La nueva Ley federal suiza de protección de datos (nLPD) entró en vigor el 1 de septiembre de 2023. Supone un gran paso hacia la armonización de la legislación europea y suiza en materia de protección de datos. Sin embargo, ambas normativas no son idénticas y difieren de forma notable en algunos aspectos.

Qué tienen en común el RGPD y la nLPD

• La definición de «datos personales» coincide en lo esencial en ambas leyes. Las disposiciones solo afectan a los datos relativos a personas físicas.
• La empresa debe informar al usuario sobre el tratamiento de sus datos en una declaración de privacidad y, cuando se requiera, tratarlos solo con su consentimiento expreso (aunque las condiciones del RGPD son mucho más estrictas).
• De forma análoga al derecho de acceso del RGPD, la nLPD otorga al usuario el derecho a obtener de la empresa, en un plazo de 30 días desde la solicitud, acceso a los datos personales que le conciernen y que la empresa trata. Además, el derecho de oposición de la nLPD incluye los derechos de oposición, supresión y limitación que en el RGPD restringen el tratamiento de datos.
• La empresa debe llevar un registro de las actividades de tratamiento que incluya también una lista de los países o terceros a los que se comunican los datos de los usuarios.
• Ambas leyes obligan a la empresa a adoptar medidas técnicas y organizativas adecuadas para garantizar un nivel apropiado de seguridad de los datos.
• Los datos de los usuarios solo deberían transferirse a países con un nivel de protección adecuado (aunque también pueden transferirse si se han adoptado garantías suficientes para compensar la diferencia de protección).
• Los responsables y encargados del tratamiento están obligados a notificar las violaciones de datos (si bien la ley suiza no fija un plazo concreto, sino que utiliza la fórmula «lo antes posible»).

Como vemos, las reglas generales son bastante similares. Y hay una buena noticia: si su empresa ya trata datos de usuarios de la Unión Europea, de todos modos debe cumplir el RGPD. En ese caso, su sistema informático no necesita grandes cambios.

Principales diferencias entre la nLPD y el RGPD

• El RGPD enumera 9 tipos de datos personales sensibles y la nLPD añade 2 más: los datos sobre procedimientos y sanciones administrativos o penales y los datos relativos a medidas de asistencia social.
• La nLPD se basa en el principio de que un particular puede tratar datos personales, mientras que el RGPD solo concede este derecho a un particular cuando existe una justificación específica.
• Como consecuencia de este principio, las multas de la nLPD se dirigen a personas físicas (no a empresas, como en el RGPD) y pueden alcanzar los 250 000 CHF. Si no es posible identificar a la persona responsable, la empresa puede ser multada con hasta 50 000 CHF. Está por ver cómo se aplicará este enfoque en la práctica.
• El ámbito de aplicación territorial es distinto: el de la ley suiza es más amplio y se basa en la «doctrina de los efectos», según la cual se incluye todo tratamiento de datos que tenga efectos en Suiza, independientemente de dónde se haya realizado.
• El RGPD exige una base jurídica para cualquier tratamiento de datos personales y obliga al responsable a obtener el consentimiento del usuario, mientras que la nLPD exige el consentimiento informado y expreso del usuario para el tratamiento de datos sensibles y la elaboración de perfiles.
• La nLPD no establece la obligación de nombrar un delegado de protección de datos: esta figura es voluntaria y se denomina «asesor de protección de datos».
• Por último, el RGPD es un reglamento supranacional aplicado en toda la UE, con autoridades independientes encargadas de supervisar su aplicación en cada Estado miembro. La nLPD es una ley federal que obliga a las autoridades federales y a las empresas del sector privado, pero no a las autoridades cantonales. No obstante, la cooperación entre las autoridades federales y cantonales de protección de datos está bien consolidada y es eficaz.

Las diferencias son, por tanto, evidentes. Aunque el RGPD sirvió de base para la nLPD, las diferencias entre los sistemas suizo y europeo han hecho que la aplicación de muchos puntos sea única. La entrada en vigor de la ley abre un periodo de ajuste, tras el cual se podrán valorar sus ventajas e inconvenientes.

Nuestra empresa se compromete a cumplir lo mejor posible la legislación de protección de datos en sus actividades y productos. Contamos ya con una amplia experiencia en la aplicación de estas prácticas en nuestro propio entorno, así como en ayudar a otras empresas a evaluar y reconfigurar sus sistemas informáticos conforme a la ley.

Si necesita asesoramiento sobre informática y protección de datos, contáctenos a través del formulario de la web. Nuestros expertos le ayudarán con mucho gusto.

Fuentes:

https://www.netzwoche.ch/news/2023-06-21/das-sagt-der-edoeb-zum-neuen-datenschutzgesetz

https://www.netzwoche.ch/news/2023-06-07/neues-datenschutzgesetz-sind-sie-bereit

https://www.rosenthal.ch/downloads/VISCHER-revDPA-GDPR-Comparison.pdf

https://www.fedlex.admin.ch/eli/cc/2022/491/de

https://gdpr-info.eu/