Peraturan Perlindungan Data Umum Eropa GDPR

Undang -Undang Federal Swiss tentang Perlindungan Data: Apa yang Perlu Anda Ketahui

Peraturan Perlindungan Data Umum (GDPR) adalah tantangan strategis bagi setiap perusahaan Eropa (dan global). Di Swiss, organisasi menghadapi tantangan yang lebih besar: memenuhi persyaratan GDPR dan hukum nasional, Undang -Undang Federal Swiss tentang Perlindungan Data (FADP).
Total revisi FADP diadopsi oleh Majelis Federal pada musim gugur 2020 setelah tiga tahun perdebatan. Awalnya direncanakan untuk paruh kedua tahun 2022, implementasi Undang -Undang Federal Swiss baru tentang Perlindungan Data (NFADP) diharapkan akan dimulai pada 1 September, 2023.
Ordonansi untuk Undang -Undang Federal tentang Perlindungan Data (DPO) akan dikeluarkan pada saat yang sama, setelah berkonsultasi dengan Dewan Federal. Di bawah undang -undang yang baru, perusahaan harus mematuhi aturan yang lebih ketat.

Ringkasan

• Swiss NFADP: Pedoman dan Lingkup Baru: Swiss bertujuan untuk membawa undang-undang lebih dekat ke persyaratan GDPR untuk mempertahankan pengakuan sebagai negara bagian ketiga dengan tingkat perlindungan yang memadai untuk pertukaran data.
• 10 Perubahan Utama antara Swiss FADP dan NFADP: Undang -undang federal baru memperkenalkan peraturan baru untuk perusahaan, termasuk definisi data pribadi yang sensitif dan dua prinsip baru perlindungan data.
• Lingkup NFADP Swiss: Undang -undang baru ini bertujuan untuk melindungi kepribadian dan hak -hak mendasar individu di Swiss dan mempromosikan transparansi, hak, dan akuntabilitas yang lebih besar untuk pemroses data.
• Cara Mematuhi Undang -Undang Federal Baru tentang Perlindungan Data di Swiss?: Perusahaan Swiss perlu mengambil tindakan segera seperti mengidentifikasi data pribadi, memodifikasi deklarasi perlindungan data, membangun proses internal, membuat daftar pemrosesan data, melakukan penilaian dampak, menganalisis kontrak, dan menunjuk penasihat perlindungan data.
• Swiss fadp versus gdpr: Perusahaan di Swiss harus mematuhi FADP baru dan GDPR.
• 3 poin penting yang perlu diingat: Undang -undang Swiss yang baru meningkatkan pemrosesan data untuk warga negara Swiss sambil memberi mereka hak baru. Ini juga berlaku untuk semua perusahaan terlepas dari ukuran dan bahkan memengaruhi perusahaan asing dengan kegiatan atau pemrosesan data yang terkait dengan Swiss.

15 pertanyaan unik berdasarkan teks

1. T: Mengapa Peraturan Perlindungan Data Umum (GDPR) Tantangan bagi perusahaan?

A: GDPR adalah tantangan strategis bagi perusahaan karena mereka harus memenuhi persyaratannya.

2. T: Apa Undang -Undang Federal Swiss tentang Perlindungan Data (FADP)?

A: Swiss FADP adalah hukum nasional yang harus dipatuhi oleh organisasi Swiss di samping GDPR.

3. T: Kapan implementasi Undang -Undang Federal Swiss yang baru tentang Perlindungan Data (NFADP) yang diharapkan akan dimulai?

A: Implementasi Undang -Undang Federal Swiss yang baru tentang Perlindungan Data diharapkan akan dimulai pada 1 September 2023.

4. T: Apakah perusahaan diharuskan untuk mematuhi aturan yang lebih ketat berdasarkan undang -undang baru?

A: Ya, perusahaan harus mematuhi aturan yang lebih ketat di bawah Undang -Undang Federal Swiss yang baru tentang Perlindungan Data.

5. T: Apa saja perubahan utama antara FADP Swiss dan NFADP?

A: Perubahan utama meliputi definisi data pribadi yang sensitif dan pengenalan dua prinsip baru perlindungan data.

6. T: Apa lingkup NFADP Swiss?

A: NFADP Swiss bertujuan untuk melindungi kepribadian dan hak -hak mendasar individu di Swiss dan mempromosikan transparansi, hak, dan akuntabilitas yang lebih besar untuk pemroses data.

7. T: Bagaimana perusahaan Swiss dapat mematuhi Undang -Undang Federal baru tentang Perlindungan Data?

A: Perusahaan Swiss dapat mematuhi dengan mengambil langkah -langkah seperti mengidentifikasi data pribadi, memodifikasi deklarasi perlindungan data, membangun proses internal, membuat register pemrosesan data, melakukan penilaian dampak, menganalisis kontrak, dan menunjuk penasihat perlindungan data.

8. T: Apakah FADP Swiss memungkinkan waktu transisi untuk memenuhi persyaratan baru?

A: Sebagian besar arahan dalam Undang -Undang Federal Baru akan berlaku segera setelah itu mulai berlaku. Sangat penting untuk mengantisipasi langkah -langkah untuk memenuhi persyaratan baru.

