Regolamento sulla protezione dei dati generali europei GDPR

La legge federale della Svizzera sulla protezione dei dati: cosa devi sapere

Il regolamento generale sulla protezione dei dati (GDPR) è una sfida strategica per ogni azienda europea (e globale). In Svizzera, le organizzazioni stanno affrontando una sfida ancora più grande: soddisfare sia i requisiti del GDPR che di una legge nazionale, The Swiss Federal Act on Data Protection (FADP).
La revisione totale del FADP è stata adottata dall’Assemblea federale nell’autunno 2020 dopo tre anni di dibattito. Inizialmente previsto per la seconda metà del 2022, l’attuazione del nuovo Swiss Federal Act on Data Protection (NFADP) dovrebbe iniziare il 1 ° settembre 2023.
L’ordinanza alla legge federale sulla protezione dei dati (DPO) sarà emessa contemporaneamente, dopo aver consultato il Consiglio federale. Secondo la nuova legge, le aziende dovranno rispettare regole più rigorose.

Riepilogo

• Swiss NFADP: nuove linee guida e portata: Svizzera mira a avvicinare la sua legislazione ai requisiti del GDPR per mantenere il riconoscimento come stato di terze parti con un adeguato livello di protezione per lo scambio di dati.
• 10 principali cambiamenti tra lo svizzero FADP e NFADP: La nuova legge federale introduce nuovi regolamenti per le aziende, tra cui la definizione di dati personali sensibili e due nuovi principi di protezione dei dati.
• Portata dello svizzero NFADP: La nuova legge mira a proteggere la personalità e i diritti fondamentali delle persone in Svizzera e promuove una maggiore trasparenza, diritti e responsabilità per i processori di dati.
• Come rispettare il nuovo atto federale sulla protezione dei dati in Svizzera?: Le aziende svizzere devono adottare misure immediate come l’identificazione dei dati personali, la modifica delle dichiarazioni di protezione dei dati, la costruzione di processi interni, la creazione di un registro di elaborazione dei dati, la conduzione di valutazioni di impatto, l’analisi dei contratti e la nomina di un consulente per la protezione dei dati.
• Swiss FADP contro GDPR: Le aziende in Svizzera devono rispettare sia il nuovo FADP che il GDPR.
• 3 punti chiave da tenere a mente: La nuova legge svizzera migliora l’elaborazione dei dati per i cittadini svizzeri fornendo loro nuovi diritti. Si applica anche a tutte le aziende indipendentemente dalle dimensioni e colpisce anche le società straniere con attività o elaborazione dei dati relativi alla Svizzera.

15 domande uniche basate sul testo

1. D: Perché il regolamento generale sulla protezione dei dati (GDPR) è una sfida per le aziende?

A: Il GDPR è una sfida strategica per le aziende in quanto devono soddisfare i suoi requisiti.

2. D: Qual è l’atto federale svizzero sulla protezione dei dati (FADP)?

A: Il FADP svizzero è una legge nazionale a cui le organizzazioni svizzere devono aderire oltre al GDPR.

3. D: Quando è prevista l’implementazione del nuovo Swiss Federal Act on Data Protection (NFADP)?

A: L’implementazione della nuova legge federale svizzera sulla protezione dei dati dovrebbe iniziare il 1 settembre 2023.

4. D: Le aziende sono tenute a rispettare le regole più rigorose ai sensi della nuova legge?

A: Sì, le aziende dovranno rispettare regole più rigorose ai sensi della nuova legge federale svizzera sulla protezione dei dati.

5. D: Quali sono i principali cambiamenti tra Swiss FADP e NFADP?

A: Le principali modifiche includono la definizione di dati personali sensibili e l’introduzione di due nuovi principi di protezione dei dati.

6. D: Qual è la portata dello svizzero NFADP?

A: Il NFADP svizzero mira a proteggere la personalità e i diritti fondamentali delle persone in Svizzera e promuove una maggiore trasparenza, diritti e responsabilità per i processori di dati.

7. D: In che modo le aziende svizzere possono rispettare la nuova legge federale sulla protezione dei dati?

A: Le aziende svizzere possono rispettare adottando misure come l’identificazione dei dati personali, la modifica delle dichiarazioni di protezione dei dati, la costruzione di processi interni, la creazione di un registro di elaborazione dei dati, la conduzione di valutazioni di impatto, l’analisi dei contratti e la nomina di un consulente per la protezione dei dati.

8. D: Il FADP svizzero consente un tempo di transizione per conformarsi ai nuovi requisiti?

A: Una parte significativa delle direttive nel nuovo atto federale sarà applicabile non appena entrerà in vigore. È fondamentale anticipare le misure per soddisfare i nuovi requisiti.

9. D: Quali sono i punti chiave da tenere a mente per quanto riguarda l’atto federale svizzero sulla protezione dei dati?

