Защита персональных данных в Швейцарии (nLPD)

Новый закон о защите данных: обзор

Новый Федеральный закон о защите данных (nLPD), вступивший в силу 1 сентября 2023 года, существенно усилил защиту персональных данных в Швейцарии. Закон приближен к европейскому GDPR и направлен на повышение прозрачности обработки данных.

Сфера применения (ст. 2 nLPD)

nLPD применяется к обработке персональных данных физических лиц частными лицами и федеральными органами. В отличие от старого закона, данные юридических лиц более не защищаются. Закон применяется к обработке, производящей последствия в Швейцарии, даже если обработчик находится за рубежом.

Принципы обработки (ст. 6 nLPD)

Обработка персональных данных должна соответствовать следующим принципам:

1. Законность: наличие правового основания
2. Добросовестность и прозрачность: субъект данных должен быть информирован
3. Целевая ограниченность: данные собираются для определённой цели
4. Соразмерность: обрабатываются лишь необходимые данные
5. Точность: данные должны быть актуальными и правильными
6. Ограничение хранения: данные удаляются после достижения цели

Права субъектов данных

Право на информацию (ст. 25 nLPD)

Любое лицо вправе запросить у обработчика данных информацию о том, обрабатываются ли его данные, какие именно, с какой целью и кому они передаются. Информация предоставляется бесплатно в тридцатидневный срок.

Право на исправление и удаление (ст. 32 nLPD)

Субъект данных вправе потребовать исправления неточных данных или удаления данных, обработка которых не имеет правового основания.

Право на выдачу и передачу данных (ст. 28 nLPD)

Новое право: субъект данных может потребовать выдачи своих данных в распространённом электронном формате или их передачи другому обработчику (аналог «портабельности» GDPR).

Обязанности обработчиков

Информационная обязанность (ст. 19 nLPD)

Обработчик обязан информировать субъекта данных при сборе персональных данных: идентификация обработчика, цели обработки, получатели данных, передача за рубеж.

Реестр обработки (ст. 12 nLPD)

Предприятия с более чем 250 сотрудниками обязаны вести реестр деятельности по обработке данных. Малые предприятия освобождены, если их обработка не представляет повышенного риска.

Уведомление о нарушении (ст. 24 nLPD)

При нарушении безопасности данных обработчик обязан уведомить Федерального уполномоченного по защите данных (PFPDT) в кратчайшие сроки, а также субъектов данных, если это необходимо для их защиты.

Санкции (ст. 60 и далее nLPD)

Штрафы до CHF 250 000 налагаются на физических лиц (не на предприятия), ответственных за нарушение. Караются: нарушение информационной обязанности, нарушение требований безопасности, незаконная передача данных за рубеж, несоблюдение предписаний PFPDT.