Der Kommission war von Anfang an klar, dass dies nicht möglich sein wird. Uns wurde von Frau Bundesrätin Sommaruga aufgezeigt, dass das Risiko klein sei, dass die EU Gegenmassnahmen ergreifen würde, da wir bereits an der Gesetzesberatung sind. Die Kommission erwartet von der EU entsprechendes Verständnis und Zurückhaltung, insbesondere, weil auch die EU selber sehr viel Zeit gebraucht hat, bis die neuen Datenschutzerlasse verabschiedet wurden.

Nun liegt die Totalrevision des Datenschutzgesetzes (DSG) auf dem Tisch; Sie haben sie vor sich. Der bundesrätliche Entwurf beinhaltet beide Regelwerke. In der Kommission wurde zwar die Verknüpfung von Totalrevision DSG und Schengen-Weiterentwicklung kritisiert. Ein Antrag, effektiv zwei Vorlagen zu machen, wurde aber nicht gestellt. Die Nachteile der damit unumgänglichen Doppelspurigkeiten konnten überzeugend dargelegt werden. Die Beratung wurde von der Kommission aber aufgrund der unterschiedlichen Meilensteine, die durch die Schengen-relevanten Teile gegeben sind, in zwei Etappen aufgeteilt. Sie beschloss am 11. Januar 2018, die Schengen-Weiterentwicklung zu priorisieren und vor der eigentlichen Totalrevision des DSG zu beraten.

Nach der Meinung der Kommission hätte die Totalrevision des Datenschutzgesetzes unter Zeitdruck nicht mit der für diese komplexe Materie nötigen Sorgfalt beraten werden können. Viele Fragen sind noch offen und werden derzeit in der SPK-NR intensiv diskutiert, zum Beispiel: Wer definiert heute und in Zukunft, was personenbezogene Daten wirklich sind? Wem gehören die Daten, und wo sind die Grenzen zur Privatsphäre? Wie werden sich zukünftige Technologien auf die Datenschutzgesetzgebung auswirken? Wie hoch wird der Aufwand für KMU sein, und welcher Mehrwert resultiert daraus? Welche Bestimmungen könnten in der Umsetzung Probleme bereiten? Wie werden Rechte und Pflichten durchgesetzt? Wie handhaben Mitgliedstaaten der EU die Einführung der neuen DSGVO, die seit einigen Wochen in Kraft ist?

Mit der Herauslösung der Schengen-relevanten Bestimmungen entledigt sich das Parlament des Zeitdrucks und kann sorgfältig legiferieren. Das nun vorliegende Schengen-Datenschutzgesetz (SDSG) wird Ihnen als Anhang des heutigen Datenschutzgesetzes unterbreitet und enthält nur noch die für die Schengener Zusammenarbeit im Strafrechtsbereich relevanten Bestimmungen. Dieses Gesetz hat ein Ablaufdatum und wird nach der Totalrevision des DSG, die in einer zweiten Etappe folgen wird, hinfällig. Es werden nur diejenigen Vorschriften der Richtlinie umgesetzt, welche für die polizeiliche Zusammenarbeit im Rahmen der Schengen-Abkommen spezifisch sind. Betroffen sind in der Schweiz auf Bundesebene insbesondere die Strafverfolgungsbehörden, das Fedpol und das Bundesamt für Justiz.

Die Richtlinien sind darauf ausgerichtet, personenbezogene Daten zu schützen, die zum Zweck der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschliesslich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit, bearbeitet werden. Der Rechtsakt soll ein hohes Schutzniveau für personenbezogene Daten gewährleisten und gleichzeitig den Austausch dieser Daten zwischen den zuständigen Behörden der einzelnen Staaten erleichtern. Die Schengen-relevanten Bestimmungen sind trotz kritischen Anmerkungen in der Kommission unbestritten. Dies zeigt sich auch darin, dass es nur gerade einen einzigen Minderheitsantrag gibt. Es ist aber zu beachten, dass das nur eine Übergangslösung darstellt. Bei der nachfolgenden zweiten Etappe geht es stark um den privaten Datenschutz. Diese Bestimmungen werden dann wieder zusammengefügt. Dies soll den Entwurf 3 bilden.

Es ist alsdann möglich, nochmals Einzelbestimmungen infrage zu stellen. Der Zeitplan mit der Etappierung der Vorlage ermöglicht aber, dass die Vereinbarkeit des schweizerischen Datenschutzrechts mit dem Schengen-Besitzstand bereits eineinviertel Jahre früher erreicht wird, als die Totalrevision abgeschlossen sein wird.

Die Minderheit möchte keine Etappierung. Für sie macht es keinen Sinn, eine Übergangslösung mit Ablaufdatum zu erarbeiten. Sie beantragt, das Geschäft an die Kommission zurückzuweisen und die Beratung integral zu führen.

Die Kommissionsmehrheit empfiehlt Ihnen, diesen Minderheitsantrag abzulehnen. Die Detailberatung der Entwürfe, erste Etappe, blieb in der Kommission mit einer einzigen Ausnahme, welche ohne grössere materielle Bedeutung ist, unbestritten. Insofern bitten wir Sie, dieser Etappierung zuzustimmen, damit der Fahrplan eingehalten werden kann. Er sieht vor, dass die Beratungen der ersten Etappe in der Herbstsession 2018, also noch dieses Jahr, abgeschlossen werden können. In der Sommersession 2019 könnten die Beratungen der zweiten Etappe über den Entwurf 3 im Ständerat stattfinden. Das würde heissen, dass die Totalrevision Ende 2019 gesamthaft abgeschlossen werden kann.

Empfehlung an den Rat: Entwurf 1, Datenschutzgesetz: eintreten, Detailberatung immer gemäss der Mehrheit, Annahme in der Gesamtabstimmung; Entwurf 2, Genehmigung des Notenaustausches: Zustimmung zum Entwurf, Annahme in der Gesamtabstimmung.

Addor Jean-Luc · Mit-M · Nationalrat · Wallis · Fraktion der Schweizerischen Volkspartei

Comme le rapporteur de langue allemande l'a rappelé, il s'agit de questions importantes: il s'agit de nous, il s'agit de nos données qu'il convient de protéger et de mieux protéger en fonction de l'évolution de notre société et de l'évolution de la technique. Sur le fond, cette question, d'une manière générale, n'est pas débattue; c'est la raison pour laquelle nous nous retrouvons, comme cela a été relevé à l'instant, avec un projet très dense, qui suscite néanmoins très peu de contestations. La raison, c'est que l'exercice auquel nous nous livrons maintenant est quand même un peu particulier, et cela à plus d'un titre.

D'abord, parce qu'il s'agit pour nous - et nous commençons à en prendre l'habitude - de mettre en oeuvre des dispositions de droit européen pour lesquelles nous n'avons pas d'autre choix que de les retranscrire en droit suisse. Voilà pourquoi, sans doute, en dépit de la complexité d'une matière qui - je le répète - nous concerne tous et qui concerne toutes les entreprises appelées à traiter nos données, un projet qui tient sur pas moins de 237 pages est présenté avec seulement deux propositions de minorité, et encore, l'une d'elles ne touche pas au fond, mais à la méthode de travail choisie par la commission.

Notre débat d'aujourd'hui est aussi particulier parce que, dans ce processus, nous arrivons - si j'ose dire - comme la grêle après les vendanges. En effet, le Parlement fédéral n'a été saisi que tardivement, trop tardivement, par le Conseil fédéral. Nous en sommes réduits à débattre aujourd'hui de dispositions qui, dans la mesure où elles reprennent celles du règlement général sur la protection des données de l'Union européenne, sont déjà entrées en vigueur, le 25 mai dernier, pour nombre d'entreprises suisses, avant même que le Parlement - et encore, nous n'intervenons dans notre conseil que comme premier conseil - n'ait seulement entamé le débat à leur sujet.

Les entreprises suisses qui ont identifié le problème à temps n'ont donc pas attendu de voir ce qui sortirait de nos travaux; elles ont d'ores et déjà adapté leur pratique aux nouveaux standards européens. Car le champ d'application territorial du règlement européen, de nature - on pourrait dire - impérialiste, s'étend non seulement aux entreprises concernées qui se trouvent sur le territoire de l'Union européenne, mais aussi à celles - les nôtres en particulier - qui ne s'y trouvent pas, mais qui traitent des données à caractère personnel liées à l'offre de biens ou de services à des personnes dans l'Union européenne.

Nous ne sommes guère plus en avance en ce qui concerne la mise en oeuvre de la directive de l'Union européenne relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel dans le domaine du droit pénal, qui constitue un développement de l'acquis de Schengen et que la Suisse a l'obligation de mettre en oeuvre pour le mois d'août prochain. Là encore, on voit bien que, parce que le Parlement en a été saisi tardivement, il ne sera pas en mesure de rendre sa copie, si j'ose dire, à l'Union européenne dans le délai de deux ans dont disposait la Suisse. Le Conseil fédéral, toutefois, ne s'en inquiète guère, se fondant sur des assurances que l'Union européenne a données en décembre 2017 de ne pas entrer en conflit pour cela, non sans reconnaître, ce qui semble raisonnable pour les entreprises concernées, que, pour autant, nous ne devons pas perdre inutilement du temps.

Hormis le caractère un peu frustrant de cet exercice, pour nous parlementaires, cette situation soulève de vraies questions juridiques. Il s'agit en effet de savoir ce qui reste comme place, à côté du règlement européen ou en complément à celui-ci, pour une vraie législation nationale. Se pose aussi un problème de sécurité du droit: dans la mesure où, sur certains points, les résultats de nos travaux diffèrent du droit européen, leur validité pourrait être remise en cause. Ce problème, je le répète, les entreprises suisses qui l'ont vu l'ont résolu d'une manière toute simple en adoptant purement et simplement les nouveaux standards européens, sans égard - c'est quand même particulier, mais sans doute nécessaire - au processus législatif en cours au Parlement fédéral.

Quoi qu'il en soit, c'est le 26 octobre 2017 que la Commission des institutions politiques a traité pour la première fois d'un projet de révision dans lequel on pouvait identifier deux volets: des éléments strictement imposés par le droit européen et d'autres éléments d'une révision totale de la loi sur la protection des données.

Le 11 janvier 2018, par 14 voix contre 8 et 2 abstentions, la commission a décidé de scinder ce projet en deux: d'une part, la mise en oeuvre du droit européen et, d'autre part, la révision totale de la loi sur la protection des données, rebaptisant au passage le titre du projet de loi, qui devient une loi de mise en oeuvre. De cette manière, la majorité de la commission a voulu permettre au Parlement de mettre au plus vite sous toit ce qui aurait déjà dû l'être et ce qui d'ailleurs ne pourra pas l'être d'ici au mois d'août. C'est de cela seulement qu'elle vous propose de débattre aujourd'hui.

De l'avis de la majorité de la commission, cette scission lui permettra et permettra ensuite à notre conseil de s'atteler - ce qu'elle a d'ailleurs déjà commencé à faire - sans contrainte de temps au traitement du second volet, à savoir la révision de la loi fédérale sur la protection des données, qui est non seulement complexe - le premier l'est déjà, évidemment -, mais qui fait aussi l'objet de contestations de nature à retarder le traitement de l'ensemble du projet.

Pour la minorité de la commission, qui, aujourd'hui, vous propose de renvoyer le projet à la commission avec mandat d'examiner l'intégralité du projet du Conseil fédéral, le risque existe que deux révisions de la loi sur la protection des données, qui se suivent à peu d'intervalle entraînent un surcroît de travail et, surtout, une insécurité juridique pour les acteurs concernés.

Mais, au point où nous en sommes, si notre conseil suit aujourd'hui la majorité de sa commission et qu'ensuite le Conseil des Etats en fait autant, nous pouvons espérer que les projets 1 et 2 tels qu'ils vous sont soumis aujourd'hui soient adoptés au vote final au terme de la session d'automne 2018. Selon les projections du secrétariat de la commission, un refus de la scission, aujourd'hui par notre conseil ou cet automne par le Conseil des Etats, reporterait le traitement de l'ensemble du dossier - y compris, donc, ce qui aurait déjà dû entrer en vigueur et ce qui devrait entrer en vigueur en août prochain - à la session d'hiver 2019. Une telle variante ne paraît pas raisonnable à la majorité de la commission, mais lui paraît au contraire de nature à créer une insécurité juridique que vous avez, aujourd'hui, la possibilité sinon d'éviter, du moins de limiter pour tout ce qui est imposé par le droit européen. Quand je dis cela, je n'oublie pas que, de toute manière, quoi que nous fassions ici, le nouveau règlement européen, lui, s'applique déjà depuis le 25 mai dernier.

Après avoir décidé de scinder le projet initial du Conseil fédéral, la commission a procédé en avril dernier à la discussion par article du projet qui vous est soumis aujourd'hui et a rejeté une nouvelle fois, par 17 voix contre 6 et 1 abstention, la proposition qui fait l'objet de la minorité Wermuth et qui a pour objectif que les trois volets du projet fassent l'objet d'une seule et unique révision ayant lieu dans un seul temps.

Au vote sur l'ensemble, la commission a adopté le projet 1 par 18 voix contre 0 et 4 abstentions. Le projet 2, lui, a été approuvé par 15 voix contre 0 et 8 abstentions.

Wermuth Cédric · Mit-M · Nationalrat · Aargau · Sozialdemokratische Fraktion

Es gibt in der wunderschönen zivilgesellschaftlichen Landschaft dieses Landes eine Organisation, die dürfte mehreren Mitgliedern der Mehrheit der Kommission sehr bekannt vorkommen: Es ist dies die IG Freiheit. Die IG Freiheit verleiht jedes Jahr den Schmähpreis des rostigen Paragrafen für das - Zitat - "dümmste und unnützeste Gesetz in diesem Land". Nach der Verabschiedung der vorliegenden Vorlage wird diese IG für die nächste Vergabe des Preises einen absoluten Topkandidaten für den rostigen Paragrafen mehr auf der Liste haben.

Wir schaffen heute ein absolutes Novum. Dieser Rat wird ein Gesetz verabschieden, das ausser den Stimmen der Mehrheit der Kommission niemand, nicht eine einzige betroffene Organisation oder Interessenvertretung, wollte - kein Wirtschaftsverband, kein Unternehmen, kein Datenschutzbeauftragter, kein Amt, keine Partei, keine Gewerkschaft, keine Konsumentinnen- und Konsumentenschutzorganisation. Sinn der Debatte zu Beginn in der Kommission und auch Sinn der Vorlage des Bundesrates war es, so schnell wie möglich, so schlank wie möglich, so technologieneutral wie möglich, so anwenderinnen- und anwenderfreundlich wie möglich äquivalent zur Datenschutz-Grundverordnung und in Übereinstimmung mit Übereinkommen 108 des Europarates zu einer Lösung zu kommen. Erreicht haben wir eine maximale Ungleichzeitigkeit des Prozesses mit der EU, eine maximale Verwirrung in der Schweiz darüber, was gelten wird, eine maximale Zeit der Unsicherheit für alle Unternehmen, zumindest die KMU, die nicht über hochdotierte Rechtsabteilungen verfügen, und vor allem ein Maximum an Ineffizienz und Bürokratie.

Nach Aussagen des Datenschutzbeauftragten wird er selber nach der Verabschiedung dieses Gesetzes bis zu acht Erlasse konsultieren müssen - das müssen Sie sich vorstellen! -, um nur schon herauszufinden, welches Gesetz im Anwendungsfall bei einer Verletzung einer Datenschutzbestimmung gelten könnte. Mit jedem weiteren Hinauszögern der Umsetzung betreffend die Äquivalenz zur DSGVO schaffen wir die Situation, dass unglaublicherweise Leute, die im Schengener Informationssystem registriert sind, einen besseren Schutz ihrer persönlichen Daten geniessen werden können, als das nach der aktuellen schweizerischen Gesetzgebung zum Datenschutz der Fall ist.

Besonders originell ist das Vorgehen der FDP-Fraktion, die selber mit der Motion 16.3752 mit dem Titel - halten Sie sich fest, denn er könnte für ein Politsatireprogramm erfunden worden sein! - "Gegen Doppelspurigkeiten im Datenschutz" verlangt hat, dass das Parlament darauf verzichtet, unnötige Parallelitäten zum europäischen Recht zu schaffen, und heute ihr eigenes Vorgehen, ihre Motion und ihre Forderungen mehr als konterkariert.

Die Idee dieses Gesetzes war vielleicht zu Beginn, mehr Selbstständigkeit gegenüber der Europäischen Union zu demonstrieren. Erreichen werden wir das Gegenteil: Erreichen werden wir die Zurückhaltung der Anerkennung der Arbeit des Datenschutzbeauftragten und damit, wenn schon, die Ausweitung der extraterritorialen Anwendung der DSGVO auf die Unternehmen in der Schweiz. Sucht dereinst ein Lehrgang für Public Management ein Beispiel dafür, wie man nicht legiferieren sollte, dann wird er mit diesem Geschäft definitiv eine unsinnige Sunset Legislation gefunden haben. Trotzdem, das mag Sie überraschen, nehmen wir Sie beim Wort, insbesondere die Fraktionen der CVP und der FDP-Liberalen: Sie haben in der Kommission versichert - und ich hoffe, Sie tun das hier auch -, dass Ihre Absicht nicht diejenige eines Teils der Mehrheit ist, den Prozess so lange wie möglich hinauszuzögern und kein äquivalentes Datenschutzgesetz zu haben, sondern dass das Ziel, das wir am Schluss haben, das gleiche ist.

Unser Parlament funktioniert leider so, dass der Rückweisungsantrag heute nicht mehr zu einer Beschleunigung des Verfahrens führen kann. Der schnellste Weg ist vielmehr der, dass sich der Ständerat in der Herbstsession der Sache annimmt.

Im Sinne dieses konstruktiven Angebotes ziehen wir den Rückweisungsantrag zurück.

de Buman Dominique · P-M · Nationalrat · Freiburg · CVP-Fraktion

Le président (de Buman Dominique, président): Je vous remercie, Monsieur Wermuth et je prends acte du retrait de votre proposition de minorité.

Piller Carrard Valérie · Mit-F · Nationalrat · Freiburg · Sozialdemokratische Fraktion

La loi sur la protection des données a plus de 25 ans. Or il s'en est passé des choses durant ce quart de siècle. Il y a eu l'avènement de l'informatique, qui s'est immiscée dans la vie professionnelle et privée de nos concitoyens. Il y a eu l'apparition d'Internet, qui participe grandement au mouvement de mondialisation. Il y a eu le développement des réseaux sociaux. Bref, la révolution numérique a bouleversé nos vies et celle des entreprises, et il devient par conséquent urgent de réviser notre loi sur la protection des données.

Il y a de plus en plus de données personnelles qui circulent de plus en plus vite. Elles sont devenues un véritable enjeu économique, puisque ces données s'achètent et se vendent. Je ne pense pas avoir besoin de longs discours pour vous convaincre de la nécessité de réviser notre loi fédérale sur la protection des données et de renforcer les droits des citoyens consommateurs.