9. T: Apa poin utama yang perlu diingat mengenai Undang -Undang Federal Swiss tentang Perlindungan Data?

A: Poin -poin utama termasuk meningkatkan pemrosesan data untuk warga negara Swiss, memberi mereka hak baru, berlaku untuk semua perusahaan terlepas dari ukuran, dan mempengaruhi perusahaan asing dengan kegiatan atau pemrosesan data yang terkait dengan Swiss.

10. T: Bagaimana Swiss bertujuan untuk mempertahankan pengakuan sebagai negara pihak ketiga dengan tingkat perlindungan yang memadai?

A: Swiss bertujuan untuk membawa undang-undang lebih dekat ke persyaratan GDPR untuk mempertahankan pengakuan sebagai negara bagian ketiga dengan tingkat perlindungan yang memadai untuk pertukaran data.

11. T: Apa tujuan dari Undang -Undang Federal Swiss yang baru untuk perlindungan data?

A: Tujuannya adalah untuk melindungi kepribadian dan hak -hak mendasar individu di Swiss dan mengatur pemrosesan dan mencegah penggunaan data mereka yang kasar.

12. T: Apakah Undang -Undang Federal Swiss yang baru tentang Perlindungan Data berlaku untuk badan hukum?

A: Tidak, undang -undang federal yang baru hanya mencakup perlindungan data pribadi untuk individu atau orang alami dan tidak lagi berlaku untuk data entitas hukum.

13. T: Apa yang termasuk dalam definisi data pribadi yang sensitif di NFADP Swiss?

A: Definisi ini mencakup data genetik dan biometrik yang memungkinkan pengakuan seseorang secara univocally.

14. T: Prinsip perlindungan data apa yang termasuk dalam FADP Swiss?

A: Dua prinsip baru perlindungan data termasuk dalam swiss fadp, yang tidak disebutkan dalam paragraf.

15. T: Apakah Undang -Undang Federal Swiss baru tentang Perlindungan Data berlaku untuk semua perusahaan terlepas dari ukurannya?

A: Ya, Undang -Undang Federal Swiss yang baru tentang Perlindungan Data berlaku untuk semua perusahaan terlepas dari ukurannya.

16. T: Persyaratan apa yang berlaku untuk perusahaan asing dengan kegiatan atau pemrosesan data yang terkait dengan Swiss?

A: Perusahaan asing dengan kegiatan atau pemrosesan data yang terkait dengan Swiss harus mematuhi Undang -Undang Federal Swiss yang baru tentang Perlindungan Data.

Peraturan Perlindungan Data Umum Eropa GDPR

Karena Swiss bukan anggota UE atau EEA, reformasi Undang -Undang Perlindungan Data Eropa tidak memiliki dampak langsung pada bisnis Swiss.

Undang -Undang Federal Swiss tentang Perlindungan Data: Apa yang Perlu Anda Ketahui

Peraturan Perlindungan Data Umum (GDPR) adalah tantangan strategis bagi setiap perusahaan Eropa (dan global). Di Swiss, organisasi menghadapi tantangan yang lebih besar: memenuhi persyaratan GDPR dan hukum nasional, Undang -Undang Federal Swiss tentang Perlindungan Data (FADP).

Total revisi FADP diadopsi oleh Majelis Federal pada musim gugur 2020 setelah tiga tahun perdebatan. Awalnya direncanakan untuk paruh kedua tahun 2022, implementasi Undang -Undang Federal Swiss baru tentang Perlindungan Data (NFADP) diharapkan akan dimulai pada 1 September, 2023.

Ordonansi untuk Undang -Undang Federal tentang Perlindungan Data (DPO) akan dikeluarkan pada saat yang sama, setelah berkonsultasi dengan Dewan Federal. Di bawah undang -undang yang baru, perusahaan harus mematuhi aturan yang lebih ketat.

Ringkasan

• Swiss NFADP: Pedoman dan Lingkup Baru
• 10 Perubahan Utama antara Swiss FADP dan NFADP
• Lingkup NFADP Swiss
• Cara Mematuhi Undang -Undang Federal Baru tentang Perlindungan Data di Swiss?
• Swiss fadp versus gdpr
• 3 poin penting yang perlu diingat

Swiss NFADP: Pedoman dan Lingkup Baru

Mengingat evolusi teknologi yang cepat, Undang -Undang Federal Swiss lama tentang perlindungan data sudah ketinggalan zaman. Total revisi FADP memungkinkannya untuk menyesuaikan arahan dengan tantangan kontemporer, teknologi dan sosial.

Dengan memperkuat teks hukum, Swiss bertujuan untuk membawa undang -undang Swiss lebih dekat dengan persyaratan GDPR . Bagi negara itu, tantangannya adalah tetap diakui sebagai negara pihak ketiga, dengan tingkat perlindungan yang memadai untuk melakukan pertukaran data dengan seluruh dunia.

Undang -undang baru ini meningkatkan pemrosesan data pribadi untuk warga negara Swiss, sambil memberi mereka hak baru.

10 Perubahan Utama antara Swiss FADP dan NFADP

Swiss NFADP memperkenalkan peraturan baru untuk perusahaan:

• Undang -undang federal yang baru hanya mencakup Perlindungan data pribadi untuk individu atau orang alami. Itu tidak berlaku lagi untuk data badan hukum (asosiasi, yayasan, perusahaan perdagangan, dll.)
• Definisi data pribadi yang sensitif (keanggotaan serikat, kesehatan, pendapat politik, dll.) Juga Termasuk data genetik dan biometrik (sidik jari, DNA, dll.), ketika mereka memberikan kemungkinan mengenali seseorang secara univocally.
• Dua prinsip baru perlindungan data termasuk dalam FADP Swiss:

Lingkup NFADP Swiss

Undang -undang Federal yang baru tentang Perlindungan Data Pribadi bertujuan untuk melindungi kepribadian dan hak -hak dasar individu yang tinggal di Swiss. Ini mengatur pemrosesan dan mencegah penggunaan data mereka secara kasar oleh perusahaan swasta atau oleh negara. Keamanan data badan hukum tidak lagi dipastikan.

