Las obligaciones operativas lado a lado
| Obligación | LPD | RGPD |
|---|---|---|
| Registro de actividades de tratamiento | Art. 12; excepción por debajo de 250 empleados (art. 24 OPD) | Art. 30; excepción por debajo de 250 empleados, muy limitada |
| Deber de información | Art. 19 | Art. 13 y 14 |
| Acceso | Art. 25; por regla general, 30 días | Art. 15; un mes, ampliable en dos meses |
| Entrega y portabilidad de los datos | Art. 28 | Art. 20 |
| Supresión | Art. 6 apdo. 4 y art. 32 apdo. 2 letra c | Art. 17 |
| Protección de datos desde el diseño y por defecto | Art. 7 | Art. 25 |
| Seguridad de los datos | Art. 8 | Art. 32 |
| Evaluación de impacto relativa a la protección de datos | Art. 22 | Art. 35 |
| Notificación de violaciones de la seguridad de los datos | Art. 24; si es probable un alto riesgo, lo antes posible al Comisionado Federal suizo de Protección de Datos (PFPDT) | Art. 33; sin dilación indebida y, si es posible, en 72 horas a la autoridad de control, salvo que sea improbable que exista un riesgo |
| Comunicación al extranjero | Art. 16 y 17 | Art. 44 y ss. |
En qué se diferencian la LPD suiza y el RGPD
- Terminología: en alemán, la LPD suiza utiliza términos propios («Personendaten», «Bearbeitung», «Auftragsbearbeiter») distintos de los del RGPD («personenbezogene Daten», «Verarbeitung», «Auftragsverarbeiter»); en español corresponden a datos personales, tratamiento y encargado del tratamiento.
- Base del tratamiento: la LPD suiza permite el tratamiento si se respetan los principios; solo se necesita un motivo justificativo cuando hay una vulneración de la personalidad. El RGPD exige una base jurídica para cada tratamiento (art. 6 RGPD).
- Datos sensibles: la LPD suiza incluye también los datos sobre medidas de asistencia social y sobre procedimientos o sanciones administrativos y penales.
- Notificación de violaciones: la LPD suiza la exige si es probable un alto riesgo, sin plazo fijo; el RGPD ya cuando no puede descartarse un riesgo, si es posible en 72 horas.
- Sanciones: la LPD suiza dirige las multas, en principio, contra las personas físicas responsables; el RGPD impone multas a las empresas.
¿Qué significa esto para la operación?
Ambas leyes exigen procesos, no solo documentos: un registro que sea correcto, solicitudes respondidas dentro de plazo, datos que se borran realmente cuando vence su plazo y pruebas que lo demuestran.
Quien está sujeto a ambos ordenamientos obtiene los mejores resultados con un proceso único: calcular y vigilar los plazos de cada solicitud, dirigir los borrados en todos los sistemas y registrar cada paso.