Il s'agit, d'une part, d'harmoniser le droit suisse avec les standards de protection de l'Union européenne. Dans son message du 15 septembre 2017, le Conseil fédéral souligne que l'adaptation au droit européen est nécessaire pour que la Commission européenne reconnaisse la Suisse comme un Etat tiers offrant un niveau de protection adéquat. C'est la condition pour que les échanges des données transfrontières restent possibles, élément crucial pour l'économie suisse.

Si nous sommes quasiment tous d'accord sur la nécessité de réviser la loi sur la protection des données, nous n'y voyons pas tous la même urgence. Les socialistes, en effet, étaient parmi les plus pressés, car de nombreuses avancées en termes de protection des données sont attendues avec cette révision législative. Elle permettra de mieux protéger les consommateurs; elle garantira leurs droits, notamment le droit à l'oubli, davantage de sécurité, le droit à l'information, l'approbation pour l'utilisation de données personnelles ou encore plus de transparence sur l'utilisation de ces données.

D'un point de vue économique également, il est urgent de mettre notre loi sur la protection des données au goût du jour. Dans sa réponse du 9 mai dernier à mon interpellation 18.3281, "Quel impact aura le retard de la Suisse en matière de protection des données?", le Conseil fédéral souligne qu'un retard dans la révision peut avoir un impact sur les entreprises suisses à deux niveaux. D'une part, elles devront appliquer deux régimes de protection des données distincts selon qu'elles sont soumises ou non au règlement européen 2016/679, ce qui engendre non seulement des charges administratives supplémentaires, mais aussi une insécurité juridique en raison des différences entre les deux régimes. D'autre part, si lors de sa prochaine évaluation, la Commission européenne conclut que la législation suisse n'offre plus un niveau de protection adéquat en raison du retard pris dans la révision de la loi sur la protection des données, elle pourra révoquer, modifier ou suspendre la décision d'adéquation. La libre circulation des données personnelles entre la Suisse et l'Union européenne ne serait alors plus garantie.

L'économie - les PME en particulier - s'en trouverait pénalisée. Un responsable du traitement des données établi dans un pays de l'Union européenne pourrait renoncer à des partenaires commerciaux installés en Suisse. Il pourrait leur préférer des partenaires situés dans un Etat bénéficiant d'un niveau de protection des données personnelles adéquat, avec lesquels il peut échanger librement des données personnelles. Les entreprises actives sur le marché numérique établies ou souhaitant s'établir en Suisse doivent pouvoir se prévaloir d'une législation assurant un niveau de protection des données adéquat, si elles veulent être considérées comme des actrices sérieuses.

De même, les consommateurs suisses risquent de se tourner vers des entreprises européennes pour bénéficier d'une meilleure protection de leurs données personnelles. Car si la législation fédérale n'est pas adaptée aux standards européens en matière de protection des données, la sphère privée d'un consommateur établi dans notre pays serait moins bien protégée que celle d'un consommateur établi dans l'Union européenne, bien qu'il profite des mêmes prestations offertes par une entreprise helvétique. Quant aux PME, elles pourraient préférer stocker leurs données auprès d'entreprises appartenant à un Etat bénéficiant d'un niveau de protection des données personnelles adéquat.

Jugeant le projet de révision très complexe, la majorité de la Commission des institutions politiques de notre conseil a proposé de le scinder en deux parties. Elle propose d'examiner d'abord la mise en oeuvre du droit européen, en particulier la directive 2016/680 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en droit pénal, qui, en vertu des accords de Schengen, doit avoir lieu dans un délai donné - c'est ce que nous faisons aujourd'hui, avec les projets 1 et 2. Elle propose de traiter par la suite la révision totale de la loi sur la protection des données, que la Commission des institutions politiques pourra entreprendre sans être pressée par le temps.

En commission, cette scission a été décidée via une motion d'ordre, par 14 voix contre 8 et 2 abstentions, contre l'avis des commissaires socialistes. En effet, nous considérons que deux révisions législatives à intervalle rapproché entraîneront non seulement un surcroît de travail, mais aussi une insécurité juridique.

Comme l'a dit précédemment Monsieur Wermuth, qui a retiré sa proposition de renvoi, nous entrerons en matière sur ce projet. Nous voulons éviter de prétériter les entreprises suisses face à leurs concurrentes européennes. C'est pourquoi je demande aussi aux membres de la commission de réviser cette loi sur la protection des données de façon très rapide.

Je vous invite également à entrer en matière sur ce projet de loi.

Romano Marco · Mit-M · Nationalrat · Tessin · CVP-Fraktion

Die CVP-Fraktion will ein modernes Datenschutzrecht. Es braucht eine Anpassung an die veränderten technologischen und gesellschaftlichen Verhältnisse. Wir wollen keine gläsernen Bürger. Das Recht auf Schutz vor dem Missbrauch persönlicher Daten, wie es auch durch die Bundesverfassung garantiert wird, ist ein kostbares Gut. Dieses Recht soll allerdings dort enden, wo der Schutz einer Person eine andere Person oder grundlegende Anliegen des Gemeinwohls gefährdet.

Die CVP-Fraktion anerkennt den Bedarf, das Datenschutzgesetz an die internationalen Entwicklungen speziell im Europarat und in der Europäischen Union anzupassen. Dies ist unter anderem notwendig, damit die EU den sogenannten Angemessenheitsbeschluss, welcher belegt, dass die Schweiz über ein angemessenes Datenschutzniveau verfügt, gegenüber der Schweiz erneuert. Dies ist zentral für die in der EU tätigen Schweizer Unternehmen, dies ist zentral für die Schweiz. Die CVP lehnt allerdings jeglichen Swiss Finish ab. Dies ist beispielsweise im Bereich des sogenannten Profilings der Fall. Die CVP will ein schlankes und pragmatisches Datenschutzgesetz. Der Erhalt des Angemessenheitsbeschlusses ist notwendig, aber es ist nicht zwingend, das Ganze weiter zu verkomplizieren. Modern und pragmatisch, so weit wie möglich unbürokratisch: So muss es gestaltet werden.

Die CVP-Fraktion setzt sich dafür ein, dass das Datenschutzrecht für die gesamte Schweizer Wirtschaft praktikabel ist. Die Anforderungen müssen auch für die KMU tragbar sein. Es darf nicht sein, dass den KMU so neue Hürden in den Weg gestellt werden. Der Aufwand und die damit erreichte Erhöhung des Datenschutzniveaus sollten in einem angemessenen Verhältnis stehen. Weiter sollen die Anforderungen nicht jegliche Innovation schon von vornherein unterbinden und beispielsweise die Gründung von Start-up-Unternehmen verunmöglichen.

Grossunternehmen und international tätige KMU haben sich bereits an das neue europäische Recht angepasst. Es ist seit dem 25. Mai 2018 zwingend, auch wenn die Rechtsunsicherheit im europäischen Raum noch gross ist. Viel ist noch zu interpretieren und zu konkretisieren, sämtliche Berater haben grosse Businessopportunitäten gefunden. Was aber tatsächlich notwendig ist, scheint manchmal fraglich zu sein.

Die Anwendung des neuen Regelwerks benötigt Zeit und wird noch Unsicherheit generieren. Bereits heute ist klar, dass nicht alle Länder die Grundsätze gleich verstehen und interpretieren. In dieser Situation können wir heute positiv unterstreichen, dass der strategische Entscheid der Staatspolitischen Kommission des Nationalrates, diese technisch komplizierte und politisch heikle Vorlage aufzuteilen, korrekt war. Für alle Akteure, die sich im europäischen Raum bewegen oder mit der EU handeln, gelten heute bereits die europäischen Regeln. Für die Grundsatzrevision des schweizerischen Datenschutzrechts braucht es eine pragmatische und vertiefte Arbeit, bei der drei Regeln gelten sollen und Zurückhaltung wichtig ist:

1. Der EU-Ansatz ist kein Dogma.

2. Der Angemessenheitsbeschluss ist zentral, aber man muss ihn durch die besten Lösungen erreichen.

3. Keinen Swiss Finish, dafür Freiräume schaffen, damit wir die technologische Entwicklung nicht bremsen.

Es ist demnach wichtig, dass wir in dieser ersten Etappe die wichtigsten und nichtverhandelbaren Elemente des EU-Rechts übernehmen und in unserem Gesetz festhalten. Ich meine damit, im Rahmen der Weiterentwicklung des Schengen-Besitzstandes, die Richtlinie 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten im Bereich des Strafrechts. Wir haben somit pragmatisch einen ersten Schritt gemacht. Bereits in den letzten Wochen wurden die letzten Anhörungen durchgeführt, damit die SPK-NR Ende Juni mit der Totalrevision des Gesetzes beginnen kann. Der gewählte Ansatz ermöglicht uns, nicht unter Druck zu arbeiten und eine politische Debatte zu führen, wie wir den Datenschutz in der Schweiz, in Bezug auf die neue europäische Regelung, implementieren wollen.

Die CVP-Fraktion unterstützt die Mehrheit und ist für Eintreten.

La nuova legislazione in materia di protezione dei dati a livello europeo è una realtà, è entrata in vigore il 25 maggio. In tutto il continente regna comunque incertezza, i differenti paesi interpretano in maniera singolare l'applicazione della nuova legislazione. Sappiamo che le aziende svizzere che operano nel contesto europeo e hanno relazioni commerciali con i paesi europei hanno già ripreso la legislazione europea.

Il PPD non mette in discussione la necessità di ammodernare e di adattare il diritto svizzero agli sviluppi del diritto comunitario, ma per farlo occorre prudenza e pragmatismo: dobbiamo essere sì conformi ai nuovi disposti europei ma non dobbiamo eccedere nello "swiss finish" e dobbiamo trovare una regolamentazione che sia snella e che risponda soprattutto all'evoluzione tecnologica.

Oggi riprendiamo una prima parte del diritto europeo, quella parte su cui non è possibile sindacare, quella parte che dobbiamo riprendere uno a uno, senza possibilità di cambiarne i contenuti. In una seconda fase della revisione potremo entrare nei dettagli della legislazione svizzera, cercando di avere l'equivalenza rispetto al diritto europeo, ma gestendo quel margine di manovra che ci è dato per un'applicazione svizzera, per una legislazione tipicamente svizzera. La divisione della revisione ci permette ora di occuparci quindi del cuore dell'ammodernamento della legislazione in materia di protezione dei dati, con l'obiettivo di essere conformi ma di restare svizzeri e non riprendere uno a uno tutto quanto è stato codificato a livello europeo.

Glättli Balthasar · Mit-M · Nationalrat · Zürich · Grüne Fraktion

Die Voten, die wir von den Vorrednern gehört haben, zeigen eigentlich, dass es jetzt schon ums Ganze geht. Ich habe Kollege Romano zugehört, der eigentlich drei Viertel der Zeit über das gesprochen hat, was wir noch in Angriff nehmen müssen, was wir aufgeschoben, vor uns hergeschoben haben und was noch in der Kommission diskutiert werden wird. Parallel dazu, dass wir dieses Teilgesetz an den Zweitrat hinüberschieben, fangen wir in der Staatspolitischen Kommission des Nationalrates bereits mit der Beratung jenes Teils der Gesamtrevision des Datenschutzgesetzes an, in welchem all das, was wir heute beschliessen, wieder aufgehoben und neu eingebaut wird. Wenn es eine Definition für "überflüssige Bürokratie" gibt, dann ist es diese.

Nun, Sie haben so entschieden. Wir können in dem Sinn intelligenterweise auch nicht wieder zurück auf Feld eins, weil das auch nicht schneller gehen würde. Von dem her bin ich auch der SP-Fraktion dankbar, dass sie mit dem Rückweisungsantrag die Möglichkeit genutzt hat, auf diesen absurden Umweg hinzuweisen, uns jetzt aber nicht mit einem noch absurderen Umweg zurück auf Feld eins zwingt.

Ich hoffe tatsächlich - und das ist eigentlich das, was ich hier ernsthaft nochmals betonen möchte -, dass es ernst gemeint war in der Kommission, als uns die Vertreter der Freisinnigen und auch der CVP zugesichert haben, dass es für sie nicht ein Manöver sei, um die Gleichwertigkeit gegenüber dem EU-Recht, die nur mit der Gesamtrevision erwirkt werden kann, zu blockieren. Vielmehr wollte man es einfach auseinanderschneiden. Ich glaube es jetzt auch dem Kommissionssprecher, dass er, wenn er nicht mehr Kommissionssprecher, sondern Fraktionsvertreter sein wird, auf dieser Linie bleiben wird. Ich denke, nicht nur die Schweizer Bürgerinnen und Bürger werden dafür danken, sondern auch all die Firmen, die dann endlich eine etwas weniger verwirrende Rechtslage haben werden.

Heute haben wir die Absurdität, dass die Datenschutz-Grundverordnung der Europäischen Union uns Schweizern und Schweizerinnen mit ihren Richtlinien einen besseren Datenschutz gegenüber den grossen Konzernen aus den USA garantiert als unser eigenes Gesetz. Ich möchte eigentlich gerne, dass wir unseren Einwohnerinnen und Einwohnern auch souverän ein besseres Recht, einen besseren Schutz geben. Wenn ich dieses Wort wähle, ist das natürlich ein Appell an die rechte Ratsseite, an die SVP-Fraktion, die immer so stark von Souveränität spricht. Ich hoffe, dass Sie dann auch mitmachen, wenn es darum geht, dass die Menschen in der Schweiz von einem besseren Datenschutz profitieren können, nicht nur wegen des blau-gelben Schutzschirmes, sondern wegen unserer rot-weissen Gesetzgebung. Bitte werfen Sie uns dann nicht einfach wieder Prügel vor die Füsse. Ich habe das Gefühl, dass gerade die, die in diesem Bereich auch geschäftlich aktiv sind - ich schaue Franz Grüter an, der mir zunickt -, dass diese Branche diesen Wunsch auch teilt. Sie braucht die Gleichwertigkeit.

Noch etwas zu den Schauermärchen: Wir haben ja jetzt diese Inkraftsetzung der Datenschutz-Grundverordnung erlebt. In den Zeitungen wurden Schauermärchen von A bis Z herumgeboten. Ich muss Ihnen einfach sagen: Ein Teil dieser Schauermärchen ist Arbeitsbeschaffung für irgendwelche Juristen und Berater. Der andere Teil dieser Schauermärchen ist eigentlich noch viel erschreckender.

Die Arbeitsbeschaffung finde ich okay. Wenn jemand für sich Werbung macht, von der Angst profitiert und dann Sicherheit verspricht, dann muss man selbst wissen, ob man zahlt.

Was ich viel erschreckender finde, ist, wie viele dieser Schauermärchen Datenschutzregeln attackiert haben, die schon hier und heute nach schweizerischem Recht gelten. Das zeigt, dass man erstens viel zu wenig über Datenschutz weiss und dass man zweitens das geltende Schweizer Gesetz bisher viel zu wenig ernst genommen hat. Drittens zeigt es auch, dass es an der Durchsetzung fehlt. Es hat beim Datenschutzbeauftragten zu wenig Ressourcen, und es hat keine griffigen Sanktionen.

Wenn wir ein neues Gesetz machen und diese beiden Sachen nicht verbessern - mehr Ressourcen beim Datenschützer und griffigere Sanktionen für diejenigen, die sich nicht ans Gesetz halten -, dann können wir, wenn wir ehrlich sind, eigentlich die ganze Übung auch bleiben lassen. Denn ein Gesetz, das nicht durchgesetzt wird, ist ein reiner Papiertiger.

Erlauben Sie mir, ganz zum Schluss noch zu sagen, wofür wir Grünen uns einsetzen werden, wenn es dann um die Wurst geht. Wir werden uns für ein Gesetz einsetzen, das einen möglichst guten Datenschutz für die Bürgerinnen und Bürger, für die Konsumentinnen und Konsumenten, für die Einwohnerinnen und Einwohner der Schweiz gibt und das den Firmen gleichzeitig eine möglichst einfache Umsetzung erlaubt. Denn auch da gilt: Eine Superregelung, die am Schluss gar nicht durchgesetzt wird, ist vielleicht weniger wertvoll als eine gute Regelung, die auch einfach umgesetzt werden kann.

Wir wollen aber schon auch das Grundübel angreifen. Wenn wir Grünen Datenportabilität fordern, wie es in der EU festgeschrieben ist und in unserem Entwurf nicht, dann deshalb, weil wir glauben, dass es nicht sein kann, dass der Nutzen der Wissensgesellschaft, der Informationsgesellschaft nur bei diesen Quasimonopolen, den Plattformen, diesen grossen Monopolen des Überwachungskapitalismus bleibt. Wir wollen vielmehr den Mehrwert der Datengesellschaft zugänglich machen, indem jeder und jede Einzelne selbstbestimmt entscheiden kann, wohin er oder sie die eigenen Daten geben will, zum Beispiel in eine Datengenossenschaft, wo ich mit anderen zusammen den Mehrwert der Gesamtdaten selber nutzen und definieren kann. Zum Beispiel kann ich sagen: Ja, ich will, dass meine Daten der Forschung in der Medizin zugutekommen. Ich kann aber in einem anderen Bereich auch sagen, dass ich meine Daten nicht geben, sondern für mich behalten will.

Wofür wir uns auch einsetzen, was im Entwurf fehlt, ist das Kopplungsverbot. Es darf nicht sein, dass man, wenn man eine bestimmte Dienstleistung will, gezwungen ist, mit der Preisgabe von Daten zu bezahlen, die für die Erbringung dieser Dienstleistung nicht notwendig sind. Es ist klar: Wenn ich mir etwas zuschicken lassen will, dann muss ich meine Adresse angeben. Aber die Telefonnummer braucht es nicht, um mir das Paket zu liefern. Es ist klar: Wenn ich einen E-Mail-Newsletter bestelle, dann muss ich die E-Mail-Adresse angeben, sonst funktioniert das nicht. Aber mein Geburtsdatum hat dort nix zu suchen. Wenn ich es freiwillig zusätzlich gebe: Easy, damit habe ich kein Problem. Aber dass man gezwungen sein kann, solche höchstpersönlichen Informationen zu geben, nur, um Zugang zu einer Dienstleistung zu haben, obwohl die Informationen für die Dienstleistungserbringung nicht notwendig sind, ist ein Fehler.

Zum Schluss zu den Sanktionsbedingungen: Da habe ich auch gesagt, es kann nicht sein, dass man nur auf die Einzelperson abzielt. Es braucht Bussen, für die kleinen Firmen kleine, für die grossen Firmen grosse, für die, die mit dem Datengeschäft viel Geld machen, hohe Bussen, für die, die mit dem Datengeschäft wenig Geld machen, kleine Bussen. Es braucht eine Abschreckung, eine Generalprävention. Das dient am Schluss dann auch der besseren Rechtsdurchsetzung.

Sie merken es, auch wir wollen keinen Swiss Finish. Wir wollen aber auch keinen negativen Swiss Finish. Denn was heute der Bundesrat im Gesetzentwurf, den wir noch diskutieren werden, über den wir heute nicht abstimmen, gemacht hat, das ist negativer Swiss Finish; wir sind weniger weit gegangen, als das in der Datenschutz-Grundverordnung der Fall ist, und das ist aus unserer Sicht falsch.