Total revisi hukum menawarkan transparansi yang lebih besar ke Swiss. Hukum memperkuat hak -hak mereka (akses, perbaikan, penghapusan, portabilitas) mengenai data pribadi mereka. Di dalam perusahaan, NFADP mempromosikan adopsi tindakan pencegahan. Dengan ketentuan hukuman baru dan peningkatan pengawasan, itu membuat pemroses data lebih bertanggung jawab.

FADP Swiss baru berlaku untuk semua perusahaan, terlepas dari ukurannya. Itu juga menyangkut aktor ekonomi “yang memiliki efek di Swiss, bahkan jika mereka diproduksi di luar negeri“.

Mereka mungkin perusahaan asing:

• Aktif secara komersial di pasar Swiss;
• Untuk itu pemrosesan data terkait dengan Swiss. Misalnya, sebuah foto yang diambil di Swiss dan kemudian diterbitkan di situs web asing.

Cara Mematuhi Undang -Undang Federal Baru tentang Perlindungan Data di Swiss?

Agar sesuai dengan NFADP, perusahaan Swiss harus segera mengambil langkah -langkah kuat untuk melindungi data pribadi:

• Mengidentifikasi data pribadi, dan kemudian menilai risiko untuk menentukan persyaratan kepatuhan;
• Jika perlu, memeriksa dan memodifikasi deklarasi perlindungan data di situs web, konten iklan, dalam kontrak, dll.;
• Membangun proses internal untuk membawa jawaban cepat atas permintaan pelanggan yang terkait dengan data mereka;
• Membuat daftar pemrosesan data;
• Menerapkan proses penilaian dampak;
• Menganalisis kontrak dengan subkontraktor. Adalah keamanan data yang disediakan? Apakah perlu menambahkan klausa?
• Menunjuk penasihat perlindungan data di perusahaan.

Baik untuk diketahui: apakah swiss fadp memungkinkan waktu transisi untuk memenuhi persyaratan baru?

Bagian penting dari arahan dalam Undang -Undang Federal yang baru akan berlaku segera setelah itu mulai berlaku. Untuk memastikan perlindungan data yang efisien pada 1 September 2023, sangat penting untuk mengantisipasi sebanyak mungkin identifikasi tindakan yang mungkin dilakukan.

Swiss fadp versus gdpr

Di Swiss, perusahaan harus menghormati dua undang -undang tentang perlindungan data: FADP baru dan GDPR. Temukan ruang lingkup aplikasi Peraturan Eropa di negara ini serta perbedaan utama antara kedua teks tersebut.

GDPR berlaku untuk perusahaan Swiss dalam beberapa situasi. Peraturan harus dihormati untuk setiap pemrosesan data pribadi:

• Dilakukan sebagai bagian dari kegiatan cabang Eropa atau anak perusahaan dari perusahaan Swiss di UE;
• Dilakukan oleh perusahaan Swiss sebagai subkontraktor perusahaan yang berbasis di Uni Eropa;
• Ditujukan untuk menawarkan barang atau jasa kepada orang -orang yang bersangkutan di Uni;
• Terkait dengan pelacakan perilaku penduduk UE.

Perbedaan utama antara GDPR dan FADP Swiss tentang Perlindungan Data Pribadi

Dalam banyak aspek, NFADP Swiss mirip dengan pedoman Peraturan Perlindungan Data Umum Eropa (GDPR). Namun, undang -undang federal yang baru menyajikan beberapa kekhasan:

• Persyaratannya kurang ketat;
• Di swiss fadp baru, menunjuk penasihat perlindungan data direkomendasikan, tetapi tidak wajib. GDPR membutuhkan a Petugas Perlindungan Data (DPO) dalam beberapa kasus;
• Dalam hal pelanggaran data, GDPR membutuhkan tenggat waktu 72 jam untuk mengingatkan otoritas yang relevan. FADP yang direvisi membutuhkan pemberitahuan “sesegera mungkin”;
• Batas penalti lebih tinggi untuk GDPR: 20 juta euro versus 250.000 franc untuk Undang -Undang Perlindungan Data Swiss yang baru.

Dengan memilih Didomi, Anda menciptakan nilai dengan kepercayaan di seluruh dunia, menjadikan privasi pengalaman pelanggan yang unik. Dengan kami Solusi Persetujuan dan Preferensi Manajemen, Anda bisa:

• Mengumpulkan persetujuan dari pelanggan Anda dengan kepatuhan penuh;
• Lindungi reputasi Anda;
• Tunjukkan transparansi Anda untuk pengumpulan data pribadi;
• Lacak metrik persetujuan Anda;
• Sinkronisasi Data Pribadi antara CRM dan Alat Otomasi Pemasaran.

Apakah Anda ingin membuat kepatuhan GDPR/FADP Swiss sebagai aset komersial? Apakah Anda seorang editor, bank, e-merchant, atau penyedia perangkat lunak: Pesan demo!

