스위스에서 사업을 운영하는 기업을 위한 새로운 법적 기준

2023년 9월 1일부터 스위스에서 사업을 영위하는 기업들은 개정된 법적 체계, 즉 연방 데이터 보호법(Federal Act on Data Protection, 일반적으로 FADP 또는 nFADP로 불림)에 따라 운영되고 있습니다. 2020년 9월 스위스 의회에서 처음 통과된 이 법은 스위스의 개인정보 보호 규정을 EU의 일반 데이터 보호 규정(GDPR)에 정신적으로 더 가깝게 만들면서도, 기업들이 GDPR 컴플라이언스 프로그램에서 단순히 복사-붙여넣기할 수 없는 뚜렷한 스위스 고유의 특징을 유지하고 있습니다.

시기가 중요합니다. 스위스 자회사, 지사 또는 고객 기반을 둔 독일 기업을 포함한 많은 조직은 9월 마감일 전에 데이터 처리 관행을 재점검해야 했습니다. GDPR 컴플라이언스가 자동으로 충분하다고 가정했던 기업들에게 스위스 데이터 보호법은 별도의 주의가 필요한 자체적인 의무, 정의 및 집행 메커니즘을 도입했습니다.

스위스 데이터 보호법을 다르게 만드는 요소

개정된 FADP의 가장 중요한 측면 중 하나는 역외 적용 범위입니다. 이 법은 해외에서 처리되더라도 스위스에 영향을 미치는 모든 개인 데이터 처리에 적용됩니다. 즉, 독일이나 EU 다른 지역을 포함한 스위스 외부에 본사를 둔 기업도 스위스에 있는 사람들의 데이터를 처리하기만 하면 스위스 관할권에 속할 수 있습니다.

이러한 역외 적용 범위는 기업의 물리적 위치보다 데이터가 처리되는 사람들의 위치가 더 중요하게 여겨지는 전 세계적인 개인정보 보호 규제의 광범위한 추세를 반영합니다. 이는 개인정보 보호 도구의 VPN 관할권을 결정하는 요소와 밀접하게 관련된 개념입니다. 조직을 규율하는 법적 체계는 서버나 사무실이 있는 위치가 아니라 해당 조직의 대상, 사용자 또는 고객이 거주하는 위치에 따라 결정됩니다. 이미 국경 간 데이터 흐름에 대한 관할권 문제를 겪어본 기업들은 여기서 그 패턴을 인식할 것입니다.

또 다른 주목할 만한 특징은 벌칙 구조입니다. 개정된 법에 따라 특정 조항을 의도적으로 위반한 개인(일반적으로 책임 있는 임원 또는 직원)은 최대 25만 스위스 프랑의 벌금을 물을 수 있습니다. 이는 기업 벌금만 부과하던 모델에서 의미 있는 전환으로, 위반을 단순히 사업 비용으로 취급하는 대신 조직 내 의사 결정권자에게 개인적 책임을 부여합니다.

컴플라이언스 압박과 더 넓은 사이버 보안 현실

새로운 법적 의무는 스위스 기업들이 이미 사이버 범죄자라는 다른 방향에서 현실적인 데이터 보안 압박에 직면한 시점에 도래했습니다. 스위스 조직과 관련된 최근 사건들은 규제 컴플라이언스와 운영 보안이 함께 움직여야 하는 이유를 강조합니다. Booba Project라는 랜섬웨어 그룹은 스위스 기반 기업인 Zynex에 대한 공격의 책임을 주장하며 데이터를 탈취했다고 주장했습니다. 또한 스위스 철도 차량 제조업체인 Stadler는 공급업체 플랫폼을 통해 표적이 되었으며 Everest Group의 수백만 프랑 규모의 몸값 요구를 공개적으로 거부했습니다.

이러한 사건들은 데이터 보호법과 사이버 보안 실무가 동전의 양면이라는 사실을 상기시켜 줍니다. 기업이 잘 작성된 개인정보 보호 정책을 갖고 있더라도 기술적 보호 조치가 뒤처지면 여전히 침해를 겪을 수 있습니다. 스위스 데이터 보호법에 따라 조직은 개인 데이터를 보호하기 위한 적절한 기술적 및 조직적 조치를 구현해야 하며, 이는 침해 예방이 단지 모범 사례일 뿐만 아니라 사고 후 규제 당국이 조사할 컴플라이언스의 일부라는 것을 의미합니다.

이것이 당신에게 의미하는 바

고객, 직원 또는 파트너를 통해 스위스와 연결된 개인 데이터를 처리하는 기업을 운영하거나 그곳에서 일한다면, 본사 위치와 관계없이 개정된 FADP가 이미 적용될 가능성이 높습니다. 이는 GDPR 정렬로 충분하다고 가정했던 독일 및 기타 EU 기반 기업에게 특히 관련이 있습니다. 데이터 처리 기록, 국경 간 전송 및 침해 통지에 관한 스위스 요구 사항에는 고유한 차이점이 있습니다.

개인 소비자의 경우, 실질적인 이점은 스위스에서 또는 스위스와 연결되어 운영되는 기업이 개인 데이터를 사용하는 방식에 대해 더 많은 가시성과 통제권을 제공하도록 설계된 법적 체계입니다. 모든 침해나 랜섬웨어 시도를 막을 수는 없지만, 문제가 발생했을 때 더 명확한 책임 소재를 만듭니다.

주요 시사점

스위스 데이터 연결이 있는 기업은 기존 GDPR 컴플라이언스 프로그램이 동등하다고 가정하지 말고 실제로 FADP 특정 요구 사항을 충족하는지 검토해야 합니다. 이 법의 역외 적용 범위는 관할권만으로는 사업을 의무에서 보호하지 못하므로 법무팀과 IT팀은 긴밀히 협력해야 합니다. 의도적 위반에 대한 개인 벌금을 고려할 때, 데이터 처리 결정에 대한 리더십 책임은 문서화되고 감사 가능한 프로세스를 가져야 합니다. 그리고 스위스 기업을 겨냥한 지속적인 랜섬웨어 활동을 고려할 때, 기술적 보호 조치는 단순한 IT 문제가 아닌 컴플라이언스 요구 사항으로 취급되어야 합니다. 스위스 데이터 보호법은 이제 스위스 개인 데이터를 다루는 모든 기업의 운영 환경에서 고정된 부분이며, 규제 기관이나 공격자가 문제를 강제한 후 대응하는 것보다 선제적으로 대응하는 것이 훨씬 쉽습니다.