Для частных компаний назначение советника по защите данных по пересмотренному Закону о защите данных Швейцарии (revDSG) является добровольным; обязаны его назначать лишь федеральные органы. Тому, кто обрабатывает данные лиц в ЕС, следует дополнительно проверить, применим ли GDPR к конкретной деятельности. К этому добавляются DSFA (оценка воздействия на защиту данных), обязанность уведомления о нарушениях безопасности данных и обязанность назначить представителя для контролирующих лиц за рубежом. Разбираем это шаг за шагом.
Коротко:
При предполагаемом высоком риске компании обязаны провести оценку воздействия; если высокий остаточный риск сохраняется, консультация с EDÖB (Федеральный уполномоченный по защите данных и прозрачности Швейцарии) отпадает лишь при наличии назначенного квалифицированного советника.
Иностранные компании при определённых условиях обязаны назначить представителя в Швейцарии; его контактные данные должны быть общедоступны и служат точкой обращения для субъектов данных и EDÖB.
Уведомляйте EDÖB о нарушении безопасности данных, если оно предположительно ведёт к высокому риску; заранее фиксируйте причину, затронутые данные и принятые меры.
Советник по защите данных должен обладать профессиональной независимостью; поэтому прямо закрепляйте в договоре свободу от указаний, прямой доступ к руководству и достаточные ресурсы.
Когда назначение становится необходимым: сравнение revDSG и GDPR
revDSG (пересмотренный Закон о защите данных Швейцарии) не требует от частных лиц советника по защите данных. Статья 10 DSG предусматривает такую обязанность только для федеральных органов; частные лица вправе назначить советника добровольно. Это звучит спокойно, но лишь на первый взгляд.
Решающее значение имеет то, где и для кого вы обрабатываете данные:
- Чисто внутренняя деятельность без особых рисков: советник не нужен. Достаточно внутреннего распределения ответственности и аккуратной документации.
- Деятельность с ЕС: проверьте, предъявляет ли GDPR к вашей конкретной деятельности дополнительные требования.
- Высокий риск обработки данных: советник становится стратегическим инструментом, поскольку позволяет отказаться от консультации EDÖB при DSFA (подробнее ниже).
- Федеральные органы: здесь обязанность действует безусловно.
Для вашего планирования это означает: сначала оцените риск, затем определите, кто внутри компании ответственен, и задокументируйте решение, даже если оно принято против назначения советника. Дополнительно полезно взглянуть на обязанности, появившиеся с revDSG. Внешний взгляд на значимость темы даёт этот материал о значении защиты данных.
DSFA: когда она необходима и как советник заменяет консультацию
Оценка воздействия на защиту данных (DSFA) требуется, если обработка предположительно влечёт высокий риск для личности или основных прав субъектов данных. Статья 22 DSG связывает это с характером, объёмом и целью обработки. Если несмотря на принятые меры высокий риск сохраняется, статья 23 требует консультации с EDÖB.
Здесь действует исключение: частные контролирующие лица могут отказаться от такой консультации, если они назначили советника по защите данных, отвечающего требованиям ст. 10 абз. 3 DSG. Это подтверждает и оценка Legal 500. Таким образом, нагрузка смещается от надзорного органа к квалифицированному советнику.
Порядок действий:
- Опишите планируемую обработку: цель, виды данных, объём, получателей.
- Оцените риски для субъектов данных и зафиксируйте меры противодействия.
- Проверьте, остаётся ли высокий остаточный риск.
- Выясните, привлечён ли советник с необходимой квалификацией; в противном случае требуется консультация.
- Архивируйте DSFA вместе с обоснованием решения.
Совет: привлекайте советника до начала проекта, а не только на этапе приёмки. Тогда потоки данных и риски ещё можно скорректировать.
Как практически строится DSFA, показано в нашей инструкции по оценке воздействия на защиту данных. EDÖB поясняет этот инструмент на своей странице об оценке воздействия на защиту данных.
Обязанность представительства для контролирующих лиц за рубежом по ст. 14 DSG
Если ваша компания расположена за рубежом и обрабатывает данные лиц в Швейцарии, назначение представителя в Швейцарии может стать обязательным. Детали изложены EDÖB в материале о назначении представителя по ст. 14 DSG. Условия касаются, в частности, регулярности обработки, высокого риска и объёма.
Роль представителя чёткая:
- Он является точкой контакта для субъектов данных и для EDÖB.