3 poin penting yang perlu diingat

• Undang -Undang Federal Swiss yang baru tentang perlindungan data akan mulai berlaku pada 1 September 2023;
• FADP memperkuat perlindungan data pribadi orang -orang alami;
• Meskipun ada beberapa kekhususan, NFADP pada dasarnya terinspirasi oleh langkah -langkah GDPR.

Peraturan Perlindungan Data Umum Eropa GDPR

Peraturan Perlindungan Data Umum Eropa (GDPR) mulai berlaku pada Mei 2018. Meskipun ini adalah peraturan Eropa, ini juga berlaku untuk perusahaan Swiss dalam kondisi tertentu.

Kepada siapa GDPR berlaku?

GDPR berlaku untuk penanganan data pribadi oleh perusahaan Swiss, jika perusahaan

• memiliki kantor regional di UE, seperti kantor cabang, agensi, kantor perwakilan atau anak perusahaan lokal, asalkan yang terakhir tidak bertindak secara mandiri tetapi atas nama perusahaan induk Swiss, dan memproses data pribadi sehubungan dengan kantor regional (contoh: Cabang di Prancis menjual produk atau layanan untuk kantor pusat di Swiss dan menggunakan nama dan alamat pelanggan akhir Prancis atau The Buyer untuk kantor pusat di Swiss dan menggunakan nama pelanggan dan alamat akhir Prancis atau The Buyer untuk kantor pusat di Swiss dan menggunakan nama dan alamat pelanggan akhir Prancis atau The Buyer untuk The Head Office di Swiss dan menggunakan nama dan alamat pelanggan akhir Prancis atau The Buyer untuk The Head Office di Swiss dan menggunakan nama dan alamat pelanggan akhir Prancis atau The Buyer untuk The Head Office di Swiss dan menggunakan NAMA DAN ALAM PELANGGAN AKTIF AKT’kontak dari Prancis);
• is not established in the EU: if the company offers goods or services in the EU (example: a company in Switzerland actively distributes goods or services to Germany via a website or a Software as a Service (SaaS) provider in Switzerland has customers in the EU) or observes the behavior of persons in the EU (example: cookies are used on the company’S situs web di Swiss dengan cara mana orang dapat menarik kesimpulan tentang perilaku pengunjung situs web dan data ini dievaluasi).

Apa konsekuensi dari ketidakpatuhan?

Pelanggaran GDPR dapat memiliki konsekuensi berikut:

• Otoritas Eropa dapat mengenakan denda hingga 20 juta euro atau – jika lebih tinggi – empat persen dari perusahaan yang bersalah’Somset tahunan di seluruh dunia.
• Kontrak seringkali membutuhkan kepatuhan terhadap hukum yang berlaku secara umum atau undang -undang perlindungan data pada khususnya. Dalam kasus seperti itu, pelanggaran dapat menyebabkan hukuman kontrak, penghentian prematur, klaim kerusakan dan hilangnya hak.

Informasi terperinci tentang GDPR dan apa yang perlu dilakukan perusahaan Swiss, termasuk daftar periksa, dapat ditemukan di lembar informasi kami.

GDPR – Konsekuensi untuk Bisnis Swiss

Karena Swiss bukan anggota UE atau EEA, reformasi Undang -Undang Perlindungan Data Eropa tidak memiliki dampak langsung pada bisnis Swiss.

Penulis: Andreas Knijpenga

Namun, reformasi masih relevan dari perspektif bisnis Swiss sebagai berikut:

Rezim Perlindungan Data UE yang baru akan secara langsung relevan untuk pemrosesan data yang dilakukan oleh entitas grup yang berlokasi di perusahaan yang berbasis di UE dan Swiss, jika mereka melakukan kegiatan bisnis di dalam area UE dan memiliki akses ke data pribadi dari pelanggan, pemasok, dan staf yang dipekerjakan UE mereka.

Dalam konteks ini ada beberapa persyaratan baru yang signifikan, seperti (untuk menyebutkan beberapa):

• Pemberitahuan pelanggaran data dalam waktu 72 jam
• Persyaratan Petugas Perlindungan Data
• Sanksi hingga 4% dari total omset tahunan di seluruh dunia atau hingga EUR 20 juta
• Persetujuan yang jelas atau eksplisit

Kedua, yang tertunda Undang -Undang Perlindungan Data Federal (FDPA) Revisi akan sangat dipengaruhi oleh:

• Modernisasi “Konvensi yang diratifikasi oleh Swiss untuk melindungi individu sehubungan dengan pemrosesan data pribadi secara otomatis” oleh Dewan Eropa
• GDPR baru (data pribadi individu)
• Petunjuk Perlindungan Data yang baru untuk Sektor Polisi dan Peradilan Pidana

Pada akhirnya, ketiga ketentuan Eropa baru mengikuti prinsip yang sama. Meskipun prinsip -prinsip inti dari FDPA diharapkan tetap sama, dan hanya penyesuaian kecil dari FDPA saat ini yang diperlukan, pembuat hukum Swiss dapat menyalin sebagian besar GDPR akhir dalam FDPA yang direvisi untuk mempertahankan harmonisasi area ekonomi.

