Дізнайтеся, коли Швейцарія дозволяє передачу даних у треті країни, які гарантії необхідні і хто несе відповідальність за захист персональних даних...
Передача персональних даних із Швейцарії в третю країну є в принципі допустимою, якщо Федеральна рада постановила, що цільова країна має адекватний рівень захисту даних. Якщо такого рішення немає, потрібні додаткові гарантії, такі як стандартні договірні положення щодо захисту даних, специфічні договірні положення, Binding Corporate Rules або виняток згідно зі ст. 17 DSG (Закон про захист даних). Відповідальність при цьому завжди лежить на експортуючій компанії, EDÖB (Федеральний комісар з питань захисту даних та інформаційної свободи) перевіряє, зокрема, новосформульовані положення протягом 90 днів.
Коротко: - Визнані стандартні договірні положення щодо захисту даних не підлягають повідомленню; власні договірні положення, навпаки, є повідомлюваними і діють лише для конкретно узгоджених відносин між експортером і отримувачем. - Експортер має оцінити державний доступ, пропорційність, судові засоби захисту та незалежний контроль у країні призначення; невиправні недоліки можуть зупинити передачу. - Згода, необхідність договору або правові претензії можуть дозволити передачу без рішення про адекватність в окремому випадку, але вони не забезпечують систематичних або постійних потоків даних. - Договірні гарантії не запобігають державному доступу в країні призначення; у разі особливо чутливих даних може бути необхідним відмова від обробки там.
Зміст
- Законодавчі основи: ст. 16 та 17 DSG та Додаток 1 DSV
- Інструменти забезпечення при відсутності адекватності: SCC, договірні положення, BCR
- Відповідальність та обов'язки перевірки: чотири гарантії, реєстр та протоколювання
- Практичний чек-ліст: кроки перед передачею в третю країну
- Чому юридичне супроводження складних передач доцільне
- Наше пропозиція: перевірка захисту даних та аналіз договорів
- FAQ
- Джерела
Законодавчі основи: ст. 16 та 17 DSG та Додаток 1 DSV
Оновлений Закон про захист даних регулює транскордонне розкриття персональних даних у ст. 16 DSG. Основна ідея: Федеральна рада визначає, які держави забезпечують рівень захисту даних, що відповідає швейцарському. Цей список знаходиться в Додатку 1 DSV і переглядається періодично, оскільки країна може змінити, посилити або послабити своє законодавство про захист даних. Щодо ЄС саме існує роками ясність в іншому напрямку: Європейська комісія 15 січня 2024 року підтвердила, що швейцарське законодавство про захист даних продовжує відповідати вимогам GDPR, — рішення про адекватність, яке значно полегшує обмін даними швейцарських компаній з ЄС.
Якщо адекватності немає, залишається шлях через ст. 17 DSG. Там вичерпно перелічені винятки:
- Виразна згода суб'єкта даних на конкретну передачу.
- Безпосередній зв'язок із укладенням або виконанням договору.
- Захист, реалізація або примусове виконання правових претензій у суді або органах влади.
- Переважаюча публічна інтерес або захист життя суб'єкта даних.
Ці винятки застосовуються лише в окремому випадку, а не як загальне обґрунтування для систематичних потоків даних.
Інструменти забезпечення при відсутності адекватності: SCC, договірні положення, BCR
Без рішення про адекватність кожна передача потребує власного інструменту забезпечення. У практиці найчастіше використовуються три варіанти:
- Стандартні договірні положення щодо захисту даних (SCC): EDÖB в принципі визнання оновлені стандартні договірні положення ЄС; у разі новоформульованих або адаптованих версій уповноважений орган перевіряє протягом 90 днів, чи вони затверджуються. Якщо SCC вже визнані, обов'язок повідомлення відпадає.
- Специфічні договірні положення щодо захисту даних: Хто формує власні договірні положення замість посилання на визнані зразки, має повідомити їх EDÖB. Вони діють виключно для конкретно узгоджених відносин між експортером і отримувачем.
- Binding Corporate Rules (BCR) та міжнародно-правові договори: Для концертів із регулярними внутрішньоконцернними потоками даних BCR забезпечують стабільнішу базу, ніж окремі договори, хоча їх впровадження вимагає більше зусиль.
При змішаній застосовності DSG та GDPR зазвичай доцільно узгодити швейцарське право для договірних претензій, наскільки це дозволяють обрані модулі SCC, оскільки це спрощує реалізацію прав третіх бенефіціарів.
Порада професіонала: Договірні гарантії не діють проти державних повноважень доступу в країні призначення. У разі особливо чутливих даних організаційне рішення проти обробки в третій країні часто є єдиним життєздатним рішенням.
Відповідальність та обов'язки перевірки: чотири гарантії, реєстр та протоколювання
Відповідальність за законну передачу лежить на експортері даних, незалежно від обраного інструменту. Посібник EDÖB вимагає індивідуальної перевірки країни призначення, яка значно виходить за рамки простого перегляду Додатку 1 DSV:
- Перевірка законодавства, практики влад та незалежності правосуддя в країні призначення.
- Оцінка за чотирма гарантіями: законність державного доступу, пропорційність, судові засоби захисту для суб'єктів даних та незалежний контроль.
- Документування в реєстрі передачі даних, включаючи отримувача, категорії даних та обраний інструмент.
Якщо перевірка виявляє недоліки, які неможливо компенсувати, передачу може доведеться призупинити або завершити, — так зазначає EDÖB, наслідок, який багато компаній недооцінюють, коли просто підписують SCC і відкладають їх.
