רגולציה כללית להגנת נתונים אירופית GDPR

החוק הפדרלי של שוויץ בנושא הגנת נתונים: מה שאתה צריך לדעת

התקנה הכללית להגנת נתונים (GDPR) היא אתגר אסטרטגי עבור כל חברות אירופאיות (וגלובליות). בשוויץ, ארגונים עומדים בפני אתגר גדול עוד יותר: לעמוד הן בדרישות ה- GDPR והן של חוק לאומי, החוק הפדרלי השוויצרי בנושא הגנת נתונים (FADP).
העדכון הכולל של ה- FADP אומץ על ידי האסיפה הפדרלית בסתיו 2020 לאחר שלוש שנות דיון. תחילה מתוכנן למחצית השנייה של 2022, יישום החוק הפדרלי השוויצרי החדש בנושא הגנת נתונים (NFADP) צפוי להתחיל ב- 1 בספטמבר, 2023.
הפקודה לחוק הפדרלי בנושא הגנת נתונים (DPO) תונפק במקביל, לאחר התייעצות עם המועצה הפדרלית. על פי החוק החדש, חברות יצטרכו לעמוד בכללים מחמירים יותר.

סיכום

• NFADP שוויצרי: הנחיות והיקף חדשות: שוויץ שואפת לקרב את החקיקה שלה לדרישות ה- GDPR כדי לשמור על ההכרה כמדינה של צד שלישי עם רמת הגנה נאותה להחלפת נתונים.
• 10 שינויים עיקריים בין ה- FADP השוויצרי ל- NFADP: החוק הפדרלי החדש מציג תקנות חדשות לחברות, כולל הגדרת נתונים אישיים רגישים ושני עקרונות חדשים להגנה על נתונים.
• היקף ה- NFADP השוויצרי: החוק החדש נועד להגן על האישיות והזכויות הבסיסיות של אנשים בשוויץ ומקדם שקיפות, זכויות ואחריות גדולות יותר עבור מעבדי נתונים.
• כיצד לעמוד בחוק הפדרלי החדש בנושא הגנת נתונים בשוויץ?: חברות שוויצריות צריכות לנקוט באמצעים מיידיים כמו זיהוי נתונים אישיים, שינוי הצהרות הגנת נתונים, בניית תהליכים פנימיים, יצירת פנקס עיבוד נתונים, עריכת הערכות השפעה, ניתוח חוזים ומינוי יועץ להגנת נתונים.
• FADP שוויצרי לעומת GDPR: חברות בשוויץ חייבות לעמוד גם ב- FADP החדש וגם ל- GDPR.
• 3 נקודות מפתח שיש לזכור: החוק השוויצרי החדש משפר את עיבוד הנתונים עבור אזרחי שוויץ תוך מתן להם זכויות חדשות. זה תקף גם לכל החברות ללא קשר לגודל ואף משפיע על חברות זרות עם פעילויות או עיבוד נתונים הקשורים לשוויץ.

15 שאלות ייחודיות המבוססות על הטקסט

1. ש: מדוע תקנת הגנת המידע הכללית (GDPR) היא אתגר עבור חברות?

ת: ה- GDPR הוא אתגר אסטרטגי עבור חברות שכן הן צריכות לעמוד בדרישותיו.

2. ש: מהו החוק הפדרלי השוויצרי על הגנת נתונים (FADP)?

ת: ה- FADP השוויצרי הוא חוק לאומי שעל ארגונים שוויצריים לדבוק בהם בנוסף ל- GDPR.

3. ש: מתי יישום החוק הפדרלי השוויצרי החדש בנושא הגנת נתונים (NFADP) צפוי להתחיל?

ת: יישום החוק הפדרלי השוויצרי החדש בנושא הגנת נתונים צפוי להתחיל ב -1 בספטמבר 2023.

4. ש: האם חברות נדרשות לעמוד בכללים מחמירים יותר על פי החוק החדש?

ת: כן, חברות יצטרכו לעמוד בכללים מחמירים יותר על פי החוק הפדרלי השוויצרי החדש על הגנת נתונים.

5. ש: מהם השינויים העיקריים בין ה- FADP השוויצרי ל- NFADP?

ת: השינויים העיקריים כוללים את ההגדרה של נתונים אישיים רגישים והכנסת שני עקרונות חדשים להגנה על נתונים.

6. ש: מה היקף ה- NFADP השוויצרי?

ת: ה- NFADP השוויצרי שואף להגן על אישיותם ועל זכויותיהם הבסיסיות של אנשים בשוויץ ומקדם שקיפות, זכויות ואחריות גדולות יותר עבור מעבדי נתונים.

7. ש: כיצד חברות שוויצריות יכולות לעמוד בחוק הפדרלי החדש בנושא הגנת נתונים?

ת: חברות שוויצריות יכולות לעמוד על ידי נקיטת אמצעים כמו זיהוי נתונים אישיים, שינוי הצהרות הגנת נתונים, בניית תהליכים פנימיים, יצירת פנקס עיבוד נתונים, עריכת הערכות השפעה, ניתוח חוזים ומינוי יועץ להגנת נתונים.

8. ש: האם ה- FADP השוויצרי מאפשר זמן מעבר לעמוד בדרישות החדשות?

ת: חלק משמעותי מההוראות בחוק הפדרלי החדש יחולו ברגע שהוא ייכנס לתוקף. חיוני לחזות אמצעים לעמוד בדרישות החדשות.

