Swiss-US Data Privacy Framework с августа 2024 года разрешает передачу данных DPF-сертифицированным компаниям; узнайте, какие обязательства теперь действуют.
Кратко: Swiss-US Data Privacy Framework с решения Федерального совета от 14 августа 2024 года разрешает передачу данных из Швейцарии DPF-сертифицированным американским компаниям без дополнительных гарантий. Предпосылка: американская организация должна быть явно самосертифицирована для Швейцарии. Соответствующее изменение Приложения 1 к Регламенту о защите данных вступило в силу 15 сентября 2024 года. Если получатель не сертифицирован, стандартные договорные положения или другие гарантии остаются обязательными.
Коротко: - Только американские компании, явно самосертифицированные для Швейцарии, могут передавать данные без дополнительных гарантий. - При отсутствии сертификации у получателя стандартные договорные положения остаются безопасной альтернативой. - Сертификацию необходимо ежегодно продлевать, иначе льготы прекращаются, а данные при необходимости должны быть удалены или возвращены. - Перед каждой передачей проверяйте, указан ли американский партнер в официальном списке данных и включает ли сертификация Швейцарию. - При подозрении на нарушения или отзыв сертификации доступны независимые механизмы жалоб и американские органы.
Содержание
- Основные элементы решения об адекватности и правовая основа
- Практические шаги по обеспечению соответствия для швейцарских компаний
- Механика самосертификации, повторной сертификации и последствия отзыва
- Обеспечение исполнения, пути подачи жалоб и остаточные риски
- Договорные рекомендации и управление: SCC как запасной вариант и договорные положения
- Практический совет: как мы сопровождаем клиентов при внедрении
- Профессиональный взгляд: возможности и меры предосторожности
- Поддержка при внедрении Swiss-US DPF
- FAQ
- Источники
Основные элементы решения об адекватности и правовая основа
Федеральный совет 14 августа 2024 года установил, что сертифицированные американские компании обеспечивают адекватный уровень защиты данных. Изменение Приложения 1 к Регламенту о защите данных вступило в силу 15 сентября 2024 года и теперь включает Соединённые Штаты в список стран с адекватной защитой, однако только в отношении сертифицированных организаций. Это важное различие: адекватность не распространяется на США в целом, а только на компании, подчинившиеся рамкам.
Правовое обоснование опирается на несколько американских инструментов, включая Исполнительный приказ 14086, вновь созданный Суд по рассмотрению вопросов защиты данных и дополнительные рекомендации по соразмерности мер слежки. Эти элементы должны ограничить доступ американских органов к переданным данным и открыть субъектам данных правовой путь.
Решающе для корпоративных юристов является различие между формальной адекватностью и материальным равенством:
- Решение об адекватности — это правовая оценка рисков Федеральным советом, а не утверждение об идентичности защиты с швейцарским правом защиты данных.
- ЭДОБ (Федеральный комиссар по защите данных и информации) указывает, что внедрение продолжает наблюдаться, и оценка может измениться.
- Для компаний это означает: формальное облегчение при передаче, но не освобождение от обязанности надлежащей заботы.
Практические шаги по обеспечению соответствия для швейцарских компаний
Формальная допустимость передачи данных зависит от единственного проверяемого факта: включения получателя в список. Кто этого не проверяет, опирается на утверждение, а не на доказательство.
- Перед каждой передачей проверяйте, указан ли американский партнер в официальном списке Data Privacy Framework и включает ли сертификацию явно Швейцарию, а не только ЕС.
- Адаптируйте заявления о конфиденциальности и договоры о поручении обработки: укажите конкретную правовую основу, добавьте ссылку на доказательство сертификации и дополните положения о разрешении споров в соответствии с требованиями рамок.
- Ведите реестр всех потоков данных в США с указанием ответственных лиц, даты проверки и следующей повторной проверки.
- Определите, кто в компании отвечает за регулярную проверку статуса до подписания договора, а не после.
Если получатель не сертифицирован или статус сертификации неясен, стандартные договорные положения остаются самой безопасной основой. В этом случае задокументируйте, какие положения использовались и когда они проверялись, чтобы при необходимости можно было без задержки предоставить информацию ЭДОБ или договорному партнеру.
Совет профи: Сохраняйте скриншот включения в список с датой при каждой первичной проверке, так как список Data Privacy Framework может меняться без автоматического уведомления.
Механика самосертификации, повторной сертификации и последствия отзыва
Американская организация не становится частью рамок автоматически. Она должна активно самосертифицироваться через dataprivacyframework.gov, признать принципы и получить авторизацию обязательства от ответственного лица компании. Эта сертификация не является разовым актом.
- Организация должна ежегодно проходить повторную сертификацию, иначе она теряет статус, и преимущества адекватности прекращаются.
- Синхронизация сроков с существующей сертификацией EU-DPF возможна, что снижает организационные затраты для американской стороны.
- Если организация исключается из списка, она должна вернуть, удалить или продолжать защищать полученные персональные данные в соответствии с принципами, пока они у неё остаются.
Для швейцарских компаний следует отсюда чёткий вывод: статус партнера — не статический факт, а постоянно подлежащий мониторингу статус.
Обеспечение исполнения, пути подачи жалоб и остаточные риски
Если субъект данных теряет доверие к обработке данных сертифицированной американской компанией, открыты несколько инстанций. Рамки предусматривают независимые механизмы жалоб, к которым субъекты данных могут обратиться в первую очередь.
