Új Jogi Alapvonal a Svájcban Működő Vállalatok Számára

  1. szeptember 1. óta a Svájcban üzleti tevékenységet folytató vállalatok felülvizsgált jogi keretek között működnek: a Szövetségi Adatvédelmi Törvény, amelyet gyakran FADP vagy nFADP néven említenek. A törvény, amelyet eredetileg a svájci parlament 2020 szeptemberében fogadott el, közelebb hozza Svájc adatvédelmi szabályait az EU Általános Adatvédelmi Rendeletének szelleméhez, miközben megtartja a jellegzetesen svájci jegyeket, amelyeket a vállalatok nem egyszerűen másolhatnak be a GDPR-megfelelési programjaikból.

A időzítés számít. Sok szervezetnek, beleértve a svájci leányvállalatokkal, fióktelepekkel vagy ügyfélkörrel rendelkező német cégeket is, újra kellett értékelnie adatkezelési gyakorlatait a szeptemberi határidő előtt. Azoknak a vállalkozásoknak, amelyek feltételezték, hogy a GDPR-megfelelés automatikusan elegendő, a Svájci Adatvédelmi Törvény saját kötelezettségcsomagot, fogalommeghatározásokat és végrehajtási mechanizmusokat vezetett be, amelyek külön figyelmet igényeltek.

Mi Teszi Különlegessé a Svájci Adatvédelmi Törvényt

A felülvizsgált FADP egyik legjelentősebb aspektusa a területen kívüli hatálya. A törvény a személyes adatok bármely olyan feldolgozására vonatkozik, amelynek hatása van Svájcban, még akkor is, ha a feldolgozást külföldön kezdeményezik. Ez azt jelenti, hogy egy Svájcon kívül székhellyel rendelkező vállalat, beleértve Németországot vagy az EU más részeit is, svájci joghatóság alá kerülhet pusztán azáltal, hogy a Svájcban élő személyek adatait kezeli.

Ez a területen kívüli hatály egy tágabb trendet tükröz a világméretű adatvédelmi szabályozásban, ahol a vállalat fizikai elhelyezkedése kevésbé számít, mint azon személyek elhelyezkedése, akiknek az adatait feldolgozzák. Ez a fogalom szorosan kapcsolódik ahhoz, ami meghatározza a VPN-joghatóságot az adatvédelmi eszközök esetében: a szervezetre irányadó jogi keretet az határozza meg, hogy az alanyai, felhasználói vagy ügyfelei hol tartózkodnak, nem csak az, hogy a szerverei vagy irodái hol vannak. Azok a vállalatok, amelyek már szembesültek joghatósági kérdésekkel a határokon átnyúló adatforgalom kapcsán, felismerik itt a mintát.

Egy másik figyelemre méltó jellemző a büntetési struktúra. A felülvizsgált törvény értelmében azok a személyek, jellemzően felelős vezetők vagy alkalmazottak, akik szándékosan megsértenek bizonyos rendelkezéseket, akár 250 000 CHF összegű bírsággal is szembesülhetnek. Ez jelentős elmozdulás a csak vállalati bírságokat alkalmazó modelltől, személyes felelősséget helyezve a szervezeten belüli döntéshozókra, ahelyett hogy a jogsértéseket pusztán az üzletmenet költségeként kezelnék.

Megfelelési Nyomás Találkozik a Tágabb Kiberbiztonsági Valósággal

Az új jogi kötelezettségek olyan időszakban érkeznek, amikor a svájci vállalatok már szembesülnek valós adatbiztonsági nyomással egy másik irányból: a kiberbűnözőktől. A svájci szervezeteket érintő közelmúltbeli incidensek rávilágítanak arra, hogy a szabályozási megfelelésnek és a működési biztonságnak kéz a kézben kell járnia. Egy Booba Project nevű zsarolóvírus-csoport magára vállalta egy támadást a Svájcban működő Zynex ellen, állítva, hogy adatokat szivárogtatott ki. Ettől függetlenül a svájci vasúti járműgyártó Stadler egy beszállítói platformon keresztül vált célponttá, és nyilvánosan megtagadta a kifizetést az Everest Group multimilliós frank összegű váltságdíj-követelése esetében.

Ezek az incidensek emlékeztetőül szolgálnak arra, hogy az adatvédelmi jog és a kiberbiztonsági gyakorlat ugyanazon érme két oldala. Egy vállalatnak lehetnek jól megfogalmazott adatvédelmi szabályzatai, és mégis adatvédelmi incidenssel szembesülhet, ha a technikai védelmi intézkedései lemaradnak. A Svájci Adatvédelmi Törvény értelmében a szervezeteknek megfelelő technikai és szervezési intézkedéseket kell alkalmazniuk a személyes adatok védelme érdekében, ami azt jelenti, hogy az incidensek megelőzése nem csak jó gyakorlat, hanem a megfelelési kép része, amelyet a szabályozók egy incidens után vizsgálni fognak.

Mit Jelent Ez Önnek

Ha olyan vállalatot vezet vagy dolgozik olyan vállalatnál, amely Svájchoz kötődő személyes adatokat dolgoz fel, akár ügyfeleken, alkalmazottakon vagy partnereken keresztül, a felülvizsgált FADP valószínűleg már vonatkozik Önre, függetlenül attól, hogy hol van a központ. Ez különösen releváns a német és más EU-székhelyű vállalatok számára, amelyek feltételezték, hogy a GDPR-nak való megfelelés teljes mértékben lefedi őket; a svájci adatfeldolgozási nyilvántartásokra, határokon átnyúló adattovábbításra és incidensbejelentésre vonatkozó követelmények saját árnyalatokkal rendelkeznek.

Az egyéni fogyasztók számára a gyakorlati előny egy olyan jogi keret, amelyet úgy terveztek, hogy nagyobb átláthatóságot és ellenőrzést biztosítson afelett, hogy a Svájcban működő vagy Svájchoz kapcsolódó vállalatok hogyan használják fel személyes adataikat. Nem fog megállítani minden incidenst vagy zsarolóvírus-támadást, de egyértelműbb elszámoltathatóságot teremt, ha valami rosszul sül el.

Főbb Tanulságok

Azoknak a vállalatoknak, amelyeknek bármilyen svájci adatkapcsolatuk van, felül kell vizsgálniuk, hogy meglévő GDPR-megfelelési programjuk valóban kielégíti-e a FADP-specifikus követelményeket, ahelyett hogy egyenértékűséget feltételeznének. A jogi és IT-csapatoknak szorosan együtt kell működniük, mivel a törvény területen kívüli hatálya azt jelenti, hogy a joghatóság önmagában nem védi meg a vállalatot a kötelezettségektől. Tekintettel a szándékos jogsértésekhez kapcsolódó személyes bírságokra, a vezetői elszámoltathatóság az adatkezelési döntések tekintetében dokumentált, ellenőrizhető folyamatot érdemel. És a svájci cégek elleni folyamatos zsarolóvírus-tevékenység fényében a technikai védelmi intézkedéseket megfelelési követelményként kell kezelni, nem csak IT-kérdésként. A Svájci Adatvédelmi Törvény mára a működési környezet rögzült részét képezi minden olyan vállalkozás számára, amely svájci személyes adatokat érint, és előrébb járni sokkal könnyebb, mint reagálni, amikor egy szabályozó vagy egy támadó kényszeríti ki a kérdést.