Damit ich nicht noch ein zweites Mal das Wort ergreifen muss, nehme ich die Gelegenheit wahr, zum einzigen verbleibenden Minderheitsantrag noch kurz Stellung zu nehmen. Es geht dort nur um die Formulierung dessen, was denn höchstpersönliche schützenswerte Daten sind. Der einzige Unterschied zwischen den Anträgen von Mehr- und Minderheit ist, dass die Minderheit will, dass man auch gewerkschaftliche Zugehörigkeit und Aktivität als höchstpersönliche politische Information wertet und entsprechend besonders schützt - so, wie das bisher in der Schweiz und in jeder Datenschutzregelung, die ich kenne, der Fall ist.

Zuhanden des Amtlichen Bulletins möchte ich aber festhalten, dass auch diejenigen, die das mit der Kommissionsmehrheit streichen wollen, nicht meinen, dass diese Information nicht schützenswert sei. Sie stören sich einfach daran, dass es separat erwähnt wird, und sagen, wenn "gewerkschaftlich" im Sinn von "politisch" gemeint ist, dann ist das ja bei "politisch" schon mitgemeint.

Von dem her ja, wir werden in der Minderheit sein. Wir finden einfach, dass es unsinnig ist, wenn man versucht, eine Gesetzgebung anzupassen, und dann nicht die gleichen Wortlaute nimmt, denn dies ruft zu Interpretationsanstrengungen auf. Zuhanden der Gerichte, die vielleicht zwei Monate lang Gelegenheit haben werden, dieses Gesetz anzuwenden, möchte ich sagen: Es ist keine materielle Differenz. Es ist keine materielle Differenz, deshalb brauchen wir auch nicht massiv dafür zu kämpfen.

Campell Duri · Mit-M · Nationalrat · Graubünden · Fraktion BD

Wenn ich hier in den Saal schaue, sehe ich, dass jetzt auch ein Moment wäre, um die Feststellung des Quorums zu verlangen. Aber ich verlange es nicht.

Ich glaube, 240 Seiten Fahne mit nur einem Minderheitsantrag ist rekordverdächtig. Das beweist, dass wir in der Kommission eine Lösung gefunden haben, die jetzt im Moment schnell geht, damit wir Schengen nachkommen können und dieses Gesetz, wenn es der Ständerat nach der Herbstsession behandelt hat, vorübergehend in Kraft setzen können und europäisch auch die Rechtssicherheit für Personen und Unternehmen haben.

Ich glaube, es ist sinnvoll, uns Zeit zu lassen für die Arbeit der Detailberatung. Ich glaube auch, wir haben dann die Möglichkeit, die Bestimmungen, die die EU umgesetzt hat, mal anzuschauen und die Fehler, die sie gemacht hat, direkt zu korrigieren. Ich bin überzeugt, über das Datenschutzgesetz werden wir uns noch viel unterhalten, weil die Technologie ja sehr schnell vorwärtsgeht. Wenn wir schauen, wie viele Daten es gibt, werden wir immer wieder schauen müssen, dass mit diesen Daten nicht Unfug getrieben wird. Darum war die BDP auch der Meinung, wir sollten jetzt schnell vorangehen, damit wir Schengen einhalten. Wenn wir das Gesetz heute verabschieden, so kann das der Ständerat dann ebenfalls machen. Somit wären wir im Zeitraster, das uns mehr oder weniger vorgegeben ist.

Ich hole jetzt nicht aus wie meine Vorredner und spreche nicht schon jetzt über Details. Ich glaube, für diese Details werden wir noch genügend Zeit haben, wenn die Kommission und vor allem dann auch dieser Rat mal darüber debattiert haben werden. Wir sprechen ja viel von Effizienz; darum werde ich jetzt nicht über Details sprechen. Nehmen wir diese Arbeit auf.

Die BDP-Fraktion empfiehlt Ihnen einzutreten. Und ich sage schon, damit ich nicht zweimal sprechen muss: Sie unterstützt dann auch die Mehrheit. Herr Glättli hat es ausgeführt, es geht nur um ein Wort. Man kann immer wieder darüber diskutieren, ob die ganzen gewerkschaftlichen Sachen im Politischen drin sind oder nicht. Die Mehrheit ist der Meinung, dass sie es sind, und wir empfehlen Ihnen, der Mehrheit zu folgen.

Fluri Kurt · Mit-M · Nationalrat · Solothurn · FDP-Liberale Fraktion

Eine wichtige Vorgabe für diese Aufspaltung haben deren Kritiker vergessen zu erwähnen: den Zeitdruck. Die Vorlage ist uns erstmals am 27. Oktober 2017 präsentiert worden. Sie sehen selbst, um welches Werk es hier geht, und Sie können sich vorstellen, dass es kaum möglich gewesen wäre, das ganze Paket zwar sicher mit Verspätung, aber noch einigermassen zeitnah zu verabschieden. Es war uns schon sehr früh bewusst, dass das nicht möglich sein wird. In Anbetracht der langen Ausführungen zu diesem Punkt - ob die Auftrennung nun, wie die Herren Wermuth und Glättli meinen, dumm sei oder nicht - darf ich davon ausgehen, dass sie noch froh sein werden, sich eingehend über das eidgenössische Datenschutzrecht unterhalten zu können. Wir zweifeln nicht daran, dass sie sehr viele Anträge einreichen werden, und dann wird sich die Frage der zeitlichen Erledigung des Gesamtpaketes von selbst erledigt haben.

Wir, die FDP/die Liberalen, waren bereits in der Vernehmlassung der Auffassung, dass die Totalrevision des DSG und die Schengen-Weiterentwicklung nicht verknüpft werden sollten. Wir haben das kritisiert und ein öffentliches und ein privates Datenschutzgesetz gefordert. Mit der Teilung der Beratung wurde ein Schritt in diese Richtung getan. Allerdings soll das Gesetz dann, wie geschildert, nach Abschluss der zweiten Etappe wieder zusammengefügt werden. Insofern stellt das Schengen-Datenschutzgesetz eine Übergangslösung dar. Aber aus den genannten Gründen scheint dies der Mehrheit der Kommission der bessere Weg zu sein. Ich darf daran erinnern, dass auch ein Rückkommen auf den ursprünglichen Beschluss, die Vorlage zu spalten, mit 13 zu 10 Stimmen abgelehnt worden ist.

Die eigentliche Spaltung der Vorlage sehen Sie auf Seite 2 der Fahne mit der Streichung von Ziffer I. Dadurch, mit der Streichung dieser Ziffer I, haben wir die Spaltung der Vorlage vollzogen. Nachdem nun weder Eintreten bestritten noch der Rückweisungsantrag aufrechterhalten wird, sind wir frei, diese Vorlage schnell zu verabschieden; die Anhandnahme der Vorlage 3 ist ja bereits passiert.

Ich bitte Sie deshalb im Namen der Mehrheit der Kommission und im Namen der FDP-Fraktion, auf dieses Geschäft einzutreten, was nicht bestritten ist, und es so zu behandeln wie von der Mehrheit vorgeschlagen.

Rutz Gregor · Mit-M · Nationalrat · Zürich · Fraktion der Schweizerischen Volkspartei

Eigentlich habe ich ja das Sessionsziel erreicht: Ich habe in Kollege Wermuth einen Verbündeten im Kampf gegen Bürokratie gefunden, und damit könnten wir eigentlich die Behandlung abbrechen - Ziel erreicht.

Im Ernst: Warum stemmen wir uns nicht gegen diese Vorlage, die tatsächlich etwas fragwürdig ist? Wir sagen nur darum nicht Nein, um einen noch grösseren Unsinn zu verhindern. Wir laufen nämlich Gefahr, dass wir uns hier in eine Situation hineinbegeben, in der wir kritiklos und, wie es richtig gesagt worden ist, auch unter beträchtlichem Zeitdruck EU-Bestimmungen übernehmen, die keine Verbesserung für unser Land bringen, sondern die unser Niveau einmal mehr nach unten angleichen. Da müssen wir aufpassen! Die Bestimmungen, die jetzt vorliegen, sind zwar nicht ideal; es wird gesagt, wir müssten es übernehmen. Nun gut, wir stemmen uns nicht dagegen, aber eben nur aus dem Grund, eine unnötige grosse Totalrevision, die weit über das Ziel hinausschiesst, zu verhindern.

Wir müssen schon etwas vernünftig bleiben. Schauen Sie die Datenschutz-Grundverordnung der Europäischen Union einmal an! Was hat das gebracht? Sie erhalten heute mit jeder E-Mail ellenlange Ausführungen darüber, was Sie da alles beachten können, müssen oder dürfen. Am Schluss lesen Sie das doch gar nicht, und Sie klicken einfach "Ja", damit Sie zu der Sache kommen, die Sie eigentlich möchten. Was nützt das den Leuten? Was nützt das den Konsumenten? Das muss man sich doch ernsthaft fragen. Ich sehe es als Präsident eines KMU mit 85 Mitarbeitern: Wegen 100 Kunden im EU-Raum müssen wir einen riesigen Aufwand betreiben, ohne dass sich für unsere Kunden materiell irgendetwas ändern oder verbessern würde - überhaupt nichts! Das sind Kosten, die entstehen, es sind Gelder, die wir nicht investieren können. Es macht unter dem Strich keinen Sinn.

Die Schweiz - und dessen müssen wir uns bei der Diskussion dieser Materie schon bewusst sein - hat mit Artikel 13 der Verfassung, der den Schutz der Privatsphäre garantiert, und mit vielen guten gesetzlichen Grundlagen einen hervorragenden Schutz der Privatsphäre. Man darf doch mit Fug und Recht die Frage in den Raum stellen, ob uns eine Institution wie die Europäische Union, die, sagen wir es zurückhaltend, den Schutz beispielsweise der finanziellen Privatsphäre nicht gerade als oberste Priorität behandelt und keinen Schutz von Daten juristischer Personen kennt, wirklich eine Verbesserung bringt.

In der Schweiz sind 25 Prozent - ein guter Viertel - des gesamten europäischen Datenvolumens gespeichert. Wir haben Kunden aus China, aus Russland, aus Amerika. Dies zeigt doch, dass der Standort Schweiz nicht ganz so schlecht ist, wie Sie meinen und sagen. Natürlich sehen wir auch, dass es Firmen gibt, die grenzüberschreitend tätig sind. Natürlich sehen wir auch, dass wir da und dort mit der technischen Entwicklung einen gewissen Anpassungsbedarf haben. Natürlich, und da bin ich mit Kollege Glättli einig, müssen wir schauen, dass der private Kunde hier nicht einfach über den Tisch gezogen wird und Angaben liefern muss, die er gar nicht liefern möchte und die nicht nötig sind, um eine Leistung zu erlangen. Aber passen wir auf, dass wir hier nicht denselben Fehler machen wie immer wieder, dass wir kritiklos europäische Vorschriften übernehmen, die unter dem Strich keine Verbesserung bringen, sondern Bürokratie, Kosten, Auflagen, eine Schwächung der Unternehmen, des Gewerbes, ohne dass es dem Kunden und dem Geschäftsverkehr irgendetwas bringt.

Darum werden wir bei der Totalrevision, die nun ansteht, sehr, sehr kritisch sein. Wir werden keiner Vorlage zustimmen, die nicht wirklich eine Verbesserung bringt.

Ich weiss nicht, ob Sie genau hingeschaut haben, Kollege Glättli. Mein Sitznachbar Franz Grüter hat Ihnen nicht einfach zugenickt, er hat sich etwas nervös am Kopf gekratzt, als Sie gesprochen haben. Genau aus diesem Grund: weil er sich wahrscheinlich als Geschäftsmann schon bewusst ist, dass der Standort Schweiz sich nicht ständig an europäische Rechtsvorschriften und Rechtsvorstellungen angleichen soll, sondern dass sich der Standort Schweiz dadurch auszeichnet, dass das geregelt ist, was geregelt sein muss, dass aber eben das der Privatsphäre und auch der Eigenverantwortung überlassen bleibt, was nicht zwingend zu regeln ist.

Vor diesem Hintergrund werden wir dieser Vorlage ohne jede Freude zustimmen, und wir werden, das kann ich Ihnen versprechen, die Totalrevision sehr, sehr kritisch anschauen. Wir werden im Rahmen der Totalrevision keiner Vorlage zustimmen, welche unnötige Kosten und Bürokratie bringt. Die Stärkung des Schweizer Gewerbes, der KMU, das ist wichtig. Es kann nicht angehen, dass wir am Schluss Schweizer Unternehmen, die in der Schweiz tätig sind, mit europäischem Unsinn belasten und ihnen Kosten und Bürokratie aufbürden, die nicht zwingend nötig sind.

Flach Beat · Mit-M · Nationalrat · Aargau · Grünliberale Fraktion

Ich spreche hier für die grünliberale Fraktion zum Eintreten und zur Zweiteilung dieser Vorlage.

Das Datenschutzgesetz der Schweiz stammt aus dem Jahr 1992 und atmet noch den Beginn der "Elektrifizierung der Daten", ich nenne es mal so. Aber es hat noch viel von der Olivetti-Schreibmaschine in diesem Gesetz drin. Das Gesetz ist auf jeden Fall revisionsbedürftig. Denn die Sphären, in denen wir uns heute datenmässig bewegen, sind ganz andere als noch in den Neunzigerjahren, nicht nur national, sondern halt eben auch international. Selbst Dinge oder Informationen, die wir für national gespeichert oder von nationaler Adresse zu nationalem Adressaten reichend glauben, sind in Wirklichkeit international, weil die Datenströme halt eben aus dem Land hinaus in die Hubs, auf die Server, in die Clouds usw. auf der ganzen Welt reichen. Darum sind auch die Grünliberalen von allem Anfang an der Meinung gewesen, dass eine Revision und Änderung des Datenschutzgesetzes notwendig sei.

Gleichzeitig hat auch die EU erkannt, dass das Datenschutzrecht und insbesondere der Schutz der Personendaten im EU-Raum mangelhaft sind, und ihr Recht angepasst. Wenn Sie das etwas miteinander vergleichen, das Schweizer Datenschutzgesetz aus dem Jahr 1992 und die Datenschutz-Grundverordnung der EU, stellen Sie fest, dass die Datenschutz-Grundverordnung der EU sich an die Grundzüge des Datenschutzgesetzes sehr, sehr stark angenähert und dieses noch überholt hat, dort, wo es notwendig ist, nämlich im Bereich der besonders schützenswerten Daten, im Bereich der Prävention und in der Art und Weise, wie man Prävention vorbereiten soll. Aus diesem Blickwinkel ist die Datenschutz-Grundverordnung eigentlich auch eine sehr gute Basis für uns, um unser Gesetz weiterzuentwickeln.

Auf der anderen Seite ist im Zusammenhang mit dem Datenaustausch im strafrechtlichen Bereich im Schengen/Dublin-Raum natürlich ebenfalls die Notwendigkeit entstanden, besonders schützenswerte Personendaten zu definieren - ich erinnere beispielsweise an die Daten von Flugpassagieren und Ähnliches - und dort eine klare Regelung darüber einzuführen, wie Staaten mit diesen Daten umzugehen haben und eben welche Restriktionen bestehen; es muss eben auch eine gesetzliche Grundlage dafür bestehen, was und wie es bearbeitet wird.

Nun haben wir uns mit diesen beiden Vorlagen - eigentlich wären es ja deren drei gewesen: unsere eigene Intentionen, die Datenschutz-Grundverordnung und die Richtlinie - so ein klein bisschen wie Buster Keaton verhalten, wenn er, Sie erinnern sich vielleicht an ihn und seine Filme, einen Boden gemalt und plötzlich festgestellt hat, dass er in der Ecke drin steht. Kein Schritt vor, kein Schritt zurück. Wir haben uns mit dieser Zweiteilung des Gesetzes jetzt einfach in eine Ecke hinein gemalt, und wir können gar nicht anders, als dass wir das jetzt trocknen lassen und halt warten, denn wir können nicht so wie Buster Keaton irgendwie famos und kreativ aus diesem Zimmer herausspringen, sondern wir müssen das jetzt so durchziehen, und dabei ist es wirklich etwas, was niemand bestellt hat - niemand wollte das.

Natürlich haben wir Zeitdruck, das ist klar. Die EU hat diese Richtlinie relativ rasch verabschiedet, und wir haben kaum die Zeit gehabt, das alles zu bearbeiten. Es ist ein grosses Werk, das ist richtig. Ich muss Ihnen aber auch sagen, dass wir in der Kommission Stunden damit verbraten haben, darüber zu diskutieren, wie wir das teilen können.

Nun schaffen wir ein Gesetz, das wir nach etwa vier Jahren wieder in den Papierkorb werfen werden. Ich erhalte wegen dieser Datenschutz-Grundverordnung täglich Anfragen von Unternehmern in der Schweiz, die sich bei mir erkundigen, wie sie denn jetzt mit ihren Kunden in der Europäischen Union umgehen sollen. Ich glaube, es ist wichtig, das hier noch einmal festzuhalten: Die Datenschutz-Grundverordnung der Europäischen Union gilt für die Schweiz nicht. Wenn Sie im internationalen Bereich tätig sind, ist es aber eine Normierung, so ähnlich, wie wir einmal damit begonnen haben, Schrauben oder Stahl zu normieren. Wenn Sie international mit Schrauben oder Stahl handeln wollen, dann müssen Sie sich an diese internationalen Normen halten; sonst wird Ihnen niemand eine Schraube abkaufen, und Sie werden Ihren Stahl nirgendwo hin liefern können. Darum ist es wichtig, dass wir hier die Äquivalenz haben. Wie gesagt, es wird auch nicht viel weiter gehen als das, was wir sowieso als rechtens anschauen.

Zum Antrag der Kommissionsminderheit werde ich später noch sprechen. Ich bitte Sie, einzutreten und jetzt halt eben den Boden trocknen zu lassen.

Sommaruga Simonetta · BR-F · Bundesrat · Bern

Herr Nationalrat Flach hat es soeben gesagt: Das Datenschutzgesetz des Bundes aus dem Jahr 1993 stammt noch aus einer ganz anderen Ära der Informations- und Kommunikationstechnologien. Deshalb hat auch die Gesetzesevaluation, die wir im Jahr 2011 gemacht haben, ganz klar gezeigt, dass hier eine Modernisierung angezeigt ist. Das ist in diesem Rat ja auch unbestritten. Ich denke, dass gerade auch aktuelle Ereignisse aufzeigen, wie wichtig es ist, dass wir für den sicheren Umgang mit unseren Daten klare Regeln haben. Denken Sie nur an das vor Kurzem publik gewordene Datenleck bei Facebook, wo im Fall Cambridge Analytica weltweit bis zu 87 Millionen Nutzerinnen und Nutzer von unberechtigten Zugriffen auf ihre Daten betroffen sein könnten.