- ЭДОБ принимает жалобы через стандартную форму жалобы и передаёт их компетентному американскому органу.
- На американской стороне FTC и Министерство транспорта проверяют нарушения обязательств сертифицированных компаний.
- Новый Суд по рассмотрению вопросов защиты данных может быть вызван, если субъект данных подозревает несоразмерный доступ американских разведывательных служб.
Процедуры имеют сроки, например, обязанность ответа вызванного органа в течение 45 дней. Для компаний это означает: документируйте каждую коммуникацию с партнёрами по статусу DPF письменно, так как в споре важен доказательство, а не память.
Договорные рекомендации и управление: SCC как запасной вариант и договорные положения
Даже при сертифицированном партнёре остаётся остаточная неопределённость: сертификацию могут отозвать, суд может в будущем ограничить решение, или партнёр может нарушить свои обязательства. Обеспечение стандартными договорными положениями как запасным вариантом — это не излишнее регулирование, а разумное распределение рисков.
- Включите положение о целевом назначении, ограничивающее использование данных договорно согласованной целью.
- Договорно ограничьте передачу третьим лицам и требуйте обязанность уведомления о суб-обработчиках.
- Обяжите партнёра незамедлительно информировать вас, если DPF-сертификация истекает или отзывается.
- Урегулируйте удаление или возврат данных на случай, если сертификация заканчивается и никакая альтернативная гарантия не срабатывает.
С точки зрения управления целесообразен фиксированный ритм проверки: ответственный лицо на каждую договорные отношения, ежегодная повторная проверка параллельно с повторной сертификацией партнёра и краткий отчёт руководству или функции соответствия. Такие положения хорошо интегрируются в существующие договоры с международным элементом, вместо того чтобы вести их как отдельный документ.
Совет профи: Закрепите запасную SCC-клаузулу как расторгаемое при условии положение, которое автоматически вступает в силу, как только DPF-сертификация партнёра заканчивается, вместо того чтобы переговорять об изменении договора уже в случае спора.
Практический совет: как мы сопровождаем клиентов при внедрении
Наши проверки защиты данных по ревизированному DSG включают проверку, корректно ли сертифицирован американский партнёр, и адаптацию соответствующих KI-телефонных ассистентов и автоматизированных решений для обслуживания клиентов договорных положений. Мы проверяем и ведём переговоры по трансграничным договорам на немецком, английском, французском, украинском и русском языках без внешнего перевода. Это сокращает согласование при международных договорных отношениях и снижает риск ошибок перевода в положениях о защите данных.
Профессиональный взгляд: возможности и меры предосторожности
Swiss-US DPF облегчает повседневную работу, так как не каждая передача должна быть индивидуально обеспечена стандартными договорными положениями. Но неопределённость лишь смещается, а не исчезает: она теперь заключается в мониторинге статуса сертификации вместо договорной работы. Кто считает, что с решением тема закрыта, недооценивает, как быстро может быть отозвана сертификация. Наш приоритет для корпоративных юристов: немедленная проверка статуса всех американских партнёров, закрепление SCC как запасного варианта в действующих договорах и следование за наблюдением ЭДОБ, так как будущие судебные ограничения не исключены.
— Bitblade
Поддержка при внедрении Swiss-US DPF
Мы сопровождаем компании при конкретном внедрении: от первичной проверки существующих потоков данных в США через мастер-класс по договорам для адаптации положений до постоянного мандата по соответствию для компаний с регулярным обменом данными с США.
Первое беседа для оценки вашей ситуации доступна для бронирования через наши пакеты консультаций, консультации на немецком, английском, французском, украинском и русском языках, напрямую и без переводчика. Обзор наших дальнейших услуг в международном деловом и договорном праве см. на странице услуг.
FAQ
Применяется ли Swiss-US DPF автоматически к каждой американской компании?
Нет. Адекватность распространяется только на американские организации, явно самосертифицированные для Швейцарии и включённые в официальный список. Если партнёр не в списке, стандартные договорные положения или другие гарантии остаются необходимыми.
С какого времени действует изменение Регламента о защите данных?
Федеральный совет принял решение об адекватности 14 августа 2024 года, изменение Приложения 1 к Регламенту о защите данных вступило в силу 15 сентября 2024 года. С тех пор передачи сертифицированным американским компаниям могут происходить без дополнительных гарантий.
Что происходит, если американский партнёр теряет сертификацию?
Организация должна тогда вернуть, удалить или продолжать защищать полученные данные в соответствии с принципами рамок, пока они у неё остаются, согласно требованиям программы. Компании в этом случае должны немедленно обратиться к запасной SCC-клаузуле, если она была согласована.
Где можно пожаловаться на нарушение своих данных?
Субъекты данных могут подать жалобу через стандартную форму жалобы в ЭДОБ, который передаёт жалобу компетентному американскому органу. В зависимости от случая компетентны FTC, Министерство транспорта или Суд по рассмотрению вопросов защиты данных.
Сколько стоит правовая первичная проверка передачи данных?
Первичная консультация для оценки ваших передач данных доступна для бронирования от 150 CHF в час. Конкретные затраты зависят от количества проверяемых американских партнёров и существующих договоров.
Источники
Рекомендации