Узнайте, когда Швейцария разрешает передачу данных в третьи страны, какие гарантии необходимы и кто несет ответственность за защиту персональных данных...
Передача персональных данных из Швейцарии в третью страну в принципе допускается, если Федеральный совет подтвердил целевой стране адекватный уровень защиты данных. Если такого решения нет, требуются дополнительные гарантии, такие как стандартные договорные положения по защите данных, специальные договорные положения, обязательные корпоративные правила или законное исключение по ст. 17 ФЗПД (DSG). Ответственность при этом всегда лежит на экспортирующей компании, а ЭДОБ (EDÖB) проверяет, в частности, вновь сформулированные положения в течение 90 дней.
Кратко: - Признанные стандартные договорные положения по защите данных не подлежат уведомлению; собственные договорные положения, напротив, подлежат уведомлению и действуют только для конкретно согласованных отношений между экспортером и получателем. - Экспортер должен оценить государственный доступ, соразмерность, судебную защиту и независимый контроль в стране назначения; неисправимые недостатки могут остановить передачу. - Согласие, необходимость договора или правовые претензии могут разрешить передачу без решения об адекватности в отдельном случае, но не обеспечивают систематических или постоянных потоков данных. - Договорные гарантии не предотвращают государственный доступ в стране назначения; поэтому при особенно защищаемых данных может потребоваться отказ от обработки там.
Содержание
- Законовые основы: ст. 16 и 17 ФЗПД (DSG) и Приложение 1 ВЗПД (DSV)
- Инструменты обеспечения при отсутствии адекватности: SCC, договорные положения, BCR
- Ответственность и обязанности проверки: четыре гарантии, реестр и протоколирование
- Практический чек-лист: шаги перед передачей в третью страну
- Почему юридическое сопровождение при сложных передачах оправдано
- Наше предложение: проверка защиты данных и экспертиза договоров
- FAQ
- Источники
Законовые основы: ст. 16 и 17 ФЗПД (DSG) и Приложение 1 ВЗПД (DSV)
Пересмотренный закон о защите данных регулирует трансграничную передачу персональных данных в ст. 16 ФЗПД (DSG). Основная идея: Федеральный совет определяет, какие страны обеспечивают уровень защиты данных, соответствующий швейцарскому. Этот список находится в Приложении 1 ВЗПД (DSV) и периодически пересматривается, так как страна может менять, ужесточать или ослаблять свое законодательство о защите данных. Что касается ЕС, то давно существует ясность в обратном направлении: Еврокомиссия 15 января 2024 года подтвердила, что швейцарское законодательство о защите данных по-прежнему соответствует требованиям GDPR, — решение об адекватности, которое значительно облегчает швейцарским компаниям обмен данными с ЕС.
При отсутствии адекватности остается путь через ст. 17 ФЗПД (DSG). Там исчерпывающим образом перечислены исключения:
- Выраженное согласие заинтересованного лица на конкретную передачу.
- Непосредственная связь с заключением или исполнением договора.
- Выдвижение, осуществление или защита правовых претензий перед судом или органами власти.
- Преобладающий общественный интерес или защита жизни заинтересованного лица.
Эти исключения применяются только в отдельном случае, а не как общее обоснование для систематических потоков данных.
Инструменты обеспечения при отсутствии адекватности: SCC, договорные положения, BCR
Без решения об адекватности каждой передаче требуется свой инструмент обеспечения. На практике чаще всего встречаются три варианта:
- Стандартные договорные положения по защите данных (SCC): ЭДОБ (EDÖB) в принципе признал пересмотренные стандартные договорные положения ЕС; при вновь сформулированных или адаптированных версиях орган проверяет в течение 90 дней, будут ли они одобрены. Если SCC уже признаны, обязанность уведомления отпадает.
- Специальные договорные положения по защите данных: Кто формулирует собственные договорные положения вместо признанных образцов, должен уведомить об этом ЭДОБ (EDÖB). Они действуют исключительно для конкретно согласованных отношений между экспортером и получателем.
- Обязательные корпоративные правила (BCR) и международно-правовые договоры: Для концернов с повторяющимися внутриконцернными потоками данных BCR обеспечивают более стабильную основу, чем отдельные договоры, хотя их внедрение более трудоемко.
При смешанной применимости ФЗПД (DSG) и GDPR обычно целесообразно согласовать швейцарское право для договорных претензий, насколько это позволяют выбранные модули SCC, так как это упрощает реализацию прав третьих лиц-бенефициаров.
Совет профи: Договорные гарантии не действуют против государственных прав доступа в стране назначения. При особенно защищаемых данных организационное решение против обработки в третьей стране часто является единственным жизнеспособным решением.
Ответственность и обязанности проверки: четыре гарантии, реестр и протоколирование
Ответственность за законную передачу лежит на экспортере данных, независимо от выбранного инструмента. Руководство ЭДОБ (EDÖB) требует индивидуальную проверку страны назначения, которая выходит далеко за рамки простого взгляда в Приложение 1 ВЗПД (DSV):
- Проверка законодательства, практики органов власти и независимости судебной власти в стране назначения.
- Оценка по четырем гарантиям: законность государственных доступов, соразмерность, судебная защита для заинтересованных лиц и независимый контроль.
- Документирование в реестре передач данных с указанием получателя, категорий данных и выбранного инструмента.
Если проверка выявляет недостатки, которые нельзя компенсировать, передачу может потребоваться приостановить или прекратить, как указывает ЭДОБ (EDÖB), — последствие, которое многие компании недооценивают, когда просто подписывают SCC и откладывают их в сторону.
