Ο ευρωπαϊκός κανονισμός για την προστασία των δεδομένων GDPR

Η ομοσπονδιακή πράξη της Ελβετίας για την Προστασία Δεδομένων: Τι πρέπει να γνωρίζετε

Ο Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR) είναι μια στρατηγική πρόκληση για κάθε ευρωπαϊκές (και παγκόσμιες) εταιρείες. Στην Ελβετία, οι οργανώσεις αντιμετωπίζουν μια ακόμη μεγαλύτερη πρόκληση: ικανοποίηση τόσο των απαιτήσεων του GDPR όσο και ενός εθνικού νόμου, Ο ελβετικός ομοσπονδιακός νόμος για την προστασία δεδομένων (FADP).
Η συνολική αναθεώρηση του FADP υιοθετήθηκε από την Ομοσπονδιακή Συνέλευση το φθινόπωρο του 2020 μετά από τρία χρόνια συζήτησης. Αρχικά προγραμματισμένο για το δεύτερο εξάμηνο του 2022, η εφαρμογή του νέου ελβετικού ομοσπονδιακού νόμου για την προστασία δεδομένων (NFADP) αναμένεται να ξεκινήσει την 1η Σεπτεμβρίου 2023.
Το διάταγμα για τον ομοσπονδιακό νόμο για την προστασία δεδομένων (DPO) θα εκδοθεί ταυτόχρονα, μετά από διαβούλευση με το Ομοσπονδιακό Συμβούλιο. Σύμφωνα με το νέο νόμο, οι εταιρείες θα πρέπει να συμμορφώνονται με αυστηρότερους κανόνες.

Περίληψη

• Swiss NFADP: Νέες κατευθυντήριες γραμμές και πεδίο εφαρμογής: Η Ελβετία στοχεύει να φέρει τη νομοθεσία της πιο κοντά στις απαιτήσεις του GDPR για τη διατήρηση της αναγνώρισης ως κράτους τρίτων με επαρκές επίπεδο προστασίας για την ανταλλαγή δεδομένων.
• 10 κύριες αλλαγές μεταξύ του ελβετικού FADP και του NFADP: Ο νέος ομοσπονδιακός νόμος εισάγει νέους κανονισμούς για εταιρείες, συμπεριλαμβανομένου του ορισμού των ευαίσθητων προσωπικών δεδομένων και δύο νέων αρχών προστασίας δεδομένων.
• Πεδίο εφαρμογής του ελβετικού NFADP: Ο νέος νόμος στοχεύει στην προστασία της προσωπικότητας και των θεμελιωδών δικαιωμάτων των ατόμων στην Ελβετία και προωθεί μεγαλύτερη διαφάνεια, δικαιώματα και λογοδοσία για επεξεργαστές δεδομένων.
• Πώς να συμμορφωθείτε με τη νέα ομοσπονδιακή πράξη για την προστασία δεδομένων στην Ελβετία?: Οι ελβετικές εταιρείες πρέπει να λαμβάνουν άμεσα μέτρα όπως ο εντοπισμός των προσωπικών δεδομένων, η τροποποίηση των δηλώσεων προστασίας των δεδομένων, η δημιουργία εσωτερικών διαδικασιών, η δημιουργία ενός μητρώου επεξεργασίας δεδομένων, η διεξαγωγή αξιολογήσεων επιπτώσεων, η ανάλυση των συμβάσεων και ο διορισμός συμβούλου προστασίας δεδομένων.
• Ελβετική FADP έναντι GDPR: Οι εταιρείες στην Ελβετία πρέπει να συμμορφώνονται τόσο με το νέο FADP όσο και με το GDPR.
• 3 βασικά σημεία που πρέπει να θυμάστε: Ο νέος ελβετικός νόμος βελτιώνει την επεξεργασία δεδομένων για τους ελβετικούς πολίτες, παρέχοντάς τους νέα δικαιώματα. Εφαρμόζεται επίσης σε όλες τις εταιρείες ανεξάρτητα από το μέγεθος και επηρεάζει ακόμη και τις ξένες εταιρείες με δραστηριότητες ή επεξεργασία δεδομένων που σχετίζονται με την Ελβετία.

15 μοναδικές ερωτήσεις που βασίζονται στο κείμενο

1. Ε: Γιατί ο κανονισμός γενικής προστασίας δεδομένων (GDPR) μια πρόκληση για τις εταιρείες?

Α: Το GDPR είναι μια στρατηγική πρόκληση για τις εταιρείες, καθώς πρέπει να συμμορφωθούν με τις απαιτήσεις της.

2. Ε: Ποια είναι η ελβετική ομοσπονδιακή πράξη για την προστασία δεδομένων (FADP)?

Α: Το ελβετικό FADP είναι ένας εθνικός νόμος που οι ελβετικές οργανώσεις πρέπει να τηρούν εκτός από το GDPR.

3. Ε: Πότε αναμένεται να ξεκινήσει η εφαρμογή του νέου ελβετικού ομοσπονδιακού νόμου για την προστασία δεδομένων (NFADP)?

Α: Η εφαρμογή του νέου ελβετικού ομοσπονδιακού νόμου για την προστασία των δεδομένων αναμένεται να ξεκινήσει την 1η Σεπτεμβρίου 2023.

4. Ε: Οι εταιρείες απαιτούνται να συμμορφώνονται με αυστηρότερους κανόνες βάσει του νέου νόμου?

Α: Ναι, οι εταιρείες θα πρέπει να συμμορφώνονται με αυστηρότερους κανόνες βάσει του νέου ελβετικού ομοσπονδιακού νόμου για την προστασία δεδομένων.

5. Ε: Ποιες είναι οι κύριες αλλαγές μεταξύ του ελβετικού FADP και του NFADP?

Α: Οι κύριες αλλαγές περιλαμβάνουν τον ορισμό των ευαίσθητων προσωπικών δεδομένων και την εισαγωγή δύο νέων αρχών προστασίας δεδομένων.

6. Ε: Ποιο είναι το πεδίο εφαρμογής του ελβετικού NFADP?

Α: Το ελβετικό NFADP στοχεύει στην προστασία της προσωπικότητας και των θεμελιωδών δικαιωμάτων των ατόμων στην Ελβετία και προωθεί μεγαλύτερη διαφάνεια, δικαιώματα και λογοδοσία για τους επεξεργαστές δεδομένων.

7. Ε: Πώς μπορούν οι ελβετικές εταιρείες να συμμορφώνονται με τη νέα ομοσπονδιακή πράξη για την προστασία δεδομένων?

Α: Οι ελβετικές εταιρείες μπορούν να συμμορφωθούν με τη λήψη μέτρων όπως ο προσδιορισμός των προσωπικών δεδομένων, η τροποποίηση των δηλώσεων προστασίας των δεδομένων, η οικοδόμηση εσωτερικών διαδικασιών, η δημιουργία ενός μητρώου επεξεργασίας δεδομένων, η διεξαγωγή αξιολογήσεων επιπτώσεων, η ανάλυση των συμβάσεων και ο διορισμός ενός συμβούλου προστασίας δεδομένων.

8. Ε: Το Swiss FADP επιτρέπει τη συμμόρφωση με τις νέες απαιτήσεις?

Α: Σημαντικό μέρος των οδηγιών του νέου ομοσπονδιακού νόμου θα ισχύει αμέσως μόλις τεθεί σε ισχύ. Είναι σημαντικό να προβλέψουμε μέτρα για τη συμμόρφωση με τις νέες απαιτήσεις.

9. Ε: Ποια είναι τα βασικά σημεία που πρέπει να έχετε κατά νου σχετικά με τον ελβετικό ομοσπονδιακό νόμο για την προστασία δεδομένων?

