Swiss-US Data Privacy Framework дозволяє з серпня 2024 р. передачу даних DPF-сертифікованим компаніям; дізнайтеся, які зобов'язання діють зараз.
Коротко: Swiss-US Data Privacy Framework дозволяє з рішення Федеральної ради від 14 серпня 2024 р. передачі зі Швейцарії до DPF-сертифікованих американських компаній без додаткових гарантій. Передумовою є те, що американська організація явно самосертифікована для Швейцарії. Відповідна зміна Додатка 1 до Датenschutzverordnung набрала чинності 15 вересня 2024 р. Якщо одержувач не сертифікований, стандартні договірні клаузули або інші гарантії залишаються обов'язковими.
Коротко кажучи: - Тільки американські компанії, які явно самосертифікувалися для Швейцарії, можуть передавати дані без додаткових гарантій. - Якщо одержувач не сертифікований, стандартні договірні клаузули залишаються безпечною альтернативою. - Сертифікацію потрібно щорічно поновлювати, інакше пільги втрачаються, а дані, за необхідності, мають бути видалені або повернуті. - Перевірте перед кожною передачею, чи американський партнер зазначений у офіційному списку даних і чи охоплює сертифікація Швейцарію. - У разі підозри на порушення або відкликання сертифікації існують незалежні механізми скарг та американські органи.
Зміст
- Основні елементи рішення про адекватність та правова основа
- Практичні кроки з дотримання вимог для швейцарських компаній
- Механіка самосертифікації, повторної сертифікації та наслідки відкликання
- Примусове виконання, шляхи скарг та залишкові ризики
- Договірні рекомендації та управління: SCC як запасний варіант та договірні клаузули
- Практичний підказка: як ми супроводжуємо клієнтів при впровадженні
- Фахова перспектива: можливості та заходи обережності
- Підтримка при впровадженні Swiss-US DPF
- FAQ
- Джерела
Основні елементи рішення про адекватність та правова основа
Федеральна рада 14 серпня 2024 р. встановила, що сертифіковані американські компанії забезпечують адекватний рівень захисту даних. Зміна Додатка 1 до Датenschutzverordnung набрала чинності 15 вересня 2024 р. і тепер перелічує Сполучені Штати як країну з адекватним захистом, але лише щодо сертифікованих організацій. Це важлива відмінність: адекватність не поширюється на США загалом, а виключно на компанії, які підкорилися рамковій угоді.
Правово це базується на кількох американських інструментах, зокрема Виконавчому наказі 14086, новому Суді з перегляду захисту даних та додаткових напрямках щодо пропорційності наглядових заходів. Ці елементи повинні обмежити доступ американських влад до переданих даних і надати суб'єктам даних правовий шлях.
Рішуче для корпоративних юристів є розрізнення між формальною адекватністю та матеріальним вирівнюванням:
- Рішення про адекватність — це правова оцінка ризиків Федеральною радою, а не твердження про ідентичний захисний ефект, як у швейцарському праві захисту даних.
- ЕДОБ вказує, що впровадження далі спостерігається, а оцінка може змінитися.
- Для компаній це означає: формальне полегшення при передачі, але не звільнення від обов'язку дбати.
Практичні кроки з дотримання вимог для швейцарських компаній
Формальна допустимість передачі даних залежить від єдиного перевірного факту: зарахування одержувача до списку. Хто це не перевіряє, покладається на твердження, а не на доказ.
- Перевірте перед кожною передачею, чи американський партнер зазначений у офіційному списку Data Privacy Framework і чи охоплює сертифікація явно Швейцарію, а не лише ЄС.
- Адаптуйте заяви про конфіденційність та договори про обробку за замовленням: конкретно зазначте правову основу, посилайтеся на доказ сертифікації та доповніть клаузули вирішення спорів відповідно до вимог рамкової угоди.
- Ведіть інвентар всіх потоків даних до США, з відповідальними особами, датою перевірки та наступним повторним контролю.
- Визначте, хто в компанії відповідає за регулярну перевірку статусу до підписання договору, а не після.
Якщо одержувач не сертифікований або сертифікація нечітка, стандартні договірні клаузули залишаються найбезпечнішою основою. Документуйте в цьому випадку, які клаузули використовувалися і коли вони перевірялися, щоб пізніше надати інформацію ЕДОБ або договірному партнеру без запізнення.
Порада профі: Зберігайте скріншот зарахування до списку з датою при кожній первинній перевірці, адже список Data Privacy Framework може змінюватися без автоматичного повідомлення вам.
Механіка самосертифікації, повторної сертифікації та наслідки відкликання
Американська організація не стає частиною рамкової угоди автоматично. Вона має активно самосертифікуватися через dataprivacyframework.gov, визнати принципи та отримати авторизацію зобов'язання від відповідальної особи компанії. Ця сертифікація не є разовим актом.
- Організація має щорічно проходити повторну сертифікацію, інакше вона втрачає статус і пільги адекватності припиняють дію.
- Синхронізація термінів із існуючою сертифікацією EU-DPF можлива, що зменшує організаційні витрати для американської сторони.
- Якщо організацію вилучено зі списку, вона має повернути, видалити або далі захищати отримані персональні дані відповідно до принципів, поки вони в її наявності.
Для швейцарських компаній випливає з цього чіткий висновок: статус партнера — це не статичний факт, а стан, який потрібно постійно моніторити.
