Informationspflicht bei Datensicherheitsverletzungen: Erste Leitlinien des Bundesverwaltungsgerichtes (BVGer) zu Art. 24 DSG
Das BVGer konkretisiert erstmals die Melde- und Informationspflichten bei Datensicherheitsverletzungen nach Art. 24 DSG.
Eine Datensicherheitsverletzung liegt bereits vor, wenn Personendaten für Unbefugte zugänglich sind. Ein tatsächlicher Zugriff, Missbrauch oder Schaden muss nicht nachgewiesen werden.
Das Datenschutzrecht hat einen präventiven Charakter: Die Informationspflicht dient nicht primär der Transparenz, sondern soll Betroffenen ermöglichen, rechtzeitig Schutzmassnahmen zu ergreifen (z.B. Konten überwachen, Passwörter ändern), um potenzielle Schäden zu verhindern.
Nachträgliche technische Massnahmen (z.B. Schliessen der Sicherheitslücke oder Entfernen aus Suchmaschinen) sowie erheblicher Zeitablauf seit der Datenschutzverletzung beseitigen die bereits erfolgte Offenlegung der Personendaten nicht und lassen die Informationspflicht grundsätzlich nicht entfallen.
Die Ausnahmeregelung der Informationspflicht (Art. 24 Abs. 5 DSG) ist restriktiv anzuwenden. Bei hohem Risiko für Betroffene sind mildere Mittel einem vollständigen Verzicht auf Information vorzuziehen.
Ist eine individuelle Benachrichtigung unmöglich oder unverhältnismässig, kann eine öffentliche Bekanntmachung als Ersatz der individuellen Information in Betracht kommen. Eine öffentliche Bekanntmachung bleibt auch dann verhältnismässig, wenn dadurch viele nicht betroffene Personen erreicht werden. Entscheidend ist, dass die tatsächlich Betroffenen noch erreicht werden können. Das DSG verpflichtet aber in solchen Fällen nicht zur öffentlichen Bekanntgabe. Da der EDÖB im Rahmen verwaltungsrechtlicher Massnahmen grundsätzlich nur gesetzlich bereits bestehende Pflichten durchsetzen kann, fehlt ihm die Kompetenz eine öffentliche Bekanntmachung anzuordnen. Offen bleibt daher die Frage, auf welcher rechtlichen Grundlage eine Pflicht zur öffentlichen Bekanntmachung bestehen soll, wenn eine individuelle Information unmöglich oder unverhältnismässig ist.
European Accessibility Act
Der Europäische Rechtsakt zur Barrierefreiheit (European Accessibility Act, EAA) zielt darauf ab, den Zugang zu zentralen Produkten und Dienstleistungen für Menschen mit Behinderungen und ältere Personen zu verbessern- und gleichzeitig den europäischen Markt durch einheitliche Barrierefreiheitsstandards zu stärken.