Α: Τα βασικά σημεία περιλαμβάνουν τη βελτίωση της επεξεργασίας δεδομένων για τους ελβετικούς πολίτες, την παροχή νέων δικαιωμάτων, την εφαρμογή σε όλες τις εταιρείες ανεξάρτητα από το μέγεθος και την επίδραση σε ξένες εταιρείες με δραστηριότητες ή επεξεργασία δεδομένων που σχετίζονται με την Ελβετία.

10. Ε: Πώς η Ελβετία στοχεύει στη διατήρηση της αναγνώρισης ως κράτους τρίτων με επαρκές επίπεδο προστασίας?

Α: Η Ελβετία στοχεύει να φέρει τη νομοθεσία της πιο κοντά στις απαιτήσεις του GDPR για να διατηρήσει την αναγνώριση ως κράτος τρίτων με επαρκές επίπεδο προστασίας για την ανταλλαγή δεδομένων.

11. Ε: Ποιος είναι ο στόχος του νέου ελβετικού ομοσπονδιακού νόμου για την προστασία δεδομένων?

Α: Ο στόχος είναι η προστασία της προσωπικότητας και των θεμελιωδών δικαιωμάτων των ατόμων στην Ελβετία και η ρύθμιση της επεξεργασίας και η αποτροπή της καταχρηστικής χρήσης των δεδομένων τους.

12. Ε: ισχύει η νέα ελβετική ομοσπονδιακή πράξη για την προστασία δεδομένων για νομικές οντότητες?

Α: Όχι, ο νέος ομοσπονδιακός νόμος καλύπτει μόνο την προστασία των προσωπικών δεδομένων για άτομα ή φυσικά πρόσωπα και δεν ισχύει πλέον για τα δεδομένα των νομικών οντοτήτων.

13. Ε: Τι περιλαμβάνεται στον ορισμό των ευαίσθητων προσωπικών δεδομένων στο ελβετικό NFADP?

Α: Ο ορισμός περιλαμβάνει γενετικά και βιομετρικά δεδομένα που επιτρέπουν την αναγνώριση ενός ατόμου univocally.

14. Ε: Ποιες αρχές προστασίας δεδομένων περιλαμβάνονται στο ελβετικό FADP?

Α: Δύο νέες αρχές προστασίας δεδομένων περιλαμβάνονται στο ελβετικό FADP, οι οποίες δεν αναφέρονται στην παράγραφο.

15. Ε: ισχύει η νέα ελβετική ομοσπονδιακή πράξη για την προστασία δεδομένων για όλες τις εταιρείες ανεξάρτητα από το μέγεθός τους?

Α: Ναι, η νέα ελβετική ομοσπονδιακή πράξη για την προστασία δεδομένων ισχύει για όλες τις εταιρείες ανεξάρτητα από το μέγεθός τους.

16. Ε: Ποιες απαιτήσεις ισχύουν για ξένες εταιρείες με δραστηριότητες ή επεξεργασία δεδομένων που σχετίζονται με την Ελβετία?

Α: Οι ξένες εταιρείες με δραστηριότητες ή επεξεργασία δεδομένων που σχετίζονται με την Ελβετία πρέπει να συμμορφώνονται με τη νέα ελβετική ομοσπονδιακή πράξη για την προστασία δεδομένων.

Ο ευρωπαϊκός κανονισμός για την προστασία των δεδομένων GDPR

Καθώς η Ελβετία δεν είναι μέλος της ΕΕ ή του ΕΟΧ, η μεταρρύθμιση του ευρωπαϊκού νόμου περί προστασίας των δεδομένων δεν έχει άμεσο αντίκτυπο στις ελβετικές επιχειρήσεις.

Η ομοσπονδιακή πράξη της Ελβετίας για την Προστασία Δεδομένων: Τι πρέπει να γνωρίζετε

Ο Γενικός Κανονισμός Προστασίας Δεδομένων (GDPR) είναι μια στρατηγική πρόκληση για κάθε ευρωπαϊκές (και παγκόσμιες) εταιρείες. Στην Ελβετία, οι οργανώσεις αντιμετωπίζουν μια ακόμη μεγαλύτερη πρόκληση: ικανοποίηση τόσο των απαιτήσεων του GDPR όσο και ενός εθνικού νόμου, Ο ελβετικός ομοσπονδιακός νόμος για την προστασία δεδομένων (FADP).

Η συνολική αναθεώρηση του FADP υιοθετήθηκε από την Ομοσπονδιακή Συνέλευση το φθινόπωρο του 2020 μετά από τρία χρόνια συζήτησης. Αρχικά προγραμματισμένο για το δεύτερο εξάμηνο του 2022, η εφαρμογή του νέου ελβετικού ομοσπονδιακού νόμου για την προστασία δεδομένων (NFADP) αναμένεται να ξεκινήσει την 1η Σεπτεμβρίου 2023.

Το διάταγμα για τον ομοσπονδιακό νόμο για την προστασία δεδομένων (DPO) θα εκδοθεί ταυτόχρονα, μετά από διαβούλευση με το Ομοσπονδιακό Συμβούλιο. Σύμφωνα με το νέο νόμο, οι εταιρείες θα πρέπει να συμμορφώνονται με αυστηρότερους κανόνες.

Περίληψη

• Swiss NFADP: Νέες κατευθυντήριες γραμμές και πεδίο εφαρμογής
• 10 κύριες αλλαγές μεταξύ του ελβετικού FADP και του NFADP
• Πεδίο εφαρμογής του ελβετικού NFADP
• Πώς να συμμορφωθείτε με τη νέα ομοσπονδιακή πράξη για την προστασία δεδομένων στην Ελβετία?
• Ελβετική FADP έναντι GDPR
• 3 βασικά σημεία που πρέπει να θυμάστε

Swiss NFADP: Νέες κατευθυντήριες γραμμές και πεδίο εφαρμογής

Δεδομένης της ταχείας τεχνολογικής εξέλιξης, η παλιά ελβετική ομοσπονδιακή πράξη για την προστασία των δεδομένων είναι ξεπερασμένη. Η συνολική αναθεώρηση του FADP του επιτρέπει να προσαρμόσει τις οδηγίες στις σύγχρονες, τεχνολογικές και κοινωνικές προκλήσεις.

Ενισχύοντας το κείμενο του νόμου, η Ελβετία στοχεύει να φέρει την ελβετική νομοθεσία πιο κοντά στις απαιτήσεις του GDPR . Για τη χώρα, η πρόκληση είναι να παραμείνει αναγνωρισμένη ως κράτος τρίτου μέρους, με επαρκές επίπεδο προστασίας για τη διεξαγωγή ανταλλαγής δεδομένων με τον υπόλοιπο κόσμο.

Αυτός ο νέος νόμος βελτιώνει την επεξεργασία προσωπικών δεδομένων για τους ελβετικούς πολίτες, παρέχοντάς τους νέα δικαιώματα.

10 κύριες αλλαγές μεταξύ του ελβετικού FADP και του NFADP

Το ελβετικό NFADP εισάγει νέους κανονισμούς για τις εταιρείες:

• Ο νέος ομοσπονδιακός νόμος καλύπτει μόνο το Προστασία προσωπικών δεδομένων για άτομα ή φυσικά πρόσωπα. Δεν ισχύει πια στα δεδομένα των νομικών οντοτήτων (ενώσεις, ιδρύματα, εμπορικές εταιρείες κ.λπ.·
• Ο ορισμός των ευαίσθητων προσωπικών δεδομένων (ένταξη, υγεία, πολιτικές απόψεις κ.λπ.) επίσης Περιλαμβάνει γενετικά και βιομετρικά δεδομένα (δακτυλικά αποτυπώματα, DNA κ.λπ.·, Όταν δίνουν τη δυνατότητα αναγνώρισης ενός ατόμου μονοσταθερά.
• Δύο νέες αρχές προστασίας δεδομένων περιλαμβάνονται στο ελβετικό FADP:

Πεδίο εφαρμογής του ελβετικού NFADP

Ο νέος ομοσπονδιακός νόμος για την προστασία των προσωπικών δεδομένων στοχεύει στην προστασία της προσωπικότητας και των θεμελιωδών δικαιωμάτων των ατόμων που ζουν στην Ελβετία. Ρυθμίζει την επεξεργασία και εμποδίζει την καταχρηστική χρήση των δεδομένων τους από ιδιωτικές εταιρείες ή από το κράτος. Η ασφάλεια των δεδομένων των νομικών οντοτήτων δεν εξασφαλίζεται πλέον.

