[AZA 0/2]
1A.6/2001/bie

I. OEFFENTLICHRECHTLICHE ABTEILUNG
**********************************

2. Mai 2001

Es wirken mit: Bundesgerichtsvizepräsident Aemisegger,
Präsident der I. öffentlichrechtlichen Abteilung, Bundesrichter
Nay, Bundesrichter Féraud und Gerichtsschreiber Steinmann.

---------

In Sachen
I.________, Zug, Beschwerdeführer, vertreten durch Rechtsanwältin Dr. Isabelle Häner, Bratschi Emch & Partner, Bahnhofstrasse 106, Postfach 7689, Zürich,

gegen
Winterthur-Versicherungen, General Guisan-Strasse 40, Postfach 357, Winterthur, Beschwerdegegnerin, vertreten durch Rechtsanwalt Dr. Thomas Bolliger, Löwenstrasse 19, Postfach 6333, Zürich, Eidgenössische Datenschutzkommission,

betreffend
Datenschutz, hat sich ergeben:

A.- Anlässlich eines Polenaufenthaltes wurde I.________ am 29. Juni 1997 in Krakau auf einem Fussgängerstreifen von einem Auto angefahren, musste hospitalisiert werden und konnte vorerst nicht in die Schweiz zurückkehren.

Aufgrund eines anonymen Telefonanrufs bei seiner Arbeitgeberin, der H.________ AG, entstand der Verdacht, der Unfall sei möglicherweise vorgetäuscht und der Arztbericht könnte gefälscht sein. Die Angelegenheit wurde zwischen der Arbeitgeberin und der Winterthur-Versicherung als Kranken- und Unfallversicherer im obligatorischen Bereich besprochen.

In der Folge wurden verschiedene Abklärungen getroffen.
Die Winterthur-Versicherung führte ein entsprechendes Dossier. Darin befanden sich schliesslich verschiedene Akten wie u.a. ein Bericht der Arbeitgeberin (sog. Bericht P.________), ein spezialärztliches Gutachten von Dr. S.________ (welches nach Rückkehr von I.________ in die Schweiz erstellt worden ist), Korrespondenz mit der schweizerischen Botschaft in Polen; dem sind im Laufe der Zeit weitere Dokumente beigefügt worden. In diesen Akten befinden sich in verschiedener Weise direkte oder indirekte Hinweise auf den Verdacht, dass der fragliche Unfall vom 29. Juni 1997 möglicherweise fingiert gewesen sein könnte.

In der Zwischenzeit anerkannte die Winterthur- Versicherung ihre Leistungspflicht.

B.- Im Hinblick auf ein zweites ärztliches Gutachten erhielt I.________ Einsicht in die Akten der Winterthur- Versicherung. Er verlangte darauf von dieser, sieben genau bezeichnete Dokumente aus den Akten zu entfernen und zu vernichten, da diese eine unvoreingenommene Begutachtung gefährden könnten. In der Folge wurde zwischen den Parteien streitig, welche Akten dem Gutachter überhaupt herausgegeben werden dürften. In diesem Zusammenhang ersuchte I.________ erneut um Akteneinsicht. Sie wurde ihm von der Winterthur- Versicherung grundsätzlich gewährt, hingegen in Bezug auf die sog. Meinungsbildungsakten verweigert. Mit Verfügung vom 24. September 1999 bestätigte die Versicherung die Verweigerung der Akteneinsicht in die sog. Meinungsbildungsakten. - Gegen diese Verfügung hat I.________ am 27. Oktober 1999 bei der Eidg. Datenschutzkommission Beschwerde erhoben.

Am 27. Dezember 1999 lehnte es die WinterthurVersicherung mit förmlicher Verfügung ab, die erwähnten sieben Dokumente aus den Akten zu entfernen. - Auch gegen diese Verfügung hat I.________ bei der Eidg. Datenschutzkommission am 27. Januar 2000 Beschwerde erhoben.

