Protección de datos en Suiza: las leyes que toda empresa debe conocer
LPD, OPDa, RGPD, ISG y más: resumen de las leyes suizas de protección de datos y seguridad informática y sus diferencias con el RGPD.
Toda empresa que trate datos personales en Suiza, o datos de personas residentes en Suiza, debe conocer un conjunto concreto de leyes. El marco suizo de protección de datos y seguridad informática es amplio y está alineado en gran medida con los estándares internacionales, en particular con el Reglamento General de Protección de Datos de la UE (RGPD). En esta guía resumimos las normas clave y las principales diferencias con el RGPD.
Ciberseguridad en Suiza: quién hace qué
- Oficina Federal de Ciberseguridad (BACS): el antiguo Centro Nacional de Ciberseguridad (NCSC) coordina los esfuerzos nacionales, publica recomendaciones y presta apoyo en caso de ciberataques.
- Código Penal suizo: sanciona la ciberdelincuencia, como el acceso indebido a sistemas (hacking), el robo de datos y el fraude informático.
Protección de datos y cumplimiento normativo en TI
- Transferencias internacionales de datos: se permiten a países con un nivel de protección adecuado. Para el resto se necesitan garantías adicionales.
- Cumplimiento en TI: las empresas deben poder demostrar que cumplen la ley, por ejemplo mediante auditorías periódicas, formación del personal y políticas internas de protección de datos.
Ley Federal de Protección de Datos (LPD / nLPD)
La norma central es la Ley Federal de Protección de Datos (LPD, en inglés FADP). Garantiza que los datos personales se traten respetando la personalidad y los derechos fundamentales de las personas afectadas.
- El concepto de «datos personales» es amplio: incluye cualquier información relativa a una persona física identificada o identificable.
- El tratamiento debe ser lícito, de buena fe y proporcionado.
- Los interesados tienen derecho de acceso, rectificación y supresión de sus datos.
- Las empresas deben aplicar medidas técnicas y organizativas adecuadas para proteger los datos.
- La ley se aplica a todos los tratamientos en Suiza y también a los tratamientos en el extranjero con efectos en Suiza.
- La comunicación de datos a países sin protección adecuada exige garantías específicas.
La LPD revisada (nLPD), en vigor desde el 1 de septiembre de 2023, ha acercado el derecho suizo al RGPD: obligaciones más estrictas para las empresas, más transparencia y mecanismos de aplicación más eficaces.
Ordenanza de Protección de Datos (OPDa)
La Ordenanza de Protección de Datos desarrolla la LPD y explica cómo aplicar sus principios en la práctica. Regula, entre otros aspectos, los requisitos mínimos de seguridad de los datos, el registro de actividades de tratamiento, la notificación de brechas y las funciones del Comisionado Federal de Protección de Datos e Información (FDPIC).
En resumen: la LPD establece el marco jurídico y los principios; la ordenanza aporta las reglas prácticas para cumplirlos.