9. ש: מהן נקודות המפתח שיש לזכור לגבי החוק הפדרלי השוויצרי על הגנת נתונים?

ת: נקודות המפתח כוללות שיפור עיבוד נתונים עבור אזרחי שוויצרים, מספקים להם זכויות חדשות, יישום על כל החברות ללא קשר לגודל, והשפעה על חברות זרות עם פעילויות או עיבוד נתונים הקשורים לשוויץ.

10. ש: כיצד שוויץ שואפת לשמור על הכרה כמדינה של צד שלישי עם רמת הגנה נאותה?

ת: שוויץ שואפת לקרב את החקיקה שלה לדרישות ה- GDPR כדי לשמור על ההכרה כמדינה של צד שלישי עם רמת הגנה נאותה להחלפת נתונים.

11. ש: מה המטרה של החוק הפדרלי השוויצרי החדש בנושא הגנת נתונים?

ת: המטרה היא להגן על האישיות והזכויות הבסיסיות של אנשים בשוויץ ולווסת את העיבוד ולמנוע את השימוש הפוגע בנתונים שלהם.

12. ש: האם החוק הפדרלי השוויצרי החדש בנושא הגנת נתונים חל על גורמים משפטיים?

ת: לא, החוק הפדרלי החדש מכסה רק את ההגנה על נתונים אישיים עבור אנשים או אנשים טבעיים וכבר אינו חל על נתוני ישויות משפטיות.

13. ש: מה כלול בהגדרת נתונים אישיים רגישים ב- NFADP השוויצרי?

ת: ההגדרה כוללת נתונים גנטיים וביומטריים המאפשרים הכרה של אדם באופן חד -מימי.

14. ש: אילו עקרונות הגנת נתונים כלולים ב- FADP השוויצרי?

ת: שני עקרונות חדשים להגנת נתונים כלולים ב- FADP השוויצרי, שאינם מוזכרים בפסקה.

15. ש: האם החוק הפדרלי השוויצרי החדש בנושא הגנת נתונים חלה על כל החברות ללא קשר לגודל שלהן?

ת: כן, החוק הפדרלי השוויצרי החדש בנושא הגנת נתונים חל על כל החברות ללא קשר לגודל שלהן.

16. ש: אילו דרישות חלות על חברות זרות עם פעילויות או עיבוד נתונים הקשורים לשוויץ?

ת: חברות זרות עם פעילויות או עיבוד נתונים הקשורות לשוויץ חייבות לעמוד בחוק הפדרלי השוויצרי החדש בנושא הגנת נתונים.

רגולציה כללית להגנת נתונים אירופית GDPR

מכיוון ששוויץ אינה חברה באיחוד האירופי או באיחוד האירופי, לרפורמה בחוק הגנת המידע האירופי אין השפעה ישירה על העסקים השוויצריים.

החוק הפדרלי של שוויץ בנושא הגנת נתונים: מה שאתה צריך לדעת

התקנה הכללית להגנת נתונים (GDPR) היא אתגר אסטרטגי עבור כל חברות אירופאיות (וגלובליות). בשוויץ, ארגונים עומדים בפני אתגר גדול עוד יותר: לעמוד הן בדרישות ה- GDPR והן של חוק לאומי, החוק הפדרלי השוויצרי בנושא הגנת נתונים (FADP).

העדכון הכולל של ה- FADP אומץ על ידי האסיפה הפדרלית בסתיו 2020 לאחר שלוש שנות דיון. תחילה מתוכנן למחצית השנייה של 2022, יישום החוק הפדרלי השוויצרי החדש בנושא הגנת נתונים (NFADP) צפוי להתחיל ב- 1 בספטמבר, 2023.

הפקודה לחוק הפדרלי בנושא הגנת נתונים (DPO) תונפק במקביל, לאחר התייעצות עם המועצה הפדרלית. על פי החוק החדש, חברות יצטרכו לעמוד בכללים מחמירים יותר.

סיכום

• NFADP שוויצרי: הנחיות והיקף חדשות
• 10 שינויים עיקריים בין ה- FADP השוויצרי ל- NFADP
• היקף ה- NFADP השוויצרי
• כיצד לעמוד בחוק הפדרלי החדש בנושא הגנת נתונים בשוויץ?
• FADP שוויצרי לעומת GDPR
• 3 נקודות מפתח שיש לזכור

NFADP שוויצרי: הנחיות והיקף חדשות

בהתחשב בהתפתחות הטכנולוגית המהירה, החוק הפדרלי השוויצרי הישן בנושא הגנת נתונים מיושן. העדכון הכולל של ה- FADP מאפשר לו להתאים את ההוראות לאתגרים עכשוויים, טכנולוגיים וחברתיים.

על ידי חיזוק טקסט החוק, שוויץ שואפת לקרב את החקיקה השוויצרית לדרישות ה- GDPR . עבור המדינה, האתגר הוא להישאר מוכר כמדינת צד ג ‘, עם רמת הגנה נאותה לביצוע חילופי נתונים עם שאר העולם.

חוק חדש זה משפר את עיבוד הנתונים האישיים עבור אזרחי שוויץ, תוך שהוא מספק להם זכויות חדשות.