Die Eidg. Datenschutzkommission hat die beiden Beschwerdeverfahren vereint und mit Urteil vom 12. Mai 2000 (Zustellung am 20. November 2000) die erste Beschwerde betreffend Verweigerung der Einsicht in die Meinungsbildungsakten gutgeheissen und die Sache zu neuer Prüfung an die Winterthur-Versicherung zurückgewiesen (Dispositiv Ziff. 1) und die zweite Beschwerde betreffend Entfernung und Vernichtung von Aktenstücken abgewiesen (Dispositiv Ziff. 2).

C.- Gegen diesen Entscheid der Eidg. Datenschutzkommission hat I.________ beim Bundesgericht am 8. Januar 2001 Verwaltungsgerichtsbeschwerde erhoben. Er ersucht um Aufhebung von Dispositiv Ziffer 2 (Abweisung) und Ziffer 3 (Kostenpunkt) des angefochtenen Entscheides. Eventualiter verlangt er, den fraglichen Dokumenten sei ein Berichtigungsvermerk mit einem vorgeschlagenen Text anzufügen. Er macht im Wesentlichen geltend, die sieben Dokumente enthielten Behauptungen und Verdächtigungen oder erweckten zumindest den Eindruck, er habe einen Unfall vorgetäuscht. Sie seien daher aus den Akten zu entfernen oder zumindest zu berichtigen, nachdem sich aufgrund anderer Akten gezeigt habe, dass er tatsächlich einen Unfall erlitten hatte. Im Umstand, dass die Eidg. Datenschutzrekurskommission zu seinem Berichtigungsbegehren nicht Stellung genommen hat, erblickt er eine Verletzung des rechtlichen Gehörs.

Die Winterthur-Versicherung als Beschwerdegegnerin beantragt die Abweisung der Beschwerde. Den gleichen Antrag stellt die Eidg. Datenschutzkommission in ihrer verspäteten Vernehmlassung.

Das Bundesgericht zieht in Erwägung:

1.- a) Die Verwaltungsgerichtsbeschwerde ist zulässig gegen Verfügungen aus dem Bereiche des Bundesverwaltungsrechts.
Nach der Rechtsprechung kommt das Bundesgesetz über den Datenschutz (DSG, SR 235. 1) zur Anwendung auf Versicherer im obligatorischen Bereich der Kranken- und Unfallversicherung.
Diese gelten als Bundesorgane bzw. als mit öffentlichen Aufgaben betraute Personen im Sinne von Art. 3 lit. h
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
1    La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
2    Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5.
DSG (BGE 123 II 534 E. 1a S. 536 und E. 3c S. 540, vgl. 125 II 321, 125 II 473). Die Verwaltungsgerichtsbeschwerde ist daher zulässig.

Der angefochtene Entscheid ist nicht im Rahmen einer Auseinandersetzung um eine Leistungsfrage, sondern isoliert als datenschutzrechtlicher Entscheid allein gestützt auf das Datenschutzgesetz ergangen. Daher erweist sich der Beschwerdeweg ans Bundesgericht als zulässig (BGE 123 II 534 E. 1b).

Demnach kann das Urteil der Eidg. Datenschutzkommission gestützt auf Art. 98 lit. e
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
1    La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
2    Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5.
OG in Verbindung mit Art. 25 Abs. 5
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
und Art. 33 Abs. 1
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 33 Contrôle et responsabilité en cas de traitements de données personnelles conjoints - Lorsqu'un organe fédéral traite des données personnelles conjointement avec d'autres organes fédéraux, avec des organes cantonaux ou avec des personnes privées, le Conseil fédéral règle les procédures de contrôle et les responsabilités en matière de protection des données.
DSG mit Verwaltungsgerichtsbeschwerde beim Bundesgericht angefochten werden.

b) Der angefochtene Entscheid ist am 20. November 2000 zugestellt und vom Rechtsvertreter des Beschwerdeführers am 24. November 2000 in Empfang genommen worden; die Verwaltungsgerichtsbeschwerde vom 8. Januar 2001 erweist sich daher als rechtzeitig. Die übrigen Prozessvoraussetzungen geben zu keinen Bemerkungen Anlass.