Independen dari revisi FDPA, rezim perlindungan data UE yang baru akan secara langsung relevan untuk banyak perusahaan yang berbasis di Swiss, jika mereka melakukan kegiatan bisnis di dalam area UE dan memiliki akses ke data pribadi dari pelanggan, pemasok, dan staf yang dipekerjakan UE mereka. Ini juga akan menjadi kunci bagi semua perusahaan Swiss untuk membiasakan diri dengan GDPR baru dan persyaratannya, untuk mulai menilai apakah mereka dipengaruhi oleh aturan baru dan untuk memulai pekerjaan persiapan (e.G. Tinjau klien yang dihadapi materi untuk memastikan kepatuhan dengan persyaratan persetujuan dan transparansi baru, meninjau dan mengubah kontrak dengan pemroses data jika diperlukan) sehingga semua penyesuaian yang diperlukan dilakukan pada waktunya untuk mematuhi persyaratan perlindungan data baru di UE dan Swiss.

Harap tetap disetel untuk pembaruan FDPA lebih lanjut.

Undang -Undang Perlindungan Data Swiss Baru mulai berlaku pada 1 September 2023: Perbandingan dengan GDPR

Swiss Data Protection Act (NFADP) baru akhirnya selesai. Mengikuti resolusi perbedaan terakhir “profil” Pada hari Rabu, parlemen federal Swiss disahkan pada hari Jumat, 25 September 2020, undang -undang baru. Itu diharapkan mulai berlaku pada 1 September 2023. Sebagai langkah berikutnya, tata cara pendukung sekarang akan disusun dan diserahkan untuk konsultasi publik. Seberapa cepat hal -hal sekarang kemajuan tentu saja akan tergantung pada UE: Swiss masih menunggu pembaruan Komisi Eropa’Keputusan kecukupan, yang memungkinkan transfer data yang tidak terhalang ke Swiss. Uni Eropa bisa memberikan tekanan pada Swiss untuk mempercepat memberlakukan DPA yang direvisi.

Lebih Banyak Tata Kelola: Catatan Kegiatan Pemrosesan Data, DPIA, Kewajiban Pelaporan

Sama seperti dalam kasus GDPR, perubahan utama dalam DPA baru adalah kewajiban tata kelola baru, seperti persyaratan untuk memelihara catatan kegiatan pemrosesan data, kewajiban untuk melaporkan kehilangan data dan pelanggaran keamanan data lainnya kepada penilaian dampak perlindungan data dan data perlindungan data federal (FDPIC) dan kewajiban untuk melakukan penilaian dampak perlindungan data (penilaian dampak perlindungan data (“Dpia”) untuk pemrosesan data yang sensitif. Ketiga persyaratannya sebanding dengan ketentuan yang sesuai di bawah GDPR, dan akan menghasilkan beban kerja tambahan untuk perusahaan yang belum menjalani proses untuk keperluan GDPR. Mereka yang dapat mengadopsi inventaris pemrosesan data yang ada lebih atau kurang secara langsung dan memiliki prosedur pemberitahuan pelanggaran data mereka yang diubah juga untuk mematuhi hukum Swiss (DPA memberikan ambang batas yang sedikit berbeda tentang ketika pemberitahuan menjadi perlu, tetapi pada dasarnya bekerja di sepanjang garis yang sama dengan kewajiban pemberitahuan di bawah GDPR). Anggota parlemen Swiss juga memiliki “disalin” Konsep DPIA, yang sejauh ini belum secara resmi ada di bawah hukum Swiss meskipun sudah terkenal di bawah hukum perlindungan data Swiss sebagai “praktik yang baik” Dalam hal aktivitas pemrosesan data yang sensitif.

Prinsip -prinsip dasar tidak berubah

Meskipun DPA telah sepenuhnya direvisi, sektor swasta pada umumnya tidak perlu mengubah cara memproses data pribadi. Prinsip -prinsip dasar pemrosesan data tetap tidak berubah di DPA baru, dengan satu pengecualian: data pribadi dari badan hukum tidak lagi dilindungi, meskipun perlindungan umum tertentu terus berlaku. Konsep Swiss, yang menurutnya pemrosesan data di sektor swasta pada prinsipnya diizinkan dan pembenaran (atau “alasan hukum”) hanya diperlukan dalam situasi tertentu, tetap tidak berubah.

Dengan demikian, DPA terus menyimpang dari Peraturan Perlindungan Data Umum UE (GDPR): di sana, pemrosesan data pribadi umumnya dilarang kecuali ada dasar hukum seperti persetujuan, kinerja kontrak, kepentingan yang cukup sah atau ketentuan hukum dalam hukum tersebut.

Persetujuan: kurang membatasi daripada di bawah GDPR

Swiss juga tidak sejauh GDPR dalam hal persyaratan untuk persetujuan yang valid; Pada dasarnya tidak ada perubahan di sini dibandingkan dengan situasi hukum saat ini di Swiss, dengan pengecualian perubahan kecil sehubungan dengan profil (lihat di bawah). Tidak perlu menginformasikan kemungkinan penarikan, dan beberapa deklarasi persetujuan dapat digabungkan.

Alasan di mana kegiatan pemrosesan data dapat dibenarkan tetap kurang lebih sama seperti di DPA saat ini, dan melampaui apa yang disediakan di GDPR. Apa yang telah sedikit lebih ketat adalah pembenaran untuk tujuan pemrosesan non-pribadi (e.G., penggunaan statistik) dan pembenaran di mana agen kredit telah mengandalkan; Mereka sekarang harus menghapus data yang lebih tua dari sepuluh tahun jika subjek data jadi meminta.

