Welche Massnahmen braucht es?
Stelle sicher, dass Personendaten durch geeignete technische und organisatorische Massnahmen gesichert werden. Das Gesetz schreibt hier nicht vor, welche Massnahmen richtig oder falsch sind. Vielmehr muss im Einzelfall geprüft werden, wie hoch die Risiken einer Verletzung sind, um eine geeignete Massnahme zu bestimmen. Die Mindestanforderungen an die Datensicherheit sind in der Verordnung zum revidierten Datenschutzgesetz geregelt.
Was sind geeignete technische oder organisatorische Massnahmen?
Da kommt einiges in Frage, so werden in der Verordnung unter anderem Zugriffs- oder Zugangsbeschränkungen aufgeführt. Auch denkbar sind Datenverschlüsselungen bis hin zu Bewachung oder der Installation einer Alarmanlage. Doch auch regelmässige Schulungen, Weisungen oder die sorgfältige Auswahl der Auftragsbearbeiterinnen und Auftragsbearbeiter sind geeignete Massnahmen, um die Datensicherheit zu erhöhen.
Was für Sanktionen gibt es bei einer Missachtung?
Die vorsätzliche Verletzung dieser Anforderungen kann mit einer Busse von bis zu CHF 250’000 sanktioniert werden. Das unterstreicht, wie wichtig dieser Punkt ist.