Art. 21 Processing policy

¹ The federal bodies responsible shall issue a processing policy for automated data files that:

a.: contain sensitive data or personality profiles;
b.: are used by two or more federal bodies;
c.: are disclosed to cantons, foreign authorities, international organisations or private persons; or
d.: are connected to other data files.

² The federal body responsible shall determine its internal organisation in the processing policy. These shall in particular describe the data processing and control procedures and contain all documents on the planning, realisation and management of the data file. The policy shall contain the details required for registration (Art. 16) as well as information on:

a.: the body responsible for the protection and security of the data;
b.: the source of the data;
c.: the purposes for which the data is regularly disclosed;
d.: the control procedures and in particular the technical and organisational measures in terms of Article 20;
e.: the description of the data fields and the organisational units that have access to them;
f.: the access by users of the data files as well as on the nature and extent of such access;
g.: the data processing procedures, in particular the procedure for the rectification, blocking, anonymising, storing, safeguarding, archiving or destruction of the data;
h.: the configuration of the information technology used;
i.: the procedure for exercising the right of access.

³ The policy shall be updated regularly. They shall be made available to the control bodies responsible in a form comprehensible to them.

Art. 21 Bearbeitungsreglement

¹ Die verantwortlichen Bundesorgane erstellen ein Bearbeitungsreglement für automatisierte Datensammlungen, die:

a.: besonders schützenswerte Daten oder Persönlichkeitsprofile beinhalten;
b.: durch mehrere Bundesorgane benutzt werden;
c.: Kantonen, ausländischen Behörden, internationalen Organisationen oder privaten Personen zugänglich gemacht werden; oder
d.: mit anderen Datensammlungen verknüpft sind.

² Das verantwortliche Bundesorgan legt seine interne Organisation in dem Bearbeitungsreglement fest. Dieses umschreibt insbesondere die Datenbearbeitungs- und Kontrollverfahren und enthält alle Unterlagen über die Planung, Realisierung und den Betrieb der Datensammlung. Das Reglement enthält die für die Meldepflicht erforderlichen Angaben (Art. 16) sowie Angaben über:

a.: das für den Datenschutz und die Datensicherheit der Daten verantwortliche Organ;
b.: die Herkunft der Daten;
c.: die Zwecke, für welche die Daten regelmässig bekannt gegeben werden;
d.: die Kontrollverfahren und insbesondere die technischen und organisatorischen Massnahmen nach Artikel 20;
e.: die Beschreibung der Datenfelder und die Organisationseinheiten, die darauf Zugriff haben;
f.: Art und Umfang des Zugriffs der Benutzer der Datensammlung;
g.: die Datenbearbeitungsverfahren, insbesondere die Verfahren bei der Berichtigung, Sperrung, Anonymisierung, Speicherung, Aufbewahrung, Archivierung oder Vernichtung der Daten;
h.: die Konfiguration der Informatikmittel;
i.: das Verfahren zur Ausübung des Auskunftsrechts.

³ Das Reglement wird regelmässig aktualisiert. Es wird den zuständigen Kontrollorganen in einer für diese verständlichen Form zur Verfügung gestellt.

This document is not an official publication. Only the publication of the Federal Chancellery is legally binding.
Dies ist keine amtliche Veröffentlichung. Massgebend ist allein die Veröffentlichung durch die Bundeskanzlei.