c) Nach Art. 105 Abs. 2
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 33 Contrôle et responsabilité en cas de traitements de données personnelles conjoints - Lorsqu'un organe fédéral traite des données personnelles conjointement avec d'autres organes fédéraux, avec des organes cantonaux ou avec des personnes privées, le Conseil fédéral règle les procédures de contrôle et les responsabilités en matière de protection des données.
OG bindet die Feststellung des Sachverhalts das Bundesgericht, wenn eine richterliche Behörde als Vorinstanz den Sachverhalt nicht offensichtlich unrichtig, unvollständig oder unter Verletzung wesentlicher Verfahrensbestimmungen festgestellt hat. Die Eidg. Datenschutzrekurskommission ist eine richterliche Behörde im Sinne von Art. 105
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 33 Contrôle et responsabilité en cas de traitements de données personnelles conjoints - Lorsqu'un organe fédéral traite des données personnelles conjointement avec d'autres organes fédéraux, avec des organes cantonaux ou avec des personnes privées, le Conseil fédéral règle les procédures de contrôle et les responsabilités en matière de protection des données.
OG. Demnach ist ihre Sachverhaltsfeststellung nur unter dem Gesichtswinkel der Willkür zu überprüfen.

d) Mit der vorliegenden Beschwerde wird einzig beanstandet, dass die fraglichen sieben Dokumente nicht aus den Akten entfernt und vernichtet bzw. nicht berichtigt worden sind. Die Beschwerdegegnerin hat das Urteil hinsichtlich der Einsicht in die sog. meinungsbildenden Akten nicht angefochten, sodass auf diesen Punkt nicht eingegangen werden muss. Es ist im Folgenden zu prüfen, wie es sich mit der Aussonderung und Vernichtung bzw. mit der Berichtigung von einzelnen Aktenstücken verhält.
2.- Der Beschwerdeführer beruft sich zur Begründung seiner Anträge in erster Linie auf Art. 5 Abs. 2
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 5 Définitions - On entend par:
a  données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable;
b  personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement;
c  données personnelles sensibles (données sensibles):
c1  les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
c2  les données sur la santé, la sphère intime ou l'origine raciale ou ethnique,
c3  les données génétiques,
c4  les données biométriques identifiant une personne physique de manière univoque,
c5  les données sur des poursuites ou sanctions pénales et administratives,
c6  les données sur des mesures d'aide sociale;
d  traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données;
e  communication: le fait de transmettre des données personnelles ou de les rendre accessibles;
f  profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;
g  profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique;
h  violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
i  organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération;
j  responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles;
k  sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement.
DSG und verweist ferner auf Art. 25 Abs. 3 lit. a
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
DSG. Im Wesentlichen macht er geltend, angesichts der Unrichtigkeit der beanstandeten sieben Dokumente sei die Entfernung und Vernichtung die adäquate Form der Berichtigung.