Prinsip “Privasi dengan Desain” sekarang juga secara eksplisit dimasukkan dalam hukum, tetapi secara ketat, itu selalu ada – bahkan di bawah DPA saat ini. Memang, satu -satunya ketentuan yang baru adalah versi Swiss dari “Privasi secara default”, yang hanya relevan dalam kasus di mana penyedia layanan (online) menyediakan pengaturan perlindungan data sebagai bagian dari layanan tersebut, yang harus ditetapkan secara default sehingga membatasi pemrosesan data ke minimum yang dimaksudkan.

Tidak ada kewajiban untuk menunjuk petugas perlindungan data

Sedangkan DPA baru menyatakan bahwa perusahaan dapat menunjuk apa yang disebut sebagai a “Penasihat Perlindungan Data” (yang pada dasarnya, adalah petugas perlindungan data), ada – tidak seperti di bawah GDPR – tidak ada kewajiban untuk melakukannya. Namun, sebagian besar perusahaan menengah dan lebih besar tidak akan dapat menerapkan perlindungan data dengan benar kecuali mereka telah menunjuk orang yang bertanggung jawab untuk menangani perlindungan data. Selain itu, perusahaan asing dengan kegiatan yang signifikan di Swiss harus menunjuk perwakilan Swiss, tetapi kami berharap hanya beberapa perusahaan yang akan tunduk pada persyaratan ini. Dengan demikian, kewajibannya jauh lebih jauh dari ketentuan yang sesuai dalam Pasal 27 GDPR.

Hak atas informasi dibatasi

Hak -hak subjek data agak diperpanjang, tetapi pada saat yang sama juga didefinisikan sedikit lebih jelas. Meskipun akan lebih mudah bagi subjek data untuk meminta data mereka sendiri dari perusahaan, DPA baru juga menawarkan argumen baru untuk menolak permintaan akses yang kasar. Misalnya, hanya data pribadi “Dengan demikian” dapat diminta dan “khusus” Apa yang diperlukan untuk menegaskan hak perlindungan data. Itu “hak untuk dilupakan” Dikenal dari GDPR ada di bawah DPA selama ini dan akan tetap ada. Itu masih belum mutlak, tetapi memberikan keseimbangan kepentingan. Demikian juga, prinsip bahwa data hanya dapat diproses sejauh dan selama yang diperlukan terus berlaku. Namun, sepenuhnya baru di DPA adalah hak untuk portabilitas data, yang disalin oleh anggota parlemen Swiss dari GDPR: sebenarnya tidak ada hubungannya dengan perlindungan data, tetapi memungkinkan konsumen untuk mendapatkan data mereka yang disimpan dengan penyedia layanan online atau lainnya untuk mentransfer data tersebut ke pesaing tersebut. Juga benar -benar baru adalah hak untuk menuntut agar seseorang mempertimbangkan kembali keputusan penting yang dibuat secara eksklusif secara otomatis dan yang pada dasarnya memungkinkan untuk interpretasi. Ketentuan ini sebanding dengan ketentuan GDPR tentang keputusan individu otomatis, tetapi DPA hanya mengharuskan pengontrol untuk menginformasikan tentang keputusan tersebut dan memungkinkan data yang dapat meminta intervensi manusia.

Perjanjian Pemrosesan Data

Persyaratan untuk kontrak dengan pemroses data, i.e. Perusahaan kepada siapa pengendali mendelegasikan pemrosesan data pribadi mereka sendiri, seperti penyedia layanan cloud, telah diperketat; yaitu, penggunaan subkontraktor sekarang harus disetujui oleh pengontrol. Namun, ketentuan baru masih gagal. Karena persyaratan berdasarkan Pasal 28 GDPR saat ini dianggap sebagai standar dalam industri, kami tidak mengharapkan masalah bagi pengontrol untuk memastikan kepatuhan dengan aturan baru di bawah DPA. Klausa yang disepakati dengan prosesor biasanya hanya harus disesuaikan untuk merujuk tidak hanya ke GDPR tetapi juga ke DPA.

Kebijakan Privasi menjadi wajib

Kewajiban untuk memberikan informasi telah diperluas di bawah DPA baru. Ini berarti bahwa perusahaan harus memiliki deklarasi perlindungan data di mana mereka memberikan informasi wajib tertentu mengenai data pribadi yang mereka kumpulkan. Jenis informasi ini biasanya disediakan di perusahaan’ situs web dan melalui tautan yang termasuk dalam bentuk dan syarat & ketentuan kontraknya. Secara konseptual, kewajiban informasi di bawah DPA baru sangat mirip dengan kewajiban informasi di bawah GDPR, tetapi tidak memerlukan konten wajib sebanyak GDPR. Satu -satunya pengecualian adalah kewajiban pengontrol untuk menunjukkan negara -negara tempat data pribadi diekspor dan ketentuan hukum yang diandalkan perusahaan untuk melakukannya. Namun, dalam pandangan kami, tidak perlu mendaftar setiap negara; istilah seperti “Eropa” atau “di seluruh dunia” harus bekerja juga. Jika perusahaan telah menunjuk penasihat perlindungan data atau perwakilan, informasi tentang ini juga harus disediakan. Sebagai akibatnya, penyesuaian tertentu terhadap pernyataan perlindungan data yang ada diperlukan, tetapi kami tidak mengharapkan ini untuk membuat masalah besar.