10 שינויים עיקריים בין ה- FADP השוויצרי ל- NFADP

ה- NFADP השוויצרי מציג תקנות חדשות לחברות:

• החוק הפדרלי החדש מכסה רק את הגנה על נתונים אישיים לאנשים או אנשים טבעיים. זה לא חל יותר על נתוני הגופים המשפטיים (עמותות, יסודות, חברות מסחר וכו ‘.)
• ההגדרה של נתונים אישיים רגישים (חברות באיגוד, בריאות, דעות פוליטיות וכו ‘.) גם כולל נתונים גנטיים וביומטריים (טביעות אצבעות, DNA וכו ‘.), כאשר הם נותנים אפשרות להכיר באדם באופן חד -מימי.
• שני עקרונות חדשים להגנה על נתונים כלולים ב- FADP השוויצרי:

היקף ה- NFADP השוויצרי

החוק הפדרלי החדש להגנת נתונים אישיים נועד להגן על האישיות והזכויות הבסיסיות של אנשים החיים בשוויץ. זה מסדיר את העיבוד ומונע את השימוש הפוגע בנתונים שלהם על ידי חברות פרטיות או על ידי המדינה. אבטחת המידע של גורמים משפטיים כבר לא מובטחת.

העדכון הכולל של החוק מציע שקיפות רבה יותר לשוויצרים. החוק מחזק את זכויותיהם (גישה, תיקון, מחיקה, ניידות) לגבי הנתונים האישיים שלהם. בתוך חברות, ה- NFADP מקדם אימוץ אמצעי מניעה. עם הוראות עונשין חדשות ופיקוח מוגבר, הוא הופך את מעבדי הנתונים ליותר אחראים.

ה- FADP השוויצרי החדש חל על כל החברות, ללא קשר לגודל שלהן. זה גם נוגע לשחקנים כלכליים “שיש להם השפעות בשוויץ, גם אם הם יוצרו בחו”ל“.

הם עשויים להיות חברות זרות:

• פעיל מסחרי בשוק השוויצרי;
• שעבורו עיבוד הנתונים קשור לשוויץ. לדוגמה, תצלום שצולם בשוויץ ואז פורסם באתר זר.

כיצד לעמוד בחוק הפדרלי החדש בנושא הגנת נתונים בשוויץ?

כדי להיות תואם ל- NFADP, חברות שוויצריות חייבות לנקוט מיד צעדים חזקים כדי להגן על נתונים אישיים:

• זיהוי נתונים אישיים ואז הערכת סיכון לקביעת דרישות הציות;
• במידת הצורך, בדיקה ושינוי הצהרות הגנת המידע באתרים, תוכן פרסום, בחוזים וכו ‘.;
• בניית תהליכים פנימיים כדי להביא תשובות מהירות לבקשות הלקוחות הקשורות לנתונים שלהם;
• יצירת פנקס עיבוד נתונים;
• יישום תהליך להערכות השפעה;
• ניתוח חוזים עם קבלני משנה. הוא אבטחת הנתונים המסופקים? האם יש צורך להוסיף סעיפים?
• מינוי יועץ להגנת נתונים בחברה.

טוב לדעת: האם ה- FADP השוויצרי מאפשר זמן מעבר לעמוד בדרישות החדשות?

חלק משמעותי מההוראות בחוק הפדרלי החדש יחול על ידי כך שהוא ייכנס לתוקף. כדי להבטיח הגנה על נתונים יעילה ב -1 בספטמבר 2023, חשוב לחזות ככל האפשר את זיהוי האמצעים האפשריים לנקוט.

FADP שוויצרי לעומת GDPR

בשוויץ, חברות חייבות לכבד שני חוקים בנושא הגנת נתונים: ה- FADP החדש וה- GDPR. גלה את היקף היישום של התקנה האירופית במדינה כמו גם את ההבדלים העיקריים בין שני הטקסטים.

ה- GDPR חל על חברות שוויצריות במספר מצבים. יש לכבד את התקנה עבור כל עיבוד של נתונים אישיים:

• מתבצעת כחלק מפעילותה של סניף אירופי או חברת בת של חברה שוויצרית באיחוד;
• מבוצעת על ידי חברה שוויצרית כקבלן משנה של חברה שממוקמת באיחוד האירופי;
• מכוון להציע סחורות או שירותים לאנשים מודאגים באיחוד;
• קשור למעקב אחר התנהגותם של תושבי האיחוד האירופי.

ההבדלים העיקריים בין ה- GDPR לבין ה- FADP השוויצרי על הגנה על נתונים אישיים

בהיבטים רבים, ה- NFADP השוויצרי דומה להנחיות הרגולציה הכללית להגנת המידע האירופית (GDPR). עם זאת, החוק הפדרלי החדש מציג כמה ייחודיות:

• הדרישות שלה הן פחות מחמיר;
• ב- FADP השוויצרי החדש, מינוי יועץ להגנת נתונים מומלץ, אך לא חובה. ה- GDPR דורש א קצין הגנת נתונים (DPO) במקרים מסוימים;
• במקרה של הפרת נתונים, ה- GDPR דורש מועד אחרון של 72 שעות כדי להתריע לרשויות הרלוונטיות. ה- FADP המתוקן דורש הודעה “בהקדם האפשרי”;
• מגבלת העונש גבוהה יותר עבור ה- GDPR: 20 מיליון יורו לעומת 250,000 פרנק עבור חוק הגנת המידע השוויצרי החדש.

על ידי בחירה דידומי, אתה יוצר ערך עם אמון ברחבי העולם, מה שהופך את הפרטיות לחוויית לקוח ייחודית. עם שלנו פיתרון לניהול הסכמה והעדפות, אתה יכול:

• אסוף הסכמה מלקוחותיך בתאימות מלאה;
• להגן על המוניטין שלך;
• להציג את השקיפות שלך לאיסוף נתונים אישיים;
• עקוב אחר מדדי ההסכמה שלך;
• סנכרן נתונים אישיים בין כלי אוטומציה לשיווק.

