Wie Bundesrat Guy Parmelin bereits im Anschluss an die Volksabstimmung vom 25. September 2016 angekündigt hatte, schickte der Bundesrat Anfang 2017 die Verordnungen zum neuen Nachrichtendienstgesetz in die Vernehmlassung. Es handelte sich dabei einerseits um die Verordnung über den Nachrichtendienst (NDV), die dort greift, wo das NDG der Präzisierung bedarf. So werden darin etwa die Zusammenarbeit des NDB mit in- und ausländischen Stellen, die Informationsbeschaffung, der Datenschutz und die Archivierung, die Kontrolle, der interne Schutz, die Sicherheitsmassnahmen sowie die Bewaffnung des NDB konkretisiert. Andererseits handelte es sich um die Verordnung über die Informations- und Speichersysteme des NDB, die technische Regelungen zum Betrieb, zum Inhalt und zur Nutzung dieser Systeme enthält. In einer separaten Vernehmlassung, die im März eröffnet wurde, holte der Bundesrat zudem Stellungnahmen zur Verordnung über die Aufsicht über die nachrichtendienstlichen Tätigkeiten (VAND) ein. Diese dritte Umsetzungsverordnung regelt administrative Fragen bezüglich der Aufsichtsbehörde (AB-ND), die Kontrolle der Funk- und Kabelaufklärung durch die Unabhängige Kontrollinstanz (UKI) sowie die Zusammenarbeit zwischen dem Bund und der Dienstaufsicht in den Kantonen. Für Kritik sorgte, dass die AB-ND administrativ dem Generalsekretariat des VBS zugeordnet werden sollte. Das entspreche nicht dem Willen des Parlaments, das während der Beratung des NDG den Bundesrat per Motion (15.3498) dazu aufgefordert hatte, Möglichkeiten für eine Aufsicht ausserhalb der Bundesverwaltung aufzuzeigen, monierte Nationalrätin Edith Graf-Litscher (sp, TG) gegenüber der Presse; nicht zuletzt habe das Versprechen einer starken und unabhängigen Aufsicht Viele dazu bewogen, dem Gesetz in der Volksabstimmung zuzustimmen. Weniger problematisch sahen dies Ständerat Alex Kuprecht (svp, SZ), Präsident der GPDel und damit der parlamentarischen Oberaufsicht über den NDB, sowie EDÖB Adrian Lobsiger, die beide die operative Selbstbestimmung der Aufsicht durch deren rein administrative Ansiedlung beim VBS – überdies mit eigenem Budget – nicht gefährdet sahen, wie sie in den Medien erklärten.
Daneben traf der Bundesrat weitere Vorbereitungen für die geplante Inkraftsetzung des neuen NDG am 1. September 2017. So hob er in der bestehenden Verordnung über den Nachrichtendienst des Bundes (V-NDB) die Vorschrift auf, dass der NDB Informationen über das Inland und solche über das Ausland in intern getrennten Organisationseinheiten beschaffen muss. Damit werde «ein letztes Überbleibsel» der einst getrennten Inlands- und Auslandsnachrichtendienste abgeschafft, wie es in der entsprechenden Medienmitteilung hiess. Die V-NDB wird mit Inkrafttreten des neuen NDG ihre Geltung zwar verlieren, doch dass die Fusion im Hinblick auf das neue NDG schon vorzeitig vollzogen werde, sei