A: I punti chiave includono il miglioramento dell’elaborazione dei dati per i cittadini svizzeri, fornendo loro nuovi diritti, applicazione a tutte le aziende indipendentemente dalle dimensioni e che incidono sulle società straniere con attività o elaborazione dei dati relativi alla Svizzera.

10. D: In che modo la Svizzera mira a mantenere il riconoscimento come stato di terze parti con un adeguato livello di protezione?

A: La Svizzera mira a avvicinare la sua legislazione ai requisiti del GDPR per mantenere il riconoscimento come stato di terze parti con un adeguato livello di protezione per lo scambio di dati.

11. D: Qual è l’obiettivo della nuova legge federale svizzera sulla protezione dei dati?

A: L’obiettivo è proteggere la personalità e i diritti fondamentali degli individui in Svizzera e regolare l’elaborazione e prevenire l’uso offensivo dei propri dati.

12. D: La nuova legge federale svizzera sulla protezione dei dati si applica alle entità giuridiche?

A: No, la nuova legge federale copre solo la protezione dei dati personali per individui o persone naturali e non si applica più ai dati delle entità giuridiche.

13. D: Ciò che è incluso nella definizione di dati personali sensibili nel NFADP svizzero?

A: La definizione include dati genetici e biometrici che consentono univocalmente il riconoscimento di una persona.

14. D: Quali principi di protezione dei dati sono inclusi nel FADP svizzero?

A: Due nuovi principi di protezione dei dati sono inclusi nel FADP svizzero, che non sono menzionati nel paragrafo.

15. D: La nuova legge federale svizzera sulla protezione dei dati si applica a tutte le aziende indipendentemente dalle loro dimensioni?

A: Sì, la nuova legge federale svizzera sulla protezione dei dati si applica a tutte le aziende indipendentemente dalle loro dimensioni.

16. D: Quali requisiti si applicano alle società straniere con attività o elaborazione dei dati relativi alla Svizzera?

A: Le società straniere con attività o elaborazione dei dati relativi alla Svizzera devono rispettare la nuova legge federale svizzera sulla protezione dei dati.

Regolamento sulla protezione dei dati generali europei GDPR

Poiché la Svizzera non è membro dell’UE o del SEE, la riforma della legge europea per la protezione dei dati non ha un impatto diretto sulle imprese svizzere.

La legge federale della Svizzera sulla protezione dei dati: cosa devi sapere

Il regolamento generale sulla protezione dei dati (GDPR) è una sfida strategica per ogni azienda europea (e globale). In Svizzera, le organizzazioni stanno affrontando una sfida ancora più grande: soddisfare sia i requisiti del GDPR che di una legge nazionale, The Swiss Federal Act on Data Protection (FADP).

La revisione totale del FADP è stata adottata dall’Assemblea federale nell’autunno 2020 dopo tre anni di dibattito. Inizialmente previsto per la seconda metà del 2022, l’attuazione del nuovo Swiss Federal Act on Data Protection (NFADP) dovrebbe iniziare il 1 ° settembre 2023.

L’ordinanza alla legge federale sulla protezione dei dati (DPO) sarà emessa contemporaneamente, dopo aver consultato il Consiglio federale. Secondo la nuova legge, le aziende dovranno rispettare regole più rigorose.

Riepilogo

• Swiss NFADP: nuove linee guida e portata
• 10 principali cambiamenti tra lo svizzero FADP e NFADP
• Portata dello svizzero NFADP
• Come rispettare il nuovo atto federale sulla protezione dei dati in Svizzera?
• Swiss FADP contro GDPR
• 3 punti chiave da tenere a mente

Swiss NFADP: nuove linee guida e portata

Data la rapida evoluzione tecnologica, la vecchia legge federale svizzera sulla protezione dei dati è obsoleta. La revisione totale del FADP gli consente di adattare le direttive alle sfide contemporanee, tecnologiche e sociali.

Rafforzando il testo della legge, la Svizzera mira a avvicinare la legislazione svizzera ai requisiti del GDPR . Per il paese, la sfida è rimanere riconosciuta come uno stato di terze parti, con un adeguato livello di protezione per condurre lo scambio di dati con il resto del mondo.

Questa nuova legge migliora l’elaborazione dei dati personali per i cittadini svizzeri, fornendo loro nuovi diritti.

10 principali cambiamenti tra lo svizzero FADP e NFADP

Il NFADP svizzero introduce nuovi regolamenti per le aziende:

• La nuova legge federale copre solo il Protezione dei dati personali per individui o persone naturali. Non si applica più ai dati di entità giuridiche (associazioni, fondazioni, società commerciali, ecc.)
• La definizione di dati personali sensibili (appartenenza all’Unione, salute, opinioni politiche, ecc.) Anche Include dati genetici e biometrici (impronte digitali, DNA, ecc.), Quando danno la possibilità di riconoscere una persona univocamente.
• Due nuovi principi di protezione dei dati sono inclusi nel FADP svizzero:

Portata dello svizzero NFADP

La nuova legge federale sulla protezione dei dati personali mira a proteggere la personalità e i diritti fondamentali delle persone che vivono in Svizzera. Regola l’elaborazione e impedisce l’uso abusivo dei loro dati da parte di società private o da parte dello stato. La sicurezza dei dati delle entità legali non è più garantita.

