Zwitserse wet gegevensbescherming: Naleving voor bedrijven sinds 2023

Een nieuwe juridische basislijn voor bedrijven die in Zwitserland opereren

Sinds 1 september 2023 opereren bedrijven die zaken doen in Zwitserland onder een herzien wettelijk kader: de federale wet op de gegevensbescherming, doorgaans aangeduid als FADP of nFADP. De wet, oorspronkelijk aangenomen door het Zwitserse parlement in september 2020, brengt de privacyregels van Zwitserland qua strekking dichter bij de Algemene Verordening Gegevensbescherming van de EU, terwijl er toch kenmerkend Zwitserse elementen behouden blijven die bedrijven niet simpelweg kunnen kopiëren vanuit hun AVG-nalevingsprogramma's.

Het tijdstip is belangrijk. Veel organisaties, waaronder Duitse bedrijven met Zwitserse dochterondernemingen, vestigingen of klantenbestanden, moesten hun omgang met gegevens vóór de septemberdeadline opnieuw beoordelen. Voor bedrijven die ervan uitgingen dat AVG-naleving automatisch voldoende was, introduceerde de Zwitserse wet op de gegevensbescherming een eigen reeks verplichtingen, definities en handhavingsmechanismen die aparte aandacht vereisten.

Wat de Zwitserse wet op de gegevensbescherming anders maakt

Een van de meest ingrijpende aspecten van de herziene FADP is het extraterritoriale bereik. De wet is van toepassing op elke verwerking van persoonsgegevens die effect heeft in Zwitserland, zelfs wanneer die verwerking in het buitenland wordt gestart. Dit betekent dat een bedrijf met het hoofdkantoor buiten Zwitserland, inclusief in Duitsland of elders in de EU, onder de Zwitserse jurisdictie kan vallen, simpelweg door gegevens van mensen in Zwitserland te verwerken.

Deze extraterritoriale reikwijdte weerspiegelt een bredere trend in privacyregulering wereldwijd, waarbij de fysieke locatie van een bedrijf minder belangrijk is dan de locatie van de mensen wiens gegevens worden verwerkt. Het is een concept dat nauw verwant is aan wat de VPN-jurisdictie voor privacyhulpmiddelen bepaalt: het wettelijke kader dat een organisatie beheerst, wordt gevormd door waar de betrokkenen, gebruikers of klanten verblijven, niet alleen waar de servers of kantoren zich bevinden. Bedrijven die al worstelden met jurisdictievragen rond grensoverschrijdende gegevensstromen, zullen dit patroon herkennen.

Een ander opvallend kenmerk is de boetestructuur. Onder de herziene wet kunnen individuen, doorgaans verantwoordelijke leidinggevenden of werknemers, die opzettelijk bepaalde bepalingen overtreden, boetes krijgen van maximaal CHF 250.000. Dit is een betekenisvolle verschuiving ten opzichte van een model met uitsluitend bedrijfsboetes, en legt persoonlijke verantwoordelijkheid bij besluitvormers binnen een organisatie in plaats van overtredingen uitsluitend te behandelen als een kostenpost van het zakendoen.

Nalevingsdruk ontmoet een bredere cyberbeveiligingsrealiteit

De nieuwe wettelijke verplichtingen komen op een moment dat Zwitserse bedrijven al te maken hebben met reële druk op gegevensbeveiliging vanuit een andere richting: cybercriminelen. Recente incidenten met Zwitserse organisaties onderstrepen waarom wettelijke naleving en operationele beveiliging samen moeten gaan. Een ransomwaregroep die zichzelf Booba Project noemt, claimde verantwoordelijkheid voor een aanval op Zynex, een in Zwitserland gevestigd bedrijf, en beweerde dat het gegevens had buitgemaakt. Daarnaast werd de Zwitserse fabrikant van rollend materieel Stadler aangevallen via een leveranciersplatform en weigerde publiekelijk om een miljoenenfrancs losgeld te betalen aan de Everest Group.

Deze incidenten zijn een herinnering dat gegevensbeschermingsrecht en cyberbeveiligingspraktijk twee kanten van dezelfde medaille zijn. Een bedrijf kan goed opgestelde privacydocumenten hebben en toch te maken krijgen met een datalek als de technische beveiliging achterblijft. Onder de Zwitserse wet op de gegevensbescherming wordt van organisaties verwacht dat zij passende technische en organisatorische maatregelen implementeren om persoonsgegevens te beschermen. Dat betekent dat het voorkomen van datalekken niet alleen goed beleid is, maar onderdeel van het nalevingsbeeld dat toezichthouders na een incident zullen onderzoeken.

Wat dit voor u betekent

Als u een bedrijf leidt of voor een bedrijf werkt dat persoonsgegevens verwerkt die verband houden met Zwitserland, via klanten, werknemers of partners, dan is de herziene FADP waarschijnlijk al op u van toepassing, ongeacht waar uw hoofdkantoor zich bevindt. Dit is vooral relevant voor Duitse en andere op de EU gebaseerde bedrijven die ervan uitgingen dat AVG-afstemming hen volledig dekte; de Zwitserse vereisten rond gegevensverwerkingsregisters, grensoverschrijdende overdrachten en melding van datalekken kennen hun eigen nuances.

Voor individuele consumenten is het praktische voordeel een wettelijk kader dat is ontworpen om u meer zicht en controle te geven over hoe uw persoonsgegevens worden gebruikt door bedrijven die in of verbonden met Zwitserland opereren. Het zal niet elk datalek of ransomwarepoging stoppen, maar het creëert wel duidelijkere verantwoordelijkheid wanneer er dingen misgaan.

Belangrijkste conclusies

Bedrijven met enige Zwitserse gegevensconnectie moeten beoordelen of hun bestaande AVG-nalevingsprogramma daadwerkelijk voldoet aan de FADP-specifieke vereisten, in plaats van uit te gaan van gelijkwaardigheid. Juridische en IT-teams moeten nauw samenwerken, aangezien het extraterritoriale bereik van de wet betekent dat jurisdictie alleen een bedrijf niet zal vrijwaren van verplichtingen. Gezien de persoonlijke boetes bij opzettelijke overtredingen, verdient de verantwoordelijkheid van het leiderschap voor beslissingen over gegevensverwerking een gedocumenteerd, controleerbaar proces. En in het licht van voortdurende ransomware-activiteit tegen Zwitserse bedrijven, moeten technische beveiligingsmaatregelen worden behandeld als een nalevingsvereiste, niet alleen een IT-aangelegenheid. De Zwitserse wet op de gegevensbescherming is nu een vast onderdeel van de operationele omgeving voor elk bedrijf dat Zwitserse persoonsgegevens aanraakt, en erop vooruitlopen is veel eenvoudiger dan reageren nadat een toezichthouder of een aanvaller de kwestie forceert.