Datenschutz im Smart Grid

Aktuelle Entwicklungen

Inhalte

Die Datenschutzgesetze des Bundes und der Kantone dienen dem Schutz der Persönlichkeit von (natürlichen und juristischen) Personen. Die Bearbeitung von Personendaten ist nur unter eingeschränkten Voraussetzungen möglich.

Mit der Totalrevision des Datenschutzgesetzes (DSG) soll der Schutz der Bürgerinnen und Bürger verbessert und das Schweizer Datenschutzrecht den europäischen Standards angepasst werden. Um die schnelle Übernahme einer zum Schengen-Besitzstand gehörenden EU-Datenschutzrichtlinie zu ermöglichen, hatte das Parlament 2018 entschieden, die Vorlage zu teilen und erst die für die Umsetzung dieser Richtlinie erforderlichen Bestimmungen zu verabschieden. Diese traten am 1. März 2019 in Kraft.

Parallel dazu wurde die Beratung der restlichen Bestimmungen fortgesetzt. Im Rahmen der Detailberatung traf der Nationalrat folgende Beschlüsse:

• Ernennung des Datenschutz- und Öffentlichkeitsbeauftragten mittels Direktwahl durch das Parlament

• Recht auf Datenportabilität, d.h. jede Person soll von einem Dienstleister (z. B. einem Anbieter von Onlinediensten) verlangen können, gewisse, sie betreffende Personendaten kostenlos in einem elektronischen Format an sie herauszugeben, um diese Daten einem anderen Dienstleister übergeben zu können

• Definition der besonders schützenswerten Personendaten, u.a. genetische Daten, nicht aber Daten über Sozialhilfemassnahmen

• Ausländische Unternehmen, die in der Schweiz Dienstleistungen anbieten, soll sich an das Schweizer Datenschutzrecht halten müssen sowie eine Vertreterin oder einen Vertreter in der Schweiz bezeichnen

• Keine gesonderte Regelung für den Umgang mit Daten verstorbener Personen

• Keine ausdrückliche Einwilligung der Betroffenen für ein Profilig (=automatisierte Datenauswertung in Bezug auf bestimmte Merkmale einer Person)

• Verschärfung der strafrechtlichen Sanktionen, namentlich Maximalbussen für natürliche Person bis zu CHF 250’000.-, dagegen Verzicht auf verwaltungsrechtliche Sanktionen gegen juristische Personen

• Anpassungszeit von zwei Jahren für die Unternehmen nach Ablauf der Referendumsfrist bzw. einer allfälligen Volksabstimmung

Strittig ist, ob die revidierten Datenschutzbestimmungen äquivalent zum europäischen Datenschutzniveau sind. Wird die Äquivalenz von der EU negativ beurteilt, drohen Schweizer Unternehmen künftig Mehraufwände im Austausch von Personendaten in/von EU-Mitgliedsstaaten.

Der Ständerat verfolgt insbesondere zwei Ziele: Zum einen sollen die Bürgerinnen und Bürger auch im Zeitalter der Digitalisierung ein hohes Schutzniveau geniessen, zum anderen soll der Schutzstandard in der Schweiz mit demjenigen der EU vergleichbar sein, sodass von einer Anerkennung der Äquivalenz des Schweizer Datenschutzrechts ausgegangen werden kann. Um letzteres zu erreichen weicht die SPK-S in mehreren Punkten vom Nationalrat ab:

• Die Daten über gewerkschaftliche Ansichten oder Tätigkeiten sollen wieder in die Liste besonders schützenswerter Personendaten aufgenommen werden (Art. 4 Bst. c Ziff. 1 E-DSG).

• Die Ausnahme von der Informationspflicht bei unverhältnismässigem Aufwand sei entgegen dem Nationalrat aufzuheben (Art. 18 Abs. 1 Bst. e E-DSG).

• Die Kommission verzichtet darauf, bei der Ausübung des Auskunftsrechts einen abschliessenden Katalog der zu erteilenden Informationen einzuführen (Art. 23 Abs. 2 E-DSG).

• Die vorsätzliche Nichteinhaltung der Anforderungen an die Datensicherheit soll entsprechend dem Vorschlag des Bundesrates strafrechtlich sanktioniert werden.

Zur Erhöhung des Schutzniveaus ist die SPK-S auch in folgenden Punkten von den Beschlüssen des Nationalrates abgewichen:

• Aufgrund vorhandener Lücken im Bereich Profiling wird von der SPK-S beantragt, dass die Datenverarbeitung einen erhöhten Schutz vorsieht. Allerdings hat sich die Kommission entgegen dem Bundesrat für eine Kompromisslösung ausgesprochen, welche nur einen erhöhten Schutz vorsieht, wenn es sich um ein “Profiling mit hohem Risiko“ handelt.