La revisione totale della legge offre una maggiore trasparenza allo svizzero. La legge rafforza i loro diritti (accesso, rettifica, eliminazione, portabilità) per quanto riguarda i loro dati personali. All’interno delle aziende, l’NFADP promuove l’adozione di misure preventive. Con nuove disposizioni penali e una maggiore supervisione, rende i processori di dati più responsabili.

Il nuovo FADP svizzero si applica a tutte le aziende, indipendentemente dalle loro dimensioni. Riguarda anche attori economici “che hanno effetti in Svizzera, anche se sono stati prodotti all’estero“.

Possono essere compagnie straniere:

• Commercialmente attivo sul mercato svizzero;
• Per il quale l’elaborazione dei dati è correlata alla Svizzera. Ad esempio, una fotografia scattata in Svizzera e poi pubblicata su un sito Web straniero.

Come rispettare il nuovo atto federale sulla protezione dei dati in Svizzera?

Per essere conformi all’NFADP, le aziende svizzere devono immediatamente adottare forti misure per proteggere i dati personali:

• Identificare i dati personali e quindi valutare il rischio per determinare i requisiti di conformità;
• Se necessario, verificare e modificare le dichiarazioni di protezione dei dati su siti Web, contenuti pubblicitari, contratti, ecc.;
• Costruire processi interni per portare risposte rapide alle richieste dei clienti relative ai loro dati;
• Creazione di un registro di elaborazione dei dati;
• Implementazione di un processo per le valutazioni dell’impatto;
• Analisi dei contratti con i subappaltatori. È la sicurezza dei dati forniti? È necessario aggiungere clausole?
• Nomina di un consulente per la protezione dei dati nell’azienda.

Buono a sapersi: il FADP svizzero consente un tempo di transizione per conformarsi ai nuovi requisiti?

Una parte significativa delle direttive nel nuovo atto federale sarà applicabile non appena entrerà in vigore. Per garantire un’efficace protezione dei dati il ​​1 ° settembre 2023, è fondamentale anticipare il più possibile l’identificazione di possibili misure da adottare.

Swiss FADP contro GDPR

In Svizzera, le aziende devono rispettare due leggi relative alla protezione dei dati: il nuovo FADP e il GDPR. Scopri la portata dell’applicazione della regolamentazione europea nel paese e le principali differenze tra i due testi.

Il GDPR si applica alle società svizzere in diverse situazioni. Il regolamento deve essere rispettato per qualsiasi elaborazione di dati personali:

• Svolto come parte delle attività di una filiale europea o sussidiaria di una società svizzera nell’UE;
• Realizzato da una società svizzera come subappaltatore di una società con sede nell’Unione europea;
• Mirato a offrire beni o servizi alle persone interessate nell’Unione;
• Relativo al monitoraggio del comportamento dei residenti dell’UE.

Differenze principali tra GDPR e FADP svizzero sulla protezione dei dati personali

In molti aspetti, l’NFADP svizzero è simile alle linee guida del Regolamento europeo sulla protezione dei dati (GDPR). Tuttavia, la nuova legge federale presenta alcune particolarità:

• I suoi requisiti sono meno rigoroso;
• Nel nuovo FADP svizzero, si consiglia di nominare un consulente per la protezione dei dati, ma non obbligatorio. Il GDPR richiede un file DATA DI PROTEZIONE DATI (DPO) in alcuni casi;
• In caso di violazione dei dati, il GDPR richiede una scadenza di 72 ore per avvisare le autorità competenti. Il FADP rivisto richiede un avviso “prima possibile”;
• Il limite di penalità è più elevato per il GDPR: 20 milioni di euro contro 250.000 franchi per il nuovo Swiss Data Protection Act.

Scegliendo Didomi, Crei valore con la fiducia in tutto il mondo, rendendo la privacy un’esperienza unica del cliente. Con il nostro consenso e soluzione di gestione delle preferenze, puoi:

• Raccogli il consenso dai tuoi clienti con piena conformità;
• Proteggi la tua reputazione;
• Mostra la tua trasparenza per la raccolta di dati personali;
• Traccia le metriche del tuo consenso;
• Sincronizzare i dati personali tra CRM e strumenti di automazione del marketing.

Vuoi rendere la conformità Swiss GDPR/FADP una risorsa commerciale? Che tu sia un editore, una banca, un e-mercante o un fornitore di software: prenota una demo!

