nDSG vs GDPR: Что должен знать каждый предприниматель в Швейцарии

Практическое сравнение швейцарского nDSG и европейского GDPR. Что применимо к вашему бизнесу, какие штрафы и как соответствовать требованиям.

С 1 сентября 2023 года в Швейцарии действует новый Федеральный закон о защите данных (nDSG). Если ваша компания работает в Швейцарии или обслуживает швейцарских клиентов, вам необходимо понимать, чем он отличается от GDPR Евросоюза — и что это значит для вашего сайта, приложений и обработки данных.

Ключевые различия

nDSG во многом построен по образцу GDPR, но имеет несколько критических отличий. nDSG защищает только физических лиц, имеет другую структуру штрафов и уникальный подход к требованиям согласия.

1. Область применения

GDPR применяется к любой компании, обрабатывающей данные резидентов ЕС, независимо от местонахождения компании. nDSG применяется к обработке данных, которая имеет последствия в Швейцарии, даже если обработка происходит за рубежом. Для швейцарских компаний с европейскими клиентами обычно действуют оба регламента одновременно.

2. Требования к согласию

По GDPR для большинства видов обработки данных требуется явное согласие. nDSG более либерален: обработка персональных данных в целом разрешена, если субъект данных явно не возразил. Однако для особо чувствительных данных (здоровье, биометрия, политические взгляды) nDSG также требует явного согласия.

3. Штрафы

Здесь становится интересно. GDPR может оштрафовать компанию на сумму до €20 миллионов или 4% мирового годового оборота. nDSG использует другой подход: штрафы до CHF 250 000, но они направлены на ответственных лиц, а не на компанию. Это означает, что CEO или CTO может быть привлечён к личной ответственности.

4. Оценка воздействия на защиту данных (DPIA)

Оба регламента требуют DPIA при обработке с высоким риском. По GDPR необходимо консультироваться с надзорным органом, если риски не могут быть снижены. По nDSG можно обойтись без консультации с EDÖB, если у вас есть внутренний консультант по защите данных — практическое преимущество для крупных компаний.

Что это значит для ваших цифровых продуктов

• Ваша политика конфиденциальности должна учитывать и nDSG, и GDPR, если вы обслуживаете клиентов из ЕС
• Механизмы согласия на cookie должны удовлетворять более строгим требованиям
• Хостинг данных в Швейцарии предпочтителен, но не обязателен по закону
• Сроки уведомления об утечках: GDPR требует 72 часа, nDSG говорит «как можно скорее»
• Международные передачи данных требуют надлежащих гарантий по обоим законам

Наша рекомендация

Для большинства швейцарских компаний с европейской клиентской базой самый безопасный подход — соблюдать оба регламента одновременно. Проектируйте обработку данных по стандартам GDPR (более строгий стандарт), убедитесь, что ваша политика конфиденциальности отвечает специфическим требованиям nDSG, и размещайте данные у швейцарских или европейских провайдеров.

В AI Swiss Group мы разрабатываем все веб- и мобильные решения с принципами privacy-by-design. Наша инфраструктура размещена в Швейцарии, и мы используем аналитику Umami, которая не требует согласия на cookie. Свяжитесь с нами для бесплатной консультации по аудиту соответствия.