האם אתה רוצה להפוך את תאימות ה- GDPR/FADP השוויצרית לנכס מסחרי? בין אם אתה עורך, בנק, סוחר אלקטרוני או ספק תוכנה: הזמינו הדגמה!

3 נקודות מפתח שיש לזכור

• החוק הפדרלי השוויצרי החדש בנושא הגנת נתונים ייכנס לתוקף ב -1 בספטמבר 2023;
• ה- FADP מחזק את הגנת המידע האישית של אנשים טבעיים;
• למרות כמה ספציפיות, ה- NFADP הוא בעיקרו השראה מהמדדים של ה- GDPR.

רגולציה כללית להגנת נתונים אירופית GDPR

תקנת הגנת המידע הכללית האירופית (GDPR) נכנסה לתוקף במאי 2018. למרות שזו תקנה אירופאית, היא חלה גם על חברות שוויצריות בתנאים מסוימים.

למי חל ה- GDPR?

ה- GDPR חל על כל טיפול בנתונים אישיים על ידי חברות שוויצריות, אם החברה

• יש משרד אזורי באיחוד האירופי, כמו סניף, סוכנות, משרד נציג מקומי או חברת בת, בתנאי שהאחרון אינו פועל באופן עצמאי אלא מטעם חברת האם השוויצרית, ומעבד נתונים אישיים בקשר למשרד האזורי (דוגמה: סניף בצרפת מוכר מוצרים או שירותים עבור המשרד הראשי בשוויץ ומשתמש בשם ולתכתים או ללקוחות קצה או את הרוכש’אנשי קשר מצרפת);
• לא נקבע באיחוד האירופי: אם החברה מציעה סחורות או שירותים באיחוד (דוגמה: חברה בשוויץ מפיצה באופן פעיל סחורות או שירותים לגרמניה באמצעות אתר או תוכנה כספק שירות (SaaS) בשוויץ יש לקוחות בחברה) או מתבונן בהתנהגותם של אנשים באיחוד (דוגמא: דוגמה: עוגיות משמשות בחברה’אתר האינטרנט בשוויץ באמצעותו ניתן להסיק מסקנות לגבי התנהגות המבקרים באתר ונתונים אלה מוערכים).

מהן ההשלכות של אי ציות?

הפרה של ה- GDPR עשויה להיות בעלת ההשלכות הבאות:

• הרשויות באירופה יכולות להטיל קנסות של עד 20 מיליון אירו או – אם גבוה יותר – ארבעה אחוזים מחברת האשמים’מחזור שנתי ברחבי העולם.
• חוזים מחייבים לעיתים קרובות עמידה בחוק החל באופן כללי או בחוק הגנת נתונים בפרט. במקרים כאלה, הפרה יכולה להוביל לעונשים חוזיים, סיום מוקדמים, תביעות בגין נזקים ואובדן הזכויות.

מידע מפורט על ה- GDPR ועל מה חברות שוויצריות צריכות לעשות, כולל רשימת בדיקה, ניתן למצוא בגליון המידע שלנו.

GDPR – השלכות על עסקים שוויצרים

מכיוון ששוויץ אינה חברה באיחוד האירופי או באיחוד האירופי, לרפורמה בחוק הגנת המידע האירופי אין השפעה ישירה על העסקים השוויצריים.

מחבר: Andreas Knijpenga

עם זאת, הרפורמה עדיין תהיה רלוונטית מנקודת מבט עסקית שוויצרית כדלקמן:

המשטר החדש להגנת המידע של האיחוד האירופי יהיה רלוונטי ישירות לכל עיבוד נתונים שנעשה על ידי גורמים קבוצתיים הממוקמים בחברות האיחוד האירופי ובחברות מבוססות שוויצרים, אם הם מבצעים פעילויות עסקיות באזור האיחוד.

בהקשר זה יש כמה דרישות חדשות משמעותיות, כגון (אם נקרא רק מעטים):

• הודעת הפרת נתונים תוך 72 שעות
• דרישות קצין הגנת נתונים
• סנקציות של עד 4% מכלל המחזור השנתי העולמי או עד 20 מיליון יורו
• הסכמה חד משמעית או מפורשת

שנית, הממתינים ועומדים חוק הגנת נתונים פדרלי (FDPA) העדכון יושפע מאוד מ:

• המודרניזציה של “האמנה שאשרה על ידי שוויץ להגנה על אנשים ביחס לעיבוד אוטומטי של נתונים אישיים” על ידי מועצת אירופה
• ה- GDPR החדש (נתונים אישיים של יחידים)
• ההנחיה החדשה להגנת המידע למגזר המשטרה והמשפט הפלילי

בסופו של דבר, שלושת ההוראות האירופיות החדשות עוקבות אחר אותם עקרונות. למרות שעקרונות הליבה של ה- FDPA צפויים להישאר זהים, ורק התאמות קלות של ה- FDPA הנוכחי נדרשות, יצרני החוק השוויצרי עשויים להעתיק חלקים גדולים של ה- GDPR הסופי ב- FDPA המתוקן שלה כדי לשמור על ההרמוניה של האזור הכלכלי.