organisatorisch «sicher sinnvoll», zitierte die NZZ GPDel-Präsident Kuprecht. Gemäss Bundesrat könne der NDB nun seine Organisationsstruktur optimieren und Synergien nutzen. Zudem wählte der Bundesrat im Mai – und damit fast ein halbes Jahr später als von Verteidigungsminister Parmelin ursprünglich angekündigt – den Juristen Thomas Fritschi zum Leiter der AB-ND. Er werde die Aufsichtsbehörde ab August organisatorisch und personell aufbauen, gab die Regierung per Medienmitteilung bekannt.
In der Vernehmlassung wurden erhebliche Einwände hauptsächlich von Mitgliedern des ehemaligen Referendumskomitees vorgebracht, darunter die Forderung, die AB-ND ausserhalb der Bundesverwaltung anzusiedeln. Im Ergebnisbericht erläuterte das VBS, dass dafür eine Änderung des formellen Gesetzes vonnöten wäre, weshalb dieser und weitere Vorschläge nicht in den Entwurf übernommen wurden. Die Kantone als Hauptadressaten des Verordnungsrechts sowie die KKJPD und die KKPKS unterstützten die in den Vorentwürfen eingeschlagene Stossrichtung dagegen einhellig. Von ihnen geäusserte Anpassungswünsche, wie auch die Empfehlungen des Bundesverwaltungsgerichts und der GPDel habe der Bundesrat weitestgehend in die Entwürfe übernommen, erläuterte er per Medienmitteilung. Die Sicherheitspolitischen Kommissionen beider Räte nahmen darauf zur Kenntnis, dass die Regierung die wichtigsten in der Vernehmlassung ausgesprochenen Empfehlungen berücksichtigt habe und verzichteten auf weitere Änderungsvorschläge an den Bundesrat. Sie sprachen sich für eine schnellstmögliche Inkraftsetzung des NDG und der dazugehörigen Verordnungen aus, damit der NDB seinem Auftrag zum Schutz des Landes nachkommen könne.
Der Bundesrat verabschiedete die drei Verordnungen Mitte August und setzte sie zusammen mit dem NDG auf den 1. September 2017 in Kraft. Ab dann kann der NDB seine neuen Kompetenzen wahrnehmen und die neuen Überwachungsmittel einsetzen.
Einen Tag vor dem Inkrafttreten kündigte eine Handvoll Personen aus dem Umfeld der Digitalen Gesellschaft an, beim NDB ein Gesuch um Unterlassung der neuen Kabelaufklärung, d.h. der Durchsuchung des grenzüberschreitenden Internetverkehrs nach Stichworten, einzureichen. Wie die Aargauer Zeitung berichtete, konnten sie unter anderem den Schweizer Anwalt Edward Snowdens, Marcel Bosonnet, für ihre Sache gewinnen. Dennoch rechneten sie nicht damit, dass der NDB ihrem Begehren stattgeben werde, planten aber, anschliessend den Rechtsweg zu beschreiten, «notfalls bis zum EGMR in Strassburg», wie die Zeitung den federführenden Anwalt und Präsidenten von Grundrechte.ch Viktor Györffy zitierte. Spätestens dort würden sie recht erhalten, zeigte sich Györffy überzeugt, denn die «anlasslose Massenüberwachung», die der NDB von jetzt an praktiziere, verletze das Grundrecht auf Privatsphäre, die Unschuldsvermutung und das Verhältnismässigkeitsprinzip.

