REP27 · Zwitserland
Artikel 27 GDPR · Zwitserland
Zwitserland is omringd door lidstaten, heeft een adequaatheidsbesluit en heeft zijn eigen moderne wetgeving inzake gegevensbescherming. Al deze drie feiten doen Zwitserse bedrijven aannemen dat de Europese kwestie is opgelost. Dat is niet zo: geografie, adequaatheid en binnenlandse naleving lossen elk iets anders op dan Artikel 27, dat alleen vraagt of iemand binnen de Unie kan worden benaderd.
De Commissie erkende Zwitserland als een land dat adequate bescherming biedt, en de erkenning werd gehandhaafd nadat de nFADP in werking trad. Dat besluit regelt overdrachten.
Artikel 27 regelt contacteerbaarheid. Het vereist een schriftelijke aanwijzing van een entiteit die in de Unie is gevestigd, zodat een betrokkene in Lissabon en de autoriteit in Lissabon beiden ergens kunnen schrijven. Geen adequaatheidsbesluit creëert dat adres, wat de reden is dat Japan, Canada, het Verenigd Koninkrijk en Zwitserland — allemaal adequaat — allemaal onder de reikwijdte vallen.
Het typische Zwitserse profiel is een horloge- of luxe goederenmerk dat over de grens verzendt, een fintech met Europese gebruikers, een farmaceutische of medtech-leverancier met EU-clinische partners, of een private bank wiens site in heel Europa wordt gelezen.
| Land | Status | Artikel 27 vertegenwoordiger |
|---|---|---|
| Duitsland, Frankrijk, Italië, Oostenrijk | EU-lidstaat | Niet nodig |
| Noorwegen, IJsland, Liechtenstein | EEA — GDPR is rechtstreeks van toepassing | Niet nodig |
| Zwitserland | Buiten de EU en EEA, adequaat | Vereist |
| Verenigd Koninkrijk | Buiten de EU, adequaat | Vereist |
Liechtenstein is de instructieve casus: een kleinere buur, ook buiten de EU, maar binnen de EEA — en daarom vrijgesteld waar Zwitserland dat niet is.
Liechtenstein is de duidelijkste illustratie van waarom geografie dit niet beslist. Het is kleiner dan de meeste Zwitserse kantons, is geen EU-lidstaat, deelt een munteenheid en een douanegebied met Zwitserland, en toch hebben zijn bedrijven geen vertegenwoordiger op basis van Artikel 27 nodig — omdat het zich heeft aangesloten bij de Europese Economische Ruimte, en de GDPR daar rechtstreeks van toepassing is.
Zwitserland heeft bilaterale overeenkomsten onderhandeld in plaats van EEA-lidmaatschap, en gegevensbescherming maakte nooit deel uit van dat pakket. Het resultaat is dat twee buurlanden, die nauw met elkaar zijn geïntegreerd, aan tegenovergestelde zijden van Artikel 3(2) zitten. Een bedrijf in Vaduz dat gegevens van mensen in Duitsland verwerkt, bevindt zich binnen het eigen grondgebied van de GDPR; een bedrijf twintig kilometer verderop in Buchs is een derde-land controller.
De praktische consequentie voor Zwitserse groepen met een Liechtenstein-entiteit is het waard om zorgvuldig te controleren: als de EEA-entiteit daadwerkelijk de verwerking uitvoert, kan er een vestiging zijn in het gegevensbeschermingsgebied van de Unie en is er geen aanwijzing nodig. Als het een holding-shell is, is dat er niet, en is de Zwitserse moederfirma volledig onderworpen aan de regelgeving.
Adequaatheid betekent dat persoonsgegevens van de Unie naar Zwitserland kunnen stromen zonder Standaardcontractbepalingen. Het zegt niets over of een persoon in Spanje of Polen contact met u kan opnemen. Artikel 27 gaat over contacteerbaarheid, en het is van toepassing op elk bedrijf dat buiten de Unie is gevestigd, ongeacht de adequaatheid.
Nee. Noorwegen, IJsland en Liechtenstein zijn in de EEA en passen de GDPR rechtstreeks toe, zodat hun bedrijven geen vertegenwoordiger nodig hebben. Zwitserland ligt buiten zowel de EU als de EEA, wat de reden is dat Zwitserse bedrijven in exact dezelfde positie verkeren als Japanse of Canadese bedrijven.
Nee. De nFADP is Zwitserse wetgeving, gecontroleerd door de Federale Gegevensbeschermings- en Informatiecommissaris. De GDPR is EU-wetgeving, gecontroleerd door zevenentwintig andere autoriteiten. Nalevingsprogramma's die voor de een zijn gebouwd, ontslaan de ander niet.
Taal alleen is niet beslissend wanneer het ook uw nationale taal is. Wat belangrijk is, is of de aanbieding gericht is op mensen in de Unie: europrijzen, verzendopties naar EU-adressen, EU-gerichte advertenties of analytics-profilering van Europese bezoekers.
Alleen als zij een vestiging hebben in een lidstaat. Een firma gevestigd in Zürich of Genève kan niet worden aangewezen op basis van Artikel 27, omdat de vertegenwoordiger moet zijn gevestigd waar de betrokkenen zich bevinden.
De nFADP heeft zijn eigen regels voor buitenlandse controllers met een Zwitserse link. Het is een aparte verplichting met een apart contactpunt, en het heeft geen interactie met uw aanwijzing op basis van Artikel 27.
Alleen als u ook mensen in het Verenigd Koninkrijk target. Sinds 2021 is dat een derde regime met zijn eigen toezichthouder, die zijn eigen aanwijzing vereist.
We lezen uw openbare privacyverklaring en vertellen u binnen tien seconden of er een vertegenwoordiger is genoemd.
Voer de gratis controle uit Bekijk prijzen