nLPD frente al RGPD: diferencias clave
Suiza no es miembro de la UE, pero la nLPD está estrechamente alineada con el RGPD. Esto facilita las transferencias de datos y la actividad internacional de las empresas suizas. Aun así, existen diferencias importantes:
| nLPD (Suiza) | RGPD (UE) |
|---|---|
Ámbito de aplicación | |
Se aplica a particulares y órganos federales que tratan datos personales en Suiza, así como a tratamientos en el extranjero con efectos en Suiza. | Se aplica a cualquier organización que trate datos de personas que se encuentren en la UE, con independencia de dónde esté establecida. |
Delegado de protección de datos (DPD) | |
No es obligatorio, pero se recomienda como buena práctica. | Es obligatorio en determinados casos, por ejemplo en autoridades públicas o cuando se realiza un seguimiento regular y sistemático a gran escala. |
Base jurídica del tratamiento | |
Los datos deben tratarse de forma lícita, de buena fe y proporcionada; no se exige una base jurídica para cada tratamiento. | Prevé seis bases jurídicas: consentimiento, contrato, obligación legal, intereses vitales, interés público e interés legítimo. |
Notificación de brechas de datos | |
Las brechas que impliquen un riesgo elevado deben notificarse al FDPIC «lo antes posible», sin plazo fijo. | Notificación a la autoridad de control en un plazo de 72 horas, salvo que no exista riesgo para los derechos de las personas. |
Derechos de los interesados | |
Derechos similares: acceso, rectificación, supresión y, desde la revisión, portabilidad de los datos. | Acceso, rectificación, supresión (derecho al olvido), limitación, portabilidad y oposición. |
Sanciones | |
Multas de hasta 250 000 CHF, impuestas a las personas físicas responsables, no a la empresa. | Multas administrativas de hasta 20 millones de euros o el 4 % de la facturación anual mundial, si esta cifra es superior. |
Decisiones automatizadas y elaboración de perfiles | |
Obligación de informar sobre decisiones individuales automatizadas y derecho a expresar el propio punto de vista. | Derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado con efectos jurídicos significativos. |
Transferencias internacionales | |
Permitidas a los Estados incluidos en la lista del Consejo Federal; en otro caso se requieren garantías (p. ej., cláusulas contractuales tipo). | Permitidas a países con decisión de adecuación o con garantías adecuadas (cláusulas contractuales tipo, normas corporativas vinculantes). |
Autoridad de control | |
Comisionado Federal de Protección de Datos e Información (FDPIC / EDÖB). | Autoridades nacionales de control, coordinadas por el Comité Europeo de Protección de Datos (CEPD). |
Ambas normas persiguen los mismos objetivos, pero las empresas que operan en Suiza y en la UE deben tener en cuenta las dos.
Ley de Seguridad de la Información (ISG)
En vigor desde el 1 de enero de 2024, la ISG tiene como objetivo garantizar la confidencialidad, integridad y disponibilidad de la información tratada por la Confederación y por los operadores de infraestructuras críticas, como energía, agua potable, gestión de residuos, finanzas, sanidad, información y comunicación, alimentación, transporte y seguridad.
- Gestión de la seguridad de la información: exige sistemas de gestión (SGSI/ISMS) basados en estándares reconocidos.
- Obligación de notificar: desde el 1 de abril de 2025, los operadores de infraestructuras críticas deben notificar los ciberataques a la BACS en un plazo de 24 horas.
Otras leyes sobre comunicaciones electrónicas e infraestructura TI
- Ley de Telecomunicaciones (LTC/FMG): regula los servicios de telecomunicaciones, con foco en la competencia, la protección del consumidor y la seguridad de los datos.
- Ley de Firma Electrónica (ZertES): equipara la firma electrónica cualificada a la firma manuscrita.
Conclusión
La legislación suiza sobre protección de datos y seguridad informática es sólida y moderna. Su alineación con el RGPD permite a las empresas suizas operar sin trabas a nivel internacional, manteniendo altos estándares de protección de datos y ciberseguridad.
PassSecurium aloja sus propios datos y los de sus clientes exclusivamente en Suiza, donde están protegidos tanto física como jurídicamente.
Fuentes:
- LPD (FADP) – fedlex.admin.ch/eli/cc/2022/491/en
- OPDa (DPO) – fedlex.admin.ch/eli/cc/2022/568/en
- ISG – fedlex.admin.ch/eli/cc/2022/232/de
- LTC (TCA) – fedlex.admin.ch/eli/cc/1997/2187_2187_2187/en
- ZertES – fedlex.admin.ch/eli/cc/2016/752/de
Este sitio web utiliza cookies, las cuales tienen dos funciones: por un lado, están proporcionando una funcionalidad básica para este sitio web. Por otro lado, nos permiten mejorar nuestro contenido guardando y analizando datos anónimos de usuario. Usted puede cambiar su consentimiento a utilizar estas cookies en cualquier momento. Encontrar más información sobre cookies en nuestro Declaración de Protección de Datos y sobre nosotros en el Aviso Legal.