Der Entwurf des Bundesrates zur Totalrevision des Datenschutzgesetzes hat deshalb ein Ziel - es ist ein grosses Ziel -: Wir wollen, dass unser Datenschutz verbessert wird und gleichzeitig zeitgemäss ist. Mit anderen Worten: Der Datenschutz wird an das Internetzeitalter angepasst. Gleichzeitig will der Bundesrat sicherstellen, dass die Schweiz über einen international anerkannten Datenschutzstandard verfügt. Dabei berücksichtigt der Bundesrat natürlich insbesondere die jüngsten Entwicklungen in Europa. Das ist auch im ureigenen Interesse unseres Landes.

Zunächst einmal übernimmt der Gesetzentwurf die Anforderungen der EU-Richtlinie zum Datenschutz in Strafsachen. Diese Richtlinie gehört zum Schengen-Besitzstand. Was das für die Schweiz bedeutet, muss ich nicht noch einmal ausführen, das haben wir im Rahmen der EU-Waffenrichtlinie bereits ausführlich diskutiert. Gleichzeitig profitiert die Schweiz im Kampf gegen die grenzüberschreitende Kriminalität und den Terrorismus natürlich auch von einer gut funktionierenden internationalen Zusammenarbeit ohne übermässige Datenschutzhürden.

Ausserdem will der Bundesrat erreichen, dass die Schweiz von der EU auch ausserhalb der Schengen-Zusammenarbeit als Drittstaat mit einem angemessenen Datenschutzniveau anerkannt bleibt. Das ist für unsere Wirtschaft von zentraler Bedeutung. Wenn wir vorhin gehört haben, diese neuen Datenschutzbestimmungen hätten keine Auswirkungen oder keine positiven Auswirkungen, muss ich Ihnen einfach sagen: Wenn die EU einmal unser Datenschutzniveau nicht mehr als gleichwertig anerkennen würde, dann würden sich wahrscheinlich die gleichen Leute in diesem Saal beschweren und den Bundesrat auffordern, alles zu tun, damit diese Angemessenheit wiederhergestellt wird.

Aber nicht nur für die Wirtschaft, sondern auch für die schweizerische Bevölkerung entstehen Nachteile, wenn die Schweiz ihr Recht nicht dem europäischen Datenschutzniveau anpasst. Dann wäre nämlich die Privatsphäre der Bürgerinnen und Bürger in der Schweiz weniger gut geschützt als im restlichen Europa, und Sie müssten unserer Bevölkerung dann einmal erklären, warum das so sein sollte. Gewisse Unternehmen wie z. B. die Migros haben angekündigt, dass sie für die Konsumentinnen und Konsumenten in der Schweiz freiwillig das europäische Datenschutzregime anwenden werden, andere Unternehmen werden dagegen vorerst zwischen den Kunden aus der Schweiz und den Kunden aus weiteren europäischen Ländern unterscheiden. Deshalb sollte auch unser innerstaatliches Recht einen angemessenen und zeitgemässen Datenschutz gewährleisten.

Der Gesetzentwurf des Bundesrates berücksichtigt sämtliche Entwicklungen auf europäischer Ebene gleichzeitig; zwischen den drei neuen Rechtsakten der EU und des Europarates besteht nämlich ein sehr enger materieller Konnex. Sie verfolgen die gleichen Ziele, und sie stimmen begrifflich, aber auch inhaltlich in wesentlichen Teilen überein. Der Bundesrat hat sich deshalb für eine einzige Vorlage entschieden. Er hat das getan, damit das Parlament, damit also Sie, meine Damen und Herren, sich nicht mehrmals mit ähnlichen Änderungen der Datenschutzgesetzgebung befassen müssen und damit kein Mehraufwand geschaffen wird. Ich hätte mir vorstellen können, dass, wenn der Bundesrat ein Vorgehen gewählt hätte, wie Sie oder wie die Kommissionsmehrheit es jetzt tun, Sie ihm vielleicht vorgeworfen hätten, er komme in Tranchen, mit Salamitaktik, es werde ein Mehraufwand geschaffen, wenn sich der gleiche Rat innerhalb kurzer Zeit mehrmals mit dieser komplexen Materie befassen müsse.

Der Bundesrat hat sich wie gesagt für eine einzige Vorlage entschieden. Ihre Kommission hat jetzt aber ein anderes Vorgehen gewählt; sie ist am 11. Januar dieses Jahres ohne Gegenstimme auf die Vorlage eingetreten. Sie hat beschlossen, den Gesetzentwurf des Bundesrates in zwei Etappen aufzuteilen. Da muss ich sagen, es stimmt halt schon ein bisschen, was Herr Nationalrat Wermuth gesagt hat. Ich denke, Sie haben Ihre eigene Arbeit damit nicht unbedingt vereinfacht oder entbürokratisiert. Ob Sie sich damit wirklich einen Dienst erwiesen haben, muss ich aber jetzt nicht entscheiden. Sie haben so entschieden, und nachdem Herr Nationalrat Wermuth jetzt den Minderheitsantrag zurückgezogen hat, ist auch entschieden, dass Sie in diesen zwei Etappen vorgehen.

Die erste Etappe soll dazu dienen, dass Sie die Schengen-relevante EU-Richtlinie zum Datenschutz in Strafsachen umsetzen. Die zweite Etappe soll danach die Totalrevision des Datenschutzgesetzes sein, die eben auch der EU-Datenschutz-Grundverordnung und der revidierten Datenschutzkonvention 108 des Europarates Rechnung trägt. Dazu muss dann ein Teil der Anpassung der ersten Etappe, die Sie heute beschliessen, wieder aufgehoben und wieder in die Totalrevision integriert werden. Aber das schaffen Sie auf jeden Fall.

Wenn Sie die Umsetzung der EU-Richtlinie zum Datenschutz in Strafsachen, wie Ihre Kommission das jetzt will, schneller als die restliche Vorlage behandeln möchten, dann lässt sich das auch mit Blick auf den weiteren Fahrplan begründen: Wenn die Schweiz die Zweijahresfrist für die Umsetzung der Schengen-relevanten EU-Richtlinie einhalten will, dann muss sie diese bis am 1. August dieses Jahres umgesetzt haben. Das schaffen Sie allerdings nicht mehr. Aber wir sind der Meinung: Wenn Sie heute die erste Etappe dieser Vorlage verabschieden und es klarwird, dass auch der Ständerat dieses Vorgehen gutheisst und vorwärtsmacht, dann kann man, glaube ich, zeigen, dass diese Gesetzesvorlage im Parlament auf gutem Weg ist. Ich gehe davon aus, dass wir dann auch auf ein gewisses Verständnis für diese überschaubare Verspätung hoffen können. Es schlägt dieser Umsetzung einer europäischen Richtlinie für einmal auch nicht so viel Gegenwind entgegen, wie das sonst bei anderen Schengen-Richtlinien der Fall ist. In diesem Sinne kann man wirklich davon ausgehen, dass es jetzt vorwärtsgeht.

Ich möchte Ihnen aber zu bedenken geben, dass eben nicht nur im Schengen-Bereich, sondern auch im privatrechtlichen Datenschutz eine gewisse zeitliche Dringlichkeit besteht. Mehrere von Ihnen haben es erwähnt: Die EU-Datenschutz-Grundverordnung ist seit dem 25. Mai dieses Jahres in Kraft und anwendbar, zum Teil auch für schweizerische Unternehmen. Eine Annäherung an das EU-Datenschutzrecht ist für die Beibehaltung des Angemessenheitsbeschlusses der EU und damit auch für den Wirtschaftsstandort Schweiz zentral. Ohne diesen Angemessenheitsbeschluss wäre die Bekanntgabe von Daten aus der EU an die Schweiz nur noch unter erschwerten Bedingungen möglich, d. h. nur dann, wenn besondere Garantien abgegeben oder bestimmte Ausnahmen erfüllt würden. Ich kann Ihnen sagen: Da würde sich die Geschäftswelt sehr schnell an Sie wenden und von Ihnen verlangen, das sofort so zu organisieren, dass diese Angemessenheit wieder bestätigt und von der EU anerkannt wird.

Wie Sie wissen, habe ich mich vor diesem Hintergrund bisher - ich habe das auch in der Kommission gesagt - gegen eine zeitliche Etappierung der Revision des Datenschutzrechtes ausgesprochen. Aber nachdem Ihre Kommission angekündigt hat, dass sie nach der ersten Schengen-Etappe auch die Totalrevision des Datenschutzgesetzes umgehend in Angriff nehmen möchte, spricht vieles dafür, denke ich, bei dem Weg zu bleiben, den Ihre Kommission eingeschlagen hat, und diese Revision in Etappen vorzunehmen. Ich bitte Sie allerdings, dann bei der zweiten Etappe ebenfalls vorwärtszumachen.

Ich komme nun noch zu den wichtigsten Inhalten der Revision des Datenschutzrechtes. Zunächst einmal ist die Datenschutzvorlage des Bundesrates wirtschaftsverträglich ausgestaltet. Sie geht insgesamt nicht weiter, als es das europäische Recht für ein angemessenes Datenschutzniveau verlangt. Sie nutzt den vorhandenen Handlungsspielraum für die Schweiz. Ich fand das übrigens noch ziemlich interessant: Gestern war die Selbstbestimmung hier im Saal hoch im Kurs, heute will man aber unbedingt keinen Swiss Finish. Der Bundesrat hat hier auch keinen Swiss Finish in dem Sinne vorgesehen, dass wir über die Anforderungen, die in der EU-Datenschutz-Grundverordnung vorgesehen sind, hinausgehen. Herr Nationalrat Glättli hat uns sogar den Vorwurf gemacht, wir hätten einen negativen Swiss Finish vorgesehen. Das ist jetzt eine neue Wortschöpfung. Es gibt also den positiven und den negativen Swiss Finish, wobei das ja wahrscheinlich je nach Standpunkt auch etwas unterschiedlich ist.

In der Tat haben wir versucht, bei dieser Revision den Unternehmen weiterhin so viel Flexibilität wie möglich zu bieten, indem sie eben auch mit freiwilligen Massnahmen wie zum Beispiel der Ernennung eines Datenschutzberaters verschiedene Erleichterungen erhalten können. Wir haben ausserdem einen risikobasierten Ansatz gewählt, das heisst, für Unternehmen wie zum Beispiel eine lokale Metzgerei oder eine Schreinerei oder eine Papeterie, die kaum sensible Daten haben, gelten dann eben weniger strenge Regeln als für Unternehmen, die mit vielen oder mit heiklen Daten arbeiten, wie zum Beispiel mit Gesundheitsdaten. Das hat aber nichts mit der Grösse des Unternehmens zu tun. Auch ein kleines Unternehmen kann mit extrem sensiblen Daten Geschäfte machen. Von daher ist es nicht unbedingt eine Frage der Grösse, sondern eben des Risikos. Deshalb haben wir diesen risikobasierten Ansatz gewählt.

Ich schlage Ihnen vor, dass ich mich heute nicht weiter zum Datenschutzgesetz äussere. Ja, es wurde auch vom Vertreter der BDP gesagt, wir sollten hier effizient bleiben. Heute entscheiden Sie ausschliesslich über die Umsetzung der EU-Richtlinie im Rahmen der Strafsachen, es ist also eine Schengen-relevante Richtlinie. Deshalb äussere ich mich heute nicht mehr zur zweiten Etappe. Ich werde das später gerne tun. Ich hoffe, es ist schon bald so weit, dass wir in diesem Rat das Datenschutzgesetz beraten können und die Dinge wieder zusammenführen. Dann werden Sie wieder die Einheit haben, die Sie hier brauchen und die letztlich dann auch die unbürokratischste Lösung ist.

Ich danke Ihnen, wenn Sie auf die Vorlage eintreten. Rückweisung ist kein Thema mehr. Ich äussere mich nachher in der Detailberatung noch kurz zum Minderheitsantrag Flach.

Fiala Doris · Mit-F · Nationalrat · Zürich · FDP-Liberale Fraktion

Frau Bundesrätin, ich danke Ihnen für Ihre Ausführungen. Wie wir alle wissen, übernehmen die Grosskonzerne längst die Gesetzgebung der EU. Etwas fehlt bei uns - und da beziehe ich mich nicht auf die EU, sondern auf Professor Hafen -, nämlich ein Recht auf Kopie. Ich möchte Sie bitten, dazu etwas zu sagen, ob Sie sich strikt gegen dieses Recht auf Kopie wehren oder ob wir einfach noch nicht so weit sind und wo die Abgrenzung zwischen Grosskonzernen und KMU wäre.

Sommaruga Simonetta · BR-F · Bundesrat · Bern

Da wir heute nicht das Datenschutzgesetz, sondern nur die Schengen-relevante Umsetzung der Richtlinie in Strafsachen beraten, schlage ich Ihnen vor, dass wir diese Frage in der Kommission beraten. Ich werde mich dann dort dazu äussern.

Wermuth Cédric · Mit-M · Nationalrat · Aargau · Sozialdemokratische Fraktion

Ich habe eine Bitte um eine Präzisierung von Ihrer Seite. Ein Teil der Mehrheit in diesem Saal verbindet mit dem Aufsplitten dieser Vorlage die Hoffnung, aus der Schweiz dann in einem zweiten Schritt ein im Bereich Datenschutz regulierungsfreies Land in Europa machen zu können, ohne Äquivalenz, und das als Standortvorteil zu verkaufen. Das wurde in einigen Voten angetönt. Können Sie aus Sicht des Bundesrates zur Interpretation des Vorgehens der Kommission hier noch eine Klärung vornehmen? Ist das angesichts der Aufsplittung der Vorlage eine sinnvolle Strategie?

Sommaruga Simonetta · BR-F · Bundesrat · Bern

Ich kann Ihnen gerne bestätigen, dass wir Ihnen das vonseiten des Bundesrates nicht empfehlen würden. Wir empfehlen Ihnen, wie wir das ja bereits gemacht haben, im Gegenteil, dass Sie in der zweiten Etappe auch tatsächlich so legiferieren, dass dieser Angemessenheitsbeschluss weiterhin aufrechterhalten bleibt.

Schauen Sie, das ist vielleicht etwas, was Sie im Moment nicht kümmert. Ich nenne jetzt nur das Stichwort Börsenäquivalenz. Das hat Sie wahrscheinlich vor einem Jahr gar nicht interessiert. Plötzlich haben wir dann eine Differenz. Im Unterschied zur Börsenäquivalenz, wo wir tatsächlich äquivalent sind und die Bedingungen erfüllen, hätten wir hier, wenn wir die Datenschutz-Grundverordnung oder diesen Standard nicht auch in unserem Land übernehmen, dann tatsächlich eine Differenz.

Wenn die Angemessenheit unseres Datenschutzstandards von der EU nicht mehr akzeptiert würde, weil es tatsächlich nicht das gleiche Niveau ist, dann hätten nicht wir hier in diesem Saal, sondern unsere Wirtschaft ein Problem, und zwar nicht nur die grossen Firmen, sondern auch die ganze KMU-Landschaft. Das kann ich Ihnen garantieren. Fragen Sie bei jedem, den Sie kennen, nach, ob und wie er mit der Europäischen Union Geschäfte macht! Es geht hier nicht nur um Geschäfte heute und morgen, sondern auch um den Datenaustausch, dass man Daten über Kunden aus dem europäischen Raum bekommen und austauschen kann. Wenn unsere Wirtschaft sich nicht darauf verlassen kann, dass man in Europa unser Datenschutzniveau als gleichwertig anerkennt, dann hat unsere Wirtschaft ein enormes Problem.

Ich habe aber Ihre Etappierung, das muss ich jetzt schon sagen, nie so verstanden, dass man in der zweiten Etappe sagen würde, dass uns das nicht mehr kümmert, sondern dass man, so habe ich das gehört, schrittweise vorgehen will. Ich habe auch heute in der Debatte eigentlich niemanden so wahrgenommen, dass er sagen würde: In der zweiten Etappe schauen wir dann nur noch, worauf wir selber Lust haben, und kümmern uns nicht um das, was in der Datenschutz-Grundverordnung der Europäischen Union seit Ende Mai gilt.

In diesem Sinne wird sich auch der Bundesrat weiterhin dafür einbringen, dass unsere Wirtschaft davon profitiert, dass sie auch im Datenschutzbereich einfach und unbürokratisch in den Staaten der Europäischen Union Geschäfte machen kann.

de Buman Dominique · P-M · Nationalrat · Freiburg · CVP-Fraktion

Eintreten wird ohne Gegenantrag beschlossen

L'entrée en matière est décidée sans opposition

1. Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz

1. Loi fédérale sur la révision totale de la loi fédérale sur la protection des données et sur la modification d'autres lois fédérales

Detailberatung - Discussion par article

Titel

Antrag der Kommission

Bundesgesetz über die Umsetzung der Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung (Weiterentwicklung des Schengen-Besitzstands)

Titre

Proposition de la commission

Loi fédérale mettant en oeuvre la directive (UE) 2016/680 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales (Développement de l'acquis de Schengen)

Angenommen - Adopté

Ingress

Antrag der Kommission

Zustimmung zum Entwurf des Bundesrates

Préambule

Proposition de la commission

Adhérer au projet du Conseil fédéral

Angenommen - Adopté

Ziff. I

Antrag der Kommission

Streichen

Ch. I

Proposition de la commission

Biffer

Anhang (Ziff. I)

Antrag der Kommission

Streichen (den ganzen Anhang zu Ziff. I und den Anhang zu Art. 62)

Annexe (ch. I)

Proposition de la commission

Biffer (toute l'annexe au ch. I et l'annexe à l'art. 62)

Le président (de Buman Dominique, président): La commission propose de biffer le chiffre I (y compris l'annexe qui s'y réfère) et de le traiter ultérieurement, dans un futur projet 3.

Angenommen - Adopté

Ziff. Ibis

Antrag der Kommission

Das Bundesgesetz über den Datenschutz im Rahmen der Anwendung des Schengen-Besitzstands in Strafsachen wird in der Fassung gemäss Anhang angenommen.

Ch. Ibis

Proposition de la commission

La loi fédérale sur la protection des données personnelles dans le cadre de la mise en oeuvre de l'acquis de Schengen dans le domaine pénal figurant en annexe est adoptée.

Angenommen - Adopté

Anhang (Ziff. Ibis)

Antrag der Mehrheit

Titel

Bundesgesetz über den Datenschutz im Rahmen der Anwendung des Schengen-Besitzstands in Strafsachen (Schengen-Datenschutzgesetz, SDSG)

Ingress

Die Bundesversammlung der Schweizerischen Eidgenossenschaft, gestützt auf die Artikel 54 Absatz 1, 123 und 173 Absatz 2 der Bundesverfassung, in Ausführung der Richtlinie (EU) 2016/680, nach Einsicht in die Botschaft des Bundesrates vom 15. September 2017, beschliesst:

1. Abschnitt Titel

Allgemeine Bestimmungen

Art. 1 Titel

Gegenstand

Art. 1 Abs. 1

Dieses Gesetz regelt die Bearbeitung von Personendaten durch Bundesorgane zum Zweck der Verhütung, Aufklärung oder Verfolgung von Straftaten oder der Strafvollstreckung, einschliesslich des Schutzes vor und der Abwehr von Gefahren für die öffentliche Sicherheit:

a. im Rahmen der Anwendung des Schengen-Besitzstands;

b. im Rahmen der Anwendung internationaler Verträge, die mit der Europäischen Union oder mit Staaten, die mit der Schweiz über eines der Schengen-Assoziierungsabkommen verbunden sind (Schengen-Staaten), abgeschlossen worden sind und die bezüglich des Datenschutzes auf die Richtlinie (EU) 2016/680 verweisen.