Η συνολική αναθεώρηση του νόμου προσφέρει μεγαλύτερη διαφάνεια στην Ελβετία. Ο νόμος ενισχύει τα δικαιώματά τους (πρόσβαση, διόρθωση, διαγραφή, φορητότητα) σχετικά με τα προσωπικά τους δεδομένα. Εντός των εταιρειών, το NFADP προωθεί την υιοθέτηση προληπτικών μέτρων. Με νέες ποινικές διατάξεις και αυξημένη εποπτεία, καθιστά τους επεξεργαστές δεδομένων πιο υπεύθυνοι.

Το νέο ελβετικό FADP ισχύει για όλες τις εταιρείες, ανεξάρτητα από το μέγεθός τους. Αφορά επίσης τους οικονομικούς παράγοντες “που έχουν αποτελέσματα στην Ελβετία, ακόμη και αν παράγονται στο εξωτερικό«.

Μπορεί να είναι ξένες εταιρείες:

• Εμπορικά ενεργό στην ελβετική αγορά ·
• Για την οποία η επεξεργασία δεδομένων σχετίζεται με την Ελβετία. Για παράδειγμα, μια φωτογραφία που τραβήχτηκε στην Ελβετία και στη συνέχεια δημοσιεύθηκε σε ξένο ιστότοπο.

Πώς να συμμορφωθείτε με τη νέα ομοσπονδιακή πράξη για την προστασία δεδομένων στην Ελβετία?

Για να συμμορφωθούν με το NFADP, οι ελβετικές εταιρείες πρέπει να λάβουν αμέσως ισχυρά μέτρα για την προστασία των προσωπικών δεδομένων:

• Τον προσδιορισμό των προσωπικών δεδομένων και στη συνέχεια την αξιολόγηση του κινδύνου για τον προσδιορισμό των απαιτήσεων συμμόρφωσης ·
• Εάν είναι απαραίτητο, έλεγχος και τροποποίηση των δηλώσεων προστασίας δεδομένων σε ιστότοπους, διαφημιστικό περιεχόμενο, σε συμβάσεις κ.λπ.;
• Την οικοδόμηση εσωτερικών διαδικασιών για να φέρει γρήγορες απαντήσεις στα αιτήματα των πελατών που σχετίζονται με τα δεδομένα τους
• Δημιουργία καταχωρητή επεξεργασίας δεδομένων ·
• Την εφαρμογή μιας διαδικασίας αξιολογήσεων επιπτώσεων ·
• Ανάλυση συμβάσεων με υπεργολάβους. Είναι η ασφάλεια των παρεχόμενων δεδομένων? Είναι απαραίτητο να προσθέσετε ρήτρες?
• Διορισμός συμβούλου προστασίας δεδομένων στην εταιρεία.

Καλό να γνωρίζουμε: Το Swiss FADP επιτρέπει τη μετάβαση για να συμμορφωθεί με τις νέες απαιτήσεις?

Ένα σημαντικό μέρος των οδηγιών του νέου ομοσπονδιακού νόμου θα ισχύει μόλις τεθεί σε ισχύ. Για να εξασφαλιστεί η αποτελεσματική προστασία των δεδομένων την 1η Σεπτεμβρίου 2023, είναι ζωτικής σημασίας να προβλεφθεί όσο το δυνατόν περισσότερο ο εντοπισμός πιθανών μέτρων που πρέπει να ληφθούν.

Ελβετική FADP έναντι GDPR

Στην Ελβετία, οι εταιρείες πρέπει να σέβονται δύο νόμους σχετικά με την προστασία των δεδομένων: το νέο FADP και το GDPR. Ανακαλύψτε το πεδίο εφαρμογής του ευρωπαϊκού κανονισμού στη χώρα καθώς και τις κύριες διαφορές μεταξύ των δύο κειμένων.

Το GDPR ισχύει για τις ελβετικές εταιρείες σε διάφορες περιπτώσεις. Ο κανονισμός πρέπει να γίνεται σεβαστός για οποιαδήποτε επεξεργασία προσωπικών δεδομένων:

• Που πραγματοποιήθηκε ως μέρος των δραστηριοτήτων ενός ευρωπαϊκού κλάδου ή θυγατρικής μιας ελβετικής εταιρείας στην ΕΕ ·
• Που πραγματοποιείται από μια ελβετική εταιρεία ως υπεργολάβος μιας εταιρείας που εδρεύει στην Ευρωπαϊκή Ένωση
• Με στόχο την προσφορά αγαθών ή υπηρεσιών σε ενδιαφερόμενα άτομα στην ένωση ·
• Σχετικά με την παρακολούθηση της συμπεριφοράς των κατοίκων της ΕΕ.

Κύριες διαφορές μεταξύ του GDPR και του ελβετικού FADP για την προστασία προσωπικών δεδομένων

Από πολλές πτυχές, το ελβετικό NFADP είναι παρόμοιο με τις κατευθυντήριες γραμμές του ευρωπαϊκού κανονισμού για την προστασία των δεδομένων (GDPR). Ωστόσο, ο νέος ομοσπονδιακός νόμος παρουσιάζει ορισμένες ιδιαιτερότητες:

• Οι απαιτήσεις του είναι λιγότερο αυστηρός;
• Στο νέο ελβετικό FADP, ο διορισμός ενός συμβούλου προστασίας δεδομένων συνιστάται, αλλά όχι υποχρεωτικό. Το GDPR απαιτεί ένα υπεύθυνος προστασίας δεδομένων (DPO) σε ορισμένες περιπτώσεις;
• Σε περίπτωση παραβίασης δεδομένων, το GDPR απαιτεί προθεσμία 72 ωρών για την προειδοποίηση των αρμόδιων αρχών. Το αναθεωρημένο FADP απαιτεί ειδοποίηση “το συντομότερο δυνατό”
• Το όριο ποινής είναι υψηλότερο για το GDPR: 20 εκατομμύρια ευρώ έναντι 250.000 φράγκα για το νέο νόμο περί προστασίας δεδομένων της Ελβετίας.

Επιλέγοντας Denomi, Δημιουργείτε αξία με την εμπιστοσύνη παγκοσμίως, καθιστώντας την ιδιωτική ζωή μια μοναδική εμπειρία πελάτη. Με το δικό μας Λύση διαχείρισης συναίνεσης και προτιμήσεων, μπορείτε:

• Συλλέξτε τη συγκατάθεση από τους πελάτες σας με πλήρη συμμόρφωση
• Προστατέψτε τη φήμη σας ·
• Παρουσιάστε τη διαφάνεια σας για τη συλλογή προσωπικών δεδομένων
• Παρακολουθήστε τις μετρήσεις συγκατάθεσης σας
• Συγχρονίστε τα προσωπικά δεδομένα μεταξύ εργαλείων αυτοματισμού CRM και μάρκετινγκ.

Θέλετε να κάνετε το ελβετικό GDPR/FADP συμμόρφωση ένα εμπορικό περιουσιακό στοιχείο? Είτε είστε συντάκτης, τράπεζα, e-merchant, είτε πάροχος λογισμικού: Κάντε κράτηση σε demo!

