La respuesta de Suiza al GDPR, la recién actualizada Federal Act on Data Protection (FADP), se ha modernizado para adaptarse al rápido mundo de unos y ceros en el que vivimos hoy. Introducida por primera vez en 1992, este año por fin se ha puesto plenamente al día con los retos del mundo digital.
¿Qué significa esto para usted y su empresa? ¿En qué ha cambiado la FADP y en qué se diferencia del GDPR de la UE?
La FADP, principal regulación suiza de privacidad de datos, solo había recibido un par de revisiones menores desde su creación en 1992, hasta ahora. La actualización mucho más significativa de 2023 refleja la importancia de adaptarse a las necesidades digitales contemporáneas, e incluye un sistema poco convencional de consecuencias por las brechas de datos.
Para las empresas que se aventuran en territorio suizo, esto significa cumplir con normas estrictas que regulan el tratamiento de los datos personales. Al igual que el GDPR, la FADP refleja la necesidad de proteger la información personal. Sin embargo, mantiene unos principios propios adaptados al peculiar contexto de Suiza.
En general, la FADP otorga a las personas en Suiza estos derechos básicos sobre sus datos personales:
La FADP revisada introduce cambios fundamentales y pone el énfasis en la transparencia, la rendición de cuentas y la responsabilidad de las empresas. Para los individuos, promete derechos de datos reforzados y garantiza el control sobre el uso y la conservación de su información personal.
Para las empresas que ya cumplen con el GDPR de la UE, las disposiciones de la nueva FADP no supondrán un gran problema. Pero conviene saber qué hay de nuevo y cómo deberá adaptarse su empresa.
Veamos las principales modificaciones de la FADP y entendamos qué importancia tienen estas regulaciones para su negocio y para las personas cuyos datos gestiona.
Ha habido un cambio fundamental en las entidades que protege la FADP. Antes salvaguardaba tanto los datos de las personas físicas como los de las personas jurídicas; ahora protege exclusivamente la información personal de las personas físicas. Al centrarse en la protección de los datos individuales, la nueva FADP garantiza un enfoque más específico para proteger la información personal.
La FADP revisada también amplía su alcance al tratamiento de datos personales que «tiene efecto en Suiza», independientemente de la ubicación geográfica de la organización que recopile los datos. Esto se extiende a las actividades de tratamiento llevadas a cabo por entidades extranjeras.
La FADP actualizada pone un fuerte énfasis en la Privacy by Design y Privacy by Default, exigiendo que las medidas de protección de la privacidad se incorporen en el diseño de productos y servicios. También obliga a activar por defecto medidas de seguridad de alto nivel, garantizando una protección de datos sólida desde el principio.
Bajo la FADP es obligatorio mantener un registro de las actividades de tratamiento, asegurando la transparencia sobre cómo se procesan los datos. Aunque existen ciertas exenciones para las pequeñas empresas, el objetivo general es ofrecer una visión completa de las prácticas de tratamiento de datos.
Asimismo, en caso de una brecha de seguridad de datos es obligatoria la notificación inmediata al Federal Data Protection and Information Commissioner.
La FADP pone el énfasis en garantizar que los usuarios finales entiendan cómo se utilizan y recogen sus datos. Al pedir el consentimiento, las organizaciones deben comunicar con claridad los derechos y opciones disponibles para las personas.
También simplifica las solicitudes de acceso por parte de los interesados al eliminar la necesidad de aportar información sobre sí mismos. En cualquier momento, cualquier persona puede preguntar qué información se recoge sobre ella, por qué y cómo se está utilizando.
A partir de septiembre de 2023, nuevas normas estrictas regulan la transferencia transfronteriza de datos, destacando la necesidad de aprobación por parte del Consejo Federal Suizo. Además, la FADP revisada introduce las Data Protection Impact Assessments (DPIAs) para evaluar el tratamiento de alto riesgo, subrayando la importancia crucial de la privacidad y la seguridad.
La FADP actualizada exige consentimiento explícito para el profiling de alto riesgo. Asimismo, amplía el alcance de los datos personales sensibles, incluyendo ahora información relacionada con procedimientos administrativos o penales, sanciones y medidas de seguridad social. Los datos genéticos y biométricos también quedan bajo el paraguas de información sensible.
Por incumplimiento, las personas físicas privadas responsables pueden enfrentarse a multas de hasta 250 000 CHF, mientras que las empresas pueden afrontar responsabilidad penal y multas de hasta 50 000 CHF si identificar a los responsables implica esfuerzos desproporcionados.
Y ahora la parte que puede levantar más de una ceja: el nuevo sistema de sanciones y penalizaciones. Las personas responsables dentro de las empresas (no la empresa en sí, sino la persona responsable) pueden enfrentarse a multas de hasta 250 000 CHF (aproximadamente 270 000 USD) por incumplimiento.
En los casos en los que identificar a los responsables dentro de la organización suponga retos desproporcionados, las empresas podrían afrontar responsabilidad penal en su lugar. Si esto ocurre, las entidades pueden ser multadas con hasta 50 000 CHF (aproximadamente 53 000 USD), lo que subraya la necesidad de optimizar la rendición de cuentas y de asignar con claridad los roles de protección de datos.
Ahora que conoce mejor la FADP y sus recientes cambios, hablemos de lo que puede hacer para que su organización cumpla con sus requisitos. Empiece con estos pasos:
Tanto la FADP como el GDPR de la UE priorizan la privacidad de los datos, estableciendo altos estándares para la recogida, el manejo y la protección de la información personal. Comparten los objetivos fundamentales de proteger la privacidad de los datos y los derechos individuales sobre los mismos. Sin embargo, no siempre coinciden en cómo se aplican estos principios. Cuando difieren, la nueva FADP suele ser la más estricta de las dos.
Las principales diferencias entre la FADP actualizada y el GDPR son:
Safetica ofrece soluciones completas de protección de datos diseñadas para ayudar a las empresas a cumplir con las regulaciones de protección de datos. Con funciones que abarcan la prevención de pérdida de datos, auditorías de datos transparentes y supervisión de la actividad de los usuarios, el software de Safetica acompaña a las compañías en el cumplimiento de las complejidades de las leyes de protección de datos.
Ya sea manteniendo un registro claro de las actividades de tratamiento de datos, proporcionando alertas de seguridad en tiempo real o evitando fugas de datos mediante cifrado y controles de acceso, Safetica proporciona herramientas adaptadas para ayudar a las empresas a alcanzar y mantener el cumplimiento de la FADP revisada. Nuestro software es fácil de usar, fácil de implementar y fácil de entender.
Entendemos que pueda tener dudas; la protección de datos no es una broma. Si quiere la mejor solución para su organización, ¿por qué no descubre lo que podemos hacer por usted en una llamada de demo?