Art. 1 Abs. 2

Die Schengen-Assoziierungsabkommen sind im Anhang aufgeführt.

Art. 2 Titel

Verhältnis zu anderen Erlassen

Art. 2 Abs. 1

Das Gesetz gilt nicht für die Rechte der betroffenen Personen in hängigen Verfahren vor den eidgenössischen Gerichten und in hängigen Verfahren nach der Strafprozessordnung oder nach dem Rechtshilfegesetz vom 20. März 1981; diese werden durch das anwendbare Verfahrensrecht geregelt.

Art. 2 Abs. 2

Soweit in diesem Gesetz keine besonderen Vorschriften bestehen, ist das Bundesgesetz vom 19. Juni 1992 über den Datenschutz (DSG) anwendbar; die Anwendbarkeit anderer Bundesgesetze bleibt vorbehalten.

Art. 3 Titel

Begriffe

Art. 3 Abs. 1

In diesem Gesetz bedeuten:

a. besonders schützenswerte Personendaten:

1. Daten über die religiösen, weltanschaulichen oder politischen Ansichten oder Tätigkeiten,

2. Daten über die Gesundheit, die Intimsphäre oder die Zugehörigkeit zu einer Rasse oder Ethnie,

3. genetische Daten,

4. biometrische Daten, die eine natürliche Person eindeutig identifizieren,

5. Daten über Massnahmen der sozialen Hilfe,

6. Daten über administrative oder strafrechtliche Verfolgungen und Sanktionen;

b. Profiling: jede Art der automatisierten Bearbeitung von Personendaten, die darin besteht, dass diese Daten verwendet werden, um bestimmte persönliche Aspekte, die sich auf eine natürliche Person beziehen, zu bewerten, insbesondere um Aspekte bezüglich Arbeitsleistung, wirtschaftliche Lage, Gesundheit, persönliche Vorlieben, Interessen, Zuverlässigkeit, Verhalten, Aufenthaltsort oder Ortswechsel dieser natürlichen Person zu analysieren oder vorherzusagen;

c. Verletzung der Datensicherheit: eine Verletzung der Sicherheit, die ungeachtet der Absicht oder der Widerrechtlichkeit dazu führt, dass Personendaten verlorengehen, gelöscht, vernichtet oder verändert werden oder Unbefugten offengelegt oder zugänglich gemacht werden;

d. automatisierte Einzelentscheidung: eine Entscheidung, die ausschliesslich auf einer automatisierten Bearbeitung, einschliesslich Profiling, beruht und die für die betroffene Person mit einer Rechtsfolge verbunden ist oder sie erheblich beeinträchtigt;

e. Auftragsbearbeiter: private Person oder Bundesorgan, die oder das im Auftrag des verantwortlichen Bundesorgans Personendaten bearbeitet.

Art. 3 Abs. 2

Im Übrigen finden die Begriffe gemäss Artikel 3 DSG Anwendung.

Art. 4 Titel

Grundsätze

Art. 4 Abs. 1

Personendaten müssen rechtmässig bearbeitet werden.

Art. 4 Abs. 2

Die Bearbeitung muss nach Treu und Glauben erfolgen und verhältnismässig sein.

Art. 4 Abs. 3

Personendaten dürfen nur zu einem bestimmten und für die betroffene Person erkennbaren Zweck beschafft werden; sie dürfen nur so bearbeitet werden, dass es mit diesem Zweck vereinbar ist.

Art. 4 Abs. 4

Sie werden vernichtet oder anonymisiert, sobald sie zum Zweck der Bearbeitung nicht mehr erforderlich sind.

Art. 4 Abs. 5

Wer Personendaten bearbeitet, muss sich über deren Richtigkeit vergewissern. Er muss alle angemessenen Massnahmen treffen, damit die Daten berichtigt, gelöscht oder vernichtet werden, die im Hinblick auf den Zweck ihrer Beschaffung oder Bearbeitung unrichtig oder unvollständig sind.

Art. 5 Titel

Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen

Art. 5 Abs. 1

Die Bundesorgane sind verpflichtet, die Datenbearbeitung technisch und organisatorisch so auszugestalten, dass die Datenschutzvorschriften eingehalten werden, insbesondere die Grundsätze nach Artikel 4. Sie berücksichtigen dies ab der Planung.

Art. 5 Abs. 2

Die technischen und organisatorischen Massnahmen müssen insbesondere dem Stand der Technik, der Art und dem Umfang der Datenbearbeitung sowie den Risiken, welche die Bearbeitung für die Grundrechte der betroffenen Personen mit sich bringt, angemessen sein.

Art. 5 Abs. 3

Die Bundesorgane sind verpflichtet, mittels geeigneter Voreinstellungen sicherzustellen, dass die Bearbeitung der Personendaten auf das für den Verwendungszweck nötige Mindestmass beschränkt ist.

Art. 6 Titel

Rechtsgrundlagen betreffend die Bearbeitung von Personendaten

Art. 6 Abs. 1

Die Bundesorgane dürfen Personendaten nur bearbeiten, wenn dafür eine gesetzliche Grundlage besteht.

Art. 6 Abs. 2

Eine Grundlage in einem Gesetz im formellen Sinn ist in folgenden Fällen erforderlich:

a. Es handelt sich um die Bearbeitung von besonders schützenswerten Personendaten.

b. Es handelt sich um die Bearbeitung von Persönlichkeitsprofilen.

c. Es handelt sich um ein Profiling.

d. Die Art und Weise der Datenbearbeitung kann zu einem schwerwiegenden Eingriff in die Grundrechte der betroffenen Person führen.

Art. 6 Abs. 3

In Abweichung von den Absätzen 1 und 2 dürfen die Bundesorgane Personendaten bearbeiten, wenn eine der folgenden Voraussetzungen erfüllt ist:

a. Die Bearbeitung ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen.

b. Die betroffene Person hat ihre Personendaten allgemein zugänglich gemacht und eine Bearbeitung nicht ausdrücklich untersagt.

Art. 7 Titel

Rechtsgrundlagen betreffend die Bekanntgabe von Personendaten

Art. 7 Abs. 1

Die Bundesorgane dürfen Personendaten nur bekanntgeben, wenn dafür eine gesetzliche Grundlage im Sinne von Artikel 6 Absätze 1 und 2 besteht.

Art. 7 Abs. 2

Sie dürfen Personendaten in Abweichung von Absatz 1 im Einzelfall bekanntgeben, wenn eine der folgenden Voraussetzungen erfüllt ist:

a. Die Bekanntgabe der Personendaten ist für das verantwortliche Bundesorgan oder für die Empfängerin oder den Empfänger zur Erfüllung einer gesetzlichen Aufgabe unentbehrlich.

b. Die Bekanntgabe der Personendaten ist notwendig, um das Leben oder die körperliche Unversehrtheit der betroffenen Person oder eines Dritten zu schützen.

c. Die betroffene Person hat ihre Personendaten allgemein zugänglich gemacht und eine Bekanntgabe nicht ausdrücklich untersagt.

Art. 7 Abs. 3

Im Übrigen ist Artikel 19 Absätze 1bis-4 DSG anwendbar.

Art. 8 Titel

Bekanntgabe von Personendaten ins Ausland

Art. 8 Abs. 1

Für die Bekanntgabe von Personendaten an die zuständigen Behörden von Schengen-Staaten dürfen nicht strengere Regeln gelten als für die Bekanntgabe von Personendaten an schweizerische Strafbehörden.

Art. 8 Abs. 2

Die Bekanntgabe von Personendaten an einen Drittstaat oder an ein internationales Organ wird durch die Spezialbestimmungen des anwendbaren Bundesrechts geregelt.

Art. 9 Titel

Verantwortliches Bundesorgan und Kontrolle

Art. 9 Abs. 1

Für den Datenschutz ist das Bundesorgan verantwortlich, das die Personendaten in Erfüllung seiner Aufgaben bearbeitet oder bearbeiten lässt.

Art. 9 Abs. 2

Bearbeitet das Bundesorgan Personendaten zusammen mit anderen Bundesorganen, mit kantonalen Organen oder mit Privaten, so regelt der Bundesrat die Kontrolle und Verantwortung für den Datenschutz.

Art. 10 Titel

Bearbeitung durch Auftragsbearbeiter

Art. 10 Abs. 1

Die Bearbeitung von Personendaten kann einem Auftragsbearbeiter übertragen werden, wenn die Voraussetzungen gemäss Artikel 10a DSG erfüllt sind.

Art. 10 Abs. 2

Der Auftragsbearbeiter darf die Bearbeitung nur mit vorgängiger schriftlicher Genehmigung des Bundesorgans einem Dritten übertragen.

2. Abschnitt Titel

Pflichten der Bundesorgane und der Auftragsbearbeiter

Art. 11 Titel

Automatisierte Einzelentscheidung

Art. 11 Abs. 1

Das Bundesorgan informiert die betroffene Person über eine ihr gegenüber ergangene automatisierte Einzelentscheidung (Art. 3 Abs. 1 Bst. d); es kennzeichnet die Entscheidung entsprechend.

Art. 11 Abs. 2

Es gibt der betroffenen Person auf Antrag die Möglichkeit, ihren Standpunkt darzulegen. Die betroffene Person kann verlangen, dass ihr das angewandte Verfahren mitgeteilt und die Entscheidung von einer natürlichen Person überprüft wird.

Art. 11 Abs. 3

Absatz 2 gilt nicht, wenn der betroffenen Person gegen die Entscheidung ein Rechtsmittel zur Verfügung steht.

Art. 12 Titel

Verzeichnis der Bearbeitungstätigkeiten

Art. 12 Abs. 1

Die Bundesorgane und Auftragsbearbeiter führen ein Verzeichnis ihrer Bearbeitungstätigkeiten.

Art. 12 Abs. 2

Die Verzeichnisse der Bundesorgane enthalten mindestens:

a. den Namen des Bundesorgans;

b. den Bearbeitungszweck;

c. eine Beschreibung der Kategorien betroffener Personen und der Kategorien bearbeiteter Personendaten;

d. die Kategorien der Empfängerinnen und Empfänger;

e. die Aufbewahrungsdauer der Personendaten oder, wenn dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer;

f. wenn möglich eine allgemeine Beschreibung der Massnahmen zur Gewährleistung der Datensicherheit nach Artikel 7 DSG;

g. die Angabe des Drittstaates oder des internationalen Organs, welchem Personendaten bekanntgegeben werden, sowie die vorgesehenen Garantien zum Schutz der Personendaten.

Art. 12 Abs. 3

Das Verzeichnis des Auftragsbearbeiters enthält Angaben zur Identität des Auftragsbearbeiters und des Bundesorgans, zu den Kategorien von Bearbeitungen, die im Auftrag des Bundesorgans durchgeführt werden, sowie die Angaben nach Absatz 2 Buchstabe f.

Art. 13 Titel

Datenschutz-Folgenabschätzung

Art. 13 Abs. 1

Das Bundesorgan erstellt vorgängig eine Datenschutz-Folgenabschätzung, wenn eine Bearbeitung ein hohes Risiko für die Grundrechte der betroffenen Person mit sich bringen kann. Sind mehrere ähnliche Bearbeitungsvorgänge geplant, so kann eine gemeinsame Abschätzung erstellt werden.

Art. 13 Abs. 2

Das hohe Risiko ergibt sich, insbesondere bei Verwendung neuer Technologien, aus der Art, dem Umfang, den Umständen und dem Zweck der Bearbeitung. Es liegt namentlich vor:

a. bei der umfangreichen Bearbeitung von besonders schützenswerten Personendaten oder von Persönlichkeitsprofilen;

b. bei einem Profiling.

Art. 13 Abs. 3

Die Datenschutz-Folgenabschätzung enthält eine Beschreibung der geplanten Bearbeitung, eine Bewertung der Risiken für die Grundrechte der betroffenen Person sowie die Massnahmen zum Schutz der Grundrechte.

Art. 14 Titel

Konsultation des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten

Art. 14 Abs. 1

Ergibt sich aus der Datenschutz-Folgenabschätzung, dass die geplante Bearbeitung ein hohes Risiko für die Grundrechte der betroffenen Person zur Folge hätte, wenn das Bundesorgan keine Massnahmen träfe, so holt es vorgängig die Stellungnahme des Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (Beauftragter) ein.

Art. 14 Abs. 2

Der Beauftragte teilt dem Bundesorgan innerhalb von zwei Monaten seine Einwände gegen die geplante Bearbeitung mit. Diese Frist kann um einen Monat verlängert werden, wenn es sich um eine komplexe Datenbearbeitung handelt.

Art. 14 Abs. 3

Hat der Beauftragte Einwände gegen die geplante Bearbeitung, so schlägt er dem Bundesorgan geeignete Massnahmen vor.

Art. 15 Titel

Meldung von Verletzungen der Datensicherheit

Art. 15 Abs. 1

Das Bundesorgan meldet dem Beauftragten so rasch als möglich eine Verletzung der Datensicherheit, die voraussichtlich zu einem hohen Risiko für die Grundrechte der betroffenen Person führt.

Art. 15 Abs. 2

In der Meldung nennt es mindestens die Art der Verletzung der Datensicherheit, deren Folgen und die ergriffenen oder vorgesehenen Massnahmen.

Art. 15 Abs. 3

Der Auftragsbearbeiter meldet dem Bundesorgan so rasch als möglich eine Verletzung der Datensicherheit.

Art. 15 Abs. 4

Das Bundesorgan informiert die betroffene Person, wenn es zu ihrem Schutz erforderlich ist oder der Beauftragte es verlangt.

Art. 15 Abs. 5

Es kann die Information an die betroffene Person einschränken, aufschieben oder darauf verzichten, wenn:

a. dies aufgrund überwiegender Interessen Dritter erforderlich ist;

b. dies aufgrund überwiegender öffentlicher Interessen, insbesondere zur Wahrung der inneren oder äusseren Sicherheit der Schweiz, erforderlich ist;

c. die Mitteilung der Information eine Ermittlung, eine Untersuchung oder ein behördliches oder gerichtliches Verfahren gefährden kann;

d. die Information unmöglich ist oder einen unverhältnismässigen Aufwand erfordert; oder

e. die Information der betroffenen Person durch eine öffentliche Bekanntmachung in vergleichbarer Weise sichergestellt ist.

Art. 16 Titel

Datenschutzverantwortliche oder -verantwortlicher

Art. 16 Abs. 1

Die Bundesorgane ernennen eine Datenschutzverantwortliche oder einen Datenschutzverantwortlichen. Sie können eine gemeinsame Datenschutzverantwortliche oder einen gemeinsamen Datenschutzverantwortlichen bezeichnen.

Art. 16 Abs. 2

Die oder der Datenschutzverantwortliche muss folgende Voraussetzungen erfüllen:

a. Sie oder er verfügt über die erforderlichen Fachkenntnisse.

b. Sie oder er übt keine Tätigkeiten aus, die mit ihren oder seinen Aufgaben als Datenschutzverantwortliche oder Datenschutzverantwortlicher unvereinbar sind.

Art. 16 Abs. 3

Die oder der Datenschutzverantwortliche hat insbesondere folgende Aufgaben:

a. Sie oder er unterstützt die Bundesorgane.

b. Sie oder er fördert die Information und die Ausbildung der Mitarbeiterinnen und Mitarbeiter.

c. Sie oder er wirkt beim Vollzug der Datenschutzvorschriften mit und empfiehlt Korrekturmassnahmen, wenn sie oder er feststellt, dass Datenschutzvorschriften verletzt wurden.

3. Abschnitt Titel

Rechte der betroffenen Personen

Art. 17 Titel

Auskunftsrecht

Art. 17 Abs. 1

Das Auskunftsrecht der betroffenen Person richtet sich nach Artikel 8 DSG. Darüber hinaus teilt das Bundesorgan der betroffenen Person mit:

a. diejenigen Informationen, die für die betroffene Person erforderlich sind, damit sie ihre Rechte nach dem vorliegenden Gesetz geltend machen kann;

b. die Aufbewahrungsdauer der Personendaten oder, falls dies nicht möglich ist, die Kriterien zur Festlegung dieser Dauer.

Art. 17 Abs. 2

Die Spezialbestimmungen in anderen Bundesgesetzen bleiben vorbehalten.

Art. 18 Titel

Einschränkung des Auskunftsrechts

Art. 18 Abs. 1

Die Einschränkung des Auskunftsrechts richtet sich nach Artikel 9 Absätze 1-3 und 5 DSG. Darüber hinaus kann das Bundesorgan die Auskunft verweigern, einschränken oder aufschieben, wenn das Auskunftsgesuch offensichtlich unbegründet oder querulatorisch ist.

Art. 18 Abs. 2

Die Spezialbestimmungen in anderen Bundesgesetzen bleiben vorbehalten.

Art. 19 Titel

Weitere Ansprüche und Verfahren

Art. 19 Abs. 1

Wer ein schutzwürdiges Interesse hat, kann vom verantwortlichen Bundesorgan verlangen, dass es:

a. die widerrechtliche Bearbeitung der betreffenden Personendaten unterlässt;

b. die Folgen einer widerrechtlichen Bearbeitung beseitigt;

c. die Widerrechtlichkeit der Bearbeitung feststellt.

Art. 19 Abs. 2

Die Gesuchstellerin oder der Gesuchsteller kann insbesondere verlangen, dass das Bundesorgan:

a. die betreffenden Personendaten berichtigt, löscht oder vernichtet;

b. seinen Entscheid, namentlich über die Berichtigung, Löschung oder Vernichtung, die Sperrung der Bekanntgabe nach Artikel 20 DSG oder den Bestreitungsvermerk nach Absatz 4 veröffentlicht oder Dritten mitteilt.

Art. 19 Abs. 3

Statt die Personendaten zu löschen oder zu vernichten, schränkt das Bundesorgan die Bearbeitung ein, wenn:

a. die betroffene Person die Richtigkeit der Personendaten bestreitet und weder die Richtigkeit noch die Unrichtigkeit festgestellt werden kann;

b. überwiegende Interessen Dritter dies erfordern;

c. ein überwiegendes öffentliches Interesse, namentlich die innere oder die äussere Sicherheit der Schweiz, dies erfordert;

d. die Löschung oder Vernichtung der Personendaten eine Ermittlung, eine Untersuchung oder ein behördliches oder gerichtliches Verfahren gefährden kann.

Art. 19 Abs. 4

Kann weder die Richtigkeit noch die Unrichtigkeit von Personendaten festgestellt werden, so bringt das Bundesorgan bei den Daten einen Bestreitungsvermerk an.

Art. 19 Abs. 5

Das Verfahren richtet sich nach dem Verwaltungsverfahrensgesetz vom 20. Dezember 1968 (VwVG). Die Ausnahmen nach den Artikeln 2 und 3 VwVG gelten nicht.