3 βασικά σημεία που πρέπει να θυμάστε

• Ο νέος ελβετικός ομοσπονδιακός νόμος για την προστασία των δεδομένων θα τεθεί σε ισχύ την 1η Σεπτεμβρίου 2023
• Το FADP ενισχύει την προστασία των προσωπικών δεδομένων των φυσικών προσώπων
• Παρά κάποιες ιδιαιτερότητες, το NFADP είναι ουσιαστικά εμπνευσμένο από τα μέτρα του GDPR.

Ο ευρωπαϊκός κανονισμός για την προστασία των δεδομένων GDPR

Ο ευρωπαϊκός κανονισμός για την προστασία των δεδομένων (GDPR) τέθηκε σε ισχύ τον Μάιο του 2018. Αν και πρόκειται για ευρωπαϊκό κανονισμό, ισχύει και για τις ελβετικές εταιρείες υπό ορισμένες προϋποθέσεις.

Σε ποιον ισχύει το GDPR?

Το GDPR εφαρμόζεται σε οποιοδήποτε χειρισμό προσωπικών δεδομένων από ελβετικές εταιρείες, εάν η εταιρεία

• Έχει περιφερειακό γραφείο στην ΕΕ, όπως ένα υποκατάστημα, μια υπηρεσία, τοπικό αντιπροσωπευτικό γραφείο ή θυγατρική, υπό την προϋπόθεση ότι η τελευταία δεν ενεργεί ανεξάρτητα, αλλά για λογαριασμό της Ελβετικής μητρικής εταιρείας και επεξεργάζεται προσωπικά δεδομένα σε σχέση με το περιφερειακό γραφείο (παράδειγμα:’S Επαφές από τη Γαλλία)?
• δεν έχει καθιερωθεί στην ΕΕ: Εάν η Εταιρεία προσφέρει αγαθά ή υπηρεσίες στην ΕΕ (παράδειγμα: μια εταιρεία στην Ελβετία διανέμει ενεργά αγαθά ή υπηρεσίες στη Γερμανία μέσω ενός ιστότοπου ή ενός λογισμικού ως παροχής υπηρεσιών (SAAS) στην Ελβετία έχει πελάτες στην ΕΕ)’S Ιστοσελίδα στην Ελβετία μέσω της οποίας μπορεί κανείς να εξαχθεί συμπεράσματα σχετικά με τη συμπεριφορά των επισκεπτών της ιστοσελίδας και τα δεδομένα αυτά αξιολογούνται).

Ποιες είναι οι συνέπειες της μη συμμόρφωσης?

Μια παραβίαση του GDPR θα μπορούσε να έχει τις ακόλουθες συνέπειες:

• Οι ευρωπαϊκές αρχές μπορούν να επιβάλλουν πρόστιμα έως και 20 εκατομμυρίων ευρώ ή – εάν υψηλότερα – τέσσερα τοις εκατό της ένοχης εταιρείας’S Παγκοσμίως ετήσιο κύκλο εργασιών.
• Οι συμβάσεις απαιτούν συχνά συμμόρφωση με τον ισχύοντα νόμο γενικά ή τον νόμο περί προστασίας δεδομένων ειδικότερα. Σε τέτοιες περιπτώσεις, μια παράβαση μπορεί να οδηγήσει σε συμβατικές κυρώσεις, πρόωρο τερματισμό, αξιώσεις για αποζημίωση και απώλεια δικαιωμάτων.

Λεπτομερείς πληροφορίες σχετικά με το GDPR και τι πρέπει να κάνουν οι ελβετικές εταιρείες, συμπεριλαμβανομένης μιας λίστας ελέγχου, μπορούν να βρεθούν στο φύλλο πληροφοριών μας.

GDPR – Συνέπειες για ελβετικές επιχειρήσεις

Καθώς η Ελβετία δεν είναι μέλος της ΕΕ ή του ΕΟΧ, η μεταρρύθμιση του ευρωπαϊκού νόμου περί προστασίας των δεδομένων δεν έχει άμεσο αντίκτυπο στις ελβετικές επιχειρήσεις.

Συγγραφέας: Andreas Knijpenga

Ωστόσο, η μεταρρύθμιση θα εξακολουθεί να είναι σχετική από μια ελβετική επιχειρηματική άποψη ως εξής:

Το νέο καθεστώς προστασίας δεδομένων της ΕΕ θα είναι άμεσα συναφές για οποιαδήποτε επεξεργασία δεδομένων που αναλαμβάνονται από ομαδικές οντότητες που βρίσκονται στις εταιρείες της ΕΕ και της Ελβετίας, εάν ασκούν επιχειρηματικές δραστηριότητες εντός της περιοχής της ΕΕ και έχουν πρόσβαση σε προσωπικά δεδομένα από τους πελάτες της ΕΕ, τους προμηθευτές και το προσωπικό της ΕΕ που απασχολούνται.

Σε αυτό το πλαίσιο υπάρχουν μερικές σημαντικές νέες απαιτήσεις, όπως (για να αναφέρουμε μόνο μερικές):

• Ειδοποίηση παραβίασης δεδομένων εντός 72 ωρών
• Απαιτήσεις υπεύθυνου προστασίας δεδομένων
• Κυρώσεις έως και 4% του συνολικού ετήσιου παγκόσμιου κύκλου εργασιών ή μέχρι 20 εκατομμύρια ευρώ
• Ξεκάθαρο ή ρητή συγκατάθεση

Δεύτερον, εκκρεμείς Ο ομοσπονδιακός νόμος περί προστασίας δεδομένων (FDPA) Η αναθεώρηση θα επηρεαστεί έντονα από:

• Ο εκσυγχρονισμός της “Σύμβασης που επικυρώνεται από την Ελβετία για την προστασία των ατόμων όσον αφορά την αυτόματη επεξεργασία προσωπικών δεδομένων” από το Συμβούλιο της Ευρώπης
• Το νέο GDPR (προσωπικά δεδομένα ατόμων)
• Η νέα οδηγία προστασίας δεδομένων για τον τομέα της αστυνομίας και της ποινικής δικαιοσύνης

Τελικά, και οι τρεις νέες ευρωπαϊκές διατάξεις ακολουθούν τις ίδιες αρχές. Αν και οι βασικές αρχές του FDPA αναμένεται να παραμείνουν οι ίδιες και απαιτούνται μόνο μικρές προσαρμογές του τρέχοντος FDPA, οι ελβετικοί κατασκευαστές νόμου μπορούν να αντιγράψουν μεγάλα τμήματα του τελικού GDPR στο αναθεωρημένο FDPA για να διατηρήσουν την εναρμόνιση του οικονομικού χώρου.

Ανεξάρτητα από την αναθεώρηση της FDPA, το νέο καθεστώς προστασίας δεδομένων της ΕΕ θα έχει άμεση σημασία για πολλές εταιρείες που βασίζονται σε Ελβετία, εάν ασκούν επιχειρηματικές δραστηριότητες εντός της περιοχής της ΕΕ και έχουν πρόσβαση σε προσωπικά δεδομένα από τους πελάτες της ΕΕ, τους προμηθευτές και το απασχολούμενο προσωπικό της ΕΕ. Θα είναι επίσης το κλειδί για όλες τις ελβετικές εταιρείες να εξοικειωθούν με το νέο GDPR και τις απαιτήσεις της, να αρχίσουν ήδη να αξιολογούν εάν επηρεάζονται από τους νέους κανόνες και να ξεκινήσουν την προπαρασκευαστική εργασία (μι.σολ. Αναθεωρήστε τα υλικά που αντιμετωπίζουν ο πελάτης για να διασφαλίσετε τη συμμόρφωση με τις νέες απαιτήσεις συγκατάθεσης και διαφάνειας, αναθεώρηση και τροποποίηση των συμβάσεων με τους επεξεργαστές δεδομένων όπου απαιτείται) έτσι ώστε όλες οι απαραίτητες προσαρμογές να γίνονται εγκαίρως για να συμμορφωθούν με τις νέες απαιτήσεις προστασίας δεδομένων στην ΕΕ και την Ελβετία.

