Ein praktischer Ablauf für Tatsachen, Risiken, Zuständigkeiten und Meldewege. Schweizer DSG, BACS Pflichten und weitere Regeln getrennt betrachten.
Halte fest, wann der Vorfall erkannt wurde, welche Systeme und Daten betroffen sein könnten und wer die Abklärung führt. Trenne beobachtete Tatsachen von Vermutungen. Stimme technische Sofortmassnahmen mit den zuständigen Fachpersonen ab und sichere vorhandene Belege. Dokumentiere jede Entscheidung mit Zeit und Verantwortung.
Prüfe Datenarten, betroffene Personengruppen und mögliche Folgen wie Identitätsmissbrauch, finanzielle Nachteile oder Offenlegung vertraulicher Informationen. Auch Verlust und mangelnde Verfügbarkeit können relevant sein. Nach Art. 24 DSG wird dem EDÖB bei voraussichtlich hohem Risiko so rasch als möglich gemeldet. Noch fehlende Informationen sind als offen zu kennzeichnen und nachzuliefern; vollständige Gewissheit ist keine Voraussetzung für eine rechtzeitige Meldung.
Die Benachrichtigung des EDÖB, die Information betroffener Personen, eine Meldung an das BACS und vertragliche Informationspflichten verfolgen unterschiedliche Zwecke. Für öffentliche Organe ist die zuständige Datenschutzaufsicht und das kantonale Recht zusätzlich zu klären. Die bekannte DSGVO Frist von grundsätzlich 72 Stunden ist nicht die allgemeine Schweizer DSG Frist. Prüfe den anwendbaren Rechtsrahmen fachlich.
Eine freigegebene Datei könnte Personaldaten gegenüber Dritten offengelegt haben. Die Verantwortliche begrenzt den Zugriff, sichert die Protokolle und dokumentiert die möglicherweise betroffenen Daten. Sie lässt die Risiken und Meldepflichten unverzüglich beurteilen. Die Entscheidung wird mit bekannten Fakten, Unsicherheiten, Verantwortlichkeit und nächstem Prüftermin festgehalten.