המשטר החדש של האיחוד האירופי יהיה תלוי באופן ישיר בעד FDPA, המשטר החדש של האיחוד. זה יהיה גם המפתח עבור כל החברות השוויצריות להכיר את ה- GDPR החדש ואת דרישותיה, כבר להתחיל להעריך אם הן מושפעות מהכללים החדשים ולייזם את עבודת ההכנה (ה.ז. סקור את הלקוח העומד בפני חומרים כדי להבטיח עמידה בדרישות ההסכמה והשקיפות החדשות, סקור ותקן חוזים עם מעבדי נתונים במידת הצורך) כך שכל ההתאמות הנדרשות יתקיימו בזמן כדי לעמוד בדרישות ההגנה החדשות של האיחוד האירופי ובשוויץ.

אנא נשאר מעודכן לעדכוני FDPA נוספים.

חוק הגנת נתונים שוויצרי חדש נכנס לתוקף ב -1 בספטמבר 2023: השוואה עם GDPR

החוק החדש להגנת המידע השוויצרי (NFADP) הושלם סוף סוף. בעקבות הרזולוציה של ההבדלים האחרונים על “פרופיל” ביום רביעי עבר הפרלמנט הפדרלי השוויצרי ביום שישי, 25 בספטמבר 2020, החוק החדש. זה צפוי להיכנס לתוקף ב -1 בספטמבר 2023. כצעד הבא, התקנות התומכות יתקיימו כעת ויוגשו לייעוץ ציבורי. כמה מהר הדברים עכשיו התקדמות תהיה כמובן תלויה גם באיחוד האירופי: שוויץ עדיין מחכה לחידוש הנציבות האירופית’החלטת הספק, המאפשרת העברות נתונים ללא הפרעה לשוויץ. האיחוד האירופי יכול להפעיל לחץ על שוויץ כדי להאיץ את הכוונת DPA המתוקן.

ממשל נוסף: רשומות של פעילויות עיבוד נתונים, DPIA, חובת דיווח

בדומה למקרה של ה- GDPR, השינויים העיקריים ב- DPA החדש הם חובות ממשל חדשות, כמו הדרישה לקיים רישומים של פעילויות עיבוד נתונים, החובה לדווח על הפסדי נתונים והפרות אחרות של אבטחת מידע על הערכות ההשפעה הפדרליות להגנת המידע (FDPIC) והתחייבות לבצע הערכות השפעה על הגנת נתונים ((FDPIC) להערכה על השפעת הגנה על נתונים (FDPIC))“DPIA”) לעיבוד נתונים רגיש. שלוש הדרישות דומות להוראות המקבילות במסגרת ה- GDPR, ויביאו לעומס עבודה נוסף עבור חברות שלא עברו כבר את התהליך לצורך ה- GDPR. אלה שיכולים לאמץ את המלאי הקיים בעיבוד הנתונים באופן ישיר או יותר באופן ישיר ויותר יש את נהלי ההודעות שלהם על הפרת הנתונים כדי לעמוד גם בחוק השוויצרי (ה- DPA מספק ספים שונים במקצת לגבי מתי ההודעה הופכת להיות נחוצה, אך למעשה פועלת באותם קווים כמו התחייבות ההודעה על פי ה- GDPR). למחוקקים שוויצרים יש גם כן “מוּעֲתָק” הרעיון של DPIA, שעד כה לא היה קיים רשמית על פי החוק השוויצרי אם כי הוא כבר ידוע על פי חוק הגנת המידע השוויצרי AS “אימון טוב” במקרה של פעילות עיבוד נתונים רגישה.

עקרונות בסיסיים ללא שינוי

למרות שה- DPA תוקן לחלוטין, המגזר הפרטי באופן כללי לא יצטרך לשנות את הדרך בה הוא מעבד נתונים אישיים. העקרונות הבסיסיים של עיבוד הנתונים נותרו ללא שינוי ב- DPA החדש, למעט יוצא מן הכל. הרעיון השוויצרי, לפיו עיבוד נתונים במגזר הפרטי מותר באופן עקרוני והצדקה (או “עילות חוקיות”) נדרש רק במצבים מסוימים, נשאר ללא שינוי.

לפיכך, ה- DPA ממשיך לסטות מהתקנה הכללית להגנת המידע של האיחוד האירופי (GDPR): שם, עיבוד נתונים אישיים אסור בדרך כלל אלא אם כן יש עילה חוקית כמו הסכמה, ביצוע חוזה, אינטרס לגיטימי מספיק או הוראה חוקית בחוק.

הסכמה: פחות מגבילה מאשר תחת ה- GDPR

שוויץ גם לא מרחיקה ל- GDPR מבחינת הדרישות להסכמה תקפה; בעיקרון שום דבר לא משתנה כאן בהשוואה למצב המשפטי הנוכחי בשוויץ, למעט שינוי קל ביחס לפרופיל (ראה להלן). אין צורך ליידע את האפשרות לנסיגה, וניתן לשלב הצהרות הסכמה מרובות.

העילות בהן ניתן להצדיק פעילויות עיבוד נתונים נשארות פחות או יותר זהות ל- DPA הנוכחי, ולחוברים מה שמספק ב- GDPR. מה שמנוסח מעט יותר באופן מגביל הוא הצדקה למטרות עיבוד לא אישיות (ה.ז., שימושים סטטיסטיים) וההצדקה שעליה הסתמכו סוכנויות אשראי; כעת הם צריכים למחוק נתונים שגילם יותר מעשר שנים במקרה שנבדק מבקש כך.

