มาตรฐานทางกฎหมายใหม่สำหรับบริษัทที่ดำเนินงานในสวิตเซอร์แลนด์

ตั้งแต่วันที่ 1 กันยายน 2023 บริษัทที่ดำเนินธุรกิจในสวิตเซอร์แลนด์ได้ดำเนินงานภายใต้กรอบกฎหมายฉบับปรับปรุงใหม่ นั่นคือ พระราชบัญญัติการคุ้มครองข้อมูลแห่งสหพันธรัฐ ซึ่งโดยทั่วไปเรียกว่า FADP หรือ nFADP กฎหมายฉบับนี้ ซึ่งผ่านความเห็นชอบโดยรัฐสภาสวิสเดิมเมื่อเดือนกันยายน 2020 ทำให้กฎเกณฑ์ความเป็นส่วนตัวของสวิตเซอร์แลนด์ใกล้เคียงกับเจตนารมณ์ของกฎหมายคุ้มครองข้อมูลทั่วไปของสหภาพยุโรป (GDPR) มากขึ้น ขณะเดียวกันก็ยังคงลักษณะเฉพาะของสวิสที่บริษัทต่าง ๆ ไม่สามารถลอกเลียนแบบจากแผนการปฏิบัติตาม GDPR ของตนได้โดยตรง

จังหวะเวลามีความสำคัญ องค์กรหลายแห่ง รวมถึงบริษัทเยอรมันที่มีบริษัทย่อย สาขา หรือฐานลูกค้าในสวิตเซอร์แลนด์ จำเป็นต้องประเมินแนวปฏิบัติในการจัดการข้อมูลของตนใหม่ก่อนถึงกำหนดเส้นตายในเดือนกันยายน สำหรับธุรกิจที่สันนิษฐานว่าการปฏิบัติตาม GDPR นั้นเพียงพอโดยอัตโนมัติ พระราชบัญญัติการคุ้มครองข้อมูลของสวิตเซอร์แลนด์ได้นำเสนอชุดภาระผูกพัน คำนิยาม และกลไกการบังคับใช้ของตนเองที่ต้องให้ความสนใจแยกต่างหาก

อะไรที่ทำให้พระราชบัญญัติการคุ้มครองข้อมูลของสวิตเซอร์แลนด์แตกต่างออกไป

หนึ่งในแง่มุมที่สำคัญที่สุดของ FADP ฉบับปรับปรุงคือการบังคับใช้นอกอาณาเขต กฎหมายฉบับนี้ใช้กับการประมวลผลข้อมูลส่วนบุคคลใด ๆ ที่มีผลกระทบในสวิตเซอร์แลนด์ แม้ว่าการประมวลผลนั้นจะเริ่มต้นจากต่างประเทศก็ตาม ซึ่งหมายความว่าบริษัทที่มีสำนักงานใหญ่นอกประเทศสวิตเซอร์แลนด์ รวมถึงในเยอรมนีหรือที่อื่นในสหภาพยุโรป อาจตกอยู่ภายใต้เขตอำนาจศาลของสวิสเพียงเพราะจัดการข้อมูลของบุคคลที่อยู่ในสวิตเซอร์แลนด์

ขอบเขตการบังคับใช้นอกอาณาเขตนี้สะท้อนแนวโน้มที่กว้างขึ้นในกฎระเบียบความเป็นส่วนตัวทั่วโลก ซึ่งตำแหน่งทางกายภาพของบริษัทมีความสำคัญน้อยกว่าตำแหน่งของบุคคลที่ข้อมูลของพวกเขากำลังถูกประมวลผล แนวคิดนี้เกี่ยวข้องอย่างใกล้ชิดกับสิ่งที่กำหนด เขตอำนาจศาลของ VPN สำหรับเครื่องมือความเป็นส่วนตัว: กรอบกฎหมายที่ควบคุมองค์กรถูกกำหนดโดยที่ตั้งของกลุ่มเป้าหมาย ผู้ใช้ หรือลูกค้า ไม่ใช่เพียงแค่ที่ตั้งของเซิร์ฟเวอร์หรือสำนักงาน บริษัทที่เคยเผชิญกับประเด็นด้านเขตอำนาจศาลเกี่ยวกับการไหลของข้อมูลข้ามพรมแดนจะคุ้นเคยกับรูปแบบนี้เป็นอย่างดี