- Он служит адресом для вручения документов в Швейцарии.
- Его контактные данные должны быть общедоступными.
Сделайте контактные данные представителя общедоступными. Проверьте, какие дополнительные шаги необходимы в вашем случае.
Задачи, требования и независимость советника по защите данных
Советник должен быть профессионально компетентным и независимым от указаний. EDÖB на своей странице о советнике по защите данных отмечает: он не вправе выполнять задачи, несовместимые с этой ролью. Его контактные данные подлежат публикации и могут быть сообщены EDÖB.
Возможные задачи в повседневной работе — консультирование компании и участие в DSFA.
Проверьте, совместимы ли иные задачи с независимой ролью советника по защите данных. Поэтому закрепите его статус в договоре: свобода от указаний при профессиональной оценке, прямой доступ к руководству, достаточные ресурсы.
Совет: письменно фиксируйте, какие дополнительные функции выполняет советник, и ежегодно проверяйте их на предмет конфликта интересов.
Уведомление о нарушениях данных: обязанности и порядок через портал EDÖB
Нарушение безопасности данных вы обязаны уведомить EDÖB, если оно предположительно ведёт к высокому риску для субъектов данных. Основа — ст. 24 DSG, детали содержания уведомления регулирует ст. 15 DSV. EDÖB поясняет практические случаи в руководстве DataBreach. Иные обязанности по техническим и организационным мерам приведены в руководстве по техническим и организационным мерам.
Порядок на практике:
- Выявить и локализовать инцидент.
- Оценить риск для субъектов данных.
- Направить уведомление через онлайн-форму EDÖB.
- Сохранить подтверждение EDÖB.
- Проинформировать субъектов данных там, где это необходимо или уместно.
EDÖB предоставляет онлайн-форму, через которую можно безопасно уведомить о нарушениях безопасности данных и получить подтверждение. (Источник: руководство DataBreach)
Заранее подготовьте шаблон: время, затронутые данные, предполагаемая причина, принятые меры. В критической ситуации времени на формулирование не остаётся.
Когда мы рекомендуем клиентам привлечь советника по защите данных
С нашей точки зрения, советник оправдан везде, где потоки данных пересекают границы и языки, например в структурах концернов с обществами в ЕС, Швейцарии и восточных странах. Советник может поддержать правовую квалификацию при таких концерновых структурах. При инцидентах важна скорость: тот, кто заранее знает, кто уведомляет и о чём, не теряет часов. Коммуникация с органами и субъектами данных на верном языке также идёт лучше. Для первичной проверки и сопровождения DSFA мы готовы вас сопровождать.
— Bitblade
Наша поддержка при проверке DSB и сопровождении DSFA
Мы вместе с вами выясняем, нужен ли советник, и сопровождаем вас при его назначении. Мы поддерживаем вас напрямую в коммуникации с юристом.
- Проверка защиты данных по revDSG
- Сопровождение оценки воздействия на защиту данных
- Консультации по представительству и публикации контактных данных
Наш процесс: первичная беседа, уточнение объёма, предложение. Первичная консультация начинается от 150 CHF (швейцарский франк) в час. Запросите первичную консультацию сейчас и опишите нам ваш случай.
Настоящая статья содержит общую информацию и не заменяет консультацию квалифицированного адвоката. Обратитесь к квалифицированному юристу по вашей личной ситуации, прежде чем действовать на основании этого материала.
FAQ
Обязателен ли уполномоченный по защите данных в Швейцарии?
Для частных компаний — нет, назначение добровольно. Обязаны его назначать федеральные органы. При обработке данных, связанной с ЕС, компаниям следует проверить, применяются ли, помимо швейцарского права, дополнительные требования.
Какие обязанности у уполномоченного по защите данных?
Он консультирует компанию, контролирует соблюдение защиты данных и участвует в DSFA. Он должен быть профессионально независим, а его контактные данные подлежат публикации.
Какие принципы особенно важны в защите данных?
Центральными являются законность, прозрачность, целевое использование и безопасность данных. revDSG, помимо прочего, требует соблюдения обязанностей по информированию и технических мер защиты.
Обязательно ли размещение политики конфиденциальности?
Во многих случаях — да, поскольку DSG (Закон о защите данных Швейцарии) предусматривает обязанности по информированию субъектов данных. Политика конфиденциальности может служить средством информирования субъектов об обработке их данных.