Die Vernehmlassung zur Totalrevision des Datenschutzgesetzes (DSG) und zur Änderung weiterer Erlasse zum Datenschutz umfasste neben diesem Hauptentwurf auch einen Entwurf für einen Bundesbeschluss betreffend die Genehmigung und Umsetzung des Notenaustausches zwischen der Schweiz und der EU zur Übernahme der Richtlinie (EU) 2016/680 sowie einen Entwurf für die Revision des Übereinkommens SEV 108 des Europarates zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten. Im Zentrum des Gesetzgebungsprojektes stehen die Verbesserung der Transparenz von Datenbearbeitungen, die Förderung der Selbstregulierung bei den Verantwortlichen in Form von Empfehlungen der guten Praxis sowie die Stärkung der Position und Unabhängigkeit des EDÖB. Im Einklang mit den europäischen Datenschutzbestimmungen soll darüber hinaus der Schutz von Daten juristischer Personen aufgehoben werden, um insbesondere den Datenaustausch mit dem Ausland zu erleichtern. Einige Anforderungen der EU-Richtlinie 2016/680 erfordern ausserdem Anpassungen im Strafgesetzbuch, in der Strafprozessordnung, im Rechtshilfegesetz und im Schengen-Informationsaustauschgesetz.
Unter den insgesamt 222 Vernehmlassungsteilnehmerinnen und -teilnehmern befanden sich alle Kantone, acht politische Parteien (BDP, CVP, FDP, GLP, GP, SP, SVP, PP), drei eidgenössische Gerichte (Bundesgericht, Bundespatentgericht, Bundesverwaltungsgericht) sowie zahlreiche weitere Organisationen aus den betroffenen Kreisen. Während die Übernahme der EU-Richtlinie 2016/680 sowie der Anforderungen im SEV 108 unumstritten waren, wurde die Revision des DSG und weiterer Erlasse zum Datenschutz von der Mehrheit der Vernehmlasserinnen und Vernehmlasser im Grundsatz ebenfalls begrüsst. Vielerseits gelobt wurde beispielsweise das Vorhaben, das schweizerische Datenschutzrecht so weit an die europäischen Vorgaben anzupassen, dass die Schweiz von der EU weiterhin als Drittstaat mit angemessenem Datenschutzniveau anerkannt wird. Vorbehalte bestanden jedoch gegenüber dem – insbesondere für KMU – grossen Verwaltungsaufwand sowie gegenüber dem «Swiss Finish»: Rund die Hälfte der Teilnehmenden bemängelte, dass der Entwurf unnötigerweise über die europäischen Anforderungen hinaus gehe. Demgegenüber ging er rund einem Fünftel der Teilnehmenden – hauptsächlich aus Konsumentenschutzkreisen – zu wenig weit. Auf harsche Kritik von verschiedensten Seiten stiess das vorgesehene Sanktionensystem. Laut Bericht wünschten sich «sehr viele Teilnehmer» dessen «vollständige Überarbeitung», darunter BDP, CVP, FDP, GP und SP, 18 Kantone sowie Economiesuisse, der Verein Unternehmens-Datenschutz, die FRC, Privatim und die Stiftung für Konsumentenschutz. Hauptsächlich wurde kritisiert, dass keine direkte Strafbarkeit für Unternehmen vorgesehen ist, sondern strafrechtliche Sanktionen, die in erster Linie auf natürliche Personen ausgerichtet sind. In diesem Zusammenhang herrschte die Befürchtung, es könnten einfache Angestellte ohne Entscheidungs- und Vertretungsbefugnis verurteilt werden. Dies wiederum erschwere es den Unternehmen, qualifiziertes und motiviertes Personal – insbesondere Datenschutzverantwortliche – zu rekrutieren. Der häufigste Änderungsvorschlag zielte daher auf ein Modell mit Verwaltungssanktionen anstatt Strafverfahren, die direkt gegen die Unternehmen und nicht gegen Privatpersonen verhängt werden könnten. Verwaltungssanktionen, so die Hoffnung, hätten eine grössere Wirksamkeit als das bislang für die Strafbestimmungen im DSG nur selten angewandte Strafverfahren. Weitere umstrittene Punkte waren auch die Höhe der Bussen – welche einerseits als zu hoch und andererseits als zu niedrig kritisiert wurde – sowie der Katalog der strafbaren Verhaltensweisen, welcher ebenfalls wahlweise als unvollständig bzw. zu umfangreich bezeichnet wurde. Kritisiert wurden des Weiteren auch die mangelhafte Regulierungsfolgeabschätzung und die fehlenden Ausführungen zum Verhältnis zwischen dem Datenschutzrecht des Bundes und jenem auf kantonaler Ebene. Hierzu äusserten auch die Kantone Glarus, Solothurn und Zürich Bedenken, dass die Frist für die Anpassung des kantonalen Rechts zu kurz bemessen sei. Die SVP, die Kantone Schwyz und Waadt sowie einige betroffene Kreise – darunter der AGVS, Auto Schweiz, die FER, PharmaSuisse, Santésuisse sowie der VSV – lehnten den Vorentwurf in der vorliegenden Form ausdrücklich ab, befanden sich damit jedoch klar in der Minderheit aller Vernehmlassungsteilnehmenden.