คุณลักษณะเด่นอีกประการหนึ่งคือโครงสร้างบทลงโทษ ภายใต้พระราชบัญญัติฉบับปรับปรุง บุคคล ซึ่งโดยทั่วไปคือผู้บริหารหรือพนักงานที่รับผิดชอบ ซึ่งจงใจละเมิดข้อกำหนดบางประการ อาจต้องเผชิญกับค่าปรับสูงถึง 250,000 ฟรังก์สวิส นี่คือการเปลี่ยนแปลงที่มีนัยสำคัญจากรูปแบบที่ปรับเฉพาะนิติบุคคลเท่านั้น โดย placing ความรับผิดชอบส่วนบุคคลต่อผู้มีอำนาจตัดสินใจภายในองค์กร แทนที่จะมองว่าการละเมิดเป็นเพียงต้นทุนของการดำเนินธุรกิจ

แรงกดดันด้านการปฏิบัติตามข้อกำหนดพบกับความเป็นจริงด้านความมั่นคงปลอดภัยไซเบอร์ในวงกว้าง

ภาระผูกพันทางกฎหมายฉบับใหม่มาถึงในช่วงเวลาที่บริษัทสวิสกำลังเผชิญกับแรงกดดันด้านความมั่นคงปลอดภัยข้อมูลในโลกแห่งความเป็นจริงจากทิศทางที่แตกต่างกัน นั่นคืออาชญากรไซเบอร์ เหตุการณ์ล่าสุดที่เกี่ยวข้องกับองค์กรสวิสตอกย้ำว่าเหตุใดการปฏิบัติตามกฎระเบียบและความมั่นคงปลอดภัยในการปฏิบัติงานจึงต้องเดินไปพร้อมกัน กลุ่มแรนซัมแวร์ที่เรียกตัวเองว่า Booba Project อ้างความรับผิดชอบต่อการโจมตี ต่อ Zynex บริษัทที่ตั้งอยู่ในสวิตเซอร์แลนด์ โดยอ้างว่าได้ขโมยข้อมูลไป นอกจากนี้ สตัดเลอร์ (Stadler) ผู้ผลิตยานพาหนะรางของสวิส ถูกโจมตีผ่านแพลตฟอร์มของผู้จำหน่ายและ ปฏิเสธที่จะจ่ายค่าไถ่ หลายล้านฟรังก์ให้กับกลุ่มอีเวอเรสต์ (Everest Group) อย่างเปิดเผย

เหตุการณ์เหล่านี้เป็นเครื่องเตือนใจว่ากฎหมายคุ้มครองข้อมูลและการปฏิบัติด้านความมั่นคงปลอดภัยไซเบอร์เป็นสองด้านของเหรียญเดียวกัน บริษัทอาจมีนโยบายความเป็นส่วนตัวที่ร่างไว้อย่างดี แต่ยังคงประสบกับการละเมิดข้อมูลได้หากมาตรการป้องกันทางเทคนิคตามไม่ทัน ภายใต้พระราชบัญญัติการคุ้มครองข้อมูลของสวิตเซอร์แลนด์ องค์กรต่าง ๆ ถูกคาดหวังให้นำมาตรการทางเทคนิคและองค์กรที่เหมาะสมมาใช้เพื่อปกป้องข้อมูลส่วนบุคคล ซึ่งหมายความว่าการป้องกันการละเมิดไม่ใช่เพียงแนวปฏิบัติที่ดีเท่านั้น แต่เป็นส่วนหนึ่งของภาพการปฏิบัติตามข้อกำหนดที่หน่วยงานกำกับดูแลจะตรวจสอบหลังเกิดเหตุการณ์

