Marketing w Szwajcarii: ochrona danych

Informacja Ten artykuł daje przegląd i nie zastępuje porady prawnej. Do oceny własnego przypadku – zwłaszcza przy danych szczególnie chronionych, profilowaniu albo przekazywaniu danych do państw trzecich – należy zaangażować osobę fachową.

Najważniejsze w skrócie

Zrewidowana ustawa obowiązuje od 1 września 2023 roku i nie zna okresu przejściowego.
Trzy istotne różnice wobec RODO: brak zgody jako reguły, sankcje wobec osób fizycznych zamiast wobec firm oraz brak ogólnego rejestru dla małych firm.
Kto ma klientów z UE albo zwraca się do obywateli UE, podlega dodatkowo RODO – wtedy w praktyce obowiązuje surowsza miara.
Sześć punktów musi być uregulowanych na szwajcarskiej stronie firmowej; polityka prywatności to tylko jeden z nich.

Trzy istotne różnice wobec RODO

1. Przetwarzanie jest zasadniczo dozwolone

RODO zakazuje przetwarzania danych osobowych, dopóki nie ma podstawy prawnej. Szwajcarska ustawa odwraca punkt wyjścia: przetwarzanie jest dopuszczalne, dopóki nie narusza bezprawnie dóbr osobistych.

W praktyce: różnica jest mniejsza, niż brzmi. Przejrzystość, związanie celem, proporcjonalność i bezpieczeństwo danych obowiązują też tutaj. Przy danych szczególnie chronionych i przy profilowaniu wysokiego ryzyka wymagana jest również wyraźna zgoda.

2. Sankcje dotykają osób, nie firm

RODO przewiduje kary pieniężne wobec firm, procentowo do obrotu. Ustawa szwajcarska przewiduje grzywny do 250 000 franków – wobec odpowiedzialnej osoby fizycznej, czyli zarządu albo właściwej osoby kierowniczej.

W praktyce: niższa kwota bywa czytana jako odwołanie alarmu. To nieporozumienie: osobista odpowiedzialność zmienia układ odpowiedzialności w firmie i obejmuje także umyślność przez zaniechanie.

3. Brak rejestru czynności przetwarzania dla małych firm

Firmy zatrudniające mniej niż 250 osób są zwolnione z rejestru czynności przetwarzania – o ile przetwarzanie nie niesie wysokiego ryzyka i nie są przetwarzane na dużą skalę dane szczególnie chronione.

W praktyce: zwolnienie szybko odpada. Kto przetwarza dane o zdrowiu albo prowadzi rozległe profilowanie, potrzebuje rejestru mimo wszystko – a i tak jest to najbardziej użyteczny przegląd, jaki można mieć w firmie.

Czy wiesz, że…?

Większość szwajcarskich firm posiadających stronę podlega faktycznie obu zbiorom przepisów jednocześnie. RODO wchodzi w grę już wtedy, gdy celowo adresuje się osoby w UE – na przykład przez ceny w euro, wersję językową z odniesieniem do UE albo wysyłkę do UE.

Wynika z tego praktyczna konsekwencja: kto musi spełnić oba zbiory przepisów, sensownie kieruje się surowszym. Prowadzenie dwóch oddzielnych procesów dla dwóch zbiorów przepisów kosztuje więcej niż od razu praca według wyższej miary.

Sześć punktów, które muszą być uregulowane

Punkt	Czego się wymaga	Częsty błąd
Polityka prywatności	zrozumiała, kompletna, ze wszystkimi używanymi usługodawcami	wymienieni usługodawcy, których już się nie używa – albo odwrotnie
Powierzenie przetwarzania	umowa z każdym usługodawcą przetwarzającym dane dla was	brakuje przy hostingu, wysyłce newslettera i analityce
Przekazywanie za granicę	sprawdzić odpowiedni stopień ochrony, inaczej klauzule standardowe	usługi z USA w użyciu bez udokumentowanej podstawy
Prawo dostępu	odpowiedź w ciągu 30 dni, z reguły bezpłatnie	brak zdefiniowanego procesu – termin i tak biegnie
Bezpieczeństwo danych	odpowiednie środki techniczne i organizacyjne	brak dokumentacji tego, co zrobiono
Zgłaszanie naruszeń	zgłoszenie do organu nadzorczego przy wysokim ryzyku	nikt nie wie, kto zgłasza w razie zdarzenia

Reklama e-mailowa: osobna regulacja

Reklama e-mailowa nie jest w Szwajcarii uregulowana w ustawie o ochronie danych, lecz w ustawie o zwalczaniu nieuczciwej konkurencji. Trzy warunki muszą być spełnione łącznie:

Zgoda odbiorcy albo istniejąca relacja klienta przy własnych, porównywalnych produktach.
Poprawne oznaczenie nadawcy z faktycznie osiągalnym adresem.
Informacja o możliwości wypisu w każdej wiadomości, bezpłatnie i bez logowania.

Naruszenie jest tu zagrożone karą – to również dotyka osoby odpowiedzialnej. Kto dodatkowo pisze do odbiorców z UE, podlega poza tym surowszym wymogom co do wykazywalnej zgody; szwajcarski wyjątek dla istniejących relacji klienckich jest tam ujęty węziej.

Z praktyki

Najczęstszy wynik przeglądu jest zawsze ten sam: polityka prywatności wymienia usługi, których w firmie już nie ma – a nie wymienia innych, które dawno są w użyciu. Narzędzie analityczne zostało wymienione, usługa newslettera zmieniona, wprowadzono sieć dystrybucyjną.