Im Jahr 2013 konnten die CHF 5 Mio. Duvalier-Gelder an Haiti zurückerstattet werden. Die Angehörigen des ehemaligen Staatspräsidenten hatten keine Beschwerde gegen das Urteil des Bundesverwaltungsgerichts eingereicht. Auf drei Jahre weiterhin gesperrt bleiben jedoch die CHF 760 Mio. aus Tunesien und Ägypten, die im Zuge des Arabischen Frühlings auf Schweizer Bankkonten eingefroren worden waren.

Das Bundesgericht hat eine Beschwerde des beurlaubten Chefs der Bundeskriminalpolizei, Michael Perler, abgewiesen und sich wie auch schon das Bundesverwaltungsgericht dafür ausgesprochen, dass Perler weiterhin ein Sicherheitsrisiko darstellt. Dies bedeutet jedoch nicht, dass Perler nicht in anderer Funktion weiterhin für den Bund tätig sein kann. Als dessen Nachfolger wurde im Dezember René Wohlhauser ernannt.

Ebenfalls ins Visier des Datenschützers geriet der Online-Suchdienst Moneyhouse. Der Dienst hatte begonnen, neben Wirtschaftsauskünften auch Privatadressen zu veröffentlichen, um Zugriffe auf die Website und somit deren Werbeeinahmen zu erhöhen. Auf ein Gesuch des Eidgenössischen Datenschutzbeauftragten erliess das Bundesverwaltungsgericht eine superprovisorische Verfügung, nach welcher der Internetdienst die Suchfunktion für Adressen von Personen per sofort einstellen musste. Nach der Anhörung der Stellungnahme von Moneyhouse kam das Gericht auf seine Anordnung zurück und wies das Gesuch von Hanspeter Thür ab. Es genüge, wenn Gesuche auf Löschung innert kürzester Frist bearbeitet würden.

Nachdem das Bundesverwaltungsgericht 2012 nahezu alle Forderungen des Eidgenössischen Datenschutzbeauftragten betreffend des Datenschutzes durch Google Street View gutgeheissen hatte, hat das Bundesgericht die Beschwerde von Google nur teilweise bestätigt. So muss der Internetdienst keine vollständige Anonymisierung aller im öffentlichen Raum fotografierten Personen garantieren. Jedoch darf die Fehlerquote beim Verwischen höchstens ein Prozent betragen und Einspruchswege per Internet und Post müssen offengehalten werden. Die anderen Forderungen des Datenschützers, wie etwa die vollständige Anonymisierung im Bereich von heiklen Einrichtungen, wurden auch vom Bundesgericht unterstützt.

Das Bundesamt für Verkehr (BAV) wies die Bahnbetreiber in einer Verfügung an, politische und religiöse Verteilaktionen in Bahnhöfen zuzulassen. Ein generelles Verbot sei in keinem vernünftigen Verhältnis zum damit bewirkten Eingriff in die Meinungsfreiheit. Erlaubt ist hingegen eine Bewilligungspflicht, solange diese nicht einem Verbot gleichkommt. Die Verfügung des BAV entspricht der Auffassung des Bundesverwaltungsgerichts. Die SBB wehrte sich mit dem Argument, dass der freie Zirkulationsfluss geschützt werden müsse und will erst den Entscheid des Bundesgerichts abwarten. Im März hatte die Bahngesellschaft ein Urteil des Bundesverwaltungsgerichts im Falle von Plakatierungen in Bahnhöfen an das Bundesgericht weitergezogen.

Für Aufsehen sorgte die Affäre um den Chef der Bundeskriminalpolizei Michael Perler. Perler hatte 2009 seine russische Lebensgefährtin an ein mehrtätiges Treffen in St. Petersburg mitgenommen und damit die Debatte ausgelöst, ob er ein Sicherheitsrisiko eingegangen war. Sowohl die Fachstelle für Personensicherheitsprüfung im Departement für Verteidigung, Bevölkerungsschutz und Sport (VBS) sowie das Bundesverwaltungsgericht schätzten Perler als eine Gefahr für die Staatssicherheit ein. Dieser hatte den Entscheid des Bundesverwaltungsgerichts an das Bundesgericht weitergezogen. Bis zum Urteil des Bundesgerichts befindet sich Perler in bezahltem Urlaub.

Auf der gesetzlichen Grundlage des 2010 angenommenen Bundesgesetzes über die Rückerstattung unrechtmässig erworbener Vermögenswerte politisch exponierter Personen hat das eidgenössische Finanzdepartement mit einer Klage an das Bundesverwaltungsgericht die Rückerstattung der Duvalier-Gelder an Haiti in die Wege geleitet.

Der Datenschutzbeauftragte Hanspeter Thür hatte 2009 eine Klage gegen Google Street View beim Bundesverwaltungsgericht eingereicht, weil die Fotografien bei Google Street View nicht zu 100 Prozent anonymisiert seien. Dadurch, so Thür, dass Gesichter und Nummernschilder teils noch erkennbar seien, werde das Datenschutzgesetz verletzt. Es war das erste Mal, dass Google in einem Land vor Gericht gezogen wurde. Das Bundesverwaltungsgericht entschied in seinem Urteil vom 30. März 2011, dass Google Street View alle noch erkennbaren Gesichter und Nummernschilder manuell verwischen muss. Besonders strenge Auflagen gelten bei Bildern im Bereich von sensiblen Einrichtungen wie Frauenhäusern, Altersheimen und Gefängnissen. Zudem muss Google über geplante Aufnahmefahrten und Aufschaltungen der Bilder ins Netz in Lokalzeitungen informieren. Weiter sind Bilder unzulässig, welche von der Strasse aus nicht sichtbare Höfe und Gärten zeigen. Google Street View war von dem Urteil enttäuscht und kündigte an, den Rechtsspruch an das Bundesstrafgericht weiterzuziehen. Im Falle einer erneuten Niederlage drohte Google Street View mit der Abschaltung des Dienstes in der Schweiz.