3 punti chiave da tenere a mente

• La nuova legge federale svizzera sulla protezione dei dati entrerà in vigore il 1 settembre 2023;
• Il FADP rafforza la protezione personale dei dati delle persone naturali;
• Nonostante alcune specificità, l’NFADP è essenzialmente ispirato dalle misure del GDPR.

Regolamento sulla protezione dei dati generali europei GDPR

Il regolamento europeo sulla protezione dei dati generali (GDPR) è entrato in vigore a maggio 2018. Sebbene sia una regolamentazione europea, si applica anche alle società svizzere a determinate condizioni.

A chi si applica il GDPR?

Il GDPR si applica a qualsiasi gestione dei dati personali da parte delle società svizzere, se la società

• Ha un ufficio regionale nell’UE, come una filiale, un’agenzia, un ufficio di rappresentanza locale o una controllata, a condizione che quest’ultimo non agisca in modo indipendente ma per conto della società madre svizzera, e elabora i dati personali in relazione all’ufficio regionale (esempio: una filiale in Francia vende prodotti o servizi per l’ufficio principale in Svizzera e utilizza il nome e l’indirizzo dei clienti finali o dell’acquirente’S contatti dalla Francia);
• Non è stabilito nell’UE: se la società offre beni o servizi nell’UE (esempio: una società in Svizzera distribuisce attivamente beni o servizi alla Germania tramite un sito Web o un fornitore di software come servizio (SAAS) in Svizzera ha clienti nell’UE) o osserva il comportamento delle persone nell’UE (esempio: Esempio: i cookie sono utilizzati sulla società’S Web Web in Svizzera per mezzo del quale si possono trarre conclusioni sul comportamento dei visitatori del sito Web e questi dati vengono valutati).

Quali sono le conseguenze della non conformità?

Una violazione del GDPR potrebbe avere le seguenti conseguenze:

• Le autorità europee possono imporre multe fino a 20 milioni di euro o – se più in alto – il quattro percento della società di colpevolezza’S fatturato annuale in tutto il mondo.
• I contratti spesso richiedono il rispetto della legge applicabile in generale o della protezione dei dati in particolare. In tali casi, una violazione può comportare sanzioni contrattuali, risoluzione prematura, richieste di risarcimento e perdita di diritti.

Informazioni dettagliate sul GDPR e ciò che le aziende svizzere devono fare, inclusa una lista di controllo, sono disponibili nella nostra scheda informativa.

GDPR – Conseguenze per le imprese svizzere

Poiché la Svizzera non è membro dell’UE o del SEE, la riforma della legge europea per la protezione dei dati non ha un impatto diretto sulle imprese svizzere.

Autore: Andreas Knijpenga

Tuttavia, la riforma sarà ancora rilevante dalla prospettiva aziendale svizzera come segue:

Il nuovo regime di protezione dei dati dell’UE sarà direttamente rilevante per qualsiasi elaborazione dei dati effettuati da entità di gruppo situate nelle società dell’UE e Swiss, se svolgono attività commerciali nell’area dell’UE e hanno accesso ai dati personali da parte dei loro clienti dell’UE, fornitori e personale impiegato dell’UE.

In questo contesto ci sono alcuni nuovi requisiti significativi, come (per citarne solo pochi):

• Notifica di violazione dei dati entro 72 ore
• Requisiti del responsabile della protezione dei dati
• Sanzioni fino al 4% del fatturato mondiale annuo totale o fino a 20 milioni di euro
• Consenso inequivocabile

In secondo luogo, il pendente Federal Data Protection Act (FDPA) La revisione sarà fortemente influenzata da:

• La modernizzazione della “Convenzione ratificata dalla Svizzera per la protezione delle persone per quanto riguarda l’elaborazione automatica dei dati personali” da parte del Consiglio d’Europa
• Il nuovo GDPR (dati personali degli individui)
• La nuova direttiva sulla protezione dei dati per il settore della polizia e della giustizia penale

Alla fine, tutte e tre le nuove disposizioni europee seguono gli stessi principi. Sebbene i principi fondamentali dell’FDPA dovrebbero rimanere gli stessi e sono richiesti solo piccoli aggiustamenti dell’attuale FDPA, i legislatori svizzeri possono copiare gran parte del GDPR finale nel suo FDPA rivisto per mantenere l’armonizzazione dell’area economica.

Indipendentemente dalla revisione FDPA, il nuovo regime di protezione dei dati dell’UE sarà direttamente rilevante per molte aziende basate su Swiss, se svolgono attività commerciali nell’area dell’UE e hanno accesso a dati personali da parte dei loro clienti dell’UE, fornitori e personale impiegato dell’UE. Sarà anche fondamentale per tutte le aziende svizzere familiarizzare con il nuovo GDPR e i suoi requisiti, iniziare già a valutare se sono interessate dalle nuove regole e per avviare il lavoro preparatorio (e.G. Rivedere i materiali di fronte al cliente per garantire la conformità ai nuovi requisiti di consenso e trasparenza, rivedere e modificare i contratti con i trasformatori di dati ove richiesto) in modo che tutte le modifiche necessarie siano apportate in tempo per soddisfare i nuovi requisiti di protezione dei dati nell’UE e nella Svizzera.

