Zertifizierungsverfahren im Rahmen der Revision des Bundesgesetzes über den Datenschutz

In Rahmen der Revision zum DSG ist ein freiwilliges Datenschutz-Zertifizierungsverfahren vorgesehen. Betreffend die Zertifizierung von Organisationen soll Zertifizierungsfirmen ein Referenzmodell in zwei Teilen zur Beurteilung vorgelegt werden. Der erste Teil betrifft die von einem Datenschutzmanagementsystem zu erfüllenden Anforderungen, während sich der zweite Teil auf ein Konformitätsprüfungsschema, das heisst auf die aus dem DSG abgeleiteten konkreten Datenschutzerfordernisse, konzentriert.

Im Rahmen der Revision des DSG haben wir unsere Zusammenarbeit mit dem BJ und der SAS/Metas fortgeführt (vgl. unseren 12. Tätigkeitsbericht 2004/2005, Ziffer 1.1.2). Dabei ging es uns darum, die Mindestanforderungen betreffend die Erlangung einer Datenschutzzertifizierung für eine Organisation oder ein Datenbearbeitungsverfahren zu definieren. Wir haben uns in diesem Zusammenhang um eine genauere Umschreibung eines Referenzmodells bemüht, anhand dessen es möglich sein soll, – einerseits – die Existenz und die konkrete Funktionsweise eines Datenschutzmanagementsystems (DMS) in der kontrollierten Organisation nachzuprüfen und sich – andererseits – zu vergewissern, dass das Datenschutzniveau im Zeitpunkt des Audits den geltenden gesetzlichen Erfordernissen entspricht. Zu diesem Zweck schien es uns sinnvoll, das Referenzmodell in zwei unterschiedliche Teile zu trennen: der erste Teil betrifft dabei das DMS, der zweite die Ausgestaltung der Datenschutzanforderungen.

Für die Umschreibung der Erfordernisse eines DMS liessen wir uns von den im neuen Standard ISO/IEC 27001:2005 (vormals BS 7799-2:2002) enthaltenen Bedingungen für die Informationssicherheits-Managementsysteme (ISMS) leiten. Art. 7 Abs. 1 DSG (Datensicherheit) schreibt in dieser Hinsicht vor, dass Personendaten durch angemessene technische und organisatorische Massnahmen gegen unbefugtes Bearbeiten geschützt werden müssen. Es ist daran zu erinnern, dass der Audit-Standard ISO/IEC 27001:2005 vollständig auf dem Standard ISO/IEC 17799:2005 beruht, der insgesamt 15 Kapitel und 134 Kontrollen umfasst, unter denen 15.1.4 spezifisch die Konformität der Bearbeitungen von Personendaten betrifft. Diese letztere Kontrolle wurde im Lichte des DSG konkretisiert und bildet den zweiten Teil des Referenzmodells, den wir als „Konformitätsprüfungsschema“ bezeichnen.

Die Arbeitshypothese lautet wie folgt: unter der Voraussetzung eines im Zeitpunkt des Audits als konform anerkannten Datenschutzniveaus und des Beitrags eines DMS, mit dessen Hilfe das Datenschutzniveau grundsätzlich bestehen bleiben (oder sogar verbessert werden) soll, müssten die Datenschutzanforderungen dauerhaft erfüllt werden. Eine Datenschutzzertifizierung kann sodann für einen Zeitraum von mehreren Jahren ausgestellt werden, während dessen Verlaufs Zwischenaudits vorgesehen sind und an dessen Ende ein neues Gesamtaudit stattfindet.

Wir beabsichtigen nun, unseren Entwurf eines Referenzmodells den Zertifizierungsunter-nehmen vorzulegen, die Erfahrung mit den Normen ISO 900x und/oder ISO 17799 haben, um die Integrität und die Anwendbarkeit dieses Modells sicherzustellen.

[Juli 2006]

https://www.edoeb.admin.ch/content/edoeb/de/home/dokumentation/taetigkeitsberichte/aeltere-berichte/13--taetigkeitsbericht-2005-2006/zertifizierungsverfahren-im-rahmen-der-revision-des-bundesgesetz.html