העיקרון של “פרטיות על ידי עיצוב” כעת נכלל כעת במפורש בחוק, אך באופן קפדני, הוא תמיד היה קיים – אפילו תחת ה- DPA הנוכחי. אכן, ההוראה היחידה שהיא חדשה היא הגרסה השוויצרית של “פרטיות כברירת מחדל”, הרלוונטי רק במקרים בהם ספק שירות (מקוון) מספק הגדרות הגנת נתונים כחלק משירות כזה, אשר יש להגדיר כברירת מחדל כדי להגביל את עיבוד הנתונים למינימום המיועד.

אין חובה למנות קצין הגנת נתונים

ואילו ה- DPA החדש קובע כי חברות יכולות למנות את מה שמכונה “יועץ הגנת נתונים” (שהוא, בעצם, הוא קצין להגנת נתונים), יש – בניגוד ל- GDPR – אין התחייבות לעשות זאת. עם זאת, רוב החברות הבינוניות והגדולות לא יוכלו ליישם כראוי הגנת נתונים אלא אם כן מינו אדם אחראי להתמודד עם הגנת נתונים. יתר על כן, חברות זרות עם פעילויות משמעותיות בשוויץ יצטרכו למנות נציג שוויצרי, אך אנו מצפים שרק חברות בודדות יהיו כפופות לדרישה זו. לפיכך, ההתחייבות מרחיקה הרבה פחות מההוראה המקבילה בסעיף 27 של ה- GDPR.

זכות למידע מוגבלת

זכויות הנבדקים מורחבות במקצת, אך יחד עם זאת גם הגדירו קצת יותר בצורה ברורה. אמנם יהיה קל יותר לנבדקים לבקש נתונים משלהם מחברה, אך ה- DPA החדש מציע גם טיעונים חדשים לדחיית בקשות גישה פוגעות. לדוגמה, רק נתונים אישיים “ככזה” ניתן לבקש ו “באופן בלעדי” מה יש צורך לקבוע זכויות הגנת נתונים. ה “נכון להישכח” ידוע מ- GDPR היה קיים תחת ה- DPA לאורך כל הדרך ויישאר. זה עדיין לא מוחלט, אך מספק איזון בין תחומי עניין. באופן דומה, העיקרון כי נתונים עשויים להיות מעובדים רק עד כמה שצריך ממשיך ליישם. עם זאת, חדש לחלוטין ב- DPA הוא הזכות לניידות נתונים, שהמחוקקים השוויצרים העתיקו מה- GDPR: למעשה אין זה קשור להרבה הגנה על נתונים, אלא מאפשר לצרכנים להשיג את הנתונים שלהם המאוחסנים עם ספקי שירותים מקוונים או אחרים על מנת להעביר נתונים כאלה למתחרים. גם חדש לחלוטין הוא הזכות לדרוש מאדם לשקול מחדש החלטות חשובות שהתקבלו אך ורק על בסיס אוטומטי ואשר מטבעו יאפשר פרשנות. ההוראה דומה להפרשת GDPR על החלטות אינדיבידואליות אוטומטיות, אך ה- DPA מחייב רק לבקר ליידע על החלטות כאלה ולאפשר לנתון לבקש התערבות אנושית.

הסכמי עיבוד נתונים

הדרישות לחוזים עם מעבדי נתונים, אני.ה. חברות שאליהן מבקרים האצילו את העיבוד שלהם של נתונים אישיים, כמו ספקי שירותי ענן, הוחלפו מעט; כלומר, השימוש בקבלני משנה חייב להיות מאושר על ידי הבקר. עם זאת, ההוראות החדשות עדיין נוגעות מאלה של ה- GDPR. מכיוון שהדרישות לפי סעיף 28 GDPR נחשבות בימינו סטנדרטיות בענף, איננו מצפים לבעיות לבקרים כדי להבטיח עמידה בכללים החדשים לפי ה- DPA. הסעיפים שהוסכמו עם מעבדים בדרך כלל יצטרכו להתאים רק כדי להפנות לא רק ל- GDPR אלא גם ל- DPA.

מדיניות הפרטיות הופכת לחובה

החובה לספק מידע הורחבה תחת ה- DPA החדש. המשמעות היא שחברות חייבות להיות בעלות הצהרת הגנת נתונים בה הן מספקות מידע חובה מסוים ביחס לנתונים האישיים שהם אוספים. סוג זה של מידע מסופק בדרך כלל על החברות’ אתרים ובאמצעות קישורים הכלולים בטפסים ובתנאי החוזה שלהם. מבחינה רעיונית, חובת המידע במסגרת ה- DPA החדשה דומה מאוד לחובת המידע על פי ה- GDPR, אך אינה דורשת תוכן חובה רב כמו ה- GDPR. היוצא מן הכלל היחיד הוא חובתו של מבקר לציין את המדינות שאליהן מיוצאים נתונים אישיים וההוראות החוקיות בהן החברה מסתמכת על כך. עם זאת, לדעתנו, אין צורך לרשום כל מדינה ומדינה; מונחים כמו “אֵירוֹפָּה” אוֹ “עוֹלָמִי” צריך לעבוד גם. אם חברה מינתה יועץ להגנת נתונים או נציג, יש לספק מידע על כך. כתוצאה מכך, לפיכך, התאמות מסוימות להצהרות הקיימות להגנת המידע הן הכרחיות, אך איננו מצפים שזה ייצור סוגיות גדולות.