Si prega di rimanere sintonizzati per ulteriori aggiornamenti FDPA.

La nuova legge sulla protezione dei dati svizzeri entra in vigore il 1 settembre 2023: confronto con GDPR

Il nuovo Swiss Data Protection Act (NFADP) è stato finalmente completato. Seguendo la risoluzione delle ultime differenze su “profilazione” Mercoledì, il parlamento federale svizzero è passato venerdì 25 settembre 2020, la nuova legge. Si prevede che entrerà in vigore il 1 settembre 2023. Come prossimo passo, le ordinanze di supporto saranno ora redatte e presentate per la consultazione pubblica. Quanto velocemente le cose ora progrediscono ovviamente dipenderanno anche dall’UE: la Svizzera sta ancora aspettando il rinnovamento della Commissione europea’S Decisione di adeguatezza, che consente trasferimenti di dati senza ostacoli in Svizzera. L’UE potrebbe esercitare pressione sulla Svizzera per accelerare il reviso in vigore il DPA rivisto.

Più governance: registri delle attività di elaborazione dei dati, DPIA, obbligo di segnalazione

Proprio come nel caso del GDPR, le principali modifiche al nuovo DPA sono nuovi obblighi di governance, come il requisito di mantenere i registri delle attività di elaborazione dei dati, l’obbligo di segnalare perdite di dati e altre violazioni della sicurezza dei dati al Commissario federale sulla protezione e delle informazioni (FDPIC) e sull’obbligo di svolgere le valutazioni dell’impatto della protezione dei dati (“DPIA”) per l’elaborazione sensibile dei dati. Tutti e tre i requisiti sono paragonabili alle disposizioni corrispondenti ai sensi del GDPR e comporteranno un carico di lavoro aggiuntivo per le aziende che non hanno già subito il processo ai fini del GDPR. Coloro che hanno possono adottare gli inventari di elaborazione dei dati esistenti più o meno direttamente e avere le loro procedure di notifica di violazione dei dati modificate per rispettare anche la legge svizzera (il DPA prevede soglie leggermente diverse su quando diventa necessaria una notifica, ma essenzialmente funziona lungo le stesse linee dell’obbligo di notifica ai sensi del GDPR). Anche i legislatori svizzeri “copiato” Il concetto di DPIA, che finora non è esistito formalmente ai sensi della legge svizzera, sebbene sia già ben noto ai sensi della legge sulla protezione dei dati svizzeri come “buona pratica” In caso di attività di elaborazione dei dati sensibili.

Principi di base invariati

Sebbene il DPA sia stato completamente rivisto, il settore privato in generale non dovrà cambiare il modo in cui elabora i dati personali. I principi di base dell’elaborazione dei dati rimangono invariati nel nuovo DPA, con un’eccezione: i dati personali delle entità legali non sono più protetti, anche se alcune protezioni generali continuano ad applicarsi. Il concetto svizzero, secondo il quale l’elaborazione dei dati nel settore privato è in linea di principio consentito e giustificazione (o “motivi legali”) è richiesto solo in determinate situazioni, rimane invariato.

Pertanto, il DPA continua a discostarsi dal regolamento generale sulla protezione dei dati (GDPR): lì, l’elaborazione dei dati personali è generalmente proibito a meno che non vi sia un terreno legale come il consenso, la performance di un contratto, un interesse legittimo sufficiente o una disposizione legale nella legge.

CONSENZI: meno restrittivo rispetto al GDPR

Inoltre, la Svizzera non si spinge fino al GDPR in termini di requisiti per il consenso valido; Essenzialmente nulla cambia qui rispetto all’attuale situazione legale in Svizzera, ad eccezione di un piccolo cambiamento rispetto alla profilazione (vedi sotto). Non è necessario informare sulla possibilità di ritiro e possono essere combinate dichiarazioni di consenso multiplo.

I motivi su cui le attività di elaborazione dei dati possono essere giustificate rimangono più o meno uguali dell’attuale DPA e vanno oltre ciò che è previsto nel GDPR. Ciò che è stato formulato leggermente più restrittivo è la giustificazione per scopi di elaborazione non personale (E.G., usi statistici) e la giustificazione su cui si basavano le agenzie di credito; Ora devono eliminare i dati più vecchi di dieci anni nel caso in cui un soggetto di dati lo richieda.