a) Art. 5
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 5 Définitions - On entend par:
a  données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable;
b  personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement;
c  données personnelles sensibles (données sensibles):
c1  les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
c2  les données sur la santé, la sphère intime ou l'origine raciale ou ethnique,
c3  les données génétiques,
c4  les données biométriques identifiant une personne physique de manière univoque,
c5  les données sur des poursuites ou sanctions pénales et administratives,
c6  les données sur des mesures d'aide sociale;
d  traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données;
e  communication: le fait de transmettre des données personnelles ou de les rendre accessibles;
f  profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;
g  profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique;
h  violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
i  organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération;
j  responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles;
k  sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement.
DSG ist im Abschnitt betreffend die allgemeine Datenschutzbestimmungen enthalten und betrifft den Grundsatz der Richtigkeit von bearbeiteten Personendaten.
Nach Abs. 1 hat sich, wer Personendaten bearbeitet, über deren Richtigkeit zu vergewissern. Die Richtigkeit der bearbeiteten Personendaten betrifft ein grundsätzliches Anliegen des Datenschutzes. Soweit Personendaten bearbeitet werden dürfen - was im vorliegenden Fall nicht streitig ist -, sollen diese richtig sein. Denn die Bearbeitung (Art. 3 lit. e
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
1    La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
2    Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5.
DSG) von unrichtigen Personendaten ist geeignet, die Persönlichkeit und die Grundrechte des Betroffenen (Art. 1
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 1 But - La présente loi vise à protéger la personnalité et les droits fondamentaux des personnes physiques dont les données personnelles font l'objet d'un traitement.
DSG) zu beeinträchtigen, wenn sie von falschen Tatsachen ausgeht (vgl. Botschaft zum Datenschutzgesetz, BBl 1988 II 450; Urteil des Bundesgerichts in: ZBl 92/1991 S. 547; Urs Maurer/Nedim Peter Vogt, Kommentar zum schweizerischen Datenschutzgesetz, Basel 1995, Rz. 1 f. zu Art. 5
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 5 Définitions - On entend par:
a  données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable;
b  personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement;
c  données personnelles sensibles (données sensibles):
c1  les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
c2  les données sur la santé, la sphère intime ou l'origine raciale ou ethnique,
c3  les données génétiques,
c4  les données biométriques identifiant une personne physique de manière univoque,
c5  les données sur des poursuites ou sanctions pénales et administratives,
c6  les données sur des mesures d'aide sociale;
d  traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données;
e  communication: le fait de transmettre des données personnelles ou de les rendre accessibles;
f  profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;
g  profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique;
h  violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
i  organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération;
j  responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles;
k  sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement.
).

Daraus fliesst nach Art. 5 Abs. 2
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 5 Définitions - On entend par:
a  données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable;
b  personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement;
c  données personnelles sensibles (données sensibles):
c1  les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
c2  les données sur la santé, la sphère intime ou l'origine raciale ou ethnique,
c3  les données génétiques,
c4  les données biométriques identifiant une personne physique de manière univoque,
c5  les données sur des poursuites ou sanctions pénales et administratives,
c6  les données sur des mesures d'aide sociale;
d  traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données;
e  communication: le fait de transmettre des données personnelles ou de les rendre accessibles;
f  profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;
g  profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique;
h  violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
i  organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération;
j  responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles;
k  sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement.
DSG der allgemeine Anspruch des Betroffenen, unrichtige Daten berichtigen zu lassen. In spezifischer Weise werden im Abschnitt über die Bearbeitung von Personendaten durch Bundesorgane in Art. 25
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
DSG die Ansprüche von Betroffenen und das Verfahren umschrieben. Kann weder die Richtigkeit noch die Unrichtigkeit von Personendaten bewiesen werden, so hat das verantwortliche Organ einen entsprechenden Vermerk anzubringen (Art. 25 Abs. 2
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
DSG); seinerseits kann der Betroffene die Berichtigung oder Vernichtung der fraglichen Personendaten oder die Sperre der Weitergabe verlangen (Art. 25 Abs. 3
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
DSG).
b) Im angefochtenen Urteil geht die Rekurskommission der Frage nach, ob die fraglichen Daten in den vom Beschwerdeführer genannten Dokumenten "falsch" bzw. "nicht richtig" im Sinne von Art. 5
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 5 Définitions - On entend par:
a  données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable;
b  personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement;
c  données personnelles sensibles (données sensibles):
c1  les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
c2  les données sur la santé, la sphère intime ou l'origine raciale ou ethnique,
c3  les données génétiques,
c4  les données biométriques identifiant une personne physique de manière univoque,
c5  les données sur des poursuites ou sanctions pénales et administratives,
c6  les données sur des mesures d'aide sociale;
d  traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données;
e  communication: le fait de transmettre des données personnelles ou de les rendre accessibles;
f  profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;
g  profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique;
h  violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
i  organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération;
j  responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles;
k  sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement.
DSG seien. Sie führt aus, die darin enthaltenen Informationen bezögen sich nicht darauf, ob der Unfall des Beschwerdeführers real oder aber fingiertsei.
Sie gäben vielmehr lediglich das Bestehen eines Verdachts bezüglich eines möglicherweise fingierten Unfalls wieder. Damit könnten sie nicht als "falsch" bzw. als "nicht richtig" bezeichnet werden.

