Eingereichter Text
Am 4. Dezember 2017 forderte die französische CNIL (Commission Nationale de l’Informatique et des Libertés) das Unternehmen Genesis auf, sich gesetzeskonform zu verhalten, um sein vernetztes Spielzeug weiterhin verkaufen zu können. Deutschland hat diese Spielzeuge im Februar 2017 verboten. Es hatte sich herausgestellt, dass böswillige Personen sich über Bluetooth mit vernetztem Spielzeug verbinden können – ohne Passwort oder andere Sicherheitsmassnahme. So ist es leicht möglich, einem Kind ohne Wissen der Eltern zuzuhören und mit ihm zu sprechen. Auch die Analyse und Übermittlung der zu Werbezwecken erhobenen Daten werden beim Kauf des Spielzeugs nicht klar deklariert. Die Eltern wissen daher nicht, dass ihre eigenen Daten und die ihrer Kinder unkontrolliert ins Ausland übermittelt werden.
Verschiedene Abklärungen haben ergeben, dass in der Schweiz keine Organisation so intervenieren könnte, wie dies bei unseren Nachbarn möglich ist, um die Einhaltung des schweizerischen Rechts zu gewährleisten. Der Bundesrat wird gebeten, die folgenden Fragen zu beantworten:
1. Ist es effektiv nicht möglich, gegen vernetzte Objekte vorzugehen, bei denen bestimmte Mindestanforderungen an die Sicherheit im Bereich des Datenschutzes nicht eingehalten werden?
2. Warum ist das Bundesgesetz über die Produktesicherheit bei einer Verletzung der Privatsphäre nicht anwendbar?
3. Welche Lösungen könnte es geben, damit ein Bundesorgan eingreifen kann?
4. Wäre es denkbar, dass der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte dem SECO empfiehlt, bestimmte Produkte vom Markt zu nehmen?
5. Kann der Bundesrat garantieren, dass mit der Revision des Datenschutzgesetzes und den Grundsätzen “privacy by design and by default” und “control by design” diese Art von Problemen künftig nicht mehr vorkommt?
6. Muss der Importeur oder Händler prüfen, ob ein vernetztes Objekt sicher und gesetzeskonform ist, wie z. B. im Lebensmittelbereich?
7. Wo steht man in der Diskussion auf europäischer Ebene zur Frage, wie man besser auf ungesicherte vernetzte Objekte reagieren kann?
Stellungnahme des Bundesrats vom 21. Februar 2018
Vernetztes Spielzeug kann unter verschiedene Gesetzesbestimmungen fallen. Das Bundesgesetz über den Datenschutz (DSG, SR 235.1) gilt für die Bearbeitung von Personendaten, ausser wenn die Daten ausschliesslich zum persönlichen Gebrauch bearbeitet und nicht an Aussenstehende bekannt gegeben werden. Das Abhören und Aufnehmen von Gesprächen kann strafbar sein (Art. 179ter ff. StGB, SR 311.0). Vernetze Spielsachen werden ausserdem durch die Verordnung des EDI über die Sicherheit von Spielzeug (VSS, 817.023.11) und die Verordnung über Fernmeldeanlagen (FAV, SR 784.101.2) geregelt.
Der Bundesrat nimmt zur Interpellation wie folgt Stellung:
1. Nach Auffassung des Bundesrates gibt es bereits heute Vorgehensmöglichkeiten. Wenn das Unternehmen, welches das betreffende vernetzte Spielzeug herstellt, Personendaten bearbeitet (z. B. über eine App, die heruntergeladen werden kann) und sofern die Datenbearbeitung einen genügend engen Anknüpfungspunkt zur Schweiz aufweist (BGE 138 II 346), ist das DSG anwendbar. Der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB) könnte dem Inhaber der Datensammlung deshalb beispielsweise empfehlen, die Datenbearbeitung zu unterlassen (Art. 29 Abs. 3 DSG). Wird eine solche Empfehlung nicht befolgt, so kann der EDÖB die Angelegenheit dem Bundesverwaltungsgericht zum Entscheid vorlegen (Art. 29 Abs. 4 DSG). Mit dem Entwurf zur Revision des DSG (E‑DSG, BBl 2017 7193) soll der EDÖB Verfügungskompetenzen erhalten. Danach soll der EDÖB bei einer widerrechtlichen Datenbearbeitung die Datenbearbeitung untersagen und anordnen können, dass die betroffenen Personendaten vernichtet werden müssen. Er könnte auch anordnen, dass im Bereich der Sicherheit geeignete technische und organisatorische Massnahmen getroffen werden müssen (s. Art. 45 Abs. 1 und 3 i. V. m. Art. 7 E‑DSG).