העברה לחו”ל: זה יהיה קל יותר

ה- DPA המתוקן שולט בהעברות חוצות גבולות של נתונים אישיים בצורה שונה במקצת מאשר בעבר, אך ההשלכות המעשיות מוגבלות מאוד. כעת על המועצה הפדרלית לקבוע באופן מחייב את המדינות שנחשבות לרמה נאותה של הגנה על נתונים ואילו נתונים יכולים לייצא ללא אמצעי זהירות מיוחדים. עד כה היה זה ה- FDPIC ששמר על רשימת מדינות עם הערכתו בנושא, אך רשימה זו לא הייתה מחייבת (זו גם הסיבה לכך שההשפעות של החלטת ה- ECJ “שרמס השני” בשוויץ היו הרבה יותר מוגבלים מאשר ב- EEA). עדיין ניתן להשתמש בסעיפים החוזיים הסטנדרטיים של האיחוד האירופי לייצוא נתונים; החובה להודיע ​​ל- FDPIC הוסרה מה- DPA החדש. גילוי הנתונים האישיים לרשויות זרות יהפוך גם הוא קל יותר; בעבר זה היה אפשרי לעתים קרובות רק בהקשר של הליכים שיפוטיים.

קנסות נוספים אפשריים, אך עדיין החריג

אכיפת ה- DPA תשתנה גם על פי החוק החדש. בעבר ה- FDPIC הצליח רק להוציא “המלצות” לבקרי נתונים ומעבדים שלדעתו לא עמדו ב- DPA. אם הם לא היו עומדים בהמלצתו, הוא יכול היה לתבוע אותם. בעתיד הוא יפרסם ישירות הוראות נגד בקרים ומעבדים. לדוגמה, הוא יוכל להזמין להפסיק פעילות עיבוד נתונים מסוימת. עם זאת, סמכויות חדשות אלה יביאו גם ל- FDPIC’הנהלים הופכים להיות מסובכים יותר ודורשים יותר משאבים מאלו שנמצאים תחת ה- DPA הנוכחי. נותר לראות אם הרעיון החדש יוביל לאכיפה רבה יותר, או יביא למעשה פחות מקרים בהתחשב ב- FDPIC’s מתעצם מתמיד. ה- FDPIC עדיין לא יוכל להטיל קנסות.

הזכות להטיל קנסות טמונה עם רשויות אכיפת החוק הקנטונאליות (שאינן מתמחות בהגנת נתונים), וקטלוג הקנסות הורחב באופן משמעותי. בעבר, קנסות היו אפשריים בגין הפרת החובה ליידע, את החובה לעמוד בזכות הגישה לנבדק ולחובה לשתף פעולה עם ה- FDPIC. כעת ניתן לקנס הפרות של ההוראות בנושא יצוא נתונים, ניתן לקנס את ההוראות על מעבדי הזמנה והפרות מסוימות של אמצעי אבטחת מידע. הקנסות יש לשלם בעיקר על ידי מקבלי ההחלטות אך רק אם הם פעלו בכוונה. ניתן למצוא אותם אחראים עד כמות ה- CHF 250’000. (230 אירו’000) למרות שהסכומים הללו חיוורים בהשוואה לסכומים במסגרת ה- GDPR, הם ככל הנראה יהיו יעילים עוד יותר בהתחשב בכך שהם בעלי אופי אישי ולא ניתן לבטח אותם. אנו מניחים כי קנסות בגין הפרות הגנת נתונים ימשיכו להיות היוצא מן הכלל בשוויץ. יתר על כן, הפרות העקרונות הבסיסיים של ה- DPA ממשיכים להיות פטורים מעונש – הבדל חשוב ל- GDPR. בנוסף, ה- DPA המתוקן מציג סודיות מקצועית כללית לכל המקצועות (עם קנסות של עד CHF 250’000) והוראה חדשה נגד גניבת זהות.

אין הסכמה נחוצה לפרופיל

עצם המחלוקת העיקרית של ההתלבטויות ב- DPA החדשה הייתה “פרופיל”, שיש לו אותה משמעות תחת ה- DPA כמו תחת ה- GDPR. ראוי לציון, כמו תחת ה- GDPR, המשמעות המשפטית של “פרופיל” מכיוון שכך מוגבל מאוד. הפרופיל הוא, בעצם, היווצרות אוטומטית של דעה על היבטים מסוימים של אדם. אף על פי שפרופיל הוא מונח מוגדר ב- DPA החדש, אין כמעט הוראות של ה- DPA המתייחסות אליו, לפחות ביחס למגזר הפרטי. בניגוד למה שדווח בדרך כלל, ה- DPA החדש אינו קובע כי פרופיל דורש הסכמה. מה שה- DPA החדש אומר הוא שאם נדרשת הסכמה במקרה מסוים, הסכמה כזו צריכה להיות בעלת אופי מפורש במקרה של פרופיל עם א “סיכון גבוה”. פרופיל נחשב לסיכון גבוה אם הוא מביא לפרופיל מפורט יותר של אדם. זה כבר תואם את המצב המשפטי הנוכחי במסגרת ה- DPA הקיים. במילים אחרות: כמעט שום דבר לא משתנה בפועל תחת ה- DPA החדש. אף על פי שהפרופיל ככזה אינו דורש הסכמה, זה כמובן – כמובן – יתכן שפעולת עיבוד נתונים מרחיקה עד כה עד שההצדקה נדרשת. הסכמה היא צורה אחת של הצדקה, אך הבקר עשוי גם להיות מסוגל להסתמך על אינטרס פרטי מכריע בהתאם לנסיבות.