Il principio di “Privacy per design” è ora anche esplicitamente incluso nella legge, ma a rigor di termini, è sempre esistito, anche sotto l’attuale DPA. In effetti, l’unica disposizione che è nuova è la versione svizzera di “Privacy per impostazione predefinita”, che è rilevante solo nei casi in cui un fornitore di un servizio (online) fornisce impostazioni di protezione dei dati come parte di tale servizio, che deve essere impostato per impostazione predefinita in modo da limitare l’elaborazione dei dati al minimo previsto.

Nessun dovere di nominare un responsabile della protezione dei dati

Mentre il nuovo DPA prevede che le aziende possano nominare ciò che viene definito come a “consulente per la protezione dei dati” (che, in sostanza, è un responsabile della protezione dei dati), non vi è – a differenza del GDPR – nessun obbligo di farlo. Tuttavia, la maggior parte delle aziende di medie dimensioni e più grandi non saranno in grado di implementare correttamente la protezione dei dati a meno che non abbiano nominato una persona responsabile per affrontare la protezione dei dati. Inoltre, le società straniere con attività significative in Svizzera dovranno nominare un rappresentante svizzero, ma prevediamo che solo poche società saranno soggette a questo requisito. Pertanto, l’obbligo va molto meno lontano della corrispondente disposizione nell’articolo 27 del GDPR.

Il diritto alle informazioni è limitato

I diritti dei soggetti di dati sono in qualche modo estesi, ma allo stesso tempo definiti anche un po ‘più chiaramente. Mentre sarà più facile per gli argomenti di dati richiedere i propri dati da un’azienda, il nuovo DPA offre anche nuovi argomenti per il rifiuto di richieste di accesso violente. Ad esempio, solo i dati personali “come tale” può essere richiesto e “esclusivamente” Cosa è necessario far valere i diritti di protezione dei dati. IL “giusto per essere dimenticato” Conosciuto dal GDPR esisteva sempre sotto il DPA e rimarrà. Non è ancora assoluto, ma prevede un bilanciamento degli interessi. Allo stesso modo, il principio secondo cui i dati possono essere elaborati solo fino a quando necessario continua ad applicare. Completamente nuovo per il DPA, tuttavia, è il diritto alla portabilità dei dati, che i legislatori svizzeri hanno copiato dal GDPR: in realtà non ha molto a che fare con la protezione dei dati, ma consente ai consumatori di ottenere i loro dati memorizzati con operatori di servizi online o di altri servizi per trasferire tali dati ai concorrenti. Completamente nuovo è il diritto di chiedere che una persona riconsidera le decisioni importanti che sono state prese esclusivamente su base automatizzata e che per loro natura consentono l’interpretazione. La disposizione è paragonabile alla disposizione del GDPR sulle singole decisioni automatizzate, ma il DPA richiede solo un controller per informare tali decisioni e consentire ai dati soggetti a richiedere l’intervento umano.

Accordi di elaborazione dei dati

I requisiti per i contratti con i trasformatori di dati, i.e. Le aziende a cui i controller delegano la propria elaborazione di dati personali, come i fornitori di servizi cloud, sono state in qualche modo serrate; vale a dire, l’uso dei subappaltatori deve ora essere approvato dal controller. Eppure, le nuove disposizioni non sono ancora all’altezza di quelle del GDPR. Poiché i requisiti ai sensi dell’articolo 28 GDPR sono oggi considerati standard nel settore, non prevediamo alcun problema per i controller per garantire la conformità con le nuove regole ai sensi del DPA. Le clausole concordate con i processori di solito dovranno solo essere adattate per riferirsi non solo al GDPR ma anche al DPA.

La politica sulla privacy diventa obbligatoria

L’obbligo di fornire informazioni è stato ampliato ai sensi del nuovo DPA. Ciò significa che le aziende devono avere una dichiarazione di protezione dei dati in cui forniscono determinate informazioni obbligatorie sui dati personali che raccolgono. Questo tipo di informazioni è generalmente fornito sulle aziende’ Siti Web e per mezzo di collegamenti inclusi nei loro moduli e termini e condizioni contrattuali. Concettualmente, l’obbligo delle informazioni ai sensi del nuovo DPA è molto simile all’obbligo informativo ai sensi del GDPR, ma non richiede tanto contenuto obbligatorio del GDPR. L’unica eccezione è l’obbligo di un controllore di indicare i paesi ai quali vengono esportati i dati personali e le disposizioni legali su cui la società si affida a farlo. Tuttavia, a nostro avviso, non è necessario elencare ogni paese; termini come “Europa” O “in tutto il mondo” dovrebbe funzionare anche. Se una società ha nominato un consulente per la protezione dei dati o un rappresentante, è necessario fornire informazioni su questo. Di conseguenza, sono pertanto necessari alcuni aggiustamenti alle dichiarazioni di protezione dei dati esistenti, ma non prevediamo che ciò crei grandi problemi.