Μείνετε συντονισμένοι για περαιτέρω ενημερώσεις FDPA.

Ο Νέος Νόμος για την Προστασία Δεδομένων της Ελβετίας τίθεται σε ισχύ την 1η Σεπτεμβρίου 2023: Σύγκριση με το GDPR

Ο Νέος Νόμος για την Προστασία Δεδομένων της Ελβετίας (NFADP) ολοκληρώθηκε τελικά. Μετά την ανάλυση των τελευταίων διαφορών “προφίλ” Την Τετάρτη, το Ελβετικό Ομοσπονδιακό Κοινοβούλιο ψηφίστηκε την Παρασκευή 25 Σεπτεμβρίου 2020, ο νέος νόμος. Αναμένεται να τεθεί σε ισχύ την 1η Σεπτεμβρίου 2023. Ως επόμενο βήμα, τα υποστηρικτικά διατάγματα θα καταρτισθούν τώρα και θα υποβληθούν για δημόσια διαβούλευση. Πόσο γρήγορα τα πράγματα προχωρούν τώρα, φυσικά, εξαρτάται επίσης από την ΕΕ: η Ελβετία εξακολουθεί να περιμένει την ανανέωση της Ευρωπαϊκής Επιτροπής’Η απόφαση επάρκειας, η οποία επιτρέπει σε ανεμπόδιστες μεταφορές δεδομένων στην Ελβετία. Η ΕΕ θα μπορούσε να ασκήσει πίεση στην Ελβετία για να επιταχύνει την τοποθέτηση του αναθεωρημένου DPA.

Περισσότερη διακυβέρνηση: αρχεία των δραστηριοτήτων επεξεργασίας δεδομένων, DPIA, υποχρέωση αναφοράς

Όπως και στην περίπτωση του GDPR, οι κύριες αλλαγές στο νέο DPA είναι νέες υποχρεώσεις διακυβέρνησης, όπως η απαίτηση για τη διατήρηση των αρχείων των δραστηριοτήτων επεξεργασίας δεδομένων, της υποχρέωσης να αναφέρουν τις απώλειες δεδομένων και άλλες παραβιάσεις της ασφάλειας των δεδομένων στην ομοσπονδιακή προστασία των δεδομένων και τον Επίτροπο Πληροφοριών (FDPIC) και την υποχρέωση για την εκτέλεση αξιολογήσεων προστασίας των δεδομένων (Αξιολογήσεις των επιπτώσεων των επιπτώσεων δεδομένων (“ΔΠΙΑ”) για ευαίσθητη επεξεργασία δεδομένων. Και οι τρεις απαιτήσεις είναι συγκρίσιμες με τις αντίστοιχες διατάξεις στο πλαίσιο του GDPR και θα οδηγήσουν σε πρόσθετο φόρτο εργασίας για εταιρείες που δεν έχουν ήδη υποβληθεί στη διαδικασία για τους σκοπούς του GDPR. Εκείνοι που έχουν μπορούν να υιοθετήσουν τα υπάρχοντα αποθέματα επεξεργασίας δεδομένων περισσότερο ή λιγότερο άμεσα και να έχουν τις διαδικασίες ειδοποίησης παραβίασης των δεδομένων τους τροποποιούνται επίσης για να συμμορφώνονται με τον ελβετικό νόμο (η DPA προβλέπει ελαφρώς διαφορετικά όρια ως προς το πότε μια ειδοποίηση καθίσταται απαραίτητη, αλλά ουσιαστικά λειτουργεί στις ίδιες γραμμές με την υποχρέωση ειδοποίησης στο πλαίσιο του GDPR). Έχουν επίσης οι Ελβετοί νομοθέτες “αντιγραφεί” Η έννοια ενός DPIA, η οποία μέχρι στιγμής δεν υπήρξε επίσημα σύμφωνα με τον ελβετικό νόμο, αν και είναι ήδη γνωστή σύμφωνα με τον νόμο περί προστασίας δεδομένων ελβετικού “καλή πρακτική” Σε περίπτωση ευαίσθητης δραστηριότητας επεξεργασίας δεδομένων.

Βασικές αρχές αμετάβλητες

Παρόλο που το DPA έχει αναθεωρηθεί πλήρως, ο ιδιωτικός τομέας δεν θα πρέπει γενικά να αλλάξει τον τρόπο με τον οποίο επεξεργάζεται τα προσωπικά δεδομένα. Οι βασικές αρχές της επεξεργασίας δεδομένων παραμένουν αμετάβλητες στο νέο DPA, με μία εξαίρεση: τα προσωπικά δεδομένα των νομικών οντοτήτων δεν προστατεύονται πλέον, παρόλο που ορισμένες γενικές προστασίες συνεχίζουν να ισχύουν. Η ελβετική ιδέα, σύμφωνα με την οποία η επεξεργασία δεδομένων στον ιδιωτικό τομέα είναι κατ ‘αρχήν επιτρεπτή και δικαιολογία (ή “νόμιμοι λόγοι”) απαιτείται μόνο σε ορισμένες περιπτώσεις, παραμένει αμετάβλητη.

Έτσι, η DPA εξακολουθεί να αποκλίνει από τον κανονισμό για την προστασία των γενικών δεδομένων της ΕΕ (GDPR): Εκεί, η επεξεργασία των προσωπικών δεδομένων απαγορεύεται γενικά, εκτός εάν υπάρχει νόμιμος λόγος όπως η συγκατάθεση, η εκτέλεση μιας σύμβασης, επαρκής νόμιμος συμφέροντος ή νομική διάταξη στο νόμο.

Συμφωνίες: λιγότερο περιοριστική από ό, τι στο GDPR

Η Ελβετία επίσης δεν φτάνει μέχρι το GDPR όσον αφορά τις απαιτήσεις για έγκυρη συγκατάθεση. Ουσιαστικά τίποτα δεν αλλάζει εδώ σε σύγκριση με την τρέχουσα νομική κατάσταση στην Ελβετία, με εξαίρεση μια δευτερεύουσα αλλαγή σε σχέση με το προφίλ (βλ. Παρακάτω). Δεν χρειάζεται να ενημερωθείτε για τη δυνατότητα απόσυρσης και οι δηλώσεις πολλαπλών συγκατάθεσης μπορούν να συνδυαστούν.

Οι λόγοι για τους οποίους οι δραστηριότητες επεξεργασίας δεδομένων μπορούν να δικαιολογηθούν παραμένουν περισσότερο ή λιγότερο οι ίδιοι όπως στο τρέχον DPA και υπερβούν αυτό που παρέχεται στο GDPR. Αυτό που έχει διατυπωθεί ελαφρώς πιο περιοριστικά είναι η δικαιολογία για μη προσωπικούς σκοπούς επεξεργασίας (ες.σολ., Στατιστικές χρήσεις) και την αιτιολόγηση επί των οποίων βασίζονται οι πιστωτικοί οργανισμοί · Πρέπει τώρα να διαγράψουν δεδομένα που είναι μεγαλύτερα από δέκα χρόνια σε περίπτωση που ένα υποκείμενο δεδομένων ζητά έτσι.

Η αρχή του “Ιδιωτικότητα από το σχεδιασμό” τώρα περιλαμβάνεται επίσης ρητά στον νόμο, αλλά αυστηρά μιλώντας, υπήρχε πάντα – ακόμη και κάτω από το τρέχον DPA. Πράγματι, η μόνη διάταξη που είναι νέα είναι η ελβετική έκδοση του “Απόρρητο απόρρητο”, η οποία είναι σχετική μόνο σε περιπτώσεις όπου ένας πάροχος υπηρεσίας (online) παρέχει ρυθμίσεις προστασίας δεδομένων ως μέρος αυτής της υπηρεσίας, η οποία πρέπει να ρυθμιστεί από προεπιλογή, ώστε να περιορίζεται η επεξεργασία δεδομένων στο προβλεπόμενο ελάχιστο.