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณดำเนินธุรกิจหรือทำงานให้กับบริษัทที่ประมวลผลข้อมูลส่วนบุคคลที่เกี่ยวข้องกับสวิตเซอร์แลนด์ ไม่ว่าจะผ่านลูกค้า พนักงาน หรือพันธมิตร FADP ฉบับปรับปรุงมีแนวโน้มที่จะมีผลบังคับใช้กับคุณแล้ว โดยไม่คำนึงถึงที่ตั้งของสำนักงานใหญ่ ซึ่งมีความเกี่ยวข้องเป็นพิเศษสำหรับบริษัทเยอรมันและบริษัทอื่น ๆ ในสหภาพยุโรปที่สันนิษฐานว่าการสอดคล้องกับ GDPR ครอบคลุมทุกอย่างแล้ว ข้อกำหนดของสวิสเกี่ยวกับบันทึกการประมวลผลข้อมูล การโอนข้อมูลข้ามพรมแดน และการแจ้งเตือนการละเมิดมีรายละเอียดเฉพาะของตนเอง

สำหรับผู้บริโภคทั่วไป ผลประโยชน์เชิงปฏิบัติคือกรอบกฎหมายที่ออกแบบมาเพื่อให้คุณมองเห็นและควบคุมได้มากขึ้นว่าข้อมูลส่วนบุคคลของคุณถูกใช้โดยบริษัทที่ดำเนินงานในหรือเกี่ยวข้องกับสวิตเซอร์แลนด์อย่างไร มันจะไม่หยุดยั้งการละเมิดหรือความพยายามเรียกค่าไถ่ทุกราย แต่จะสร้างความรับผิดชอบที่ชัดเจนยิ่งขึ้นเมื่อมีสิ่งผิดปกติเกิดขึ้น

ข้อสรุปสำคัญ

บริษัทที่มีความเชื่อมโยงด้านข้อมูลใด ๆ กับสวิตเซอร์แลนด์ควรทบทวนว่าแผนการปฏิบัติตาม GDPR ที่มีอยู่ของตนตอบสนองข้อกำหนดเฉพาะของ FADP จริงหรือไม่ แทนที่จะสันนิษฐานว่ามีความเทียบเท่ากัน ทีมกฎหมายและทีมไอทีควรประสานงานกันอย่างใกล้ชิด เนื่องจากการบังคับใช้นอกอาณาเขตของกฎหมายหมายความว่าเขตอำนาจศาลเพียงอย่างเดียวไม่สามารถปกป้องธุรกิจจากภาระผูกพันได้ เนื่องจากค่าปรับส่วนบุคคลที่เกี่ยวข้องกับการละเมิดโดยเจตนา ความรับผิดชอบของผู้นำต่อการตัดสินใจจัดการข้อมูลจึงสมควรได้รับกระบวนการที่ documented และตรวจสอบได้ และในแง่ของกิจกรรมแรนซัมแวร์ที่ยังคงดำเนินอยู่ต่อบริษัทสวิส มาตรการป้องกันทางเทคนิคควรได้รับการปฏิบัติเสมือนข้อกำหนดด้านการปฏิบัติตามกฎระเบียบ ไม่ใช่เพียงแค่ข้อกังวลด้านไอทีเท่านั้น พระราชบัญญัติการคุ้มครองข้อมูลของสวิตเซอร์แลนด์ได้กลายเป็นส่วนหนึ่งที่ตายตัวของสภาพแวดล้อมการดำเนินงานสำหรับธุรกิจใด ๆ ที่เกี่ยวข้องกับข้อมูลส่วนบุคคลของสวิส และการเตรียมพร้อมล่วงหน้านั้นง่ายกว่าการตอบสนองหลังจากหน่วยงานกำกับดูแลหรือผู้โจมตีบีบให้ต้องเผชิญกับปัญหา