Trasferimento all’estero: sarà più facile

Il DPA rivisto governa i trasferimenti transfrontalieri di dati personali in modo leggermente diverso rispetto al passato, ma le conseguenze pratiche sono molto limitate. Spetta ora al Consiglio federale determinare in modo vincolato i paesi che sono considerati un livello adeguato di protezione dei dati e a cui i dati possono essere esportati senza precauzioni speciali. Finora, è stato il FDPIC a mantenere un elenco di paesi con la sua valutazione sull’argomento, ma questo elenco non è stato vincolante (questo è anche il motivo per cui gli effetti della decisione europea “Schrems II” in Svizzera erano molto più limitati che nel SEE). Le clausole contrattuali standard dell’UE per le esportazioni di dati possono ancora essere utilizzate; L’obbligo di avvisare il FDPIC è stato rimosso dal nuovo DPA. Anche la divulgazione di dati personali alle autorità stranieri diventerà più facile; In precedenza questo era spesso possibile solo nel contesto dei procedimenti giudiziari.

Sono possibili più multe, ma comunque l’eccezione

Anche l’applicazione del DPA cambierà ai sensi della nuova legge. In passato, la FDPIC è stata in grado di emettere solo “Raccomandazioni” ai controller di dati e ai processori che a suo avviso non hanno rispettato il DPA. Se non rispettassero la sua raccomandazione, potrebbe fare causa. In futuro, emetterà direttamente ordini contro controller e processori. Ad esempio, sarà in grado di ordinare che una particolare attività di elaborazione dei dati venga interrotta. Detto questo, questi nuovi poteri porteranno anche a FDPIC’S Procedure diventano più complicate e richiedono più risorse di quelle sotto l’attuale DPA. Resta da vedere se il nuovo concetto porterà a una maggiore applicazione o porterà effettivamente un minor numero di casi dati la FDPIC’S COSAFFING COSTANTE. Il FDPIC non sarà ancora in grado di imporre multe.

Il diritto di imporre multe risiede alle autorità cantoni delle forze dell’ordine (che non sono specializzate nella protezione dei dati) e il catalogo delle multe è stato significativamente ampliato. In passato, erano possibili multe per la violazione del dovere di informare, il dovere di rispettare il diritto di accesso ai dati dei dati e il dovere di cooperare con la FDPIC. Ora, le violazioni delle disposizioni sulle esportazioni di dati, le disposizioni sui trasformatori di commissioning e alcune violazioni delle misure di sicurezza dei dati possono essere multate. Le multe devono essere principalmente pagate dai decisori, ma solo se hanno agito intenzionalmente. Possono essere ritenuti responsabili fino alla quantità di CHF 250’000. (€ 230’000) Sebbene queste quantità impallidiscano rispetto alle quantità nell’ambito del GDPR, probabilmente saranno ancora più efficaci dato che sono di natura personale e non possono essere assicurati. Presumiamo che le multe per le violazioni della protezione dei dati continueranno ad essere l’eccezione in Svizzera. Inoltre, le violazioni dei principi fondamentali del DPA continuano a essere esenti dalla punizione – un’importante differenza per il GDPR. Inoltre, il DPA rivisto introduce la segretezza professionale generale per tutte le professioni (con multe fino a CHF 250’000) e una nuova disposizione contro il furto di identità.

Nessun consenso necessario per la profilazione

L’osso principale della contesa delle deliberazioni sul nuovo DPA era “profilazione”, che ha lo stesso significato ai sensi del DPA come sotto il GDPR. Degno di nota, come sotto il GDPR, il significato legale di “profilazione” Come tale è molto limitato. La profilazione è, in sostanza, la formazione automatizzata di un’opinione su alcuni aspetti di un individuo. Sebbene la profilazione sia un termine definito nel nuovo DPA, non ci sono quasi disposizioni del DPA che si riferiscono ad esso, almeno per quanto riguarda il settore privato. A differenza di ciò che è stato generalmente riportato, il nuovo DPA non prevede che la profilazione richieda il consenso. Ciò che dice il nuovo DPA è che se è richiesto il consenso in un caso particolare, tale consenso deve essere di natura espressa nel caso della profilazione con a “alto rischio”. La profilazione è considerata ad alto rischio se si traduce in un profilo più dettagliato di un individuo. Questo è già in linea con l’attuale situazione legale ai sensi del DPA esistente. In altre parole: quasi nulla in realtà cambia sotto il nuovo DPA. Sebbene la profilazione in quanto tale non richieda il consenso, è già possibile che un’operazione di elaborazione dei dati vada così lontano che è richiesta la giustificazione. Il consenso è una possibile forma di giustificazione, ma il controller potrebbe anche essere in grado di fare affidamento su un interesse privato prevalente a seconda delle circostanze.