Art. 19 Abs. 6

Die Spezialbestimmungen in anderen Bundesgesetzen bleiben vorbehalten.

Art. 20 Titel

Verfahren im Falle der Bekanntgabe von amtlichen Dokumenten, die Personendaten enthalten

Art. 20 Text

Solange ein Verfahren betreffend den Zugang zu amtlichen Dokumenten im Sinne des Öffentlichkeitsgesetzes vom 17. Dezember 2004, welche Personendaten enthalten, im Gange ist, kann die betroffene Person im Rahmen dieses Verfahrens die Rechte geltend machen, die ihr aufgrund von Artikel 19 des vorliegenden Gesetzes bezogen auf diejenigen Dokumente zustehen, die Gegenstand des Zugangsverfahrens sind.

4. Abschnitt Titel

Aufsicht

Art. 21 Titel

Beauftragter

Art. 21 Abs. 1

Der Beauftragte beaufsichtigt die Anwendung der bundesrechtlichen Datenschutzvorschriften.

Art. 21 Abs. 2

Von der Aufsicht durch den Beauftragten sind ausgenommen:

a. die eidgenössischen Gerichte;

b. die Bundesanwaltschaft, betreffend die Bearbeitung von Personendaten im Rahmen von Strafverfahren;

c. Bundesbehörden, betreffend die Bearbeitung von Personendaten im Rahmen von Verfahren der internationalen Rechtshilfe in Strafsachen.

Art. 22 Titel

Untersuchung

Art. 22 Abs. 1

Der Beauftragte eröffnet von Amtes wegen oder auf Anzeige hin eine Untersuchung gegen das Bundesorgan oder den Auftragsbearbeiter, wenn Anzeichen bestehen, dass eine Datenbearbeitung gegen die Datenschutzvorschriften verstossen könnte.

Art. 22 Abs. 2

Er kann von der Eröffnung einer Untersuchung absehen, wenn die Verletzung der Datenschutzvorschriften von geringfügiger Bedeutung ist.

Art. 22 Abs. 3

Das Bundesorgan oder der Auftragsbearbeiter erteilt dem Beauftragten alle Auskünfte und stellt ihm alle Unterlagen zur Verfügung, die für die Untersuchung notwendig sind. Das Auskunftsverweigerungsrecht richtet sich nach den Artikeln 16 und 17 VwVG.

Art. 22 Abs. 4

Hat die betroffene Person Anzeige erstattet, so informiert der Beauftragte sie über die gestützt darauf unternommenen Schritte und das Ergebnis einer allfälligen Untersuchung.

Art. 23 Titel

Befugnisse

Art. 23 Abs. 1

Kommt das Bundesorgan oder der Auftragsbearbeiter den Mitwirkungspflichten nicht nach, so kann der Beauftragte im Rahmen der Untersuchung insbesondere Folgendes anordnen:

a. Zugang zu allen Auskünften, Unterlagen, Verzeichnissen der Bearbeitungstätigkeiten und Personendaten, die für die Untersuchung erforderlich sind;

b. Zugang zu Räumlichkeiten und Anlagen;

c. Zeugeneinvernahmen;

d. Begutachtungen durch Sachverständige.

Art. 23 Abs. 2

Er kann für die Dauer der Untersuchung zudem vorsorgliche Massnahmen anordnen.

Art. 24 Titel

Verwaltungsmassnahmen

Art. 24 Abs. 1

Liegt eine Verletzung von Datenschutzvorschriften vor, so kann der Beauftragte verfügen, dass die Bearbeitung ganz oder teilweise angepasst, unterbrochen oder abgebrochen wird und die Personendaten ganz oder teilweise gelöscht oder vernichtet werden.

Art. 24 Abs. 2

Er kann die Bekanntgabe ins Ausland aufschieben oder untersagen, wenn sie gegen die anwendbaren gesetzlichen Bestimmungen betreffend die Bekanntgabe von Personendaten an einen Drittstaat oder an ein internationales Organ verstösst.

Art. 24 Abs. 3

Hat das Bundesorgan oder der Auftragsbearbeiter während der Untersuchung die erforderlichen Massnahmen getroffen, um die Einhaltung der Datenschutzvorschriften wiederherzustellen, so kann der Beauftragte sich darauf beschränken, eine Verwarnung auszusprechen.

Art. 25 Titel

Verfahren

Art. 25 Abs. 1

Das Untersuchungsverfahren sowie Verfügungen nach den Artikeln 23 und 24 richten sich nach dem VwVG.

Art. 25 Abs. 2

Unter Vorbehalt von Artikel 349h des Strafgesetzbuches ist nur das Bundesorgan oder der Auftragsbearbeiter, gegen das oder den eine Untersuchung eröffnet wurde, Partei.

Art. 25 Abs. 3

Der Beauftragte kann Beschwerdeentscheide des Bundesverwaltungsgerichts anfechten.

5. Abschnitt Titel

Amtshilfe gegenüber ausländischen Behörden

Art. 26 Abs. 1

Der Beauftragte kann mit der Behörde eines Schengen-Staates, die für den Datenschutz zuständig ist, für die Erfüllung ihrer jeweiligen gesetzlich vorgesehenen Aufgaben im Bereich des Datenschutzes Informationen oder Personendaten austauschen, wenn folgende Voraussetzungen erfüllt sind:

a. Die Gegenseitigkeit der Amtshilfe ist sichergestellt.

b. Die Informationen und Personendaten werden nur für das den Datenschutz betreffende Verfahren verwendet, das dem Amtshilfeersuchen zugrunde liegt.

c. Die empfangende Behörde verpflichtet sich, die Berufsgeheimnisse sowie Geschäfts- und Fabrikationsgeheimnisse zu wahren.

d. Die Informationen und Personendaten werden nur bekanntgegeben, wenn die Behörde, die sie übermittelt hat, dies vorgängig genehmigt.

e. Die empfangende Behörde verpflichtet sich, die Auflagen und Einschränkungen der Behörde einzuhalten, die ihr die Informationen und Personendaten übermittelt hat.

Art. 26 Abs. 2

Um sein Amtshilfegesuch zu begründen oder um dem Ersuchen einer Behörde Folge zu leisten, kann der Beauftragte insbesondere folgende Angaben machen:

a. den Namen des verantwortlichen Bundesorgans, des Auftragsbearbeiters oder anderer beteiligter Dritter;

b. die Kategorien der betroffenen Personen;

c. die Identität der betroffenen Personen, falls deren Mitteilung unentbehrlich ist, damit der Beauftragte oder die für den Datenschutz zuständige Behörde eines Schengen-Staates ihre gesetzlichen Aufgaben erfüllen können;

d. bearbeitete Personendaten oder Kategorien bearbeiteter Personendaten;

e. den Bearbeitungszweck;

f. die Empfängerinnen und Empfänger oder die Kategorien der Empfängerinnen und Empfänger;

g. technische und organisatorische Massnahmen.

Art. 26 Abs. 3

Bevor der Beauftragte der Behörde eines Schengen-Staates, die für den Datenschutz zuständig ist, Informationen bekanntgibt, die Berufs-, Geschäfts- oder Fabrikationsgeheimnisse enthalten können, informiert er die betroffenen Personen, die Trägerinnen dieser Geheimnisse sind, und lädt sie zur Stellungnahme ein, es sei denn, dies ist nicht möglich oder erfordert einen unverhältnismässigen Aufwand.

6. Abschnitt Titel

Schlussbestimmungen

Art. 27 Titel

Übergangsbestimmung betreffend laufende Verfahren

Art. 27 Text

Dieses Gesetz gilt nicht für Untersuchungen des Beauftragten, die im Zeitpunkt des Inkrafttretens hängig sind; es ist ebenfalls nicht anwendbar auf hängige Beschwerden gegen erstinstanzliche Entscheide, die vor dem Inkrafttreten ergangen sind. Diese Fälle unterstehen dem bisherigen Recht.

Art. 28 Titel

Referendum und Inkrafttreten

Art. 28 Abs. 1

Dieses Gesetz untersteht dem fakultativen Referendum.

Art. 28 Abs. 2

Der Bundesrat bestimmt das Inkrafttreten.

Anhang (Art. 1 Abs. 2) Titel

Schengen-Assoziierungsabkommen

Anhang (Art. 1 Abs. 2) Text

Die Schengen-Assoziierungsabkommen umfassen:

a. Abkommen vom 26. Oktober 2004 zwischen der Schweizerischen Eidgenossenschaft, der Europäischen Union und der Europäischen Gemeinschaft über die Assoziierung dieses Staates bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands;

b. Abkommen vom 26. Oktober 2004 in Form eines Briefwechsels zwischen dem Rat der Europäischen Union und der Schweizerischen Eidgenossenschaft über die Ausschüsse, die die Europäische Kommission bei der Ausübung ihrer Durchführungsbefugnisse unterstützen;

c. Vereinbarung vom 22. September 2011 zwischen der Europäischen Union sowie der Republik Island, dem Fürstentum Liechtenstein, dem Königreich Norwegen und der Schweizerischen Eidgenossenschaft über die Beteiligung dieser Staaten an der Arbeit der Ausschüsse, die die Europäische Kommission bei der Ausübung ihrer Durchführungsbefugnisse in Bezug auf die Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands unterstützen;

d. Übereinkommen vom 17. Dezember 2004 zwischen der Schweizerischen Eidgenossenschaft, der Republik Island und dem Königreich Norwegen über die Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands und über die Kriterien und Verfahren zur Bestimmung des zuständigen Staates für die Prüfung eines in der Schweiz, in Island oder in Norwegen gestellten Asylantrags;

e. Abkommen vom 28. April 2005 zwischen der Schweizerischen Eidgenossenschaft und dem Königreich Dänemark über die Umsetzung, Anwendung und Entwicklung derjenigen Teile des Schengen-Besitzstands, die auf Bestimmungen des Titels IV des Vertrags zur Gründung der Europäischen Gemeinschaft basieren;

f. Protokoll vom 28. Februar 2008 zwischen der Europäischen Union, der Europäischen Gemeinschaft, der Schweizerischen Eidgenossenschaft und dem Fürstentum Liechtenstein über den Beitritt des Fürstentums Liechtenstein zum Abkommen zwischen der Schweizerischen Eidgenossenschaft, der Europäischen Union und der Europäischen Gemeinschaft über die Assoziierung der Schweizerischen Eidgenossenschaft bei der Umsetzung, Anwendung und Entwicklung des Schengen-Besitzstands.

Antrag der Minderheit

(Flach, Barrile, Glättli, Masshardt, Meyer Mattea, Piller Carrard, Streiff, Wermuth)

Art. 3 Abs. 1 Bst. a Ziff. 1

1. Daten über die religiösen, weltanschaulichen, politischen oder gewerkschaftlichen Ansichten oder Tätigkeiten ...

Verfahrensbeitrag

Annexe (ch. Ibis)

Proposition de la majorité

Titre

Loi fédérale sur la protection des données personnelles dans le cadre de la mise en oeuvre de l'acquis de Schengen dans le domaine pénal (Loi sur la protection des données Schengen, LPDS)

Préambule

L'Assemblée fédérale de la Confédération suisse, vu les articles 54 alinéa 1, 123 et 173 alinéa 2 de la Constitution, en application de la Directive (UE) 2016/680, vu le message du Conseil fédéral du 15 septembre 2017, arrête:

Section 1 titre

Dispositions générales

Art. 1 titre

Objet

Art. 1 al. 1

La présente loi règle le traitement de données personnelles par des organes fédéraux à des fins de prévention et d'élucidation des infractions pénales, de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces:

a. dans le cadre de la mise en oeuvre de l'acquis de Schengen;

b. dans le cadre de l'exécution d'accords internationaux conclus avec l'Union européenne ou avec des Etats qui sont liés à la Suisse par l'un des accords d'association à Schengen (Etats Schengen) et qui renvoient à la directive (UE) 2016/680 pour ce qui est de la protection des données.

Art. 1 al. 2

Les accords d'association à Schengen sont mentionnés en annexe.

Art. 2 titre

Relation avec d'autres actes

Art. 2 al. 1

La présente loi ne s'applique pas aux droits des personnes concernées dans le cadre de procédures pendantes devant des tribunaux fédéraux ou dans le cadre de procédures pendantes régies par le Code de procédure pénale ou par la loi fédérale du 20 mars 1981 sur l'entraide pénale internationale; ceux-ci sont régis par le droit de procédure applicable.

Art. 2 al. 2

A défaut de disposition spéciale prévue par la présente loi, la loi fédérale du 19 juin 1992 sur la protection des données (LPD) s'applique; l'applicabilité d'autres lois fédérales est réservée.

Art. 3 titre

Définitions

Art. 3 al. 1

On entend par:

a. données personnelles sensibles:

1. les données sur les opinions ou les activités religieuses, philosophiques ou politiques,

2. les données sur la santé, sur la sphère intime ou sur l'origine raciale ou ethnique,

3. les données génétiques,

4. les données biométriques identifiant une personne physique de façon unique,

5. les données sur des mesures d'aide sociale,

6. les données sur des poursuites ou sanctions pénales et administratives;

b. profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne;

c. violation de la sécurité des données: toute violation de la sécurité, sans égard au fait qu'elle soit intentionnelle ou illicite, entraînant la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données; d. décision individuelle automatisée: toute décision prise exclusivement sur la base d'un traitement de données personnelles automatisé, y compris le profilage, et qui a des effets juridiques sur la personne concernée ou qui l'affecte de manière significative;

e. sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte de l'organe fédéral responsable.

Art. 3 al. 2

Au demeurant, les définitions de l'article 3 LPD s'appliquent.

Art. 4 titre

Principes

Art. 4 al. 1

Tout traitement de données personnelles doit être licite.

Art. 4 al. 2

Il doit être effectué conformément aux principes de la bonne foi et de la proportionnalité.

Art. 4 al. 3

Les données personnelles ne peuvent être collectées que pour des finalités déterminées et reconnaissables pour la personne concernée et doivent être traitées ultérieurement de manière compatible avec ces finalités.

Art. 4 al. 4

Elles sont détruites ou anonymisées dès qu'elles ne sont plus nécessaires au regard des finalités du traitement.

Art. 4 al. 5

Celui qui traite des données personnelles doit s'assurer qu'elles sont exactes. Il prend toute mesure appropriée permettant de rectifier, d'effacer ou de détruire les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées.

Art. 5 titre

Protection des données dès la conception et par défaut

Art. 5 al. 1

Les organes fédéraux sont tenus de mettre en place des mesures techniques et organisationnelles afin que le traitement respecte les prescriptions de protection des données et en particulier les principes fixés à l'article 4. Ils le font dès la conception du traitement.

Art. 5 al. 2

Les mesures techniques et organisationnelles doivent être appropriées au regard notamment de l'état de la technique, du type de traitement, de son étendue, ainsi que du risque que le traitement des données en question présente pour les droits fondamentaux des personnes concernées.

Art. 5 al. 3

Les organes fédéraux sont au surplus tenus, par le biais de préréglages appropriés, de garantir que le traitement soit limité au minimum requis par la finalité poursuivie.

Art. 6 titre

Bases légales relatives au traitement de données personnelles

Art. 6 al. 1

Les organes fédéraux ne sont en droit de traiter des données personnelles que s'il existe une base légale.

Art. 6 al. 2

La base légale doit être prévue dans une loi au sens formel dans les cas suivants:

a. il s'agit du traitement de données sensibles;

b. il s'agit du traitement de profils de la personnalité;

c. il s'agit d'un profilage;

d. le mode du traitement de données personnelles est susceptible de porter gravement atteinte aux droits fondamentaux de la personne concernée.

Art. 6 al. 3

En dérogation aux alinéas 1 et 2, les organes fédéraux peuvent traiter des données personnelles si l'une des conditions suivantes est remplie:

a. le traitement de données personnelles est nécessaire pour protéger la vie ou l'intégrité corporelle de la personne concernée ou d'un tiers;

b. la personne concernée a rendu ses données personnelles accessibles à tout un chacun et ne s'est pas opposée expressément au traitement.

Art. 7 titre

Bases légales relatives à la communication de données personnelles

Art. 7 al. 1

Les organes fédéraux ne sont en droit de communiquer des données personnelles que si une base légale au sens de l'article 6 alinéas 1 et 2 le prévoit.

Art. 7 al. 2

En dérogation à l'alinéa 1, les organes fédéraux peuvent, dans un cas d'espèce, communiquer des données personnelles si l'une des conditions suivantes est remplie:

a. la communication des données est indispensable à l'accomplissement des tâches légales de l'organe fédéral responsable ou du destinataire;

b. la communication de données personnelles est nécessaire pour protéger la vie ou l'intégrité corporelle de la personne concernée ou d'un tiers;

c. la personne concernée a rendu ses données personnelles accessibles à tout un chacun et ne s'est pas opposée expressément à la communication.

Art. 7 al. 3

L'article 19 alinéas 1bis à 4 LPD s'applique au demeurant.

Art. 8 titre

Communication de données personnelles à l'étranger

Art. 8 al. 1

La communication de données personnelles aux autorités compétentes des Etats Schengen ne doit pas être soumise à des règles de protection des données personnelles plus strictes que celles prévues pour la communication aux autorités pénales suisses.

Art. 8 al. 2

La communication de données personnelles à un Etat tiers ou à un organisme international est régie par les dispositions spéciales des lois fédérales applicables.

Art. 9 titre

Organe fédéral responsable et contrôle

Art. 9 al. 1

Il incombe à l'organe fédéral responsable de pourvoir à la protection des données personnelles qu'il traite ou fait traiter dans l'accomplissement de ses tâches.

Art. 9 al. 2

Lorsqu'un organe fédéral traite des données personnelles conjointement avec d'autres organes fédéraux, avec des organes cantonaux ou avec des personnes privées, le Conseil fédéral règle les procédures de contrôle et les responsabilités en matière de protection des données.

Art. 10 titre

Sous-traitance

Art. 10 al. 1

Un traitement de données personnelles peut être confié à un sous-traitant pour autant que les conditions de l'article 10a LPD soient remplies.

Art. 10 al. 2

Le sous-traitant ne peut lui-même sous-traiter un traitement à un tiers qu'avec l'autorisation préalable écrite de l'organe fédéral.

Section 2 titre

Obligations des organes fédéraux et des sous-traitants

Art. 11 titre

Décision individuelle automatisée

Art. 11 al. 1

L'organe fédéral informe la personne concernée de toute décision individuelle automatisée (art. 3 al. 1 let. d) prise à son égard; il qualifie cette décision comme telle.

Art. 11 al. 2

Si la personne concernée le demande, l'organe fédéral lui donne la possibilité de faire valoir son point de vue. La personne concernée peut exiger que la procédure dont elle fait l'objet lui soit notifiée et que la décision soit revue par une personne physique.

Art. 11 al. 3

L'alinéa 2 ne s'applique pas lorsque la personne concernée dispose d'une voie de droit contre la décision.

Art. 12 titre

Registre des activités de traitement

Art. 12 al. 1

Les organes fédéraux et les sous-traitants tiennent un registre des activités de traitement.

