Uma Nova Base Legal para Empresas que Operam na Suíça

Desde 1º de setembro de 2023, as empresas que operam na Suíça atuam sob um quadro jurídico revisado: a Lei Federal de Proteção de Dados, comumente referida como FADP ou nFADP. A lei, originalmente aprovada pelo parlamento suíço em setembro de 2020, aproxima as regras de privacidade da Suíça do espírito do Regulamento Geral sobre a Proteção de Dados da UE, mantendo ao mesmo tempo características distintamente suíças que as empresas não podem simplesmente copiar e colar de seus programas de conformidade com o GDPR.

O momento é importante. Muitas organizações, incluindo empresas alemãs com subsidiárias, filiais ou bases de clientes na Suíça, tiveram que reavaliar suas práticas de tratamento de dados antes do prazo de setembro. Para as empresas que presumiam que a conformidade com o GDPR era automaticamente suficiente, a Lei Suíça de Proteção de Dados introduziu seu próprio conjunto de obrigações, definições e mecanismos de fiscalização que exigiam atenção separada.

O Que Torna a Lei Suíça de Proteção de Dados Diferente

Um dos aspectos mais consequentes da FADP revisada é seu alcance extraterritorial. A lei se aplica a qualquer tratamento de dados pessoais que tenha efeito na Suíça, mesmo quando esse tratamento é iniciado no exterior. Isso significa que uma empresa com sede fora da Suíça, inclusive na Alemanha ou em qualquer outro lugar da UE, pode cair sob a jurisdição suíça simplesmente por tratar dados de pessoas na Suíça.

Esse escopo extraterritorial ecoa uma tendência mais ampla na regulamentação de privacidade em todo o mundo, onde a localização física de uma empresa importa menos do que a localização das pessoas cujos dados estão sendo tratados. É um conceito intimamente relacionado ao que determina a jurisdição de VPN para ferramentas de privacidade: o quadro jurídico que rege uma organização é moldado por onde residem seus sujeitos, usuários ou clientes, não apenas onde estão seus servidores ou escritórios. As empresas que já lidaram com questões jurisdicionais em torno de fluxos de dados transfronteiriços reconhecerão o padrão aqui.

Outra característica notável é a estrutura de penalidades. Sob a lei revisada, indivíduos, tipicamente executivos ou funcionários responsáveis, que violarem intencionalmente certas disposições podem enfrentar multas de até CHF 250.000. Esta é uma mudança significativa em relação a um modelo de multas apenas corporativas, colocando a responsabilidade pessoal sobre os tomadores de decisão dentro de uma organização, em vez de tratar as violações puramente como um custo de fazer negócios.

Pressão de Conformidade Encontra uma Realidade Mais Ampla de Segurança Cibernética

As novas obrigações legais chegam em um momento em que as empresas suíças já enfrentam pressões reais de segurança de dados vindas de uma direção diferente: cibercriminosos. Incidentes recentes envolvendo organizações suíças ressaltam por que a conformidade regulatória e a segurança operacional precisam caminhar juntas. Um grupo de ransomware chamado Booba Project assumiu a responsabilidade por um ataque à Zynex, uma empresa sediada na Suíça, alegando que havia exfiltrado dados. Separadamente, o fabricante suíço de material rodante Stadler foi alvo por meio de uma plataforma de fornecedores e recusou publicamente pagar um pedido de resgate de vários milhões de francos do Grupo Everest.

Esses incidentes são um lembrete de que a lei de proteção de dados e a prática de segurança cibernética são dois lados da mesma moeda. Uma empresa pode ter políticas de privacidade bem redigidas e ainda assim sofrer uma violação se suas salvaguardas técnicas ficarem para trás. Sob a Lei Suíça de Proteção de Dados, espera-se que as organizações implementem medidas técnicas e organizacionais apropriadas para proteger dados pessoais, o que significa que a prevenção de violações não é apenas uma boa prática, é parte do quadro de conformidade que os reguladores examinarão após um incidente.

O Que Isso Significa Para Você

Se você administra ou trabalha para uma empresa que trata dados pessoais vinculados à Suíça, seja por meio de clientes, funcionários ou parceiros, a FADP revisada provavelmente já se aplica a você, independentemente de onde sua sede esteja localizada. Isso é especialmente relevante para empresas alemãs e de outros países da UE que presumiram que o alinhamento com o GDPR as cobria completamente; os requisitos suíços em torno de registros de tratamento de dados, transferências transfronteiriças e notificação de violações têm suas próprias nuances.

Para consumidores individuais, a vantagem prática é um quadro jurídico projetado para dar a você mais visibilidade e controle sobre como seus dados pessoais são usados por empresas que operam na Suíça ou conectadas a ela. Isso não impedirá todas as violações ou tentativas de ransomware, mas cria uma responsabilização mais clara quando algo dá errado.

Principais Conclusões

Empresas com qualquer conexão de dados suíça devem revisar se seu programa de conformidade com o GDPR existente realmente atende aos requisitos específicos da FADP, em vez de presumir equivalência. As equipes jurídicas e de TI devem coordenar-se de perto, pois o alcance extraterritorial da lei significa que a jurisdição sozinha não protegerá uma empresa de suas obrigações. Dadas as multas pessoais vinculadas a violações intencionais, a responsabilização da liderança pelas decisões de tratamento de dados merece um processo documentado e auditável. E, à luz da atividade contínua de ransomware contra empresas suíças, as salvaguardas técnicas devem ser tratadas como um requisito de conformidade, não apenas uma preocupação de TI. A Lei Suíça de Proteção de Dados agora é uma parte fixa do ambiente operacional para qualquer empresa que lide com dados pessoais suíços, e sair na frente é muito mais fácil do que reagir depois que um regulador ou um atacante força a questão.