Для приватних компаній призначення радника із захисту даних за переглянутим Законом про захист даних є добровільним — обов’язково призначати його мають лише федеральні органи. Хто обробляє дані осіб із ЄС, має додатково перевірити, чи є GDPR релевантним для конкретної діяльності. До цього додаються оцінка впливу на захист даних (DSFA), обов’язок повідомлення про витоки даних і обов’язок призначення представника для відповідальних осіб за кордоном. Ми покроково впорядкуємо це.
Коротко:
За ймовірно високого ризику компанії зобов’язані провести оцінку впливу; якщо залишається високий залишковий ризик, консультація з EDÖB відпадає лише за наявності призначеного кваліфікованого радника.
Іноземні компанії за певних передумов мають призначити представника у Швейцарії; його контактні дані мають бути загальнодоступними та служать точкою контакту для суб’єктів даних і EDÖB.
Повідомляйте про порушення безпеки даних EDÖB, якщо воно ймовірно спричинить високий ризик; заздалегідь зафіксуйте причину, зачеплені дані та заходи.
Радник із захисту даних має бути фахово незалежним; тому прямо закріпіть у договорі свободу від вказівок, прямий доступ до керівництва та достатні ресурси.
Коли призначення стає необхідним: порівняння revDSG і GDPR
Переглянутий DSG не вимагає від приватних суб’єктів призначати радника із захисту даних. Ст. 10 DSG передбачає такий обов’язок лише для федеральних органів, приватні суб’єкти можуть призначити радника добровільно. Звучить спокійно, але це лише на перший погляд.
Вирішальним є те, де і для кого ви обробляєте дані:
- Суто внутрішня діяльність без особливих ризиків: радник не потрібен. Внутрішнього розподілу відповідальності та акуратної документації достатньо.
- Операції з ЄС: перевірте, чи висуває GDPR додаткові вимоги до вашої конкретної діяльності.
- Високий ризик для даних: радник стає стратегічним важелем, оскільки може уможливити відмову від консультації з EDÖB під час DSFA (докладніше нижче).
- Федеральні органи: тут обов’язок діє без винятків.
Для вашого планування це означає: спершу оцініть ризик, потім визначте внутрішню відповідальність і задокументуйте рішення, навіть якщо воно проти призначення радника. Додатково варто ознайомитися з обов’язками, що діють від часу набрання чинності revDSG. Зовнішню оцінку значущості теми надає ця публікація про важливість захисту даних.
DSFA: коли вона потрібна і як радник замінює консультацію
Оцінка впливу на захист даних (DSFA) потрібна, якщо обробка ймовірно пов’язана з високим ризиком для особистості або основних прав суб’єктів даних. Ст. 22 DSG пов’язує це з характером, обсягом і метою обробки. Якщо попри вжиті заходи залишається високий ризик, ст. 23 вимагає консультації з EDÖB.
Тут діє виняток: приватні відповідальні особи можуть відмовитися від цієї консультації, якщо вони призначили радника із захисту даних, який відповідає вимогам ст. 10 абз. 3 DSG. Це підтверджує і класифікація Legal 500. Отже, навантаження зміщується: від органу до кваліфікованого радника.
Дійте так:
- Опишіть заплановану обробку: мета, види даних, обсяг, одержувачі.
- Оцініть ризики для суб’єктів даних і зафіксуйте вжиті заходи протидії.
- Перевірте, чи залишається високий залишковий ризик.
- З’ясуйте, чи залучено радника з необхідною кваліфікацією; інакше необхідна консультація.
- Архівуйте DSFA разом з обґрунтуванням рішення.
Порада фахівця: залучайте радника ще до старту проєкту, а не на етапі приймання. Тоді потоки даних і ризики ще можна змінювати.
Як на практиці побудована DSFA, показує наша інструкція щодо оцінки впливу на захист даних. EDÖB пояснює цей інструмент на своїй сторінці про оцінку впливу на захист даних.
Обов’язок представництва для відповідальних осіб за кордоном за ст. 14 DSG
Якщо ваша компанія розташована за кордоном і обробляє дані осіб у Швейцарії, представництво у Швейцарії може бути обов’язковим. Деталі викладає EDÖB у роз’ясненні щодо призначення представника за ст. 14 DSG. Передумови стосуються, зокрема, регулярної обробки, високого ризику й обсягу.
Представник має чітку роль:
- Він є точкою контакту для суб’єктів даних і для EDÖB.
- Він слугує адресою для вручення у Швейцарії.