Bisogno di azione

Cosa deve essere fatto ora? La maggior parte delle aziende dovrebbe avere abbastanza tempo per attuare le disposizioni più importanti del DPA rivisto. Innanzitutto, dovrebbero rivedere le loro dichiarazioni di protezione dei dati alla luce dei nuovi requisiti e adattarli o, se necessario, crearne di nuove se non ne hanno in atto. La parte più ampia del tempo del processo è di solito la revisione interna delle attività di protezione dei dati per garantire che tutti i casi in cui l’azienda procuri i dati personali. Una volta che un’azienda ha ottenuto queste informazioni, può creare o aggiornare la dichiarazione di protezione dei dati e stabilire un inventario delle attività di elaborazione dei dati. Se tali affermazioni e inventari sono già stati creati ai fini del GDPR, possono essere riutilizzati in larga misura per il DPA.

Crea record di attività di elaborazione al 70% più velocemente con il registro GDPR! Prova 14 giorni gratuitamente!

In un ulteriore passaggio, le relazioni controller-processore devono essere identificate e i contratti correlati controllati e adattati secondo le nuove e più rigorose regole di coinvolgimento. Se questo lavoro è già stato svolto per il GDPR, di nuovo, non saranno necessarie molte modifiche; Ciò che è di solito necessario è espandere i riferimenti al GDPR per includere anche il DPA. Allo stesso modo, i controller e i processori dovrebbero identificare i trasferimenti di dati internazionali e verificare se soddisfano il DPA’requisiti, dato che la non conformità può essere multata in futuro. Se il DPA’I requisiti attuali sono soddisfatti, molto probabilmente non sono necessarie modifiche.

Le aziende dovrebbero inoltre implementare un processo per le valutazioni dell’impatto sulla protezione dei dati e, se necessario, nominare un responsabile della protezione dei dati, anche se non richiesto dalla legge. Dovrebbe essere introdotto un processo per identificare, analizzare, segnalare e gestire le violazioni della sicurezza dei dati (che il termine include perdite di dati involontari e e-mail mal indirizzate). Ogni azienda dovrebbe anche avere un processo – se non già in atto – per aver risposto alle richieste delle persone interessate E.G., Coloro che richiedono l’accesso ai loro dati personali. Quando si riferisce a “processi”, Intendiamo che una società dovrebbe almeno nominare un individuo responsabile della gestione dell’argomento pertinente che sa cosa fare in ogni caso o dove ottenere le informazioni pertinenti su ciò che dovrebbe essere fatto.

Infine, le singole decisioni automatizzate dovrebbero essere identificate e, se pertinenti, i soggetti di dati dovrebbero essere informati e hanno la possibilità di chiedere un intervento umano. Inoltre, l’elaborazione di dati genetici e biometrici, nonché i dati per scopi non personali e l’affidabilità creditizia, dovrebbero essere identificati, verificati e adattati ai nuovi requisiti. Naturalmente, la formazione esistente dovrebbe anche essere adattata per corrispondere ai requisiti ai sensi del DPA rivisto e può avere senso verificare l’implementazione dei nuovi requisiti con la conduzione di audit.

Il nfadp’S 12 Requisiti chiave:

Le PMI svizzere devono implementare le seguenti 12 misure per conformarsi al NFADP:

1. Controllare e modificare le dichiarazioni di protezione dei dati (sito Web, contratti, contenuti pubblicitari, ecc.)
2. Draft (o Modify) Linee guida per la gestione dei dati aziendali
3. Stabilire un registro di elaborazione dei dati (ad eccezione delle aziende con meno di 250 dipendenti e se non esiste un rischio significativo sulla privacy)
4. Stabilire procedure per rispondere prontamente ai soggetti dei dati’ richieste (e.G., per informazioni o cancellazione dei dati)
5. Implementare una procedura di reporting di violazione dei dati
6. Stabilire un processo per le valutazioni dell’impatto richiesto quando l’elaborazione dei dati è ad alto rischio (E.G., In caso di monitoraggio sistematico del più ampio dominio pubblico)
7. Analizzare i contratti con i subappaltatori, per verificare se viene fornita la sicurezza dei dati e aggiungere clausole al riguardo (inclusa la notifica di violazione dei dati)
8. Prevedere che i dati vengano eliminati o resi anonimi (e immediatamente dopo non sono più necessari per lo scopo originale per il quale sono stati elaborati)
9. Rivedere i paesi in cui vengono trasmessi i dati, anche per il semplice backup del cloud (questi paesi devono essere in un elenco del consiglio federale. In caso contrario, si applicano requisiti più rigorosi)
10. Garantire la sicurezza dei dati attraverso adeguate misure tecniche e organizzative
11. Assicurarsi che i dati siano forniti in formato elettronico (nel caso dell’elaborazione automatizzata dei dati e, in particolare, la conclusione o l’implementazione di un contratto)
12. Designare un consulente per la protezione dei dati e pubblicare i propri dettagli di contatto (si raccomanda di avvisare questa persona al Commissario federale sulla protezione e delle informazioni (FDPIC)).