Transfer ke luar negeri: Ini akan lebih mudah

DPA yang direvisi mengatur transfer data pribadi lintas batas sedikit berbeda dari di masa lalu, tetapi konsekuensinya sangat terbatas. Sekarang terserah Dewan Federal untuk secara ikatan menentukan negara -negara yang dianggap memiliki tingkat perlindungan data yang memadai dan ke mana data dapat diekspor tanpa tindakan pencegahan khusus. Sejauh ini, telah menjadi FDPIC yang memelihara daftar negara dengan penilaiannya tentang topik tersebut, tetapi daftar ini tidak mengikat (ini juga alasan mengapa efek dari keputusan ECJ “Schrems II” di Swiss jauh lebih terbatas daripada di EEA). Klausul kontrak standar UE untuk ekspor data masih dapat digunakan; Kewajiban untuk memberi tahu FDPIC telah dihapus dari DPA baru. Pengungkapan data pribadi kepada otoritas asing juga akan menjadi lebih mudah; Sebelumnya ini sering kali hanya mungkin dalam konteks proses peradilan.

Lebih banyak denda mungkin, tapi tetap saja pengecualian

Penegakan DPA juga akan berubah di bawah undang -undang baru. Di masa lalu, FDPIC hanya dapat menerbitkan “Rekomendasi” kepada pengontrol data dan prosesor yang menurut pendapatnya tidak mematuhi DPA. Jika mereka tidak mematuhi rekomendasinya, dia bisa menuntut mereka. Di masa depan, ia akan secara langsung mengeluarkan perintah terhadap pengendali dan prosesor. Misalnya, ia akan dapat memesan bahwa aktivitas pemrosesan data tertentu dihentikan. Yang mengatakan, kekuatan baru ini juga akan menghasilkan fdpic’Prosedur S menjadi lebih rumit dan membutuhkan lebih banyak sumber daya daripada di bawah DPA saat ini. Masih harus dilihat apakah konsep baru akan mengarah pada lebih banyak penegakan hukum, atau menghasilkan kasus yang sebenarnya lebih sedikit yang diberikan FDPIC’S constant staf secek. FDPIC masih tidak akan dapat memaksakan denda.

Hak untuk memaksakan denda terletak pada otoritas penegak hukum Kantonal (yang tidak berspesialisasi dalam perlindungan data), dan katalog denda telah diperluas secara signifikan. Di masa lalu, denda dimungkinkan untuk pelanggaran tugas untuk menginformasikan, tugas untuk mematuhi hak akses subjek data dan tugas untuk bekerja sama dengan FDPIC. Sekarang, pelanggaran ketentuan pada ekspor data, ketentuan pemroses komisioning dan pelanggaran tertentu terhadap langkah -langkah keamanan data juga dapat didenda. Denda terutama harus dibayar oleh pembuat keputusan tetapi hanya jika mereka bertindak dengan sengaja. Mereka dapat ditemukan bertanggung jawab hingga jumlah CHF 250’000. (€ 230’000) Meskipun jumlah ini pucat dibandingkan dengan jumlah di bawah GDPR, mereka kemungkinan akan lebih efektif mengingat bahwa mereka bersifat pribadi dan tidak dapat diasuransikan. Kami berasumsi bahwa denda untuk pelanggaran perlindungan data akan terus menjadi pengecualian di Swiss. Selain itu, pelanggaran prinsip -prinsip dasar DPA terus dibebaskan dari hukuman – perbedaan penting bagi GDPR. Selain itu, DPA yang direvisi memperkenalkan kerahasiaan profesional umum untuk semua profesi (dengan denda hingga CHF 250’000) dan ketentuan baru terhadap pencurian identitas.

Tidak ada persetujuan yang diperlukan untuk profil

Tulang utama pertengkaran dari pertimbangan pada DPA baru adalah “profil”, yang memiliki arti yang sama di bawah DPA seperti di bawah GDPR. Penting, seperti di bawah GDPR, signifikansi hukum “profil” Karena itu sangat terbatas. Profil pada dasarnya, merupakan pembentukan opini otomatis tentang aspek -aspek tertentu dari seorang individu. Meskipun profil adalah istilah yang ditentukan dalam DPA baru, hampir tidak ada ketentuan DPA yang merujuknya, setidaknya berkaitan dengan sektor swasta. Tidak seperti apa yang umumnya telah dilaporkan, DPA baru tidak menetapkan bahwa profil membutuhkan persetujuan. Apa yang DPA baru katakan adalah bahwa jika persetujuan diperlukan dalam kasus tertentu, persetujuan seperti itu harus bersifat tegas dalam kasus profil dengan a “berisiko tinggi”. Profil dianggap berisiko tinggi jika menghasilkan profil individu yang lebih rinci. Ini sudah sejalan dengan situasi hukum saat ini di bawah DPA yang ada. Dengan kata lain: hampir tidak ada yang benar -benar berubah di bawah DPA baru. Meskipun profil seperti itu tidak memerlukan persetujuan, itu – tentu saja – sudah mungkin bahwa operasi pemrosesan data sejauh ini sehingga diperlukan pembenaran. Persetujuan adalah salah satu bentuk pembenaran yang mungkin, tetapi pengontrol mungkin juga dapat mengandalkan kepentingan pribadi yang utama tergantung pada keadaan.