2. Das Bundesgesetz über die Produktesicherheit (PrSG, 930.11) schützt die Sicherheit und die Gesundheit der Verwenderinnen und Verwender sowie Dritter. Der Zweck des PrSG ist die genuin körperliche Sicherheit und Gesundheit und damit allein der Schutz der körperlichen Unversehrtheit bei der Produktbenutzung, nicht jedoch der Schutz der Personendaten oder der Privatsphäre. In Bezug auf vernetzte Spielzeuge muss zusätzlich festgehalten werden, dass in erster Linie die VSS anwendbar ist. Nur für Aspekte, welche die VSS nicht abdeckt, kommt eine subsidiäre Anwendung des PrSG in Frage.
3. Siehe Ziffern 1, 5 und 7.
4. Wie unter Ziffer 1 dargelegt, wird der EDÖB mit der Revision des DSG Verfügungen in Bezug auf das Bearbeiten von Personendaten erlassen können. Es ist jedoch nicht vorgesehen, ihm die Kompetenz zu verleihen, Produkte vom Markt zu nehmen. Dies fiele nicht mehr in den Bereich des Datenschutzes.
5. Der E‑DSG umfasst verschiedene Massnahmen, die dazu beitragen sollten, dass die für die Datenbearbeitung Verantwortlichen mehr Verantwortung tragen. Dazu gehört auch die Einhaltung der Grundsätze des Datenschutzes durch Technik und datenschutzfreundliche Voreinstellungen. Ausserdem müssen die Verantwortlichen durch geeignete organisatorische und technische Massnahmen die angemessene Sicherheit der Daten gewährleisten und eine Datenschutz-Folgenabschätzung durchführen, wenn eine Bearbeitung ein hohes Risiko für die Persönlichkeit der betroffenen Person mit sich bringen kann. Es ist nicht auszuschliessen, dass in Zukunft weitere Massnahmen erforderlich sind, die nicht unbedingt in den Bereich des Datenschutzes fallen. Der Bundesrat verweist diesbezüglich insbesondere auf seine Antwort auf das Postulat Glättli 17.4295, in dem der Bundesrat ersucht wird, in einem Bericht die Sicherheitsstandards für an das Internet angebundene Geräte abzuklären.
6. In Verkehr gebrachte Produkte müssen den grundlegenden Sicherheits- und Gesundheitsanforderungen nach Artikel 4 PrSG oder, wenn keine solchen Anforderungen festgelegt worden sind, dem Stand des Wissens und der Technik entsprechen. Wer ein Produkt in Verkehr bringt, muss nachweisen können, dass die oben genannten Anforderungen eingehalten werden. Da die meisten Produkte keiner Zulassung mehr bedürfen und frei auf den Markt gebracht werden können, wird die Einhaltung dieser Anforderungen durch die Marktüberwachungsbehörden nachträglich auf dem Markt aufgrund von Stichproben und Meldungen kontrolliert. Wie in Ziffer 2 erwähnt, schützt das PrSG aber nicht Personendaten oder die Privatsphäre, und auch die wesentlichen Anforderungen an die Konformität der Produkte beinhalten keine Vorgaben zum Schutz dieser Güter.
7. Im Februar 2018 finden auf europäischer Ebene Gespräche zum Thema statt, ob für die kabellos vernetzten Objekte nicht zusätzliche Datenschutzanforderungen im Rahmen der Richtlinie 2014/53/EU (Richtlinie über die Harmonisierung der Rechtsvorschriften der Mitgliedstaaten über die Bereitstellung von Funkanlagen auf dem Markt) verbindlich gemacht werden sollen. Da diese Richtlinie in der FAV umgesetzt ist, wird der Bundesrat die Entwicklungen auf diesem Gebiet mit Interesse verfolgen. Überdies hat die Artikel-29-Datenschutzgruppe am 16. September 2014 Empfehlungen zu vernetzten Objekten abgegeben.