Es braucht nicht im Einzelnen geprüft zu werden, ob die Kritik des Beschwerdeführers am angefochtenen Urteil in dieser Hinsicht den Begründungsanforderungen genügt. Was der Beschwerdeführer dagegen vorbringt, ist nicht geeignet, eine willkürliche, d.h. offensichtlich unrichtige, unvollständige oder unter Verletzung wesentlicher Verfahrensbestimmungen vorgenommene Sachverhaltsfeststellung nachzuweisen. Er übersieht, dass mit dem anonymen Telefonanruf an seine Arbeitgeberin tatsächlich der Verdacht entstand, der Unfall in Polen könnte möglicherweise fingiert gewesen sein. Die Wiedergabe dieses Verdachtes im Schreiben der Arbeitgeberin und im sog. Bericht P.________ stellt für sich keine falsche oder unrichtige Information dar, sondern entspricht den tatsächlichen Gegebenheiten. Das Gleiche gilt für die weitern Dokumente, welche in der Folge erstellt worden sind: In ihnen wird lediglich am tatsächlichen Verdacht, wie er sich aufgrund der Umstände ergeben hatte, angeknüpft, ohne dass der Beschwerdeführer "beschuldigt" würde, den Unfall in Polen fingiert zu haben.

Bei dieser Sachlage kann die Feststellung der Vorinstanz, die besagten sieben Dokumente enthielten keine falschen bzw. unrichtigen Personendaten im Sinne von Art. 5
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 5 Définitions - On entend par:
a  données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable;
b  personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement;
c  données personnelles sensibles (données sensibles):
c1  les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
c2  les données sur la santé, la sphère intime ou l'origine raciale ou ethnique,
c3  les données génétiques,
c4  les données biométriques identifiant une personne physique de manière univoque,
c5  les données sur des poursuites ou sanctions pénales et administratives,
c6  les données sur des mesures d'aide sociale;
d  traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données;
e  communication: le fait de transmettre des données personnelles ou de les rendre accessibles;
f  profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;
g  profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique;
h  violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
i  organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération;
j  responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles;
k  sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement.
DSG, nicht als offensichtlich falsch bezeichnet werden.
Insoweit erweist sich die Beschwerde als unbegründet.
c) Aufgrund dieses Sachverhalts hat die Vorinstanz dadurch, dass sie das Begehren um Aussonderung und Vernichtung der entsprechenden Aktenstücke abgewiesen hat, auch nicht gegen Art. 5 Abs. 2
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 5 Définitions - On entend par:
a  données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable;
b  personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement;
c  données personnelles sensibles (données sensibles):
c1  les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
c2  les données sur la santé, la sphère intime ou l'origine raciale ou ethnique,
c3  les données génétiques,
c4  les données biométriques identifiant une personne physique de manière univoque,
c5  les données sur des poursuites ou sanctions pénales et administratives,
c6  les données sur des mesures d'aide sociale;
d  traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données;
e  communication: le fait de transmettre des données personnelles ou de les rendre accessibles;
f  profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;
g  profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique;
h  violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
i  organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération;
j  responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles;
k  sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement.
bzw. Art. 25 Abs. 3 lit. a
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
DSG verstossen. Mangels Vorliegens von unrichtigen Daten erweist es sich von vornherein nicht als erforderlich, gewisse Aktenstücke vernichten zu lassen.

