Guía nLPD: ¿cómo lograr la conformidad?

¿Qué es la nLPD?

La nLPD moderniza el derecho suizo de protección de datos para alinearlo con los estándares europeos y preservar el reconocimiento de adecuación con la UE, esencial para que los datos puedan circular libremente entre Suiza y la Unión.

Introduce conceptos ya familiares para los profesionales del RGPD: privacidad desde el diseño (privacy by design) y por defecto (by default), registro de actividades de tratamiento, evaluación de impacto, información reforzada en el momento de la recogida y notificación de violaciones al PFPDT.

No obstante, mantiene particularidades estructurales propias: un ámbito de aplicación limitado a las personas físicas, un régimen de sanciones orientado hacia la responsabilidad penal individual y ciertas obligaciones formuladas de manera diferente a su equivalente europeo.

nLPD vs RGPD: las diferencias que debes conocer

Este es el punto crucial para las empresas que ya cumplen con el RGPD. A continuación se presentan las divergencias que requieren una adaptación específica.

La diferencia con consecuencias más graves es el régimen penal individual: en Suiza, es frecuentemente el directivo o el responsable quien resulta imputado.

¿Quién está afectado?

La nLPD se aplica a los tratamientos realizados por personas privadas y organismos federales. Afecta a todas las organizaciones que tratan datos de personas físicas, independientemente de su tamaño.

• Empresas suizas de cualquier tamaño que traten datos de personas físicas.
• Subcontratistas que actúen por cuenta de un responsable del tratamiento.
• Grupos que operan a ambos lados de la frontera, que deben conciliar la nLPD y el RGPD.
• Sectores que manejan datos sensibles en el sentido suizo (salud, RRHH, finanzas).

¿Cuáles son las obligaciones concretas?

Las obligaciones se solapan en gran medida con las del RGPD, con matices propios de la normativa suiza. A continuación, los requisitos esenciales a implementar.

• Mantener un registro de actividades de tratamiento (con aligera­mientos para pymes bajo determinadas condiciones).
• Informar a las personas en el momento de la recogida, de forma transparente y comprensible.
• Respetar los principios de privacy by design y privacy by default.
• Realizar una evaluación de impacto para los tratamientos de alto riesgo.
• Notificar al PFPDT las violaciones que entrañen un riesgo elevado, en el menor plazo posible.
• Regular la subcontratación mediante contratos y medidas de seguridad proporcionadas.
• Proteger específicamente los datos sensibles en el sentido de la nLPD.

¿Qué sanciones se aplican en caso de incumplimiento?

La particularidad suiza es determinante: las sanciones penales se dirigen ante todo a las personas físicas responsables, no únicamente a la empresa. Esto refuerza considerablemente los requisitos de gobernanza interna y de designación clara de responsabilidades.

El régimen difiere claramente del RGPD: aquí la multa recae sobre la persona responsable, lo que exige designar y documentar con precisión quién responde de cada obligación.

Cómo lograr la conformidad: la hoja de ruta en 7 pasos

Paso 1 — Cartografiar sus tratamientos

Identifique los tratamientos de datos de personas físicas: clientes, empleados, prospectos, proveedores. Anote para cada uno la finalidad, las categorías de datos, los destinatarios y los plazos de conservación.

Preste especial atención a los datos sensibles en el sentido suizo, cuyo tratamiento exige una vigilancia reforzada.

• Identifique los datos sensibles en el sentido de la nLPD.
• Anote finalidades, destinatarios y plazos de conservación.
• Distinga sus roles de responsable y de encargado del tratamiento.

Paso 2 — Designar un responsable interno

Nombre un referente de cumplimiento interno, encargado de pilotar el proceso y de ser el interlocutor del PFPDT. Dado el régimen penal individual, clarifique con precisión quién asume la responsabilidad.

Esta clara designación de responsabilidades es tanto más importante cuanto que la sanción recae sobre la persona física responsable.

• Designe un referente de cumplimiento claramente identificado.
• Clarifique quién asume la responsabilidad de cada tratamiento.
• Documente la distribución de responsabilidades.

Paso 3 — Actualizar la información y los avisos

Adapte sus políticas y avisos de información a los requisitos de transparencia de la nLPD en el momento de la recogida de datos. La información debe ser clara, completa y comprensible.

Si parte de una base RGPD, verifique que la redacción y el alcance se corresponden efectivamente con los requisitos suizos.

• Informe claramente en cada recogida de datos.
• Cubra finalidades, destinatarios y derechos de los interesados.
• Adapte sus avisos RGPD al contexto suizo.

Paso 4 — Mantener el registro

Elabore y mantenga el registro de actividades de tratamiento. Las pymes se benefician de alivios bajo ciertas condiciones, pero en cuanto existan tratamientos de riesgo o sensibles, el registro resulta plenamente obligatorio.

Un registro vivo es también su mejor protección en caso de investigación del PFPDT.

• Verifique la elegibilidad para los alivios de pyme.
• Vincule cada tratamiento a su finalidad y sus plazos de conservación.
• Mantenga el registro actualizado de forma continua.

Paso 5 — Proteger los datos y evaluar los riesgos

Aplique privacy by design y by default, proteja los datos mediante medidas proporcionadas y realice una evaluación de impacto para los tratamientos de alto riesgo.

La seguridad es un aspecto tanto más sensible cuanto que su fallo puede comprometer la responsabilidad penal del responsable.

• Integre la protección de datos desde el diseño.
• Realice una evaluación de impacto para los tratamientos de riesgo.
• Implemente medidas de seguridad proporcionadas.

Paso 6 — Regular la subcontratación

Formalice contratos de encargo del tratamiento conformes con sus proveedores, especificando finalidades, seguridad, confidencialidad y el destino de los datos al término del contrato.

Identifique a sus subencargados y evalúe sus garantías: sus fallos pueden comprometer su responsabilidad.

• Firme contratos de encargo del tratamiento conformes.
• Identifique y evalúe a sus subencargados.
• Regule cualquier subcontratación ulterior.

Paso 7 — Preparar la gestión de las violaciones

Establezca un procedimiento de detección y notificación al PFPDT en caso de violación que entrañe un alto riesgo para los interesados, en el menor plazo posible.

Al igual que con el RGPD, este procedimiento no se improvisa: prepárelo y pruébelo en frío.

• Defina el circuito de detección y cualificación.
• Prepare la notificación al PFPDT.
• Documente cada incidente y su gestión.

Los errores frecuentes que hay que evitar

• Suponer que la conformidad con el RGPD es suficiente de forma automática: las diferencias suizas deben cubrirse punto por punto.
• Subestimar el riesgo penal individual propio del régimen suizo.
• Descuidar la protección específica de los datos sensibles en el sentido de la nLPD.
• No clarificar quién asume la responsabilidad, cuando la sanción recae sobre la persona física.
• Descuidar la preparación de la notificación de violaciones al PFPDT.
• Reutilizar menciones del RGPD sin adaptarlas al vocabulario y al ámbito suizos.