Art. 12 al. 2

Les registres des organes fédéraux contiennent au moins les indications suivantes:

a. le nom de l'organe fédéral;

b. la finalité du traitement;

c. une description des catégories des personnes concernées et des catégories des données personnelles traitées;

d. les catégories des destinataires;

e. dans la mesure du possible, le délai de conservation des données personnelles; sinon, les critères pour déterminer la durée de conservation;

f. dans la mesure du possible, une description générale des mesures visant à garantir la sécurité des données selon l'article 7 LPD;

g. le nom de l'Etat tiers ou de l'organisme international auquel des données personnelles sont communiquées ainsi que les garanties de protection des données personnelles prévues.

Art. 12 al. 3

Le registre du sous-traitant contient des indications concernant l'identité du sous-traitant et de l'organe fédéral, les catégories de traitements effectués pour le compte de celui-ci ainsi que les indications prévues à l'alinéa 2 lettre f.

Art. 13 titre

Analyse d'impact relative à la protection des données personnelles

Art. 13 al. 1

Lorsque le traitement envisagé est susceptible d'entraîner un risque élevé pour les droits fondamentaux de la personne concernée, l'organe fédéral procède au préalable à une analyse d'impact relative à la protection des données personnelles. S'il envisage d'effectuer plusieurs opérations de traitements semblables, il peut établir une analyse d'impact commune.

Art. 13 al. 2

L'existence d'un risque élevé dépend, en particulier lors de l'utilisation de nouvelles technologies, de la nature, de l'étendue, des circonstances et de la finalité du traitement. Un tel risque existe notamment dans les cas suivants:

a. le traitement de données sensibles ou de profils de la personnalité à grande échelle;

b. le profilage.

Art. 13 al. 3

L'analyse d'impact contient une description du traitement envisagé, une évaluation des risques pour les droits fondamentaux de la personne concernée, ainsi que les mesures prévues pour protéger les droits fondamentaux de la personne concernée.

Art. 14 titre

Consultation du Préposé fédéral à la protection des données et à la transparence

Art. 14 al. 1

L'organe fédéral consulte le Préposé fédéral à la protection des données et à la transparence (préposé) préalablement au traitement lorsque l'analyse d'impact relative à la protection des données révèle que le traitement présenterait un risque élevé pour les droits fondamentaux de la personne concernée si l'organe fédéral ne prenait pas de mesures pour atténuer ce risque.

Art. 14 al. 2

Le préposé communique à l'organe fédéral ses objections concernant le traitement envisagé dans un délai de deux mois. Ce délai peut être prolongé d'un mois, lorsqu'il s'agit d'un traitement de données complexe.

Art. 14 al. 3

Si le préposé a des objections concernant le traitement envisagé, il propose à l'organe fédéral des mesures appropriées.

Art. 15 titre

Annonce des violations de la sécurité des données

Art. 15 al. 1

L'organe fédéral annonce dans les meilleurs délais au préposé les cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour les droits fondamentaux de la personne concernée.

Art. 15 al. 2

L'annonce doit au moins indiquer la nature de la violation de la sécurité des données, ses conséquences et les mesures prises ou envisagées pour remédier à la situation.

Art. 15 al. 3

Le sous-traitant annonce dans les meilleurs délais à l'organe fédéral tout cas de violation de la sécurité des données.

Art. 15 al. 4

L'organe fédéral informe par ailleurs la personne concernée lorsque cela est nécessaire à sa protection ou lorsque le préposé l'exige.

Art. 15 al. 5

Il peut restreindre l'information de la personne concernée, la différer ou y renoncer, dans les cas suivants:

a. les intérêts prépondérants d'un tiers l'exigent;

b. un intérêt public prépondérant, en particulier le maintien de la sûreté intérieure ou extérieure de la Suisse, l'exige;

c. l'information de la personne concernée est susceptible de compromettre une enquête, une instruction ou une procédure judiciaire ou administrative;

d. le devoir d'informer est impossible à respecter ou nécessite des efforts disproportionnés;

e. l'information de la personne concernée peut être garantie de manière équivalente par une communication publique.

Art. 16 titre

Conseiller à la protection des données personnelles

Art. 16 al. 1

Les organes fédéraux désignent un conseiller à la protection des données. Ils peuvent désigner un conseiller commun.

Art. 16 al. 2

Le conseiller à la protection des données doit remplir les conditions suivantes:

a. il dispose de connaissances professionnelles nécessaires;

b. il n'exerce pas de tâches incompatibles avec ses tâches de conseiller à la protection des données.

Art. 16 al. 3

Le conseiller à la protection des données a notamment pour tâches de:

a. conseiller les organes fédéraux;

b. promouvoir l'information et la formation des collaborateurs;

c. concourir à l'application des prescriptions relatives à la protection des données et proposer des mesures s'il apparaît que des prescriptions de protection des données ont été violées.

Section 3 titre

Droits des personnes concernées

Art. 17 titre

Droit d'accès

Art. 17 al. 1

Le droit d'accès de la personne concernée est régi par l'article 8 LPD. En outre, l'organe fédéral fournit:

a. les informations nécessaires à la personne concernée pour qu'elle puisse faire valoir ses droits en vertu de la présente loi;

b. des informations concernant la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière.

Art. 17 al. 2

Les dispositions spéciales d'autres lois fédérales sont réservées.

Art. 18 titre

Restriction du droit d'accès

Art. 18 al. 1

La restriction du droit d'accès est régie par l'article 9 alinéas 1 à 3 et 5 LPD. En outre, l'organe fédéral peut refuser, restreindre ou différer la communication des renseignements lorsque la demande d'accès est manifestement infondée ou procédurière.

Art. 18 al. 2

Les dispositions spéciales d'autres lois fédérales sont réservées.

Art. 19 titre

Autres prétentions et procédure

Art. 19 al. 1

Quiconque a un intérêt légitime peut exiger de l'organe fédéral responsable:

a. qu'il s'abstienne de procéder à un traitement illicite;

b. qu'il supprime les effets d'un traitement illicite;

c. qu'il constate le caractère illicite d'un traitement.

Art. 19 al. 2

Le demandeur peut en particulier demander que l'organe fédéral:

a. rectifie les données personnelles, les efface ou les détruise;

b. publie ou communique à des tiers sa décision concernant notamment la rectification, l'effacement ou la destruction des données, l'opposition à une communication (art. 20 LPD) ou la mention du caractère litigieux des données personnelles (al. 4).

Art. 19 al. 3

Au lieu d'effacer ou de détruire les données personnelles, l'organe fédéral limite le traitement dans les cas suivants:

a. l'exactitude des données est contestée par la personne concernée et leur exactitude ou inexactitude ne peut pas être établie;

b. des intérêts prépondérants d'un tiers l'exigent;

c. un intérêt public prépondérant, en particulier la sûreté intérieure ou extérieure de la Suisse, l'exige;

d. l'effacement ou la destruction des données est susceptible de compromettre une enquête, une instruction ou une procédure judiciaire ou administrative.

Art. 19 al. 4

Si l'exactitude ou l'inexactitude d'une donnée personnelle ne peut pas être établie, il ajoute à la donnée la mention de son caractère litigieux.

Art. 19 al. 5

La procédure est régie par la loi fédérale du 20 décembre 1968 sur la procédure administrative (PA). Les exceptions prévues aux articles 2 et 3 de ladite loi ne sont pas applicables.

Art. 19 al. 6

Les dispositions spéciales d'autres lois fédérales sont réservées.

Art. 20 titre

Procédure en cas de communication de documents officiels contenant des données personnelles

Art. 20 texte

Tant que l'accès à des documents officiels contenant des données personnelles fait l'objet d'une procédure au sens de la loi du 17 décembre 2004 sur la transparence, la personne concernée peut, dans le cadre de cette procédure, faire valoir les droits que lui confère l'article 19 de la présente loi par rapport aux documents qui sont l'objet de la procédure d'accès.

Section 4 titre

Surveillance

Art. 21 titre

Préposé

Art. 21 al. 1

Le préposé est chargé de surveiller la bonne application des dispositions fédérales de protection des données.

Art. 21 al. 2

Il ne peut exercer aucune surveillance sur:

a. les tribunaux fédéraux;

b. le Ministère public de la Confédération en ce qui concerne le traitement de données personnelles dans le cadre de procédures pénales;

c. les autorités fédérales en ce qui concerne le traitement de données personnelles dans le cadre de procédures d'entraide judiciaire internationale en matière pénale.

Art. 22 titre

Enquête

Art. 22 al. 1

Le préposé ouvre d'office ou sur dénonciation une enquête contre l'organe fédéral ou le sous-traitant si des indices font penser qu'un traitement de données personnelles pourrait être contraire à des dispositions de protection des données.

Art. 22 al. 2

Il peut renoncer à ouvrir une enquête lorsque la violation des prescriptions de protection des données est de peu d'importance.

Art. 22 al. 3

L'organe fédéral ou le sous-traitant fournit au préposé tous les renseignements et les documents qui lui sont nécessaires pour l'enquête. Le droit de refuser de fournir des renseignements est régi par les articles 16 et 17 PA.

Art. 22 al. 4

Si la personne concernée est l'auteur de la dénonciation, le préposé l'informe des suites données à celle-ci et du résultat d'une éventuelle enquête.

Art. 23 titre

Pouvoirs

Art. 23 al. 1

Lorsque l'organe fédéral ou le sous-traitant ne respecte pas son obligation de collaborer, le préposé peut dans le cadre de la procédure d'enquête ordonner notamment:

a. l'accès à tous les renseignements, documents, registres des activités et données personnelles nécessaires pour l'enquête;

b. l'accès aux locaux et aux installations;

c. l'audition de témoins;

d. des expertises.

Art. 23 al. 2

Il peut également ordonner des mesures provisionnelles pour la durée de l'enquête.

Art. 24 titre

Mesures administratives

Art. 24 al. 1

Si des dispositions de protection des données sont violées, le préposé peut ordonner la suspension, la modification ou la cessation de tout ou partie du traitement ainsi que l'effacement ou la destruction de tout ou partie des données personnelles.

Art. 24 al. 2

Il peut suspendre ou interdire la communication de données personnelles à l'étranger si elle est contraire aux dispositions légales applicables en matière de communication de données personnelles à un Etat tiers ou à un organisme international.

Art. 24 al. 3

Lorsque l'organe fédéral ou le sous-traitant a pris, durant l'enquête, les mesures nécessaires au rétablissement d'une situation conforme aux prescriptions de protection des données, le préposé peut se limiter à prononcer un avertissement.

Art. 25 titre

Procédure

Art. 25 al. 1

La procédure d'enquête et celle de décision sur les mesures visées aux articles 23 et 24 sont régies par la PA.

Art. 25 al. 2

Sous réserve de l'article 349h du code pénal, seul l'organe fédéral ou le sous-traitant contre qui une enquête a été ouverte a qualité de partie.

Art. 25 al. 3

Le préposé a qualité pour recourir contre les décisions sur recours du Tribunal administratif fédéral.

Section 5 titre

Assistance administrative avec des autorités étrangères

Art. 26 al. 1

Le préposé peut échanger des informations ou des données personnelles avec une autorité d'un Etat Schengen chargée de la protection des données personnelles pour l'accomplissement de leurs tâches légales respectives en matière de protection des données, pour autant que les conditions suivantes soient réunies:

a. la réciprocité en matière d'assistance administrative est garantie;

b. les informations et les données personnelles échangées ne sont utilisées que dans le cadre de la procédure liée à la protection des données personnelles à la base de la demande d'assistance administrative;

c. l'autorité destinataire s'engage à ne pas divulguer les secrets professionnels, d'affaires ou de fabrication;

d. les informations et les données personnelles ne sont communiquées à des tiers qu'avec l'accord préalable de l'autorité qui les a transmises;

e. l'autorité destinataire s'engage à respecter les charges et les restrictions d'utilisation exigées par l'autorité qui lui a transmis les informations et les données personnelles.

Art. 26 al. 2

Pour motiver sa demande d'assistance administrative ou pour donner suite à une demande d'assistance administrative de l'autorité requérante, il peut communiquer notamment les indications suivantes:

a. le nom de l'organe fédéral responsable, du sous-traitant ou de tout autre tiers participant au traitement;

b. les catégories de personnes concernées;

c. l'identité des personnes concernées lorsque sa communication est indispensable à l'accomplissement des tâches légales du préposé ou d'une autorité d'un Etat Schengen chargée de la protection des données personnelles;

d. les données personnelles ou les catégories de données personnelles traitées;

e. les finalités des traitements;

f. les destinataires ou les catégories de destinataires;

g. les mesures techniques et organisationnelles.

Art. 26 al. 3

Avant de transmettre à une autorité d'un Etat Schengen chargée de la protection des données personnelles des informations susceptibles de contenir des secrets professionnels, de fabrication ou d'affaires, il informe les personnes détentrices de ces secrets et les invite à prendre position, à moins que cela ne s'avère impossible ou ne nécessite des efforts disproportionnés.

Section 6 titre

Dispositions finales

Art. 27 titre

Disposition transitoire concernant les procédures en cours

Art. 27 texte

La présente loi ne s'applique ni aux enquêtes du préposé pendantes au moment de son entrée en vigueur ni aux recours pendants contre les décisions de première instance rendues avant son entrée en vigueur. Dans ces affaires, l'ancien droit s'applique.

Art. 28 titre

Référendum et entrée en vigueur

Art. 28 al. 1

La présente loi est sujette au référendum.

Art. 28 al. 2

Le Conseil fédéral fixe la date d'entrée en vigueur.

Annexe (art. 1 al. 2) titre

Accords d'association à Schengen

Annexe (art. 1 al. 2) texte

Les accords d'association à Schengen comprennent les accords suivants:

a. Accord du 26 octobre 2004 entre la Confédération suisse, l'Union européenne et la Communauté européenne sur l'association de la Confédération suisse à la mise en oeuvre, à l'application et au développement de l'acquis de Schengen;

b. Accord du 26 octobre 2004 sous forme d'échange de lettres entre le Conseil de l'Union européenne et la Confédération suisse concernant les Comités qui assistent la Commission européenne dans l'exercice de ses pouvoirs exécutifs;

c. Arrangement du 22 septembre 2011 entre l'Union Européenne et la République d'Islande, la Principauté de Liechtenstein, le Royaume de Norvège et la Confédération suisse sur la participation de ces Etats aux travaux des comités qui assistent la Commission européenne dans l'exercice de ses pouvoirs exécutifs dans le domaine de la mise en oeuvre, de l'application et du développement de l'acquis de Schengen;

d. Accord du 17 décembre 2004 entre la Confédération suisse, la République d'Islande et le Royaume de Norvège sur la mise en oeuvre, l'application et le développement de l'acquis de Schengen et sur les critères et les mécanismes permettant de déterminer l'Etat responsable de l'examen d'une demande d'asile introduite en Suisse, en Islande ou en Norvège;

e. Accord du 28 avril 2005 entre la Confédération suisse et le Royaume du Danemark sur la mise en oeuvre, l'application et le développement des parties de l'acquis de Schengen basées sur les dispositions du Titre IV du Traité instituant la Communauté européenne;

f. Protocole du 28 février 2008 entre l'Union européenne, la Communauté européenne, la Suisse et la Principauté de Liechtenstein sur l'adhésion de la Principauté de Liechtenstein à l'accord entre la Confédération suisse, l'Union européenne et la Communauté européenne sur l'association de la Confédération suisse à la mise en oeuvre, à l'application et au développement de l'acquis de Schengen.

Proposition de la minorité

(Flach, Barrile, Glättli, Masshardt, Meyer Mattea, Piller Carrard, Streiff, Wermuth)

Art. 3 al. 1 let. a ch. 1

1. les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales ...

Flach Beat · Mit-M · Nationalrat · Aargau · Grünliberale Fraktion

Wir haben hier den einzigen Minderheitsantrag in diesem Gesetz - ich nenne es Übergangsgesetz -, dessen Tod schon vorausgesagt wurde. Es geht darum, die Definition zu übernehmen, welche Daten von natürlichen Personen besonders schützenswert sind. Die Kommission hat hier in einer Hauruck-Übung, ein bisschen mit einem Schuss aus der Hüfte, beschlossen, dass die gewerkschaftlichen Ansichten nicht mehr dazugehören sollen. Es wurde dann gesagt, diese Tätigkeiten seien eigentlich in der Umschreibung schon aufgenommen, weil die politischen Ansichten und Tätigkeiten ja enthalten seien.

Das ist eventuell richtig; es kann aber genauso gut falsch sein. Ich setze mich hier auch nicht irgendwie für die Gewerkschaften ein, sondern es hat einen staatspolitischen Hintergrund. Wir sollten nicht anfangen, solche Formulierungen in einem Gesetz ad hoc zu ändern, notabene noch in einem Gesetz, von dem wir wissen, dass wir es sowieso nicht so lange haben werden und dass wir es dann wieder überarbeiten und mit der Änderung der Datenschutz-Grundverordnung und der Änderung des Datenschutzgesetzes per se zusammenführen müssen. Es macht keinen Sinn, dass wir mit einem Schuss aus der Hüfte hier einen stehenden Begriff, den wir seit 1992 so im Datenschutzgesetz drin haben, einfach herausstreichen und sagen, das sei sowieso aufgenommen. Das schafft Unsicherheiten bei den Gerichten.

Ich muss Ihnen auch sagen, es entspricht auch nicht der Formulierung der EMRK. Es entspricht auch nicht der Formulierung, wie sie in der Richtlinie enthalten ist. Dort heisst es, dass die weltanschauliche Überzeugung oder die Gewerkschaftszugehörigkeit zu diesen besonders schützenswerten personenbezogenen Daten gehören. Davon ist dann plötzlich vielleicht auch eine Mitgliedschaft in der Polizeigewerkschaft betroffen. Was bedeutet es, wenn wir hier als Staat diesen Teil plötzlich herausnehmen und einfach sagen, das sei alles erfasst vom Begriff der politischen Ansichten?

Ich glaube, das ist falsch, und ich bitte Sie, hier aus Gründen der Rechtsordnung und der Klarheit der Minderheit zu folgen und diese Streichung zu unterlassen.

Wermuth Cédric · Mit-M · Nationalrat · Aargau · Sozialdemokratische Fraktion

Ich gebe zu Protokoll, dass die Unvollständigkeit der Anmeldung ein Versehen war und voll und ganz in meinen Verantwortungsbereich fällt. Trotzdem äussere ich seitens der sozialdemokratischen Fraktion kurz die Bitte, dass Sie hier der Minderheit Flach folgen mögen.

Voraussenden möchte ich eine Information zuhanden des Amtlichen Bulletins - ich habe niemanden gehört in diesem Saal, der oder die das anders interpretiert hätte: Materiell ändert sich am Schutz der Gewerkschaftsrechte und der Schutzwürdigkeit der Ansichten und Tätigkeiten gewerkschaftlicher Natur im Sinne von Artikel 3 nichts, auch wenn Sie den Begriff "gewerkschaftlichen" streichen. Wenn Sie es aber tun, ist es in einem unsinnigen Gesetz auch noch ein unsinniger Versuch, am falschen Ort Politik mit etwas zu machen, das hier nicht angesiedelt ist.