Eine Aussonderung und Vernichtung von Aktenstücken können im vorliegenden Fall aber auch unter dem Gesichtswinkel von Sinn und Zweck von Art. 5 Abs. 2
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 5 Définitions - On entend par:
a  données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable;
b  personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement;
c  données personnelles sensibles (données sensibles):
c1  les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
c2  les données sur la santé, la sphère intime ou l'origine raciale ou ethnique,
c3  les données génétiques,
c4  les données biométriques identifiant une personne physique de manière univoque,
c5  les données sur des poursuites ou sanctions pénales et administratives,
c6  les données sur des mesures d'aide sociale;
d  traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données;
e  communication: le fait de transmettre des données personnelles ou de les rendre accessibles;
f  profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;
g  profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique;
h  violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
i  organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération;
j  responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles;
k  sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement.
DSG nicht verlangt werden. Das Datenschutzgesetz verlangt nicht, dass Datensammlungen in jeder Hinsicht "nachgeführt" werden. Eine Pflicht zur Nachführung entfällt insbesondere dann, wenn eine Datensammlung Informationen enthält, die im Zeitpunkt ihrer Einführung im Sinne einer "Momentaufnahme" richtig sind, sich aber nachträglich aufgrund von andern und neuern Informationen als unzutreffend erweisen (vgl. Maurer/Vogt, a.a.O., Rz. 6 zu Art. 5). In diesem Sinne spiegelt die Gesamtheit der Informationen die tatsächlichen Gegebenheiten richtig wieder und kann deshalb auch nicht als falsch betrachtet werden.

So verhält es sich auch im vorliegenden Fall. Die Verdachtslage ist aufgrund des anonymen Telefonanrufs tatsächlich entstanden. Als "Momentaufnahme" entspricht sie der Wirklichkeit. Spätere Informationen und Aktenstücke sprechen gegen den Verdacht. Es ist im vorliegenden Fall nicht wesentlich und braucht auch nicht entschieden zu werden, ob der ursprüngliche Verdacht klar widerlegt worden ist oder nicht. Von Bedeutung ist einzig, dass die Verdachtslage nicht durch Aussonderung und Vernichtung von Aktenstücken "korrigiert" werden kann und "korrigiert" zu werden braucht. Es würde daher, wie die Vorinstanz zu Recht ausführt, auch kaum angehen, einerseits diejenigen Aktenstücke auszusondern, in denen vom Verdacht die Rede ist, und andererseits andere Aktenstücke, welche gegen die Verdachtslage sprechen und damit an erstere anknüpfen, im Dossier zu belassen. Auch in diesem Punkt ist die Beschwerde unbegründet.

3.- Schliesslich wirft der Beschwerdeführer der Rekurskommission vor, seinen Antrag, einen Berichtigungs- oder Bestreitungsvermerk anzubringen, nicht behandelt und damit seinen Anspruch auf rechtliches Gehör verletzt zu haben. Er übersieht, dass der Anspruch auf Berichtigung ebenso wie derjenige auf Aussonderung und Vernichtung an falschen bzw.
unrichtigen Daten anknüpft. Da, wie festgestellt, der Vorinstanz keine offensichtlich unrichtige Sachverhaltsfeststellung vorgeworfen werden kann und es an einem Anspruch auf Aussonderung oder Vernichtung von einzelnen Aktenstücken fehlt, sind auch die Voraussetzungen für eine Berichtigung oder Bestreitung nicht gegeben. Mit dem angefochtenen Entscheid hat die Rekurskommission demnach implizit auch den Eventualantrag des Beschwerdeführers beurteilt. Damit geht ebenso die Rüge der Verletzung des rechtlichen Gehörs fehl.

