Das Schweizer Bundesgesetz über den Datenschutz, für die GxP-IT
Welche Pflichten des revidierten Schweizer Datenschutzrechts auf die IT-Abteilung eines von Swissmedic bewilligten Unternehmens fallen, und wie sie neben den Validierungsaufzeichnungen derselben Systeme bleiben.
Das revidierte Recht
Das Bundesgesetz über den Datenschutz (DSG) und seine Verordnung (DSV) gelten in revidierter Form seit dem 1. September 2023. Sie binden Unternehmen, die in der Schweiz personenbezogene Daten bearbeiten. Die Aufsicht führt der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Verbindlich ist das Gesetz auf Deutsch, Französisch und Italienisch.
Was auf die IT fällt
Ein guter Teil des Gesetzes wird von der IT umgesetzt, dokumentiert oder vertraglich geregelt.
- Datenschutz durch Technik und datenschutzfreundliche Voreinstellungen (DSG Art. 7) und eine dem Risiko angemessene Datensicherheit (Art. 8, DSV Art. 1–3): Zugriff, Verfügbarkeit, Integrität und Nachvollziehbarkeit
- Protokollierung, wo umfangreich besonders schützenswerte Daten automatisiert bearbeitet werden und andere Maßnahmen den Datenschutz nicht gewährleisten (DSV Art. 4)
- Ein Verzeichnis der Bearbeitungstätigkeiten (DSG Art. 12), mit der Ausnahme für kleinere Unternehmen und ihren Grenzen
- Auftragsbearbeiter vertraglich gebunden, Unterauftragsbearbeiter nur mit Genehmigung (DSG Art. 9)
- Bekanntgabe ins Ausland nur in Staaten mit angemessenem Schutz oder mit geeigneten Garantien (DSG Art. 16, 17)
- Folgenabschätzungen vor Bearbeitungen mit hohem Risiko (DSG Art. 22), und Verletzungen der Datensicherheit mit voraussichtlich hohem Risiko so rasch wie möglich an den EDÖB gemeldet (Art. 24)
- Auskunftsbegehren binnen 30 Tagen beantwortet (DSG Art. 25)
Mit dem GxP Validation Assistant
Wie der Assistant das unterstützt
Das Gesetz als Regelpaket
Jede Pflicht mit ihrem Artikel in eigenen Worten, in Kraft, mit dem Overlay Datenschutz genutzt und von der Schweizer Verfahrensanweisung zur Datensicherheit zitiert.
Mit Systemen verknüpft
Bearbeitungstätigkeiten, Auftragsbearbeiter, Maßnahmen, Folgenabschätzungen, Verletzungen und Auskunftsbegehren, jeweils mit den Systemen verknüpft, die sie betreffen.
Fristen
Meldungen von Verletzungen, die 30 Tage für eine Auskunft und die Prüftermine jeder Aufzeichnung erscheinen auf der Seite Heute.
Eine Bewertung
Ein Vorfall wird einmal auf GxP-, Sicherheits- und Datenschutzwirkung bewertet, damit eine Verletzung nicht in einem IT-Ticket untergeht.
Regeltexte sind Zusammenfassungen in eigenen Worten mit ihren Artikeln; die verbindlichen Texte stehen auf fedlex.admin.ch. Der Assistant deckt den Teil der IT am Datenschutz ab; er ersetzt Ihre Datenschutzberatung nicht.
Sehen Sie es an Ihren eigenen Systemen.
Sehen Sie das Webinar, oder installieren Sie den Assistant und testen Sie ihn 14 Tage.