Δεν υπάρχει καθήκον ορίσου υπεύθυνου προστασίας δεδομένων

Ενώ το νέο DPA προβλέπει ότι οι εταιρείες μπορούν να διορίσουν αυτό που αναφέρεται ως “Σύμβουλος προστασίας δεδομένων” (που, ουσιαστικά, είναι υπεύθυνος προστασίας δεδομένων), υπάρχει – σε αντίθεση με το GDPR – καμία υποχρέωση να το πράξει. Ωστόσο, οι περισσότερες μεσαίες και μεγαλύτερες εταιρείες δεν θα είναι σε θέση να εφαρμόσουν σωστά την προστασία των δεδομένων, εκτός εάν έχουν διορίσει ένα υπεύθυνο άτομο για την αντιμετώπιση της προστασίας των δεδομένων. Επιπλέον, οι ξένες εταιρείες με σημαντικές δραστηριότητες στην Ελβετία θα πρέπει να διορίσουν έναν ελβετικό εκπρόσωπο, αλλά αναμένουμε ότι μόνο μερικές εταιρείες θα υπόκεινται σε αυτή την απαίτηση. Έτσι, η υποχρέωση υπερβαίνει πολύ λιγότερο από την αντίστοιχη διάταξη στο άρθρο 27 του GDPR.

Το δικαίωμα στις πληροφορίες είναι περιορισμένο

Τα δικαιώματα των υποκειμένων δεδομένων είναι κάπως εκτεταμένα, αλλά ταυτόχρονα καθορίζονται επίσης λίγο πιο καθαρά. Παρόλο που θα είναι ευκολότερο για τα υποκείμενα των δεδομένων να ζητήσουν τα δικά τους δεδομένα από μια εταιρεία, η νέα DPA προσφέρει επίσης νέα επιχειρήματα για την απόρριψη καταχρηστικών αιτημάτων πρόσβασης. Για παράδειγμα, μόνο προσωπικά δεδομένα “εκ τούτου” μπορεί να ζητηθεί και “αποκλειστικά” Τι είναι απαραίτητο να διεκδικήσετε δικαιώματα προστασίας δεδομένων. ο “Δικαίωμα να ξεχαστεί” Γνωστή από το GDPR υπήρχε κάτω από το DPA καθ ‘όλη τη διάρκεια και θα παραμείνει. Δεν είναι ακόμα απόλυτο, αλλά προβλέπει μια εξισορρόπηση των συμφερόντων. Ομοίως, η αρχή ότι τα δεδομένα μπορούν να υποβληθούν σε επεξεργασία μόνο και όσο χρειάζεται, συνεχίζει να ισχύει. Ωστόσο, εντελώς καινούργιο για το DPA είναι το δικαίωμα στη φορητότητα δεδομένων, την οποία οι Ελβετοί νομοθέτες αντιγράφονται από το GDPR: Στην πραγματικότητα δεν έχουν να κάνουν με την προστασία των δεδομένων, αλλά επιτρέπουν στους καταναλωτές να αποκτήσουν τα δεδομένα τους αποθηκευμένα σε online ή άλλους παρόχους υπηρεσιών προκειμένου να μεταφερθούν τέτοια δεδομένα σε ανταγωνιστές. Επίσης εντελώς νέο είναι το δικαίωμα να ζητήσει από ένα άτομο να επανεξετάσει σημαντικές αποφάσεις που έγιναν αποκλειστικά σε αυτοματοποιημένη βάση και οι οποίες από τη φύση τους επιτρέπουν την ερμηνεία. Η διάταξη είναι συγκρίσιμη με τη διάταξη GDPR σχετικά με αυτοματοποιημένες μεμονωμένες αποφάσεις, αλλά η DPA απαιτεί μόνο έναν ελεγκτή να ενημερώνει για τέτοιες αποφάσεις και να επιτρέψει στα δεδομένα που υπόκεινται να ζητήσουν ανθρώπινη παρέμβαση.

Συμφωνίες επεξεργασίας δεδομένων

Τις απαιτήσεις για συμβάσεις με επεξεργαστές δεδομένων, i.μι. Οι εταιρείες στις οποίες οι ελεγκτές μεταβιβάζουν τη δική τους επεξεργασία προσωπικών δεδομένων, όπως οι πάροχοι υπηρεσιών cloud, έχουν αυξηθεί κάπως. δηλαδή, η χρήση υπεργολάβων πρέπει τώρα να εγκριθεί από τον ελεγκτή. Ωστόσο, οι νέες διατάξεις εξακολουθούν να υπολείπονται από εκείνες του GDPR. Δεδομένου ότι οι απαιτήσεις βάσει του άρθρου 28 GDPR θεωρούνται σήμερα πρότυπες στον κλάδο, δεν αναμένουμε προβλήματα για τους ελεγκτές να εξασφαλίσουν τη συμμόρφωση με τους νέους κανόνες στο πλαίσιο της DPA. Οι ρήτρες που συμφώνησαν με τους επεξεργαστές θα πρέπει συνήθως να προσαρμοστούν μόνο για να αναφερθούν όχι μόνο στο GDPR αλλά και στο DPA.

Η πολιτική απορρήτου γίνεται υποχρεωτική

Η υποχρέωση παροχής πληροφοριών έχει επεκταθεί βάσει του νέου DPA. Αυτό σημαίνει ότι οι εταιρείες πρέπει να έχουν μια δήλωση προστασίας δεδομένων στην οποία παρέχουν ορισμένες υποχρεωτικές πληροφορίες σχετικά με τα προσωπικά δεδομένα που συλλέγουν. Αυτός ο τύπος πληροφοριών παρέχεται συνήθως στις εταιρείες’ Ιστοσελίδες και μέσω συνδέσμων που περιλαμβάνονται στις μορφές τους και τους όρους και τις προϋποθέσεις της σύμβασης. Εννοιολογικά, η υποχρέωση πληροφόρησης βάσει του νέου DPA είναι πολύ παρόμοια με την υποχρέωση πληροφόρησης στο πλαίσιο του GDPR, αλλά δεν απαιτεί τόσο υποχρεωτικό περιεχόμενο όσο το GDPR. Η μόνη εξαίρεση είναι η υποχρέωση ενός ελεγκτή να υποδεικνύει τις χώρες στις οποίες εξάγονται τα προσωπικά δεδομένα και τις νομικές διατάξεις στις οποίες βασίζεται η Εταιρεία. Ωστόσο, κατά την άποψή μας, δεν είναι απαραίτητο να απαριθμήσουμε κάθε χώρα. όροι όπως “Ευρώπη” ή “Παγκόσμιος” Πρέπει επίσης να δουλέψω. Εάν μια εταιρεία έχει διορίσει έναν σύμβουλο προστασίας δεδομένων ή έναν εκπρόσωπο, πρέπει επίσης να παρέχονται πληροφορίες σχετικά με αυτό. Ως εκ τούτου, είναι επομένως απαραίτητες ορισμένες προσαρμογές στις υπάρχουσες δηλώσεις προστασίας δεδομένων, αλλά δεν αναμένουμε ότι αυτό θα δημιουργήσει μεγάλα προβλήματα.