Кроме того, применяются обязанности протоколирования по ст. 4 ВЗПД (DSV): при автоматизированной обработке особенно защищаемых или рискованных данных операции, такие как сохранение, изменение, чтение и передача, должны протоколироваться с соответствующим сроком хранения и разделенным хранением с ограниченным доступом. Кто передает данные поставщикам переводческих услуг, например для нотариально заверенных переводов с международным контекстом, должен применять ту же тщательность, UnaLingua объясняет соответствующие обязанности при аутсорсинге таких услуг.
Практический чек-лист: шаги перед передачей в третью страну
Структурированный подход предотвращает ситуацию, когда передача обнаруживается недопустимой лишь постфактум:
- Инвентаризация: Какие виды данных передаются, кто получатель, есть ли цепочка субподрядчиков и угрожают ли дальнейшие передачи в другие третьи страны?
- Правовая проверка: Находится ли страна назначения в Приложении 1 ВЗПД (DSV)? Если нет: подходят ли SCC, специальные положения или BCR, или применяется исключение по ст. 17 ФЗПД (DSG)?
- Договорная реализация: Использовать признанные SCC или сформулировать собственные положения и уведомить ЭДОБ (EDОБ), в зависимости от выбранного пути.
- Технические меры: Внедрить и задокументировать шифрование, собственное управление ключами (BYOK) или собственную инфраструктуру шифрования (BYOE), а также контроль доступа.
- Мониторинг: Периодическая проверка правовой ситуации в стране назначения и четкие правила о том, когда передача приостанавливается или прекращается.
Совет профи: При облачных провайдерах со связями с США или другими третьими странами целесообразно направить конкретный запрос провайдеру о цепочке субподрядчиков до подписания договора.
Кто хочет заранее структурированно оценить риски, найдет в нашем вкладе о оценке последствий для защиты данных углубление методологии, а фоны к обязанностям из пересмотра закона дает наша статья о пересмотренном законе о защите данных.
Почему юридическое сопровождение при сложных передачах оправдано
Как только данные одновременно подпадают под действие ФЗПД (DSG) и GDPR, например, потому что швейцарская компания обслуживает клиентов в ЕС и использует поставщиков услуг в США, накладываются два нормативных акта с разными сроками, обязанностями уведомления и требованиями к положениям. Именно в этой точке мы помогаем нашим клиентам: мы консультируем напрямую на пяти языках без привлечения переводчиков, что предотвращает недопонимание в международных договорных цепочках. Наш опыт с трансграничными мандатами, например, в контексте связей с Украиной и Россией со своими санкционными режимами, показывает, как быстро кажущиеся простыми потоки данных превращаются в многослойные вопросы комплаенса.
Мандат особенно оправдан, когда задействованы особенно защищаемые данные, когда длинная цепочка субподрядчиков проходит через несколько стран или когда в стране назначения существуют риски уголовного преследования. В таких случаях одной проверки недостаточно, нужна индивидуальная оценка, соединяющая правовые и технические аспекты.
— Bitblade
Наше предложение: проверка защиты данных и экспертиза договоров
Мы сопровождаем компании именно в тех шагах, которые предполагает законная передача в третьи страны:
- Проверка защиты данных согласно пересмотренному ФЗПД (DSG), включая оценку страны назначения и четырех гарантий.
- Проверка и формулировка стандартных договорных положений по защите данных или специальных договорных положений.
- Поддержка при общении с ЭДОБ (EDÖB), например, при подлежащих уведомлению положениях.
Мы консультируем на нескольких языках и сопровождаем мандаты от первого разговора до договорной реализации. Обзор наших услуг в экономическом и договорном праве вы найдете на нашей странице Services, первое консультационное встречу можно забронировать напрямую через наши пакеты и гонорары.
Данная статья содержит общую информацию и не заменяет консультацию квалифицированного адвоката. Обратитесь к квалифицированному юристу по вашей личной ситуации, прежде чем действовать на основе этого контента.
FAQ
Что конкретно означает решение об адекватности для Швейцарии?
Решение об адекватности означает, что Федеральный совет подтвердил стране уровень защиты данных, соответствующий швейцарскому, поэтому данные могут передаваться без дополнительных гарантий. Список этих стран находится в Приложении 1 ВЗПД (DSV) и периодически пересматривается.
Как долго ЭДОБ (EDÖB) проверяет новые стандартные договорные положения по защите данных?
ЭДОБ (EDÖB) решает об одобрении вновь сформулированных стандартных договорных положений по защите данных в течение 90 дней. Уже признанные образцы SCC, напротив, не подлежат повторному уведомлению.
Какие исключения допускает ст. 17 ФЗПД (DSG) без решения об адекватности?
Ст. 17 ФЗПД (DSG) допускает передачу, в частности, при выраженном согласии, необходимости договора или для выдвижения правовых претензий. Эти исключения применяются только к конкретному отдельному случаю, а не как общая правовая основа для текущих потоков данных.
Какие гарантии проверяет ЭДОБ (EDÖB) при передаче данных в третьи страны?
Руководство ЭДОБ (EDÖB) требует оценку по четырем гарантиям: законность государственных доступов, соразмерность, судебная защита для заинтересованных лиц и независимый контроль. Если эти гарантии отсутствуют в стране назначения, передачу может потребоваться приостановить или прекратить.
Сколько стоит первичная консультация по проверке защиты данных?
Первичная консультация и оценка у нас доступны от 150 CHF в час. Для текущих мандатов с регулярной потребностью в консультациях мы также предлагаем пакеты на базе ретейнера.
Источники