Wir haben gestern hier in diesem Saal das Hohelied des Prinzips "pacta sunt servanda" gesungen. Die Schweiz hat internationale Abkommen zur Gewerkschaftsfreiheit unterzeichnet: ILO 87 und 98, Artikel 11 EMRK, Uno-Pakt I. Auch Artikel 28 der Bundesverfassung verbrieft dieses Recht und hält es fest. Eben erst hat sich auch das Bundesgericht in einem publizierten Leitentscheid wieder zur Frage der Gewerkschaftsfreiheit geäussert; es ist der Entscheid 2C_499/2015, der am 6. September 2017 getroffen wurde. Das Bundesgericht hält dort fest, dass die Gewerkschaftsfreiheit sowohl in einer kollektiven Komponente, der Koalitionsfreiheit, wie auch in einer individuellen Komponente, das ist der Schutz des gewerkschaftlichen Engagements, besteht. Dieser Schutz des gewerkschaftlichen Engagements ist beispielsweise gerade auch für die FDP-Liberale Fraktion zentral, weil er im Kern der Schutz der Unantastbarkeit der Sozialpartnerschaft durch den Staat ist. Darum geht es, dass besonders schützenswerte Daten aus gewerkschaftlichem Engagement, gerade im Rahmen von sozialpartnerschaftlichen Verhandlungen - und ja, auch harten Auseinandersetzungen -, nicht Objekte eines Übergriffes des Staates werden können.

Abschliessend, wie gesagt: Sie können die Äquivalenz mit der EU-Datenschutz-Grundverordnung, die Bestimmungen der Bundesverfassung, Artikel 11 EMRK und ILO 87 und 98 mit der Streichung in dieser Detailberatung nicht aufheben, aber es wäre sowohl gegen innen wie auch gegen aussen ein völlig sinnloses politisches Signal, eine solche Frage hier auf diesem Nebenschauplatz ausfechten zu wollen.

de Buman Dominique · P-M · Nationalrat · Freiburg · CVP-Fraktion

Le président (de Buman Dominique, président): Le groupe libéral-radical me prie de vous communiquer qu'il soutiendra la majorité.

Sommaruga Simonetta · BR-F · Bundesrat · Bern

Nach dem Entscheid, dass Sie die Datenschutzgesetzgebung in zwei Etappen beraten, müssen Sie jetzt im Hinterkopf behalten, dass Sie das heutige Datenschutzgesetz und das neue Schengen-Datenschutzgesetz bei der Rechtsanwendung immer parallel lesen müssen. Das gilt auch für die Begriffsdefinitionen. Artikel 3 des Schengen-Datenschutzgesetzes enthält die Legaldefinitionen von verschiedenen Gesetzesbegriffen, die aufgrund der Artikel 3 und 10 der EU-Richtlinie ins schweizerische Recht übernommen werden. Im Übrigen finden dann aber die Begriffe des aktuellen Datenschutzgesetzes weiterhin Anwendung. Das ist auch in Artikel 3 Absatz 2 des Schengen-Datenschutzgesetzes ausdrücklich so festgehalten.

Bei der Bestimmung, um die es hier geht, geht es um den Begriff der besonders schützenswerten Personendaten. Dabei handelt es sich um Datenkategorien, die aufgrund ihrer Sensitivität ein besonderes Risiko für die Grundrechte der betroffenen Personen darstellen, etwa weil sie zu Diskriminierung oder Stigmatisierung führen können. Die Bearbeitung von besonders schützenswerten Personendaten untersteht deshalb strengeren Anforderungen als andere Datenbearbeitung.

Nun möchte die Mehrheit Ihrer Kommission in Artikel 3 Absatz 1 Buchstabe a Ziffer 1 des Schengen-Datenschutzgesetzes die Daten über die religiösen, weltanschaulichen oder politischen Ansichten oder Tätigkeiten als besonders schützenswerte Personendaten qualifizieren. Die Minderheit Flach will diese Auflistung zusätzlich um Daten über die gewerkschaftlichen Ansichten oder Tätigkeiten ergänzen. Die Mehrheit Ihrer Kommission begründet ihren Antrag, diesen letzten Teil wegzulassen, hauptsächlich damit, dass die gewerkschaftlichen Ansichten und Tätigkeiten nicht ausdrücklich erwähnt werden müssen, da sie bereits als politische oder weltanschauliche Ansichten oder Tätigkeiten von einem besonderen Schutz profitieren würden. Das heisst, zwischen Mehrheit und Minderheit Ihrer Kommission gibt es ganz offensichtlich keine materielle Differenz.

Ich würde sagen, das ist schon mal wichtig, und das sollte man auch zuhanden der Materialien so festhalten. Andererseits muss man sagen: Wenn Sie etwas ändern, gleichzeitig aber materiell nichts ändern wollen, dann ist das natürlich nicht unbedingt das, was man Klarheit nennt. Wir sind der Meinung, dass hier Klarheit gefragt ist. Sie schaffen übrigens mit dem Antrag der Kommissionsmehrheit auch eine Differenz zur EU-Richtlinie und zum geltenden Datenschutzgesetz, das ja eben neben dem Schengen-Datenschutzgesetz Anwendung finden wird. Da wird man sich fragen, ob jetzt das Gleiche gemeint ist oder ob es doch eine Änderung gibt.

Also noch einmal: Ich habe von mehreren Vertretern der Kommissionsmehrheit zu diesem Punkt gehört, dass es materiell keine Änderung bedeutet. Wenn Sie das so verstehen, dann macht es wirklich keinen grossen Unterschied. Ich würde Ihnen aber beliebt machen, wenn Sie nichts ändern wollen, doch beim heutigen Wortlaut zu bleiben und im Sinn der Klarheit die Minderheit Flach zu unterstützen.

Addor Jean-Luc · Mit-M · Nationalrat · Wallis · Fraktion der Schweizerischen Volkspartei

De quoi parlons-nous? Il s'agit de savoir ce qu'il faut entendre par "données personnelles sensibles". Il y a tout un catalogue de définitions, et dans ce catalogue, il y a une disposition, dans la version de la majorité de la commission, qui nous dit que par "données personnelles sensibles", on entend, entre autres, "les données sur les opinions ou les activités religieuses, philosophiques ou politiques".

La minorité Flach propose d'ajouter à ce catalogue les données concernant les opinions ou activités syndicales. Il est vrai que la portée de ce débat est relative car, comme cela a été relevé à plusieurs reprises déjà aujourd'hui, personne dans la commission n'a cherché à remettre en cause ni la liberté syndicale, ni le fait que les données concernant l'engagement syndical devraient rester dignes de protection.

La question est de savoir comment faire; c'est une question de technique législative ou de vocabulaire: est-ce que, comme la majorité de la commission, on considère que l'engagement syndical est compris dans les activités philosophiques et surtout politiques, ou est-ce qu'il faut mentionner cet engagement expressément? C'est un petit peu comme ce que disait un de mes professeurs à l'université - si j'ose cette comparaison: certains disent - c'est l'opinion de la majorité de la commission - cela va sans dire, et pour d'autres - c'est l'opinion de la minorité -, cela va mieux en le disant.

La majorité de la commission, encore une fois, considère que cela va sans dire et qu'il n'y a pas besoin d'ajouter expressément ce terme. Elle vous propose de rejeter la proposition de la minorité.

Jauslin Matthias Samuel · Mit-M · Nationalrat · Aargau · FDP-Liberale Fraktion

Sie sehen vielleicht schon hier, wie die Diskussionen in der Kommission auch über ganz kleine Sachen, nämlich über Begriffsbestimmungen, emotional hochgeladen über die Runde gingen. Das war übrigens auch ein Grund, warum wir der Ansicht sind, dass eine Teilung in zwei Etappen der bessere Weg ist. Ich möchte mir hier erlauben, Herrn Wermuth aufzurufen, mit ein bisschen mehr positivem Groove an die Sache heranzugehen, damit wir in der zweiten Etappe auch wirklich zu einem Ergebnis kommen. Sonst werden wir dort nämlich anstehen.

Ich kann noch ergänzen, dass der von der Minderheit aufgenommene Antrag mit 16 zu 8 Stimmen abgelehnt wurde und wir empfehlen, der Kommissionsmehrheit zu folgen. Es wurde auch diskutiert, dass "gewerkschaftlich" durch "sozialpartnerschaftlich" ersetzt werden könnte. Leider haben das die Antragsteller nicht so gesehen. Ich denke aber, dass wir in der zweiten Etappe über die Begrifflichkeiten doch noch einmal eingehend diskutieren werden.

Ich empfehle Ihnen, der Kommissionsmehrheit zu folgen.

Abstimmung

Abstimmung - Vote

Für den Antrag der Mehrheit ... 113 Stimmen

Für den Antrag der Minderheit ... 57 Stimmen

(1 Enthaltung)

de Buman Dominique · P-M · Nationalrat · Freiburg · CVP-Fraktion

Ziff. II Einleitung

Antrag der Kommission

Zustimmung zum Entwurf des Bundesrates

Ch. II introduction

Proposition de la commission

Adhérer au projet du Conseil fédéral

Angenommen - Adopté

Ziff. 1 0 Titel

Antrag der Kommission

1 0. Bundesgesetz vom 19. Juni 1992 über den Datenschutz

Ch. 1 0 titre

Proposition de la commission

1. 0. Loi fédérale du 19 juin 1992 sur la protection des données

Angenommen - Adopté

Ziff. 1 0 Art. 26 Abs. 3

Antrag der Kommission

Der Beauftragte übt seine Funktion unabhängig aus, ohne Weisungen einer Behörde oder eines Dritten einzuholen oder entgegenzunehmen ...

Ch. 1 0 art. 26 al. 3

Proposition de la commission

Le préposé exerce ses fonctions de manière indépendante et sans recevoir ni solliciter d'instructions de la part d'une autorité ou d'un tiers ...

Angenommen - Adopté

Ziff. 1 0 Art. 26a

Antrag der Kommission

Abs. 1

Die Amtsdauer des Beauftragten kann zwei Mal erneuert werden.

Abs. 1bis

Verfügt der Bundesrat nicht spätestens sechs Monate vor Ablauf der Amtsdauer aus sachlich hinreichenden Gründen die Nichtverlängerung, so verlängert sich die Amtsdauer stillschweigend.

Ch. 1 0 art. 26a

Proposition de la commission

Al. 1

Le mandat du préposé peut être renouvelé deux fois.

Al. 1bis

La période de fonction est reconduite tacitement, à moins que le Conseil fédéral ne rende, au plus tard six mois avant l'échéance de la période de fonction, une décision fondée sur des motifs objectivement suffisants qui prévoie de ne pas la renouveler.

Angenommen - Adopté

Ziff. 1 0 Art. 26b

Antrag der Kommission

Titel

Nebenbeschäftigung

Abs. 1

Der Beauftragte darf keine zusätzliche Erwerbstätigkeit ausüben. Er darf auch kein Amt der Eidgenossenschaft oder eines Kantons bekleiden und nicht als Mitglied der Geschäftsleitung, des Verwaltungsrates, der Aufsichtsstelle oder der Revisionsstelle eines Handelsunternehmens tätig sein.

Abs. 2

Der Bundesrat kann dem Beauftragten gestatten, eine Nebenbeschäftigung nach Absatz 1 auszuüben, wenn dadurch die Ausübung der Funktion sowie Unabhängigkeit und Ansehen nicht beeinträchtigt werden. Der Entscheid wird veröffentlicht.

Ch. 1 0 art. 26b

Proposition de la commission

Titre

Activité accessoire

Al. 1

Le préposé ne peut exercer aucune activité accessoire lucrative. Il ne peut pas non plus exercer une fonction au service de la Confédération ou d'un canton ni être membre de la direction, du conseil d'administration, de l'organe de surveillance ou de l'organe de révision d'une entreprise commerciale.

Al. 2

Le Conseil fédéral peut autoriser le préposé à exercer une activité accessoire au sens de l'alinéa 1, pour autant que l'exercice de sa fonction ainsi que son indépendance et sa réputation n'en soient pas affectés. Sa décision est publiée.

Angenommen - Adopté

Ziff. 1 0 Art. 31 Abs. 1 Bst. h

Antrag der Kommission

h. Er sensibilisiert die Bevölkerung in Bezug auf den Datenschutz.

Ch. 1 0 art. 31 al. 1 let. h

Proposition de la commission

h. sensibiliser le public à la protection des données personnelles.

Angenommen - Adopté

Ziff. 1 Art. 349a

Antrag der Kommission

... im Sinne von Artikel 7 des Schengen-Datenschutzgesetzes vom ... (SDSG) besteht oder wenn ...

Ch. 1 art. 349a

Proposition de la commission

... au sens de l'article 7 de la loi fédérale du ... sur la protection des données Schengen (LPDS) ou dans l'un des cas suivants ...

Angenommen - Adopté

Ziff. 1 Art. 349b-349f

Antrag der Kommission

Zustimmung zum Entwurf des Bundesrates

Ch. 1 art. 349b-349f

Proposition de la commission

Adhérer au projet du Conseil fédéral

Angenommen - Adopté

Ziff. 1 Art. 349g

Antrag der Kommission

Abs. 1

...

a. ... oder aufgeschoben wird (Art. 18a und 18b des Bundesgesetzes vom 19. Juni 1992 über den Datenschutz);

b. ... oder aufgeschoben wird (Art. 17 und 18 SDSG); oder

c. ... verweigert wird (Art. 19 Abs. 2 Bst. a SDSG).

Abs. 2

Zustimmung zum Entwurf des Bundesrates

Abs. 3

... eine Untersuchung nach Artikel 22 SDSG eröffnet hat.

Abs. 4, 5

Zustimmung zum Entwurf des Bundesrates

Ch. 1 art. 349g

Proposition de la commission

Al. 1

...

a. ... ou différé (art. 18a et 18b de la loi fédérale du 19 juin 1992 sur la protection des données);

b. ... ou différé (art. 17 et 18 LPDS);

c. ... ou totalement (art. 19 al. 2 let. a LPDS).

Al. 2

Adhérer au projet du Conseil fédéral

Al. 3

... conformément à l'article 22 LPDS.

Al. 4, 5

Adhérer au projet du Conseil fédéral

Angenommen - Adopté

Ziff. 1 Art. 349h

Antrag der Kommission

Abs. 1

... eine Untersuchung nach Artikel 22 SDSG verlangen.

Abs. 2, 3

Zustimmung zum Entwurf des Bundesrates

Abs. 4

Ferner gelten die Artikel 23 und 24 SDSG.

Ch. 1 art. 349h

Proposition de la commission

Al. 1

... au sens de l'article 22 LPDS.

Al. 2, 3

Adhérer au projet du Conseil fédéral

Al. 4

Les articles 23 et 24 LPDS s'appliquent pour le surplus.

Angenommen - Adopté

Ziff. 1 Art. 355a Abs. 4; 355f; 355g; Ziff. 2 Art. 95a; 98 Abs. 2; Ziff. 3 Gliederungstitel vor Art. 11b; Art. 11b

Antrag der Kommission

Zustimmung zum Entwurf des Bundesrates

Ch. 1 art. 355a al. 4; 355f; 355g; ch. 2 art. 95a; 98 al. 2; ch. 3 titre précédant l'art. 11b; art. 11b

Proposition de la commission

Adhérer au projet du Conseil fédéral

Angenommen - Adopté

Ziff. 3 Art. 11c

Antrag der Kommission

Abs. 1, 2, 4-7

Zustimmung zum Entwurf des Bundesrates

Abs. 3

... eine Untersuchung nach Artikel 22 des Schengen-Datenschutzgesetzes vom ... eröffnet hat.

Ch. 3 art. 11c

Proposition de la commission

Al. 1, 2, 4-7

Adhérer au projet du Conseil fédéral

Al. 3

... conformément à l'article 22 de la loi fédérale du ... sur la protection des données Schengen.

Angenommen - Adopté

Ziff. 3 Art. 11d-11h; Ziff. 4-6; Ziff. 7 Art. 7 Abs. 2

Antrag der Kommission

Zustimmung zum Entwurf des Bundesrates

Ch. 3 art. 11d-11h; ch. 4-6; ch. 7 art. 7 al. 2

Proposition de la commission

Adhérer au projet du Conseil fédéral

Angenommen - Adopté

Ziff. 7 Art. 8

Antrag der Kommission

Abs. 1, 2, 4-7

Zustimmung zum Entwurf des Bundesrates

Abs. 3

... eine Untersuchung nach Artikel 22 des Schengen-Datenschutzgesetzes vom ... (SDSG) eröffnet hat.

Ch. 7 art. 8

Proposition de la commission

Al. 1, 2, 4-7

Adhérer au projet du Conseil fédéral

Al. 3

... conformément à l'article 22 de la loi fédérale du ... sur la protection des données Schengen (LPDS).

Angenommen - Adopté

Ziff. 7 Art. 8a

Antrag der Kommission

Abs. 1, 3-5

Zustimmung zum Entwurf des Bundesrates

Abs. 2

... eine Untersuchung nach Artikel 22 SDSG eröffnet hat.

Ch. 7 art. 8a

Proposition de la commission

Al. 1, 3-5

Adhérer au projet du Conseil fédéral

Al. 2

... conformément à l'article 22 LPDS.

Angenommen - Adopté

Ziff. 8; III

Antrag der Kommission

Zustimmung zum Entwurf des Bundesrates

Ch. 8; III

Proposition de la commission

Adhérer au projet du Conseil fédéral

Angenommen - Adopté

Abstimmung

Gesamtabstimmung - Vote sur l'ensemble

Für Annahme des Entwurfes ... 174 Stimmen

Dagegen ... 5 Stimmen

(2 Enthaltungen)

de Buman Dominique · P-M · Nationalrat · Freiburg · CVP-Fraktion

2. Bundesbeschluss über die Genehmigung des Notenaustauschs zwischen der Schweiz und der Europäischen Union betreffend die Übernahme der Richtlinie (EU) 2016/680 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten zum Zwecke der Verhütung, Ermittlung, Aufdeckung oder Verfolgung von Straftaten oder der Strafvollstreckung (Weiterentwicklung des Schengen-Besitzstands)

2. Arrêté fédéral portant approbation de l'échange de notes entre la Suisse et l'Union européenne concernant la reprise de la directive (UE) 2016/680 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales (Développement de l'acquis de Schengen)

Detailberatung - Discussion par article

Titel und Ingress, Art. 1, 2

Antrag der Kommission

Zustimmung zum Entwurf des Bundesrates

Titre et préambule, art. 1, 2

Proposition de la commission

Adhérer au projet du Conseil fédéral

Angenommen - Adopté

Abstimmung

Gesamtabstimmung - Vote sur l'ensemble

Für Annahme des Entwurfes ... 170 Stimmen

Dagegen ... 5 Stimmen

(2 Enthaltungen)

Abschreibung - Classement

Antrag des Bundesrates

Abschreiben der parlamentarischen Vorstösse

gemäss Brief an die eidgenössischen Räte

Proposition du Conseil fédéral

Classer les interventions parlementaires

selon lettre aux Chambres fédérales

Angenommen - Adopté