Примусове виконання, шляхи скарг та залишкові ризики
Якщо суб'єкт даних втрачає довіру до обробки даних сертифікованою американською компанією, відкрито кілька інстанцій. Рамкова угода передбачає незалежні механізми скарг, до яких суб'єкти даних можуть звертатися в першу чергу.
- ЕДОБ приймає скарги через Model Complaint Form і передає їх до відповідального американського органу.
- На американській стороні FTC та Department of Transportation перевіряють порушення зобов'язань сертифікованих компаній.
- Новостворений Суд з перегляду захисту даних може бути залучений, якщо суб'єкт даних підозрює непропорційний доступ американських розвідувальних служб.
Процедури мають терміни, зокрема обов'язок відповідати залученому органу протягом 45 днів. Для компаній це означає: документуйте кожну комунікацію з партнерами щодо статусу DPF письмово, бо у спорі рахується доказ, а не спогад.
Договірні рекомендації та управління: SCC як запасний варіант та договірні клаузули
Навіть при сертифікованому партнері залишається остаточна невизначеність: сертифікацію можуть відкликати, суд може в майбутньому обмежити рішення, або партнер може порушити власні зобов'язання. Забезпечення стандартними договірними клаузулами як запасним варіантом — це не надмірне регулювання, а розумний розподіл ризиків.
- Включіть клаузулу призначення, що обмежує використання даних договірно узгодженим метою.
- Договірно обмежте передачу третім особам і вимагайте зобов'язання повідомляти про суб-обробників.
- Зобов'яжіть партнера негайно інформувати вас, якщо DPF-сертифікація закінчується або відкликається.
- Забезпечте видалення або повернення даних на випадок, якщо сертифікація закінчиться і немає альтернативної гарантії.
З боку управління доцільний фіксований ритм перевірки: відповідальна особа на договірні відносини, щорічний повторний контроль паралельно з повторною сертифікацією партнера та короткий звіт для керівництва або функції дотримання. Такі клаузули добре інтегруються в існуючі договори з іноземним елементом, замість того щоб вести їх як окремий документ.
Порада профі: Закріпіть SCC-запасну клаузулу як розв'язувальну умову, яка автоматично набирає чинності, як тільки закінчується DPF-сертифікація партнера, замість того щоб переговорювати про зміну договору вже у спорі.
Практичний підказка: як ми супроводжуємо клієнтів при впровадженні
Наші перевірки захисту даних за ревізованим DSG включають перевірку, чи американський партнер коректно сертифікований, та адаптацію відповідних KI-телефонних асистентів та автоматизованих рішень для клієнтського сервісу договірних клаузул. Ми перевіряємо та ведемо переговори з перекордонними договорами німецькою, англійською, французькою, українською та російською мовами без зовнішнього перекладу. Це скорочує узгодження при міжнародних договірних відносинах і зменшує ризик помилок перекладу в клаузулах захисту даних.
Фахова перспектива: можливості та заходи обережності
Swiss-US DPF полегшує щоденну роботу, бо не кожну передачу треба окремо забезпечувати стандартними договірними клаузулами. Але невизначеність лише зсувається, а не зникає: вона тепер лежить у моніторингу статусу сертифікації, а не в договорному оформленні. Хто думає, що з рішенням тема закрита, недооцінює, як швидко сертифікацію можуть відкликати. Наш пріоритет для корпоративних юристів: негайна перевірка статусу всіх американських партнерів, закріплення SCC як запасного варіанту в діючих договорах та спостереження за діями ЕДОБ, оскільки майбутні судові обмеження не виключені.
— Bitblade
Підтримка при впровадженні Swiss-US DPF
Ми супроводжуємо компанії при конкретному впровадженні: від первинної перевірки існуючих потоків даних до США через робочу майстерню з адаптації клаузул до постійного мандата з дотримання для фірм з регулярним обміном даними з США.
Перша розмова для оцінки вашої ситуації доступна для бронювання через наші пакети консультацій, консультація можлива німецькою, англійською, французькою, українською та російською мовами, безпосередньо і без перекладача. Для огляду наших інших послуг у міжнародному господарському та договорному праві відвідайте нашу сторінку послуг.
FAQ
Чи діє Swiss-US DPF автоматично для кожної американської компанії?
Ні. Адекватність діє лише для американських організацій, які явно самосертифікувалися для Швейцарії і зазначені в офіційному списку. Якщо партнер не в списку, стандартні договірні клаузули або інші гарантії залишаються необхідними.
З якого часу діє зміна Датenschutzverordnung?
Федеральна рада прийняла рішення про адекватність 14 серпня 2024 р., зміна Додатка 1 до Датenschutzverordnung набрала чинності 15 вересня 2024 р. Зтоді передачі сертифікованим американським компаніям можуть відбуватися без додаткових гарантій.
Що відбувається, якщо американський партнер втрачає сертифікацію?
Організація тоді має повернути, видалити або далі захищати отримані дані відповідно до принципів рамкової угоди, поки вони в її наявності, за вимогами програми. Компанії в цьому випадку мають негайно скористатися SCC-запасною клаузулою, якщо була узгоджена.
Де можна скаржитися на порушення своїх даних?
Суб'єкти даних можуть подати скаргу через Model Complaint Form до ЕДОБ, який передає скаргу до відповідального американського органу. Залежно від випадку zuständigні FTC, Department of Transportation або Суд з перегляду захисту даних.
Скільки коштує правова первинна перевірка передачі даних?
Первинна консультація для оцінки ваших передач даних від 150 CHF за годину доступна для бронювання. Конкретні витрати залежать від кількості американських партнерів для перевірки та існуючих договорів.
Джерела
Рекомендації