REP27 · Szwajcaria
Artykuł 27 GDPR · Szwajcaria
Szwajcaria jest otoczona przez państwa członkowskie, posiada decyzję o odpowiedniości i ma własną nowoczesną ustawę o ochronie danych. Wszystkie te trzy fakty sprawiają, że szwajcarskie firmy zakładają, że kwestia europejska jest rozwiązana. Tak nie jest: geografia, odpowiedniość i zgodność krajowa rozwiązują coś innego niż Artykuł 27, który pyta tylko, czy ktoś w Unii może być skontaktowany.
Komisja uznała Szwajcarię za zapewniającą odpowiednią ochronę, a uznanie to zostało utrzymane po wejściu w życie nFADP. Ta decyzja reguluje transfery.
Artykuł 27 reguluje kontaktowalność. Wymaga wyznaczenia na piśmie podmiotu ustanowionego w Unii, aby osoba, której dane dotyczą w Lizbonie, oraz organ w Lizbonie mieli gdzie napisać. Żadna decyzja o odpowiedniości nie tworzy tego adresu, dlatego Japonia, Kanada, Zjednoczone Królestwo i Szwajcaria — wszystkie odpowiednie — są w zakresie.
Typowy szwajcarski profil to marka zegarków lub dóbr luksusowych wysyłająca za granicę, fintech z europejskimi użytkownikami, dostawca farmaceutyczny lub medtech z partnerami klinicznymi w UE, lub prywatny bank, którego strona jest czytana w całej Europie.
| Kraj | Status | Przedstawiciel Artykułu 27 |
|---|---|---|
| Niemcy, Francja, Włochy, Austria | Państwo członkowskie UE | Niepotrzebny |
| Norwegia, Islandia, Liechtenstein | EEE — GDPR ma zastosowanie bezpośrednio | Niepotrzebny |
| Szwajcaria | Poza UE i EEE, odpowiednia | Wymagany |
| Zjednoczone Królestwo | Poza UE, adekwatne | Wymagane |
Liechtenstein jest pouczającym przypadkiem: mniejszy sąsiad, również poza UE, ale w EOG — a zatem zwolniony tam, gdzie Szwajcaria nie jest.
Liechtenstein jest najjaśniejszą ilustracją tego, dlaczego geografia nie decyduje o tym. Jest mniejszy niż większość kantonów szwajcarskich, nie jest państwem członkowskim UE, dzieli walutę i obszar celny ze Szwajcarią, a jednak jego firmy nie potrzebują przedstawiciela na podstawie Artykułu 27 — ponieważ przystąpił do Europejskiego Obszaru Gospodarczego, a GDPR ma tam zastosowanie bezpośrednio.
Szwajcaria negocjowała umowy bilateralne zamiast członkostwa w EOG, a ochrona danych nigdy nie była częścią tego pakietu. Efektem jest to, że dwa sąsiadujące ze sobą kraje, ściśle zintegrowane, znajdują się po przeciwnych stronach Artykułu 3(2). Firma w Vaduz przetwarzająca dane osób w Niemczech znajduje się w obrębie terytorium GDPR; firma dwadzieścia kilometrów dalej w Buchs jest kontrolerem z kraju trzeciego.
Praktyczne konsekwencje dla szwajcarskich grup z podmiotem w Liechtensteinie warto dokładnie sprawdzić: jeśli podmiot EOG rzeczywiście przeprowadza przetwarzanie, może istnieć zakład w obszarze ochrony danych Unii i nie jest potrzebna żadna nominacja. Jeśli jest to firma holdingowa, to nie ma, a szwajcarski podmiot matka znajduje się w pełnym zakresie.
Adekwatność oznacza, że dane osobowe mogą przepływać z Unii do Szwajcarii bez Standardowych Klauzul Umownych. Nie mówi nic o tym, czy osoba w Hiszpanii lub Polsce może się z Tobą skontaktować. Artykuł 27 dotyczy kontaktowalności i ma zastosowanie do każdej firmy z siedzibą poza Unią, niezależnie od adekwatności.
Nie. Norwegia, Islandia i Liechtenstein są w EOG i stosują GDPR bezpośrednio, więc ich firmy nie potrzebują przedstawiciela. Szwajcaria jest poza zarówno UE, jak i EOG, dlatego szwajcarskie firmy znajdują się w dokładnie tej samej sytuacji co japońskie lub kanadyjskie.
Nie. nFADP to prawo szwajcarskie, nadzorowane przez Federalnego Komisarza Ochrony Danych i Informacji. GDPR to prawo UE, nadzorowane przez dwadzieścia siedem innych organów. Programy zgodności stworzone dla jednego nie zwalniają z drugiego.
Język sam w sobie nie jest decydujący, gdy jest również Twoim językiem krajowym. Ważne jest, czy oferta jest skierowana do osób w Unii: ceny w euro, opcje wysyłki do adresów w UE, reklama skierowana do UE lub profilowanie analityczne europejskich odwiedzających.
Tylko jeśli ma siedzibę w państwie członkowskim. Firma z siedzibą w Zurychu lub Genewie nie może być wyznaczona na podstawie Artykułu 27, ponieważ przedstawiciel musi być ustanowiony tam, gdzie znajdują się osoby, których dane dotyczą.
nFADP ma swoje własne zasady dla zagranicznych kontrolerów z powiązaniem ze Szwajcarią. To oddzielny obowiązek z oddzielnym punktem kontaktowym i nie ma to wpływu na Twoją nominację na podstawie Artykułu 27.
Tylko jeśli również kierujesz ofertę do osób w Zjednoczonym Królestwie. Od 2021 roku to trzeci reżim z własnym regulatorem, wymagający własnej nominacji.
Przeczytaliśmy Twoje publiczne powiadomienie o prywatności i powiemy Ci w dziesięć sekund, czy przedstawiciel jest wymieniony.
Uruchom darmowe sprawdzenie Zobacz ceny