Μεταφορά στο εξωτερικό: Θα είναι ευκολότερο

Το αναθεωρημένο DPA διέπει τις διασυνοριακές μεταφορές προσωπικών δεδομένων ελαφρώς διαφορετικά από ό, τι στο παρελθόν, αλλά οι πρακτικές συνέπειες είναι πολύ περιορισμένες. Εναπόκειται τώρα στο ομοσπονδιακό συμβούλιο να καθορίζει δεσμευτικά τις χώρες που θεωρούνται ότι έχουν επαρκές επίπεδο προστασίας δεδομένων και σε ποια δεδομένα μπορούν να εξαχθούν χωρίς ειδικές προφυλάξεις. Μέχρι στιγμής, ήταν το FDPIC που διατήρησε έναν κατάλογο χωρών με την εκτίμησή του για το θέμα, αλλά αυτός ο κατάλογος δεν ήταν δεσμευτικός (αυτός είναι και ο λόγος για τον οποίο οι επιπτώσεις της απόφασης του ΔΕΚ “Schrems II” Στην Ελβετία ήταν πολύ πιο περιορισμένες από ό, τι στον ΕΟΧ). Οι τυποποιημένες συμβατικές ρήτρες της ΕΕ για τις εξαγωγές δεδομένων μπορούν ακόμα να χρησιμοποιηθούν. Η υποχρέωση ειδοποίησης του FDPIC έχει καταργηθεί από το νέο DPA. Η αποκάλυψη των προσωπικών δεδομένων σε ξένες αρχές θα γίνει επίσης ευκολότερη. Προηγουμένως αυτό ήταν συχνά δυνατό μόνο στο πλαίσιο των δικαστικών διαδικασιών.

Περισσότερα πρόστιμα είναι δυνατά, αλλά εξακολουθεί να είναι η εξαίρεση

Η εκτέλεση του DPA θα αλλάξει επίσης βάσει του νέου νόμου. Στο παρελθόν, το FDPIC ήταν σε θέση να εκδώσει μόνο “συστάσεις” σε ελεγκτές δεδομένων και επεξεργαστές που κατά τη γνώμη του δεν συμμορφώνονταν με το DPA. Εάν δεν συμμορφώνονταν με τη σύστασή του, θα μπορούσε να τους μηνύσει. Στο μέλλον, θα εκδώσει άμεσα παραγγελίες έναντι ελεγκτών και επεξεργαστών. Για παράδειγμα, θα είναι σε θέση να παραγγείλει ότι θα σταματήσει μια συγκεκριμένη δραστηριότητα επεξεργασίας δεδομένων. Τούτου λεχθέντος, αυτές οι νέες δυνάμεις θα οδηγήσουν επίσης στο FDPIC’Οι διαδικασίες S γίνονται πιο περίπλοκες και απαιτούν περισσότερους πόρους από εκείνες που βρίσκονται υπό την τρέχουσα DPA. Παραμένει να δούμε αν η νέα ιδέα θα οδηγήσει σε μεγαλύτερη επιβολή ή θα έχει ως αποτέλεσμα πραγματικά λιγότερες περιπτώσεις δεδομένης της FDPIC’S Continific Relunfing. Το FDPIC θα εξακολουθεί να μην είναι σε θέση να επιβάλει πρόστιμα.

Το δικαίωμα επιβολής προστίμων έγκειται στις αρχές επιβολής του νόμου (οι οποίες δεν εξειδικεύονται στην προστασία των δεδομένων) και ο κατάλογος των προστίμων επεκτάθηκε σημαντικά. Στο παρελθόν, τα πρόστιμα ήταν δυνατά για την παραβίαση του καθήκοντος ενημέρωσης, του καθήκοντος συμμόρφωσης με το δικαίωμα πρόσβασης στο υποκείμενο των δεδομένων και το καθήκον συνεργασίας με το FDPIC. Τώρα, οι παραβιάσεις των διατάξεων σχετικά με τις εξαγωγές δεδομένων, οι διατάξεις σχετικά με τους επεξεργαστές και ορισμένες παραβιάσεις των μέτρων ασφάλειας δεδομένων μπορούν επίσης να επιβληθούν πρόστιμα. Τα πρόστιμα πρέπει να καταβληθούν κατά κύριο λόγο από τους υπεύθυνους λήψης αποφάσεων, αλλά μόνο εάν ενήργησαν σκόπιμα. Μπορούν να βρεθούν υπεύθυνοι μέχρι το ποσό του CHF 250’000. (€ 230’000) Αν και αυτά τα ποσά είναι χλωμό σε σύγκριση με τα ποσά στο GDPR, πιθανότατα θα είναι ακόμη πιο αποτελεσματικά δεδομένου ότι είναι προσωπικής φύσης και δεν μπορούν να είναι ασφαλισμένοι. Υποθέτουμε ότι τα πρόστιμα για παραβιάσεις προστασίας δεδομένων θα συνεχίσουν να αποτελούν την εξαίρεση στην Ελβετία. Επιπλέον, οι παραβιάσεις των θεμελιωδών αρχών του DPA εξακολουθούν να απαλλάσσονται από την τιμωρία – μια σημαντική διαφορά στο GDPR. Επιπλέον, το αναθεωρημένο DPA εισάγει γενική επαγγελματική μυστικότητα για όλα τα επαγγέλματα (με πρόστιμα μέχρι το CHF 250’000) και μια νέα διάταξη κατά της κλοπής ταυτότητας.

Δεν απαιτείται συγκατάθεση για το προφίλ

Το κύριο οστό της διαμάχης των συζητήσεων στο νέο DPA ήταν “προφίλ”, που έχει το ίδιο νόημα κάτω από το DPA όπως κάτω από το GDPR. Αξιοσημείωτο, όπως κάτω από το GDPR, η νόμιμη σημασία του “προφίλ” ως εκ τούτου είναι πολύ περιορισμένο. Το προφίλ είναι, ουσιαστικά, ο αυτοματοποιημένος σχηματισμός γνώμης σχετικά με ορισμένες πτυχές ενός ατόμου. Αν και ο προφίλ είναι ένας καθορισμένος όρος στο νέο DPA, δεν υπάρχουν σχεδόν καμία διατάξεις του DPA που αναφέρονται σε αυτό, τουλάχιστον όσον αφορά τον ιδιωτικό τομέα. Σε αντίθεση με αυτά που έχουν γενικά αναφερθεί, το νέο DPA δεν παρέχει ότι το προφίλ απαιτεί συγκατάθεση. Αυτό που λέει το νέο DPA είναι ότι εάν απαιτείται συγκατάθεση σε μια συγκεκριμένη περίπτωση, η συγκατάθεσή αυτή πρέπει να είναι ρητής φύσης στην περίπτωση του προφίλ με ένα “υψηλού κινδύνου”. Το προφίλ θεωρείται υψηλός κίνδυνος εάν έχει ως αποτέλεσμα ένα πιο λεπτομερές προφίλ ενός ατόμου. Αυτό είναι ήδη σύμφωνο με την τρέχουσα νομική κατάσταση στο πλαίσιο του υπάρχοντος DPA. Με άλλα λόγια: Σχεδόν τίποτα δεν αλλάζει πραγματικά κάτω από το νέο DPA. Παρόλο που ο προφίλ ως τέτοιος δεν απαιτεί συγκατάθεση, είναι – φυσικά – ήδη πιθανό ότι μια λειτουργία επεξεργασίας δεδομένων πηγαίνει μέχρι στιγμής ότι απαιτείται δικαιολογία. Η συγκατάθεση είναι μια πιθανή μορφή δικαιολογίας, αλλά ο ελεγκτής μπορεί επίσης να είναι σε θέση να βασιστεί σε ένα πρωταρχικό ιδιωτικό ενδιαφέρον ανάλογα με τις περιστάσεις.

