Baseline Hukum Baru bagi Perusahaan yang Beroperasi di Swiss
Sejak 1 September 2023, perusahaan yang berbisnis di Swiss telah beroperasi di bawah kerangka hukum yang direvisi: Undang-Undang Federal tentang Perlindungan Data, yang biasa disebut sebagai FADP atau nFADP. Undang-undang ini, yang awalnya disahkan oleh parlemen Swiss pada September 2020, membawa aturan privasi Swiss lebih dekat secara semangat dengan Peraturan Perlindungan Data Umum (GDPR) Uni Eropa, sambil tetap mempertahankan fitur khas Swiss yang tidak bisa begitu saja disalin-tempel oleh perusahaan dari program kepatuhan GDPR mereka.
Waktu menjadi hal yang penting. Banyak organisasi, termasuk perusahaan Jerman dengan anak perusahaan, cabang, atau basis pelanggan di Swiss, harus menilai ulang praktik penanganan data mereka menjelang tenggat waktu September. Bagi bisnis yang menganggap kepatuhan GDPR otomatis sudah cukup, Undang-Undang Perlindungan Data Swiss memperkenalkan serangkaian kewajiban, definisi, dan mekanisme penegakan hukum tersendiri yang memerlukan perhatian khusus.
Apa yang Membuat Undang-Undang Perlindungan Data Swiss Berbeda
Salah satu aspek yang paling konsekuensial dari FADP yang direvisi adalah jangkauan ekstrateritorialnya. Undang-undang ini berlaku untuk semua pemrosesan data pribadi yang memiliki efek di Swiss, bahkan ketika pemrosesan tersebut dilakukan dari luar negeri. Ini berarti perusahaan yang berkantor pusat di luar Swiss, termasuk di Jerman atau di tempat lain di UE, dapat berada di bawah yurisdiksi Swiss hanya dengan menangani data milik orang-orang yang berada di Swiss.
Cakupan ekstrateritorial ini menggema tren yang lebih luas dalam regulasi privasi di seluruh dunia, di mana lokasi fisik perusahaan menjadi kurang penting dibandingkan lokasi orang-orang yang datanya sedang diproses. Ini adalah konsep yang erat kaitannya dengan apa yang menentukan yurisdiksi VPN untuk alat privasi: kerangka hukum yang mengatur sebuah organisasi dibentuk oleh tempat tinggal subjek, pengguna, atau pelanggannya, bukan hanya lokasi server atau kantornya. Perusahaan yang telah bergulat dengan pertanyaan yurisdiksi seputar arus data lintas batas akan mengenali pola ini.
Fitur penting lainnya adalah struktur hukumannya. Di bawah undang-undang yang direvisi, individu, biasanya eksekutif atau karyawan yang bertanggung jawab, yang dengan sengaja melanggar ketentuan tertentu dapat menghadapi denda hingga CHF 250.000. Ini adalah pergeseran signifikan dari model yang hanya menjatuhkan denda kepada perusahaan, menempatkan akuntabilitas pribadi pada pengambil keputusan dalam organisasi, bukan memperlakukan pelanggaran murni sebagai biaya menjalankan bisnis.
Tekanan Kepatuhan Bertemu dengan Realitas Keamanan Siber yang Lebih Luas
Kewajiban hukum baru ini datang pada saat perusahaan Swiss sudah menghadapi tekanan keamanan data dunia nyata dari arah yang berbeda: penjahat dunia maya. Insiden baru-baru ini yang melibatkan organisasi Swiss menggarisbawahi mengapa kepatuhan regulasi dan keamanan operasional harus berjalan beriringan. Kelompok ransomware yang menyebut dirinya Booba Project mengklaim bertanggung jawab atas serangan terhadap Zynex, sebuah perusahaan yang berbasis di Swiss, dengan tuduhan telah mengeksfiltrasi data. Secara terpisah, produsen kereta api Swiss Stadler menjadi sasaran melalui platform pemasok dan secara terbuka menolak membayar tuntutan tebusan jutaan franc dari Everest Group.
Insiden-insiden ini adalah pengingat bahwa hukum perlindungan data dan praktik keamanan siber adalah dua sisi dari mata uang yang sama. Sebuah perusahaan dapat memiliki kebijakan privasi yang tersusun baik dan tetap mengalami pelanggaran data jika perlindungan teknisnya tertinggal. Di bawah Undang-Undang Perlindungan Data Swiss, organisasi diharapkan untuk menerapkan langkah-langkah teknis dan organisasional yang tepat untuk melindungi data pribadi, yang berarti pencegahan pelanggaran bukan hanya praktik yang baik, tetapi merupakan bagian dari gambaran kepatuhan yang akan diperiksa regulator setelah sebuah insiden.
Apa Artinya Ini Bagi Anda
Jika Anda menjalankan atau bekerja untuk perusahaan yang memproses data pribadi yang terkait dengan Swiss, baik melalui pelanggan, karyawan, atau mitra, FADP yang direvisi kemungkinan besar sudah berlaku bagi Anda, terlepas dari di mana kantor pusat Anda berada. Ini sangat relevan bagi perusahaan Jerman dan perusahaan berbasis UE lainnya yang menganggap keselarasan GDPR sudah mencakup semuanya; persyaratan Swiss seputar catatan pemrosesan data, transfer lintas batas, dan pemberitahuan pelanggaran memiliki nuansa tersendiri.
Bagi konsumen individu, keuntungan praktisnya adalah kerangka hukum yang dirancang untuk memberi Anda visibilitas dan kendali yang lebih besar atas bagaimana data pribadi Anda digunakan oleh perusahaan yang beroperasi di atau terhubung dengan Swiss. Ini tidak akan menghentikan setiap pelanggaran atau percobaan ransomware, tetapi ini menciptakan akuntabilitas yang lebih jelas ketika ada yang tidak beres.
Poin-Poin Penting
Perusahaan dengan koneksi data apa pun ke Swiss harus meninjau apakah program kepatuhan GDPR yang ada benar-benar memenuhi persyaratan khusus FADP, daripada mengasumsikan kesetaraan. Tim hukum dan TI harus berkoordinasi secara erat, karena jangkauan ekstrateritorial undang-undang ini berarti yurisdiksi saja tidak akan melindungi bisnis dari kewajiban. Mengingat denda pribadi yang terkait dengan pelanggaran yang disengaja, akuntabilitas kepemimpinan untuk keputusan penanganan data layak mendapat proses terdokumentasi yang dapat diaudit. Dan mengingat aktivitas ransomware yang sedang berlangsung terhadap perusahaan Swiss, perlindungan teknis harus diperlakukan sebagai persyaratan kepatuhan, bukan sekadar masalah TI. Undang-Undang Perlindungan Data Swiss kini menjadi bagian tetap dari lingkungan operasional bagi bisnis mana pun yang menyentuh data pribadi Swiss, dan mengantisipasinya jauh lebih mudah daripada bereaksi setelah regulator atau penyerang memaksa masalah tersebut.