צורך בפעולה

מה צריך לעשות עכשיו? לרוב החברות צריך להיות מספיק זמן ליישם את ההוראות החשובות ביותר של ה- DPA המתוקן. ראשית, עליהם לבדוק את הצהרות הגנת המידע שלהם לאור הדרישות החדשות ולהתאים אותן או, במידת הצורך, ליצור חדשות אם אין להם אף אחד מהם. החלק הגוזל זמן ביותר בתהליך הוא בדרך כלל הסקירה הפנימית של פעילויות הגנת המידע כדי להבטיח כי כל המקרים בהם החברה רוכשת נתונים אישיים מכוסים. לאחר שחברה קיבלה מידע זה, היא יכולה ליצור או לעדכן את הצהרת הגנת המידע ולקבוע מלאי של פעילויות עיבוד נתונים. אם כבר נוצרו הצהרות ומלאי כאלה למטרות ה- GDPR, הן יכולות להשתמש במידה רבה מחדש עבור ה- DPA.

צור רשומות של פעילויות עיבוד 70% מהר יותר עם פנקס ה- GDPR! נסה 14 יום בחינם!

בשלב נוסף, יש לזהות קשרים בין מעבד בקר ולבדוק חוזים קשורים להתאמה בהתאם לכללי ההתקשרות החדשים והמחמירים יותר. אם עבודה זו כבר נעשתה עבור ה- GDPR, שוב, לא יהיו צורך בשינויים רבים; מה שצריך בדרך כלל הוא להרחיב את הפניות ל- GDPR כך שיכלול גם את ה- DPA. באופן דומה, בקרים ומעבדים צריכים לזהות העברות נתונים בינלאומיות ולוודא אם הם ממלאים את ה- DPA’בדרישות, בהתחשב בכך שניתן לקנס אי-ציות קדימה. אם ה- DPA’הדרישות הנוכחיות מתמודדות, סביר להניח כי אין צורך בשינויים.

חברות צריכות גם ליישם תהליך להערכות השפעה על הגנת נתונים, ובמידת הצורך למנות קצין להגנת נתונים, גם אם לא נדרש על פי החוק. יש להציג תהליך לזיהוי, ניתוח, דיווח וטיפול בהפרות אבטחת מידע (אשר מונח כולל הפסדי נתונים לא מכוונים והודעות דואר אלקטרוני לא מכוון). לכל חברה צריכה להיות גם תהליך – אם כבר לא קיים – על תגובה לבקשות של אנשים שנפגעו.ז., אלה המבקשים גישה לנתונים האישיים שלהם. כאשר מתייחסים אליו “תהליכים”, אנו מתכוונים שחברה צריכה לפחות למנות אדם להיות אחראי על הטיפול בנושא הרלוונטי שיודע מה לעשות בכל מקרה או היכן להשיג את המידע הרלוונטי על מה צריך לעשות.

לבסוף, יש לזהות החלטות אינדיבידואליות אוטומטיות, ואם רלוונטיות, יש ליידע את הנבדקים ולקבל את ההזדמנות לבקש התערבות אנושית. יתר על כן, יש לזהות, לבדוק ולהתאים את העיבוד של נתונים גנטיים וביומטריים כמו גם נתונים למטרות לא אישיות ואמירה על אשראי, ולהתאים אותו לדרישות החדשות. כמובן שיש להתאים את ההדרכה הקיימת גם כדי להתכתב עם הדרישות תחת ה- DPA המתוקן וזה עשוי להיות הגיוני לאמת את יישום הדרישות החדשות בדרך של ביקורת.

ה- NFADP’S 12 דרישות מפתח:

על חברות קטנות ובינוניות שוויצריות ליישם את 12 האמצעים הבאים כדי לעמוד ב- NFADP:

1. בדוק ושנה דוחות הגנת נתונים (אתר, חוזים, תוכן פרסום וכו ‘.)
2. טיוטה (או לשנות) הנחיות טיפול בנתונים ארגוניים
3. הקמת פנקס עיבוד נתונים (למעט חברות עם פחות מ -250 עובדים ואם אין סיכון פרטיות משמעותי)
4. לקבוע נהלים לתגובה מייד לנבדקים’ בקשות (ה.ז., למידע או מחיקת נתונים)
5. ליישם נוהל דיווח על הפרת נתונים
6. לקבוע תהליך להערכות השפעה הנדרשות כאשר עיבוד הנתונים הוא סיכון גבוה (ה.ז., במקרה של ניטור שיטתי אחר רשות הרבים הרחבה יותר)
7. נתח חוזים עם קבלני משנה, כדי לבדוק אם נמסר אבטחת מידע ולהוסיף סעיפים בעניין זה (כולל הודעת הפרת נתונים)
8. לספק את הנתונים שיימחקו או יופנו אנונימיים (ומיד לאחר שהם כבר לא נחוצים למטרה המקורית שלשמה הם עובדו)
9. סקור את המדינות בהן מועברים נתונים, כולל עבור גיבוי ענן פשוט (מדינות אלה חייבות להיות ברשימת המועצה הפדרלית. אם לא, דרישות מחמירות יותר חלות)
10. להבטיח אבטחת מידע באמצעות אמצעים טכניים וארגוניים מתאימים
11. ודא שהנתונים מסופקים בפורמט אלקטרוני (במקרה של עיבוד נתונים אוטומטי ובמיוחד סיכום או יישום של חוזה)
12. ייעד יועץ להגנת נתונים ופרסם את פרטי הקשר שלו (מומלץ להודיע ​​לאדם זה למפכ”ל הגנת המידע והמידע הפדרלי (FDPIC)).