• Die Rechte der einer Bonitätsprüfung unterzogenen Person sollen gestärkt werden. Dazu wird die Datenverarbeitung von Daten, die von Minderjährigen stammen oder älter als fünf Jahre alt sind, eingeschränkt.

• Um Bedenken von Medienunternehmen aus dem Weg zu räumen, soll eine Präzisierung vorgenommen werden, wonach auch die journalistische Recherche vom Rechtfertigungsgrund umfasst wird. Dadurch können Medien eine Datenverarbeitung, welche Persönlichkeitsrechte verletzt, auch dann rechtfertigen, wenn die Daten im Hinblick auf eine Publikation erhoben und gespeichert wurden. Dies gilt auch, wenn die Publikation nicht veröffentlicht wird.

• Bei den Erleichterungen, von denen Unternehmen bei Ernennung von Datenschutzberatern profitieren können, folgt die SPK-S dem Nationalrat. Dadurch könne die Selbstregulierung und das Verantwortungsbewusstsein gestärkt werden.

Das Änderungsprotokoll der Datenschutzkonvention sieht im Bereich des Verantwortlichen für die Datenverarbeitungen folgende Änderungen vor:

• Die Pflichten werden ausgeweitet. So sind Datenschutzverletzungen der Aufsichtsbehörde zu melden und die betroffene Person muss über die Beschaffung der Personendaten informiert werden.

• Im Vorfeld bestimmter Datenbearbeitungen muss eine Datenschutz-Folgenabschätzung vorgenommen werden.

Das Änderungsprotokoll der Datenschutzkonvention sieht im Bereich der Rechte der betroffenen Person folgende Änderungen vor:

• Insgesamt wird es ein Ausbau der Rechte sein, insbesondere in Bezug auf das Auskunftsrecht sowie bei automatisierten Einzelentscheiden.

• Die Vertragsstaaten werden verpflichtet, ein Sanktionssystem sowie ein Rechtsmittelsystem einzuführen. Zudem soll den Aufsichtsbehörden eine Befugnis eingeräumter werden, wonach diese verbindliche Entscheide erlassen können.

Für die Modernisierung sowie den Schutz der Privatsphäre hat die Datenschutzkonvention grosse Bedeutung. So berücksichtigt die EU bei der anstehenden Angemessenheitsprüfung des Schweizerischen Datenschutzniveaus, ob die Schweiz der Konvention beigetreten ist. Zudem würde ein Beitritt den Datenaustausch mit jenen Ländern erleichtern. Um dies aber zu erreichen sind diverse Anpassungen im Datenschutzgesetz (DSG) vorzunehmen. Mit einer Ratifikation würden auch die Kantone verpflichtet, die Anforderungen zu erfüllen und in ihre Recht umzusetzen.

Durch die von der SPK-S beantragte Kompromisslösung wird der risikobasierte Ansatz bestätigt und die Definition von Profiling mit hohem Risiko dahingehend präzisiert, dass sich diese nun an der Definition des Persönlichkeitsprofils im geltenden Recht orientiert. Dadurch soll gemäss SPK-S Rechtssicherheit geschaffen werden. Überdies beantragt die Kommission, dass Daten, anhand derer die Kreditwürdigkeit einer Person beurteilt wird, nicht älter als fünf Jahre sein dürfen.

Der Ständerat hat sich am 02. Juni 2020 mit den verbleibenden Differenzen auseinandergesetzt. Ziel des Ständerates ist es, das Datenschutzgesetz europarechtskompatibel zu revidieren:

• Beim Profiling (automatisierte Bearbeitung von Personendaten, bspw. in Onlineshops) hat der Ständerat dem Kompromissvorschlag der SPK-S zugestimmt. Demnach sollen die verschärften Vorschriften für die Unternehmen nur gelten, wenn mit der Datenverknüpfung wesentliche Aspekte der Betroffenen beurteilt werden können. Diese Bestimmung soll Rechtssicherheit schaffen, da sie sich an der Definition des Persönlichkeitsprofils im geltenden Recht orientiert. Abweichend davon hält die SPK-N an seiner Sitzung vom 03. Juli 2020 am Antrag des Nationalrates fest, wonach auf besondere Voraussetzungen für das Profiling zu verzichten ist, namentlich auf die ausdrückliche Einwilligung der betroffenen Person. Der Kompromissvorschlag des Ständerates vermochte die SPK-N nicht zu überzeugen und sie befürchtet negative Folgen für die Wirtschaft, wenn es zu einem «Swiss finish» kommen sollte. Im weiteren hat sich die Kommission gegen einen Antrag auf Einführung des Widerspruchsrechts gegen das Profiling ausgesprochen.