4.- Demnach ist die vorliegende Beschwerde abzuweisen, soweit darauf eingetreten werden kann. Bei diesem Ausgang des Verfahrens sind die bundesgerichtlichen Kosten dem Beschwerdeführer aufzuerlegen (Art. 156
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 5 Définitions - On entend par:
a  données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable;
b  personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement;
c  données personnelles sensibles (données sensibles):
c1  les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
c2  les données sur la santé, la sphère intime ou l'origine raciale ou ethnique,
c3  les données génétiques,
c4  les données biométriques identifiant une personne physique de manière univoque,
c5  les données sur des poursuites ou sanctions pénales et administratives,
c6  les données sur des mesures d'aide sociale;
d  traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données;
e  communication: le fait de transmettre des données personnelles ou de les rendre accessibles;
f  profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;
g  profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique;
h  violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
i  organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération;
j  responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles;
k  sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement.
OG). In Anwendung von Art. 159 Abs. 2
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 5 Définitions - On entend par:
a  données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable;
b  personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement;
c  données personnelles sensibles (données sensibles):
c1  les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
c2  les données sur la santé, la sphère intime ou l'origine raciale ou ethnique,
c3  les données génétiques,
c4  les données biométriques identifiant une personne physique de manière univoque,
c5  les données sur des poursuites ou sanctions pénales et administratives,
c6  les données sur des mesures d'aide sociale;
d  traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données;
e  communication: le fait de transmettre des données personnelles ou de les rendre accessibles;
f  profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;
g  profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique;
h  violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
i  organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération;
j  responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles;
k  sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement.
OG hat die obsiegende Beschwerdegegnerin, die als Bundesorgan bzw. als mit öffentlichen Aufgaben betraute Person gilt (oben E. 1a), für das Verfahren vor Bundesgericht keinen Anspruch auf Parteientschädigung (vgl. BGE 118 V 158 E. 7 S. 169, mit Hinweisen).
Demnach erkennt das Bundesgericht:

1.- Die Verwaltungsgerichtsbeschwerde wird abgewiesen, soweit darauf eingetreten werden kann.

2.- Die Gerichtsgebühr von Fr. 2'000.-- wird dem Beschwerdeführer auferlegt.

3.- Es wird keine Parteientschädigung zugesprochen.

4.- Dieses Urteil wird den Parteien sowie der Eidgenössischen Datenschutzkommission schriftlich mitgeteilt.

______________
Lausanne, 2. Mai 2001

Im Namen der I. öffentlichrechtlichen Abteilung
des SCHWEIZERISCHEN BUNDESGERICHTS
Der Präsident:

Der Gerichtsschreiber:
Information de décision   •   DEFRITEN
Document : 1A.6/2001
Date : 02 mai 2001
Publié : 02 mai 2001
Source : Tribunal fédéral
Statut : Non publié
Domaine : Procédure administrative
Objet : [AZA 0/2] 1A.6/2001/bie I. OEFFENTLICHRECHTLICHE ABTEILUNG