To nie jest wada formalna: polityka wymieniająca nieużywaną usługę jest tak samo błędna jak ta, która przemilcza używaną. Stały termin raz w roku, w którym lista usługodawców jest zestawiana z polityką, usuwa zdecydowanie najczęstszą wadę.

Usługi z USA i innych państw trzecich

Punkt, na którym w praktyce najczęściej zgrzyta – bo dotyczy niemal każdego narzędzia marketingowego.

Szwajcaria prowadzi listę państw o odpowiednim poziomie ochrony danych. Dla USA od 2024 roku istnieją ramy pozwalające na przekazanie certyfikowanym odbiorcom. Trzeba przy tym sprawdzić dwie rzeczy:

Czy konkretny dostawca jest certyfikowany? Ramy nie obowiązują ryczałtem dla wszystkich firm z USA, lecz tylko dla tych, które przeszły certyfikację. Da się to sprawdzić w publicznym rejestrze.
Jeśli nie: standardowe klauzule umowne plus własna ocena ryzyka. Same klauzule nie wystarczą; potrzebna jest ocena, czy w kraju docelowym równoważna ochrona jest faktycznie możliwa.

Wskazówka Prowadźcie prostą listę wszystkich usług przetwarzających dane osobowe: dostawca, cel, lokalizacja serwerów, podstawa przekazania, data ostatniego sprawdzenia. Ta lista odpowiada na większość pytań kontroli w kilka minut – i jest podstawą rejestru, gdybyście go potrzebowali.

Prompt

Pomóż mi sprawdzić nasze dokumenty o ochronie danych pod kątem
luk. Jesteśmy firmą szwajcarską.

Nasza sytuacja:
- Pracownicy: [liczba]
- Czy mamy klientów w UE albo zwracamy się do obywateli UE?
  [tak/nie]
- Usługi przetwarzające dane osobowe: [lista z celem i
  lokalizacją serwerów, o ile znana]
- Co już mamy: [polityka prywatności / umowy powierzenia /
  rejestr / nic z tego]

Zadania:
1. Podaj dla każdej usługi, jakiej podstawy wymaga przekazanie za
   granicę i co musimy mieć na to przygotowane.
2. Sprawdź na podstawie naszych danych, czy musimy prowadzić
   rejestr czynności przetwarzania. Uzasadnij.
3. Wskaż, jakich informacji prawdopodobnie brakuje w naszej
   polityce prywatności.
4. Wypisz punkty, w których dodatkowo wchodzi w grę RODO, i co
   jest tam surowsze.
5. Zaznacz wszystko, co koniecznie musi ocenić osoba fachowa.

Nie wymyślaj artykułów ustaw ani terminów. Jeśli czegoś nie
wiesz na pewno, oznacz to jako do sprawdzenia.

Podsumowanie

Szwajcarska ustawa jest mniej surowa niż RODO, a mimo to nie jest powodem do rozluźnienia – przede wszystkim dlatego, że odpowiedzialność jest osobista i że większość szwajcarskich firm i tak podlega obu zbiorom przepisów.

Praktycznie prowadzi to do prostego zalecenia: pracować według surowszej miary, prowadzić utrzymywaną listę wszystkich usługodawców i raz w roku sprawdzać, czy polityka prywatności nadal opisuje to, co faktycznie jest w użyciu. To pokrywa większą część tego, co przy kontroli rzeczywiście rzuca się w oczy.

Częste pytania

Czy RODO obowiązuje firmy szwajcarskie?

Tak, gdy tylko celowo adresowane są osoby w UE – na przykład przez ceny w euro, wysyłkę do UE albo wersję językową nastawioną na klientów z UE – albo gdy obserwowane jest ich zachowanie. W tym przypadku ustawa szwajcarska i RODO obowiązują jednocześnie, a w praktyce łatwiej od razu pracować według surowszej miary.

Jaka jest najważniejsza różnica między ustawą szwajcarską a RODO?

Punkt wyjścia: RODO zakazuje przetwarzania, dopóki nie ma podstawy prawnej; ustawa szwajcarska dopuszcza je, dopóki nie narusza bezprawnie dóbr osobistych. Praktycznie istotniejsze są dwie inne różnice – grzywny do 250 000 franków kierowane są wobec odpowiedzialnej osoby fizycznej, a małe firmy są pod warunkami zwolnione z rejestru czynności przetwarzania.

Czy mała szwajcarska firma potrzebuje rejestru czynności przetwarzania?

Firmy zatrudniające mniej niż 250 osób są zwolnione, o ile przetwarzanie nie niesie wysokiego ryzyka i nie są przetwarzane na dużą skalę dane szczególnie chronione. Zwolnienie szybko odpada – na przykład przy rozległym profilowaniu. Niezależnie od tego lista używanych usług jest najbardziej użytecznym przeglądem w firmie.

Czy ze Szwajcarii wolno używać usług z USA?

Tak, pod warunkami. Trzeba sprawdzić, czy konkretny dostawca jest certyfikowany w ramach istniejących od 2024 roku – nie obowiązuje to ryczałtem dla wszystkich firm z USA. Jeśli nie jest, potrzebne są standardowe klauzule umowne i dodatkowo własna ocena, czy w kraju docelowym równoważna ochrona jest faktycznie możliwa.

Jakie zasady obowiązują w Szwajcarii przy reklamie e-mailowej?

Nie ustawa o ochronie danych, lecz ustawa o zwalczaniu nieuczciwej konkurencji. Wymagane są łącznie trzy rzeczy: zgoda albo istniejąca relacja klienta przy porównywalnych własnych produktach, poprawne i osiągalne oznaczenie nadawcy oraz bezpłatna informacja o wypisie w każdej wiadomości. Przy odbiorcach z UE obowiązują dodatkowo surowsze wymogi co do wykazywalnej zgody.