Vad är DSG?
Den schweiziska dataskyddslagen (DSG) är nu en reviderad version av den första DSG, som trädde i kraft 1992. Från den 1 september 2023 träder den nya lagen i kraft med de reviderade och uppdaterade ändringarna för att spegla de aktuella behoven i dagens internetmiljö. Syftet med denna förordning är att skydda integriteten och de grundläggande rättigheterna för de personer vars uppgifter behandlas.
”Denna lag syftar till att skydda integriteten och grundläggande rättigheter för fysiska personer om vilka personuppgifter behandlas.”
De främsta förändringarna jämfört med den första publiceringen är att företag nu ska förklara varför de samlar in personuppgifter från sina kunder och att de tydligt ska ange vilka tredje parter som är inblandade i att dela deras personuppgifter. Individer har nu också rätt att veta hur länge deras uppgifter kommer att lagras och för vilket ändamål.
Vem gäller DSG?
DSG gäller för fysiska personer (tidigare juridiska personer) och för kommersiella och icke-kommersiella organisationer som behandlar personuppgifter om schweiziska medborgare.
DSG:s geografiska omfattning fungerar på samma sätt som GDPR. Den exakta definitionen här är att denna förordning gäller dataskyddsärenden som ”har effekter i Schweiz, även om de är orsakade utomlands”.
…”som har effekt i Schweiz, även om de initieras utomlands”.
Skyldigheter enligt DSG
Skyldigheter för registeransvariga och registerförare
Jämfört med kraven i GDPR kräver DSG nu att företag skapar ett ”register över bearbetningsaktiviteter” (Art. 12 DSG). Ansvarig person och orderbehandlare ansvarar i första hand för detta. Detta måste innehålla följande:
- De ansvariga personernas identitet
- syftet med databehandlingen
- Beskrivning av kategorier av registrerade och personuppgifter
- kategori av mottagare
- om möjligt, lagringsperioden för personuppgifterna eller de kriterier som används för att fastställa denna period;
- om möjligt en allmän beskrivning av de åtgärder som vidtagits för att säkerställa datasäkerheten
- om uppgifterna överförs utomlands, angivande av land och de garantier som säkerställer ett adekvat dataskydd.
den registrerades rättigheter
Som redan nämnts fokuserar denna lag på skyddet av den registrerades personuppgifter. Således är den registrerade skyddad med följande rättigheter:
- rätten att få information om behandlingen av dina personuppgifter (artiklarna 25-27 revDSG),
- rätten att utan kostnad begära att den ansvarige lämnar ut sina personuppgifter eller att dessa i maskinläsbar form till annan ansvarig. (Artiklarna 28 och 29 revDSG),
- rätten att hans data inte kommer att användas för automatiserade individuella beslut där algoritmer används utan mänsklig inblandning i processen (art. 21 revDSG),
- Om känsliga personuppgifter behandlas eller personlighetsprofiler skapas ska samtycke ges uttryckligen. Samtycke från den registrerade krävs.
Genomförande av DSG
Rollen för Federal Data Protection and Information Commissioner (FDPIC)
FDPIC ansvarar för tillämpningen av och efterlevnaden av FADP. Han är också ansvarig för förtydligande, rådgivning och skydd av personuppgifter i Schweiz. Byrån utses av Bundesrat (den schweiziska federala regeringens verkställande organ).
Sanktioner och böter för lagöverträdelser
Om en person bryter mot lagarna i DSG kommer de att få böter på upp till 250 000 CHF. Precis som med GDPR är påföljden inte knuten till företaget, utan till den ansvariga fysiska personen.
Vad du bör göra för att följa DSG
Börja nu och se till att du är redo innan FADP träder i kraft i september 2023. Företag baserade i Schweiz, eller om du gör affärer i Schweiz, bör vidta följande åtgärder:
- Registrera all din databehandlingsverksamhet som är relevant för lagen.
- Ha en giltig integritetspolicy som uppfyller alla krav i GDPR.
- Se till att du utser en dataskyddsombud (DPO) för att fastställa policyer och förfaranden i linje med FDPIC.
- Om du behöver erhålla samtycke för att behandla personuppgifter, se till att du använder en CMP som tillåter att giltigt samtycke kan fångas in och lagras. Samtycket som behöver inhämtas kan visas i form av en samtyckesbanner som ska dyka upp vid användarens första besök på din webbutik eller företagswebbplats.
Slutsats
Inte överraskande är den nuvarande versionen av DSG omdesignad för att hänga med i den tekniska utvecklingen. Och även om du redan är GDPR-kompatibel kan du fortfarande behöva vidta några åtgärder. Se till att din organisation är kompatibel och har ett juridiskt kompatibelt samtyckesverktyg på plats.
Du är inte helt säker på om ditt företag uppfyller de kommande kraven i DSG? Prata med en av våra experter eller kolla med vårt verktyg för samtyckeshantering här .
