Jurisdicción seleccionada: Suiza — Ley Federal de Protección de Datos (LPD / nDSG), versión revisada vigente desde el 1 de septiembre de 2023
Concepto clave 1 — Datos personales
Un dato personal es cualquier información sobre una persona natural identificada o identificable. La definición es amplia a propósito, y es la misma idea en casi todas las leyes de protección de datos.
Concepto clave 2 — Datos sensibles
Los datos sensibles (también llamados categorías especiales de datos personales) pueden llevar a discriminación, exclusión u otros daños graves. Las categorías varían de una ley a otra, así que revise siempre la lista local.
Qué significa en la práctica: condiciones más estrictas, como el consentimiento expreso o por escrito, más seguridad, acceso solo para quien lo necesita y, en muchas leyes, una evaluación de riesgos antes de empezar.
Datos personales sensibles (art. 5 LPD). Cuando se requiere consentimiento, debe ser expreso, y comunicar datos sensibles a terceros necesita una justificación.
Concepto clave 3 — Tratamiento y roles
El tratamiento abarca todo el ciclo de vida: recopilar, registrar, almacenar, usar, compartir, modificar y suprimir datos, en papel o en sistemas informáticos. Cada tratamiento tiene roles claros.
La LPD protege solo a personas físicas (ya no a personas jurídicas) y se aplica a los tratamientos que tienen efectos en Suiza, aunque se realicen en el extranjero.
Concepto clave 4 — Los principios básicos
Los nombres cambian de una ley a otra, pero las ideas son casi universales. Los talleres siguientes convierten cada principio en medidas concretas.
Principio en foco — Licitud
La licitud significa que cada tratamiento necesita una base legal o una justificación. Es el punto en que más difieren las leyes: algunas se basan en el consentimiento, otras ofrecen varias bases legales equivalentes.
El consentimiento válido es libre, específico, informado e inequívoco, y puede revocarse en cualquier momento. Las casillas premarcadas y el consentimiento escondido en los términos y condiciones no cuentan.
No existe un requisito general de base jurídica: el tratamiento está permitido si respeta los principios. Solo se necesita una justificación (consentimiento, un interés privado o público preponderante o la ley) cuando el tratamiento vulnera derechos de la personalidad, p. ej. contra la voluntad expresa de la persona.
Concepto clave 5 — Transferencias de datos
Los datos personales rara vez se quedan en un solo sistema: van a proveedores, empresas del grupo, socios y autoridades, y muy a menudo a servidores en el extranjero. Cada uno de estos flujos tiene sus propias reglas.
Fácil de pasar por alto: el acceso remoto desde el extranjero (p. ej. equipos de soporte o la casa matriz) y los servicios en la nube alojados fuera del país también son transferencias.
La comunicación al extranjero está permitida a los países que el Consejo Federal considera adecuados (incluidos la UE/EEE, el Reino Unido y las empresas de EE. UU. certificadas en el Swiss-US Data Privacy Framework). En otro caso se necesitan garantías, p. ej. cláusulas contractuales tipo reconocidas por el FDPIC (las cláusulas tipo de la UE con adaptaciones suizas) o normas corporativas vinculantes, o una excepción como el consentimiento. Los encargados necesitan un contrato y los subencargados requieren la autorización previa del responsable.
Concepto clave 6 — Consecuencias del incumplimiento
La mayoría de los casos sancionadores empiezan con algo evitable: una brecha de seguridad, una base legal que falta, una solicitud de un cliente sin responder o la queja de un empleado.
Autoridad de control: Comisionado Federal de Protección de Datos y Transparencia (FDPIC / EDÖB)
Su jurisdicción de un vistazo — Suiza
Autoridad: Comisionado Federal de Protección de Datos y Transparencia (FDPIC / EDÖB)
Compruebe lo aprendido y próximos pasos
Resultado esperado de la Tarea 1: todos los miembros del equipo del proyecto entienden los términos y principios clave de la protección de datos en los que se basan los talleres siguientes.