Welche Angaben muss die Meldung einer Datenpanne an den EDÖB enthalten?
Die Meldung an den Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) muss die Art der Verletzung, soweit möglich Zeitpunkt und Dauer, die betroffenen Daten- und Personenkategorien mit ungefähren Anzahlen, die Folgen einschliesslich allfälliger Risiken, die getroffenen oder vorgesehenen Massnahmen sowie Name und Kontaktdaten einer Ansprechperson enthalten. Fehlen Angaben zunächst, sind sie so rasch als möglich nachzuliefern.
- Die Meldung muss die Art der Verletzung enthalten.
- Sie muss, soweit möglich, den Zeitpunkt und die Dauer enthalten.
- Sie muss, soweit möglich, die Kategorien und die ungefähre Anzahl der betroffenen Personendaten enthalten.
- Sie muss, soweit möglich, die Kategorien und die ungefähre Anzahl der betroffenen Personen enthalten.
- Sie muss die Folgen, einschliesslich der allfälligen Risiken, für die betroffenen Personen enthalten.
- Sie muss angeben, welche Massnahmen getroffen wurden oder vorgesehen sind, um den Mangel zu beheben und die Folgen, einschliesslich der allfälligen Risiken, zu mindern.
- Sie muss den Namen und die Kontaktdaten einer Ansprechperson enthalten.
Die Datenschutzverordnung (DSV) verlangt bei mehreren Angaben ausdrücklich den Zusatz soweit möglich. Das betrifft den Zeitpunkt und die Dauer sowie die Kategorien und die ungefähre Anzahl der betroffenen Personendaten und der betroffenen Personen. Wenn nicht alle Angaben gleichzeitig gemeldet werden können, liefert der Verantwortliche die fehlenden Angaben so rasch als möglich nach. Für die Vorbereitung der Meldung ist deshalb zu prüfen, welche Informationen bereits gesichert vorliegen und welche noch nachgereicht werden müssen, damit die Meldung vollständig ergänzt wird, sobald dies möglich ist.[1]
Neben der Meldung an den EDÖB muss der Verantwortliche die Verletzungen dokumentieren. Die Dokumentation muss die mit den Vorfällen zusammenhängenden Tatsachen, deren Auswirkungen und die ergriffenen Massnahmen enthalten. Sie ist ab dem Zeitpunkt der Meldung mindestens zwei Jahre aufzubewahren. Ist der Verantwortliche verpflichtet, die betroffene Person zu informieren, so teilt er ihr in einfacher und verständlicher Sprache mindestens die Art der Verletzung, die Folgen einschliesslich der allfälligen Risiken, die getroffenen oder vorgesehenen Massnahmen sowie den Namen und die Kontaktdaten einer Ansprechperson mit.[1]
Diese Antwort fasst den auf Fedlex veröffentlichten Rechtstext zusammen. Prüfen Sie vor weiterem Handeln die aktuell in Kraft stehende Fassung der massgebenden Bestimmung und jede spätere Änderung.[1]