Répertoire des lois
LPD: 1 
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 1 But - La présente loi vise à protéger la personnalité et les droits fondamentaux des personnes physiques dont les données personnelles font l'objet d'un traitement.
3 
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 3 Champ d'application territorial - 1 La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
1    La présente loi s'applique aux états de fait qui déploient des effets en Suisse, même s'ils se sont produits à l'étranger.
2    Les prétentions de droit privé sont régies par la loi fédérale du 18 décembre 1987 sur le droit international privé4. Sont également réservées les dispositions régissant le champ d'application territorial du code pénal5.
5 
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 5 Définitions - On entend par:
a  données personnelles: toutes les informations concernant une personne physique identifiée ou identifiable;
b  personne concernée: la personne physique dont les données personnelles font l'objet d'un traitement;
c  données personnelles sensibles (données sensibles):
c1  les données sur les opinions ou les activités religieuses, philosophiques, politiques ou syndicales,
c2  les données sur la santé, la sphère intime ou l'origine raciale ou ethnique,
c3  les données génétiques,
c4  les données biométriques identifiant une personne physique de manière univoque,
c5  les données sur des poursuites ou sanctions pénales et administratives,
c6  les données sur des mesures d'aide sociale;
d  traitement: toute opération relative à des données personnelles, quels que soient les moyens et procédés utilisés, notamment la collecte, l'enregistrement, la conservation, l'utilisation, la modification, la communication, l'archivage, l'effacement ou la destruction de données;
e  communication: le fait de transmettre des données personnelles ou de les rendre accessibles;
f  profilage: toute forme de traitement automatisé de données personnelles consistant à utiliser ces données pour évaluer certains aspects personnels relatifs à une personne physique, notamment pour analyser ou prédire des éléments concernant le rendement au travail, la situation économique, la santé, les préférences personnelles, les intérêts, la fiabilité, le comportement, la localisation ou les déplacements de cette personne physique;
g  profilage à risque élevé: tout profilage entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, parce qu'il conduit à un appariement de données qui permet d'apprécier les caractéristiques essentielles de la personnalité d'une personne physique;
h  violation de la sécurité des données: toute violation de la sécurité entraînant de manière accidentelle ou illicite la perte de données personnelles, leur modification, leur effacement ou leur destruction, leur divulgation ou un accès non autorisés à ces données;
i  organe fédéral: l'autorité fédérale, le service fédéral ou la personne chargée d'une tâche publique de la Confédération;
j  responsable du traitement: la personne privée ou l'organe fédéral qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement de données personnelles;
k  sous-traitant: la personne privée ou l'organe fédéral qui traite des données personnelles pour le compte du responsable du traitement.
25 
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 25 Droit d'accès - 1 Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
1    Toute personne peut demander au responsable du traitement si des données personnelles la concernant sont traitées.
2    La personne concernée reçoit les informations nécessaires pour qu'elle puisse faire valoir ses droits selon la présente loi et pour que la transparence du traitement soit garantie. Dans tous les cas, elle reçoit les informations suivantes:
a  l'identité et les coordonnées du responsable du traitement;
b  les données personnelles traitées en tant que telles;
c  la finalité du traitement;
d  la durée de conservation des données personnelles ou, si cela n'est pas possible, les critères pour fixer cette dernière;
e  les informations disponibles sur l'origine des données personnelles, dans la mesure où ces données n'ont pas été collectées auprès de la personne concernée;
f  le cas échéant, l'existence d'une décision individuelle automatisée ainsi que la logique sur laquelle se base la décision;
g  le cas échéant, les destinataires ou les catégories de destinataires auxquels des données personnelles sont communiquées, ainsi que les informations prévues à l'art. 19, al. 4.
3    Des données personnelles sur la santé de la personne concernée peuvent lui être communiquées, moyennant son consentement, par l'intermédiaire d'un professionnel de la santé qu'elle aura désigné.
4    Le responsable du traitement qui fait traiter des données personnelles par un sous-traitant demeure tenu de fournir les renseignements demandés.
5    Nul ne peut renoncer par avance au droit d'accès.
6    Le responsable du traitement fournit gratuitement les renseignements demandés. Le Conseil fédéral peut prévoir des exceptions, notamment si la communication de l'information exige des efforts disproportionnés.
7    En règle générale, les renseignements sont fournis dans un délai de 30 jours.
33
SR 235.1 Loi fédérale du 25 septembre 2020 sur la protection des données (LPD)
LPD Art. 33 Contrôle et responsabilité en cas de traitements de données personnelles conjoints - Lorsqu'un organe fédéral traite des données personnelles conjointement avec d'autres organes fédéraux, avec des organes cantonaux ou avec des personnes privées, le Conseil fédéral règle les procédures de contrôle et les responsabilités en matière de protection des données.
OJ: 98  105  156  159
Répertoire ATF
118-V-158 • 123-II-534 • 125-II-321 • 125-II-473
Weitere Urteile ab 2000
1A.6/2001
Répertoire de mots-clés
Trié par fréquence ou alphabet
destruction • tribunal fédéral • données personnelles • exactitude • soupçon • commission de la protection des données • autorité inférieure • constatation des faits • pologne • case postale • loi fédérale sur la protection des données • protection des données • consultation du dossier • autorité judiciaire • greffier • état de fait • fichier de données • décision • dossier • droit d'être entendu
... Les montrer tous
FF
1988/II/450