Крім того, діють обов'язки протоколювання згідно зі ст. 4 DSV: при автоматизованій обробці особливо чутливих або ризикованих даних операції, такі як збереження, зміна, читання та розкриття, мають протоколюватися з адекватним терміном зберігання та окремим, обмеженим доступом зберіганням. Хто передає дані постачальникам перекладів, наприклад, для нотаріальних перекладів у міжнародному контексті, має дотримуватися тієї ж обережності, UnaLingua пояснює відповідні обов'язки при аутсорсингу таких послуг.
Практичний чек-ліст: кроки перед передачею в третю країну
Структурований підхід запобігає тому, що передача виявляється недопустимою лише зворотньо:
- Інвентаризація: Які типи даних передаються, хто є отримувачем, чи існує ланцюг субпідрядників і чи загрожують подальші передачі в інші треті країни?
- Правова перевірка: Чи знаходиться країна призначення в Додатку 1 DSV? Якщо ні: чи доцільні SCC, специфічні положення або BCR, чи застосовується виняток за ст. 17 DSG?
- Договірне оформлення: Використання визнаних SCC або формування власних положень і повідомлення EDÖB, залежно від обраного шляху.
- Технічні заходи: Впровадити та задокументувати шифрування, власне управління ключами (BYOK) або власну інфраструктуру шифрування (BYOE) та контроль доступу.
- Моніторинг: Періодична перевірка правової ситуації в країні призначення та чіткі правила, коли передачу слід призупинити або завершити.
Порада професіонала: У разі хмарних провайдерів із зв'язком до США або інших третій країн доцільно надіслати конкретний запит провайдеру щодо ланцюга субпідрядників до підписання договору.
Хто хоче структуровано оцінити ризики заздалегідь, знайде в нашій статті про оцінку наслідків захисту даних поглиблення методології, а тло щодо обов'язків з оновлення закону надає наша стаття про оновлений Закон про захист даних.
Чому юридичне супроводження складних передач доцільне
Якщо дані одночасно підпадають під дію DSG та GDPR, наприклад, бо швейцарська компанія обслуговує клієнтів у ЄС і залучає постачальників послуг у США, накладаються два регуляторні режими з різними термінами, обов'язками повідомлення та вимогами до положень. Саме в цій точці ми допомагаємо нашим клієнтам: ми консультуємо безпосередньо п'ятьма мовами, без залучення перекладачів, що уникає нерозумінь у міжнародних договірних ланцюгах. Наш досвід із транскордонними мандатами, зокрема в контексті відносин з Україною та Росією з власними санкційними режимами, показує, як швидко здавалося б прості потоки даних перетворюються на багаторівневі питання комплаєнсу.
Мандат особливо доцільний, коли стосуються особливо чутливі дані, коли довгий ланцюг субпідрядників проходить через кілька держав або коли існують ризики кримінального переслідування в країні призначення. У таких випадках одного чек-ліста недостатньо, потрібна індивідуальна оцінка, що поєднує правові та технічні аспекти.
— Bitblade
Наше пропозиція: перевірка захисту даних та аналіз договорів
Ми супроводжуємо компанії саме в тих кроках, які передбачає законна передача в треті країни:
- Перевірка захисту даних згідно з оновленим DSG, включаючи оцінку країни призначення та чотирьох гарантій.
- Перевірка та формування стандартних договірних положень щодо захисту даних або специфічних договірних положень.
- Підтримка у комунікації з EDÖB, зокрема при повідомлюваних положеннях.
Ми консультуємо кількома мовами і супроводжуємо мандати від першої консультації до договірного оформлення. Огляд наших послуг у господарському та договорному праві знайдете на сторінці Services, першу консультацію можна забронювати безпосередньо через наші пакети та гонорари.
Ця стаття містить загальну інформацію і не замінює консультацію кваліфікованого адвоката. Зверніться до кваліфікованого юриста щодо вашої особистої ситуації, перш ніж діяти на основі цього контенту.
FAQ
Що конкретно означає рішення про адекватність для Швейцарії?
Рішення про адекватність означає, що Федеральна рада постановила, що держава має рівень захисту даних, що відповідає швейцарському, тому дані можуть передаватися без додаткових гарантій. Список таких держав знаходиться в Додатку 1 DSV і переглядається періодично.
Як довго EDÖB перевіряє нові стандартні договірні положення щодо захисту даних?
EDОБ приймає рішення про затвердження новоформульованих стандартних договірних положень щодо захисту даних протягом 90 днів. Вже визнані зразки SCC, навпаки, не підлягають повторному повідомленню.
Які винятки дозволяє ст. 17 DSG без рішення про адекватність?
Ст. 17 DSG дозволяє передачу, зокрема, за виразною згодою, за необхідністю договору або для реалізації правових претензій. Ці винятки застосовуються лише до конкретного окремого випадку, а не як загальна правова основа для постійних потоків даних.
Які гарантії перевіряє EDÖB при передачі даних у треті країни?
Посібник EDÖB вимагає оцінки за чотирма гарантіями: законність державного доступу, пропорційність, судові засоби захисту для суб'єктів даних та незалежний контроль. Якщо ці гарантії відсутні в країні призначення, передачу може доведеться призупинити або завершити.
Скільки коштує перша консультація з перевірки захисту даних?
Перша консультація та оцінка у нас доступні від 150 CHF за годину. Для постійних мандатів із регулярною потребою в консультаціях ми також пропонуємо ретейнер-пакети.
Джерела