Für die Bearbeitung dieser Persönlichkeitsprofile fehle es an
der gesetzlichen Grundlage im formellen Sinn, wie sie Art. 17 Abs. 2 des
Bundesgesetzes vom 19. Juni 1992 über den Datenschutz (DSG, SR 235.1)
verlange. Die Voraussetzungen für eine Ausnahme gemäss Art. 17 Abs. 2 Bst. a
DSG oder Art. 19 Abs. 1 Bst. a DSG lägen nicht vor. Der Beauftragte KSD und
das BAG könnten sich auch nicht auf die Übergangsbestimmung von Art. 38
Abs. 3 DSG berufen, weil das System MEDICO erst 1998 definitiv in Betrieb
genommen worden sei.
Die Bekanntgabe der Daten verstosse zudem auch gegen Art. 4 Abs. 3 DSG
(Grundsatz der Zweckbindung der Datenbearbeitung).