Der eidgenössische Datenschutzbeauftragte Hanspeter Thür hatte bereits 2009 in Sachen Google Street View beim Bundesverwaltungsgericht Klage eingereicht. Das 2010 erfolgte Eingeständnis von Google, in verschiedenen Ländern (darunter auch die Schweiz) private Daten aus Drahtlosnetzwerken aufgezeichnet zu haben, soll laut Thür ins laufende Verfahren eingebracht werden. Ebenfalls negativ äusserte sich Thür zum sozialen Netzwerk Facebook, das auch Daten von Nichtmitgliedern sammle.

Im Juni legte der Bundesrat dem Parlament seinen Entwurf für eine Revision des Staatsschutzgesetzes (Bundesgesetz über Massnahmen zur Wahrung der inneren Sicherheit) vor. Die darin vorgesehenen zusätzlichen Mittel der Informationsbeschaffung begründete er auch mit der in den letzten Jahren erhöhten Wahrscheinlichkeit, dass auch die Schweiz Ziel von „islamistisch motivierten Terroranschlägen“ werden könnte. Die in der Vernehmlassung am meisten umstrittenen Änderungen, die präventive Überwachung des Post- und Fernmeldeverkehrs, das Abhören und Beobachten von Privaträumen sowie das Durchsuchen von Computersystemen bei Verdacht auf Terrorismus, internationalen Waffenhandel oder Spionage, wurden beibehalten. Die Anordnung dieser aussergewöhnlichen Massnahmen erfordert eine doppelte, richterliche und politische Kontrolle, welche durch das Bundesverwaltungsgericht einerseits und die Vorsteher von EJPD und VBS andererseits ausgeübt wird. Der Justizminister soll zudem die Kompetenz erhalten, Tätigkeiten zu verbieten, die terroristische oder gewalttätige Aktivitäten fördern oder die innere oder äussere Sicherheit des Staates gefährden. Der Bundesrat möchte zudem die in den letzten Jahren mehr als einmal umstrittene Tätigkeit von Informanten des Inlandnachrichtendienstes beim Bundesamt für Polizei (DAP, Dienst für Analyse und Prävention) auf eine sicherere rechtliche Basis stellen. Dazu gehören einerseits Vorschriften über die Entschädigung dieser Agenten, andererseits aber auch Massnahmen zu ihrem Schutz vor Repressalien durch die Ausstattung mit einer Tarnidentität. In ersten Reaktionen sprachen sich die Linke und die SVP gegen, die CVP und die FDP für die vorgeschlagenen Massnahmen aus.

Im Sommer gab das EJPD den Vorentwurf für eine Revision des Staatsschutzgesetzes (Bundesgesetz über Massnahmen zur Wahrung der inneren Sicherheit) in die Vernehmlassung. Hauptziel dieses Projekts ist es, angesichts der stark angestiegenen Gefahr des internationalen Terrorismus die Prävention zu verbessern. Zu diesem Zweck sollen die Behörden – bei Verdacht auf Terrorismus, internationalen Waffenhandel oder Spionage – auch ohne konkreten Tatverdacht Post- und Fernmeldeverkehr überwachen, Privaträume abhören und Computer durchsuchen dürfen. Die Staatsschützer erhalten allerdings nicht freie Hand beim Einsatz dieser ausserordentlichen präventiven Mittel. Das Bundesamt für Polizei muss deren Anordnung zuerst dem Bundesverwaltungsgericht zur Stellungnahme vorlegen. Dann müssen die Vorsteher des EJPD und des VBS den Einsatz bewilligen. Fällt die Stellungnahme des Bundesverwaltungsgerichts negativ aus, müsste der Gesamtbundesrat die Überwachung beschliessen. Die Überwachung soll in der Regel nicht länger als sechs Monate dauern und, wenn kein Strafverfahren eingeleitet wird, den Betroffenen mitgeteilt werden. Trotz diesen Einschränkungen kritisierten die Datenschutzbeauftragten die mangelhafte Kontrolle der Staatsschützer und insbesondere die Möglichkeit, auch Personen zu überwachen, bei denen kein konkreter Verdacht auf strafbares Handeln besteht. Auch die übrigen Reaktionen fielen vorwiegend kritisch aus. Nicht nur die Linke, sondern auch die SVP bezweifelten grundsätzlich die Notwendigkeit der neuen Aufklärungsmittel der Nachrichtendienste.