- Його контактні дані мають бути загальнодоступними.
Зробіть контактні дані представника загальнодоступними. Перевірте, які додаткові кроки потрібні у вашому випадку.
Завдання, вимоги та незалежність радника із захисту даних
Радник має бути фахово компетентним і незалежним від вказівок. EDÖB на своїй сторінці про радницю та радника із захисту даних зазначає: він не може виконувати завдання, несумісні з цією роллю. Його контактні дані слід оприлюднити й можна повідомити EDÖB.
Можливі повсякденні завдання — консультування компанії та участь у DSFA.
Перевірте, чи інші завдання сумісні з незалежною роллю радника із захисту даних. Тому врегулюйте його становище у договорі: свобода від вказівок у фаховій оцінці, прямий доступ до керівництва, достатні ресурси.
Порада фахівця: письмово фіксуйте, які додаткові функції виконує радник, і щороку перевіряйте їх на предмет конфліктів інтересів.
Повідомлення про витоки даних: обов’язки та процедура у порталі повідомлень EDÖB
Про порушення безпеки даних ви повинні повідомити EDÖB, якщо воно ймовірно призведе до високого ризику для суб’єктів даних. Підставою є ст. 24 DSG, деталі змісту повідомлення регулює ст. 15 DSV. EDÖB пояснює практичні випадки в путівнику DataBreach. Додаткові обов’язки щодо технічних та організаційних заходів ви знайдете в путівнику про технічні та організаційні заходи.
Процедура на практиці:
- Виявити й локалізувати інцидент.
- Оцінити ризик для суб’єктів даних.
- Надіслати повідомлення через онлайн-форму EDÖB.
- Зберегти підтвердження EDÖB.
- Поінформувати суб’єктів даних, де це потрібно або доречно.
EDÖB надає онлайн-форму, за допомогою якої ви можете безпечно повідомляти про порушення безпеки даних і отримувати підтвердження. (Джерело: путівник DataBreach)
Заздалегідь підготуйте шаблон: час, зачеплені дані, ймовірна причина, вжиті заходи. У критичний момент немає часу на формулювання.
Коли ми радимо клієнтам призначати радника із захисту даних
На нашу думку, радник доречний усюди, де потоки даних перетинають кордони та мовні межі, наприклад у структурах концерну з компаніями в ЄС, Швейцарії та на сході. Радник може підтримати правову класифікацію таких структур. Також під час інцидентів вирішує темп: хто вже знає, хто повідомляє і що саме, не втрачає годин. А комунікація з органами й суб’єктами даних краще вдається належною мовою. Для первинної перевірки й супроводу DSFA ми готові.
— Bitblade
Наша підтримка при перевірці потреби в раднику та проведенні DSFA
Ми з вами з’ясовуємо, чи потрібен радник, і супроводжуємо вас, якщо ви його призначаєте. Ми підтримуємо вас безпосередньо у комунікації з юристкою.
- Перевірка відповідності захисту даних за revDSG
- Супровід при оцінці впливу на захист даних
- Консультації щодо представництва та оприлюднення контактних даних
Наш порядок дій: перша розмова, уточнення обсягу, пропозиція. Первинна консультація починається від 150 CHF (швейцарських франків) за годину. Запросіть першу зустріч зараз і опишіть нам свій випадок.
Ця стаття містить загальну інформацію та не замінює консультації кваліфікованого адвоката. Зверніться до кваліфікованого правника щодо вашої конкретної ситуації, перш ніж діяти на основі цього змісту.
FAQ
Чи обов’язковий радник із захисту даних у Швейцарії?
Для приватних компаній — ні, призначення добровільне. Обов’язок стосується федеральних органів. У разі обробки даних, пов’язаної з ЄС, компаніям варто перевірити, чи діють поряд зі швейцарським правом додаткові вимоги.
Які обов’язки має радник із захисту даних?
Він консультує компанію, стежить за дотриманням захисту даних і бере участь у DSFA. Він має бути фахово незалежним, а його контактні дані належить оприлюднити.
Які принципи особливо діють у сфері захисту даних?
Ключовими є правомірність, прозорість, цільове обмеження та безпека даних. revDSG, крім іншого, вимагає інформаційних обов’язків і технічних заходів захисту.
Чи обов’язкова заява про захист даних?
У багатьох випадках так, оскільки DSG передбачає інформаційні обов’язки щодо суб’єктів даних. Заява про захист даних може слугувати для інформування суб’єктів даних про обробку їхніх даних.