Im Zusammenhang mit Big Data – dem Verarbeiten von grossen Datenmengen, die aus dem Kommunikations-, Nutzungs- oder Konsumverhalten vieler Personen stammen – wird gerne davon gesprochen, dass das klassische Datenschutz-Konzept an seine Grenzen stossen würde: Die Daten würden meist anonymisiert und dadurch nicht mehr unter das Datenschutzgesetz fallen – dennoch würden sich daraus umfangreiche Profile erstellen lassen.
Bei etwas genauerer Betrachtung werden dabei die Datensätze jedoch nicht anonymisiert, sondern nur pseudonymisiert. Die Datensätze können dann nicht mehr unmittelbar einer Person zugeordnet werden, sie bleiben untereinander aber noch verbunden.
Auch ohne Konkordanztabelle lässt sich entweder durch die Verknüpfung der Sätze (P0052 hat sich eine Woche später noch die Nase beim Schlittschuhlaufen gebrochen) oder sogar durch den Inhalt eines Datensatzes (Die Operation wurde am 10. Januar 2014 in Kantonsspital Chur gemacht) eine Person nachträglich wieder identifizieren. Eine Studie zeigt, dass nur vier bekannte Aufenthaltsorte einer Person zu einem bestimmten Zeitpunkt ausreichen, um 95 Prozent der Personen identifizieren zu können. Bei über 50 Prozent reichen sogar nur zwei Datensätze für deren Identifizierung.
Damit lassen sich die bearbeiteten Personendaten allenfalls nicht auf eine bestimmte jedoch auf eine bestimmbare Person beziehen. Solange dies möglich ist (auch nicht unbedingt durch den Bearbeiter selber), untersteht die Datensammlung den Bestimmungen des Datenschutzgesetzes. Dieses definiert in Art. 3 Abs. 1 den Begriff Personendaten als «alle Angaben, die sich auf eine bestimmte oder bestimmbare Person beziehen».
Das Problem ist nicht der fehlende Datenschutz – sondern dass die Durchsetzung für jeden einzelnen schwierig ist. Griffige Strafbestimmungen und ein Verbandsbeschwerderecht könnten dem Abhilfe schaffen.