REP27 · Svizzera
Articolo 27 GDPR · Svizzera
La Svizzera è circondata da Stati membri, ha una decisione di adeguatezza e possiede una propria legge moderna sulla protezione dei dati. Tutti e tre i fatti fanno sì che le aziende svizzere assumano che la questione europea sia risolta. Non è così: la geografia, l'adeguatezza e la conformità interna risolvono ciascuna qualcosa di diverso dall'Articolo 27, che chiede solo se qualcuno all'interno dell'Unione possa essere contattato.
La Commissione ha riconosciuto la Svizzera come fornitore di protezione adeguata, e il riconoscimento è stato mantenuto dopo l'entrata in vigore della nFADP. Quella decisione governa i trasferimenti.
L'Articolo 27 governa la contattabilità. Richiede una designazione per iscritto che nomini un'entità stabilita nell'Unione, in modo che un interessato a Lisbona e l'autorità a Lisbona abbiano entrambi un luogo dove scrivere. Nessuna decisione di adeguatezza crea quell'indirizzo, ed è per questo che Giappone, Canada, Regno Unito e Svizzera — tutti adeguati — sono tutti in ambito.
Il profilo tipico svizzero è un marchio di orologi o beni di lusso che spedisce oltre confine, una fintech con utenti europei, un fornitore farmaceutico o medtech con partner clinici nell'UE, o una banca privata il cui sito è consultato in tutta Europa.
| Paese | Stato | Rappresentante Articolo 27 |
|---|---|---|
| Germania, Francia, Italia, Austria | Stato membro UE | Non necessario |
| Norvegia, Islanda, Liechtenstein | SEE — il GDPR si applica direttamente | Non necessario |
| Svizzera | Fuori dall'UE e dallo SEE, adeguata | Richiesto |
| Regno Unito | Fuori dall'UE, adeguato | Richiesto |
Il Liechtenstein è il caso esemplare: un vicino più piccolo, anch'esso fuori dall'UE, ma all'interno dello SEE — e quindi esente dove la Svizzera non lo è.
Il Liechtenstein è la più chiara illustrazione del perché la geografia non decide questo. È più piccolo della maggior parte dei cantoni svizzeri, non è uno Stato membro dell'UE, condivide una valuta e un'area doganale con la Svizzera, eppure le sue aziende non hanno bisogno di un rappresentante ai sensi dell'Articolo 27 — perché ha aderito allo Spazio Economico Europeo, e il GDPR si applica direttamente lì.
La Svizzera ha negoziato accordi bilaterali invece di aderire allo SEE, e la protezione dei dati non è mai stata parte di quel pacchetto. Il risultato è che due paesi vicini, strettamente integrati tra loro, si trovano su lati opposti dell'Articolo 3(2). Un'azienda a Vaduz che tratta dati di persone in Germania si trova all'interno del territorio del GDPR; un'azienda a venti chilometri di distanza a Buchs è un controllore di un paese terzo.
La conseguenza pratica per i gruppi svizzeri con un'entità liechtensteiniana merita di essere esaminata attentamente: se l'entità SEE svolge effettivamente il trattamento, potrebbe esserci un'istituzione nell'area di protezione dei dati dell'Unione e non è necessaria alcuna designazione. Se si tratta di una holding senza attività, non c'è, e la casa madre svizzera è chiaramente soggetta.
L'adeguatezza significa che i dati personali possono fluire dall'Unione verso la Svizzera senza Clausole Contrattuali Standard. Non dice nulla su se una persona in Spagna o Polonia possa contattarti. L'Articolo 27 riguarda la contattabilità e si applica a ogni azienda stabilita al di fuori dell'Unione, indipendentemente dall'adeguatezza.
No. Norvegia, Islanda e Liechtenstein sono nello SEE e applicano direttamente il GDPR, quindi le loro aziende non hanno bisogno di un rappresentante. La Svizzera è al di fuori sia dell'UE che dello SEE, motivo per cui le aziende svizzere si trovano esattamente nella stessa posizione di quelle giapponesi o canadesi.
No. La nFADP è legge svizzera, supervisionata dal Commissario Federale per la Protezione dei Dati e l'Informazione. Il GDPR è legge dell'UE, supervisionata da ventisette altre autorità. I programmi di conformità costruiti per uno non esonerano l'altro.
La lingua da sola non è decisiva quando è anche la tua lingua domestica. Ciò che conta è se l'offerta è rivolta a persone nell'Unione: prezzi in euro, opzioni di spedizione verso indirizzi UE, pubblicità mirata all'UE o analisi del profilo dei visitatori europei.
Solo se ha un'istituzione in uno Stato membro. Uno studio con sede a Zurigo o Ginevra non può essere designato ai sensi dell'Articolo 27, perché il rappresentante deve essere stabilito dove si trovano i soggetti interessati.
La nFADP ha le proprie regole per i controllori stranieri con un legame svizzero. È un obbligo separato con un punto di contatto separato, e non interagisce con la tua designazione ai sensi dell'Articolo 27.
Solo se miri anche a persone nel Regno Unito. Dal 2021, questo è un terzo regime con il proprio regolatore, che richiede la propria designazione.
Leggiamo il tuo avviso pubblico sulla privacy e ti diciamo in dieci secondi se è nominato un rappresentante.
Esegui il controllo gratuito Vedi prezzi