Ανάγκη για δράση

Τι πρέπει να γίνει τώρα? Οι περισσότερες εταιρείες θα πρέπει να έχουν αρκετό χρόνο για να εφαρμόσουν τις πιο σημαντικές διατάξεις του αναθεωρημένου DPA. Πρώτον, θα πρέπει να αναθεωρήσουν τις δηλώσεις προστασίας δεδομένων τους υπό το πρίσμα των νέων απαιτήσεων και να τους προσαρμόσουν ή, εάν είναι απαραίτητο, να δημιουργήσουν νέες αν δεν έχουν στη θέση τους. Το πιο χρονοβόρο μέρος της διαδικασίας είναι συνήθως η εσωτερική ανασκόπηση των δραστηριοτήτων προστασίας δεδομένων για να διασφαλιστεί ότι καλύπτονται όλες οι περιπτώσεις στις οποίες καλύπτονται όλες οι εταιρείες προσωπικά δεδομένα. Μόλις μια εταιρεία έχει λάβει αυτές τις πληροφορίες, μπορεί να δημιουργήσει ή να ενημερώσει τη δήλωση προστασίας δεδομένων και να καθιερώσει απογραφή δραστηριοτήτων επεξεργασίας δεδομένων. Εάν έχουν δημιουργηθεί τέτοιες δηλώσεις και αποθέματα για τους σκοπούς του GDPR, μπορούν σε μεγάλο βαθμό να επαναχρησιμοποιηθούν για το DPA.

Δημιουργήστε εγγραφές δραστηριοτήτων επεξεργασίας 70% ταχύτερα με το μητρώο GDPR! Δοκιμάστε δωρεάν 14 ημέρες!

Σε ένα περαιτέρω βήμα, πρέπει να προσδιοριστούν σχέσεις επεξεργαστή ελεγκτή και να ελέγχουν και να προσαρμοστούν οι σχετικές συμβάσεις σύμφωνα με τους νέους, αυστηρότερους κανόνες δέσμευσης. Εάν αυτό το έργο έχει ήδη γίνει για το GDPR, και πάλι, δεν θα χρειαστούν πολλές αλλαγές. Αυτό που είναι συνήθως απαραίτητο είναι να επεκταθεί οι αναφορές στο GDPR για να συμπεριλάβει επίσης το DPA. Με παρόμοιο τρόπο, οι ελεγκτές και οι επεξεργαστές θα πρέπει να εντοπίζουν τις διεθνείς μεταφορές δεδομένων και να επαληθεύσουν εάν εκπληρώνουν το DPA’απαιτήσεις S, δεδομένου ότι η μη συμμόρφωση μπορεί να επιβληθεί πρόστιμο. Εάν το DPA’Οι τρέχουσες απαιτήσεις πληρούνται, πιθανότατα δεν απαιτούνται αλλαγές.

Οι εταιρείες θα πρέπει επίσης να εφαρμόζουν μια διαδικασία για αξιολογήσεις αντίκτυπου προστασίας δεδομένων και, εάν είναι απαραίτητο, να διορίσουν έναν υπεύθυνο προστασίας δεδομένων, ακόμη και αν δεν απαιτείται από το νόμο. Πρέπει να εισαχθεί επίσης μια διαδικασία για τον εντοπισμό, την ανάλυση, την αναφορά και τη διαχείριση των παραβιάσεων της ασφάλειας των δεδομένων (οι οποίες περιλαμβάνουν ακούσιες απώλειες δεδομένων και εσφαλμένα μηνύματα ηλεκτρονικών μηνυμάτων) πρέπει επίσης να εισαχθούν. Κάθε εταιρεία θα πρέπει επίσης να έχει μια διαδικασία – αν δεν είναι ήδη στη θέση του – για την ανταπόκριση σε αιτήματα από άτομα που έχουν προσβληθεί.σολ., Εκείνοι που ζητούν πρόσβαση στα προσωπικά τους δεδομένα. Όταν αναφέρεται σε “διαδικασίες”, Εννοούμε ότι μια εταιρεία πρέπει τουλάχιστον να διορίσει ένα άτομο για να είναι υπεύθυνο για το χειρισμό του σχετικού θέματος που ξέρει τι να κάνει σε κάθε περίπτωση ή πού να λάβει τις σχετικές πληροφορίες για το τι πρέπει να γίνει.

Τέλος, θα πρέπει να εντοπιστούν αυτοματοποιημένες μεμονωμένες αποφάσεις και, εάν είναι σχετικές, τα υποκείμενα των δεδομένων πρέπει να ενημερώνονται και να δοθούν η ευκαιρία να ζητήσετε ανθρώπινη παρέμβαση. Επιπλέον, η επεξεργασία γενετικών και βιομετρικών δεδομένων καθώς και δεδομένα για μη προσωπικούς σκοπούς και πιστοληπτική ικανότητα πρέπει να εντοπιστεί, να ελεγχθεί και να προσαρμοστεί στις νέες απαιτήσεις. Φυσικά, η υπάρχουσα εκπαίδευση θα πρέπει επίσης να προσαρμοστεί ώστε να αντιστοιχεί στις απαιτήσεις του αναθεωρημένου DPA και μπορεί να έχει νόημα να επαληθεύσει την εφαρμογή των νέων απαιτήσεων κατά τη διεξαγωγή ελέγχων.

Το NFADP’S 12 Βασικές απαιτήσεις:

Οι ελβετικές ΜΜΕ πρέπει να εφαρμόσουν τα ακόλουθα 12 μέτρα για να συμμορφωθούν με το NFADP:

1. Ελέγξτε και τροποποιήστε τις δηλώσεις προστασίας δεδομένων (Ιστοσελίδα, συμβόλαια, διαφημιστικό περιεχόμενο κ.λπ.·
2. Σχέδιο (ή τροποποίηση) Κατευθυντήριες γραμμές διαχείρισης εταιρικών δεδομένων
3. Δημιουργήστε ένα μητρώο επεξεργασίας δεδομένων (εκτός από εταιρείες με λιγότερους από 250 υπαλλήλους και εάν δεν υπάρχει σημαντικός κίνδυνος απορρήτου)
4. Καθιέρωση διαδικασιών για την απάντηση αμέσως σε θέματα δεδομένων’ αιτήματα (e.σολ., για πληροφορίες ή διαγραφή δεδομένων)
5. Εφαρμογή διαδικασίας αναφοράς παραβίασης δεδομένων
6. Δημιουργήστε μια διαδικασία για αξιολογήσεις επιπτώσεων που απαιτούνται όταν η επεξεργασία δεδομένων είναι υψηλός κίνδυνος (Ε.σολ., Στην περίπτωση συστηματικής παρακολούθησης του ευρύτερου δημόσιου τομέα)
7. Αναλύστε τις συμβάσεις με τους υπεργολάβους, για να ελέγξετε εάν παρέχεται ασφάλεια δεδομένων και προσθέστε ρήτρες σχετικά με αυτό το θέμα (συμπεριλαμβανομένης της ειδοποίησης παραβίασης δεδομένων)
8. Παρέχετε τα δεδομένα που πρέπει να διαγραφούν ή να καταστούν ανώνυμα (και αμέσως μετά τα οποία δεν είναι πλέον απαραίτητα για τον αρχικό σκοπό για τον οποίο υποβλήθηκαν σε επεξεργασία)
9. Αναθεωρήστε τις χώρες στις οποίες μεταδίδονται τα δεδομένα, συμπεριλαμβανομένου του απλού αντιγράφου ασφαλείας cloud (αυτές οι χώρες πρέπει να βρίσκονται σε έναν κατάλογο ομοσπονδιακών συμβουλίων. Αν όχι, ισχύουν αυστηρότερες απαιτήσεις)
10. Εξασφαλίστε την ασφάλεια των δεδομένων μέσω κατάλληλων τεχνικών και οργανωτικών μέτρων
11. Βεβαιωθείτε ότι τα δεδομένα παρέχονται σε ηλεκτρονική μορφή (στην περίπτωση αυτοματοποιημένης επεξεργασίας δεδομένων και, ειδικότερα, στο συμπέρασμα ή στην εφαρμογή μιας σύμβασης)
12. Ορίστε έναν Σύμβουλο Προστασίας Δεδομένων και δημοσιεύστε τα στοιχεία επικοινωνίας του (συνιστάται να ειδοποιηθεί αυτό το άτομο στον Ομοσπονδιακό Επίτροπο Προστασίας Δεδομένων και Πληροφοριών (FDPIC)).