Perlu tindakan

Apa yang perlu dilakukan sekarang? Sebagian besar perusahaan harus memiliki cukup waktu untuk menerapkan ketentuan terpenting dari DPA yang direvisi. Pertama, mereka harus meninjau pernyataan perlindungan data mereka sehubungan dengan persyaratan baru dan menyesuaikannya atau, jika perlu, membuat yang baru jika tidak ada yang ada di tempatnya. Bagian yang paling memakan waktu dari proses biasanya adalah tinjauan internal kegiatan perlindungan data untuk memastikan bahwa semua kasus di mana perusahaan mendapatkan data pribadi dicakup. Setelah perusahaan memperoleh informasi ini, ia dapat membuat atau memperbarui pernyataan perlindungan data dan menetapkan inventaris kegiatan pemrosesan data. Jika pernyataan dan inventaris tersebut telah dibuat untuk keperluan GDPR, mereka dapat sebagian besar digunakan kembali untuk DPA.

Buat catatan kegiatan pemrosesan 70% lebih cepat dengan register GDPR! Coba 14 hari secara gratis!

Dalam langkah lebih lanjut, hubungan pengontrol-prosesor perlu diidentifikasi dan kontrak terkait diperiksa dan diadaptasi sesuai aturan keterlibatan baru yang lebih ketat. Jika pekerjaan ini telah dilakukan untuk GDPR, sekali lagi, tidak ada banyak perubahan yang diperlukan; Yang biasanya diperlukan adalah memperluas referensi ke GDPR juga memasukkan DPA. Dengan cara yang sama, pengontrol dan prosesor harus mengidentifikasi transfer data internasional dan memverifikasi apakah mereka memenuhi DPA’persyaratan s, mengingat ketidakpatuhan dapat didenda ke depan. Jika DPA’Persyaratan saat ini dipenuhi, kemungkinan besar tidak ada perubahan yang diperlukan.

Perusahaan juga harus menerapkan proses penilaian dampak perlindungan data dan, jika perlu, menunjuk petugas perlindungan data, bahkan jika tidak diharuskan oleh hukum. Suatu proses untuk mengidentifikasi, menganalisis, melaporkan, dan menangani pelanggaran keamanan data (istilah yang termasuk kehilangan data yang tidak disengaja dan email yang salah arah) juga harus diperkenalkan. Setiap perusahaan juga harus memiliki proses – jika belum ada – untuk menanggapi permintaan dari individu yang terkena dampak e.G., mereka yang meminta akses ke data pribadi mereka. Saat mengacu pada “proses”, Kami berarti bahwa perusahaan setidaknya harus menunjuk seseorang untuk bertanggung jawab untuk menangani topik yang relevan yang tahu apa yang harus dilakukan dalam setiap kasus atau di mana mendapatkan informasi yang relevan tentang apa yang harus dilakukan.

Akhirnya, keputusan individu otomatis harus diidentifikasi dan, jika relevan, subjek data harus diinformasikan dan diberi kesempatan untuk meminta intervensi manusia. Selain itu, pemrosesan data genetik dan biometrik serta data untuk tujuan non-pribadi dan kelayakan kredit harus diidentifikasi, diperiksa dan diadaptasi dengan persyaratan baru. Tentu saja, pelatihan yang ada juga harus disesuaikan untuk berkorespondensi dengan persyaratan di bawah DPA yang direvisi dan mungkin masuk akal untuk memverifikasi implementasi persyaratan baru dengan cara melakukan audit.

NFADP’S 12 Persyaratan Utama:

UKM Swiss harus menerapkan 12 langkah berikut untuk mematuhi NFADP:

1. Periksa dan memodifikasi pernyataan perlindungan data (situs web, kontrak, konten iklan, dll.)
2. Draft (atau modifikasi) Pedoman Penanganan Data Perusahaan
3. Menetapkan daftar pemrosesan data (kecuali untuk perusahaan dengan kurang dari 250 karyawan dan jika tidak ada risiko privasi yang signifikan)
4. Menetapkan prosedur untuk segera menanggapi subjek data’ Permintaan (e.G., untuk informasi atau penghapusan data)
5. Menerapkan prosedur pelaporan pelanggaran data
6. Menetapkan proses penilaian dampak yang diperlukan saat pemrosesan data berisiko tinggi (e.G., Dalam hal pemantauan sistematis domain publik yang lebih luas)
7. Menganalisis kontrak dengan subkontraktor, untuk memeriksa apakah keamanan data disediakan dan menambahkan klausa dalam hal ini (termasuk pemberitahuan pelanggaran data)
8. Berikan data yang dihapus atau diberikan secara anonim (dan segera setelah mereka tidak lagi diperlukan untuk tujuan awal yang diprosesnya)
9. Tinjau negara -negara tempat data ditransmisikan, termasuk untuk cadangan cloud sederhana (negara -negara ini harus ada dalam daftar dewan federal. Jika tidak, persyaratan yang lebih ketat berlaku)
10. Pastikan keamanan data melalui tindakan teknis dan organisasi yang tepat
11. Pastikan data disediakan dalam format elektronik (dalam hal pemrosesan data otomatis dan, khususnya, kesimpulan atau implementasi kontrak)
12. Tentukan Penasihat Perlindungan Data dan Publikasikan Rincian Kontaknya (disarankan agar orang ini diberitahu kepada Komisaris Perlindungan Data dan Informasi Federal (FDPIC)).