• Der Ständerat hat bei der Bonitätsprüfung abweichend vom Nationalrat beschlossen, dem Bundesrat zu folgen. Demnach sollen bei der Bonitätsprüfung die Personendaten lediglich über einen Zeitraum von fünf Jahren zurückverfolgt werden dürfen. Abweichend davon hält die SPK-N am Antrag des Nationalrates fest, wonach die Bearbeitung erst nach zehn Jahren eingeschränkt werden soll.

• Bei der Definition der genetischen Daten folgt der Ständerat dem Bundesrat und möchte die Definition abweichend vom Nationalrat nicht näher definieren. Der Ständerat befürchtet ansonsten eine Unvereinbarkeit mit dem EU-Schutzniveau. Die SPK-N beantragt hier einstimmig, dem Ständerat zu folgen.

Aufgrund der Massnahmen der bevorstehenden Ratifizierung der modernisierten Datenschutzkonvention müssen die Vertragsstaaten ein Sanktionssystem und Rechtsmittel vorsehen. Zudem müssen Aufsichtsbehörden die Befugnis haben, verbindliche Entscheidungen zu erlassen.

Der Ständerat hat an seiner Sitzung vom 23. September 2020 die Differenz bei der Bonitätsprüfung bereinigt. Der Ständerat folgt stillschweigend dem Nationalrat. Demnach dürfen Personendaten über zehn Jahre zurückverfolgt werden, um die Kreditwürdigkeit einer Person abzuschätzen. Festgehalten hat der Ständerat hingegen an seiner Position bezüglich des Profilings. Er will weiterhin zwischen normalem Profiling und Profiling mit “hohem Risiko“ unterscheiden. Damit geht diese Differenz in die Einigungskonferenz. Bereits am 24. September 2020 hat die Einigungskonferenz auch diese letzte Differenz bereinigt und der Nationalrat folgt dem Kompromissvorschlag des Ständerats. Demnach wird künftig zwischen normalen Profiling und Profiling mit “hohem Risiko“ unterscheiden. Letzteres ist nur mit ausdrücklicher Zustimmung der Betroffenen möglich.

Revision Datenschutzverordnung:

Die vorgesehenen Änderungen betreffen u.a. die Bestimmungen über die Mindestanforderungen an die Datensicherheit, die Modalitäten der Informationspflichten und des Auskunftsrechts oder die Meldung von Verletzungen der Datensicherheit. Für private Verantwortliche mit weniger als 250 Mitarbeitenden regelt die Verordnung die Ausnahmen, in welchen sie von der Pflicht befreit sind, ein Verzeichnis der Bearbeitungstätigkeiten zu führen. Weiter werden in der Verordnung für die Bekanntgabe von Personendaten ins Ausland die Kriterien festgehalten, gemäss welchen der Bundesrat beurteilt, ob er das Datenschutzrecht eines Staates als angemessen erachtet oder nicht. Weitere Anpassungen betreffen die Bestimmungen über den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB), dessen Stellung und Unabhängigkeit mit dem neuen DSG gestärkt wird.

Der Vorentwurf, der erläuternde Bericht und eine Vergleichstabelle der alten zur neuen Verordnung sind online einsehbar.

Relevanz für Unternehmen der Energiewirtschaft

Parallelität von Bundesrecht und kantonalem Recht: Das bundesrechtliche Datenschutzgesetz gilt für privaten Unternehmen der Energiewirtschaft, die kantonalen Datenschutzgesetze finden auf viele öffentliche Energieunternehmen Anwendung.

Unternehmen der Energiewirtschaft bearbeiten Personendaten und haben die Datenschutzgesetze zu beachten. Der Rollout von Smart Metern und der Aufbau des Smart Grids wird zu einem Anwachsen des Datenvolumens führen.

Die derzeitige Regulierung dürfte die Einführung von Smart Grid-Funktionalitäten und von neuen Geschäftsmodellen eher hemmen als fördern. Es ist mit der Einführung einer allgemeinen und sektorspezifischen Bundesregelung für alle Energieunternehmen zu rechnen.

Durch einen Beitritt zur modernisierten Datenschutzkonvention des Europarates soll der grenzüberschreitende Datenverkehr im öffentlichen Sektor aber auch in der Privatwirtschaft erleichtert werden. Dazu würden die Pflichten des Verantwortlichen ausgeweitet, er würde insbesondere dazu verpflichtet, der zuständigen Aufsichtsbehörde gewisse Datenschutzverletzungen zu melden. Zudem hätte er die betroffenen Personen zu informieren und im Vorfeld bestimmter Datenbearbeitungen eine Datenschutz-Folgenschätzung vorzunehmen.

Weiterführende Informationen / Publikationen

• Datensicherheit und Datenschutz für Smart Grids: Offene Fragen und mögliche Lösungsansätze (2014)

• Folgeabschätzung einer Einführung von «Smart Metering» (2012).

<CS/SW/ 31. August 2022>