Protección de datos en SwissImmigrationPro: Ley federal de protección de datos (nDSG)

Fecha de vigencia: 01.09.2023. Estado del nDSG revisado en el momento de la primera redacción. Estado: borrador de IA, pendiente de revisión por el/la abogado/a of record responsable y por el/la delegado/a de protección de datos (DPO).

Finalidad de este documento

SwissImmigrationPro (SIP) almacena y trata datos de migración que, con arreglo al derecho federal, forman parte de los datos personales especialmente dignos de protección (art. 5, let. c, nDSG). Este documento describe el régimen de protección de datos aplicable en el derecho federal suizo, identifica las consecuencias operativas para los usuarios y las usuarias de SIP y cita textualmente las disposiciones pertinentes. Constituye la fuente vinculante para toda cuestión de consentimiento, toda solicitud de acceso y toda solicitud de supresión de datos.

1. La Ley de protección de datos revisada (nDSG): visión general

La Ley federal de protección de datos (DSG, SR 235.1) entró en vigor en su versión revisada el 1 de septiembre de 2023. Sustituye a la aDSG de 1992. La revisión se motivó en particular por la adaptación al art. 8 del CEDH, al RGPD de la UE (a efectos de la decisión de adecuación) y al Convenio modernizado SEV 108+ del Consejo de Europa.

Ámbito de aplicación (art. 2 nDSG). La ley se aplica al tratamiento de datos personales de personas físicas por parte de:

• personas privadas (art. 2, al. 1, let. a): entre ellas se cuenta SIP como persona jurídica de derecho privado;
• órganos federales (art. 2, al. 1, let. b): Secretaría de Estado de Migración (SEM), Tribunal Administrativo Federal (BVGer), Administración Federal de Contribuciones (ESTV), etc.

No se aplica al tratamiento realizado por:

• órganos cantonales y comunales (que están sujetos a las leyes cantonales de protección de datos; véase el apartado 15);
• datos personales de personas jurídicas (art. 2, al. 2, let. b: una modificación sustancial respecto de la aDSG, que también protegía a las personas jurídicas);
• datos personales destinados a un uso exclusivamente personal (art. 2, al. 2, let. a).

Autoridad de supervisión. Encargado/a Federal de Protección de Datos y Transparencia (EDÖB; internacionalmente FDPIC, Federal Data Protection and Information Commissioner). Sede en Berna, competencia nacional. El/La encargado/a es nombrado/a por el Consejo Federal (art. 43 nDSG) y no está sujeto/a a instrucciones en el ejercicio de sus funciones (art. 43, al. 4, nDSG).

Relación con el RGPD de la UE. La Comisión Europea reconoció el nDSG como adecuado en el sentido del art. 45 del RGPD el 15 de enero de 2024. Por ello, las transferencias de datos desde el EEE hacia Suiza no requieren garantías complementarias. No obstante, el nDSG es autónomo y no coincide plenamente con el RGPD (diferencias centrales: no existe un derecho de supresión autónomo, no hay multas de hasta el 4 % de la cifra de negocios anual, no hay una protección explícita frente a la creación de perfiles al nivel del RGPD).

2. Datos personales especialmente dignos de protección: art. 5, let. c, nDSG

Los datos de migración son, con arreglo al derecho federal suizo, especialmente dignos de protección. La lista exhaustiva del art. 5, let. c, nDSG dice textualmente:

Art. 5 Definiciones

A los efectos de la presente ley se entiende por:

c. datos personales especialmente dignos de protección: los datos:

1. sobre opiniones o actividades religiosas, ideológicas, políticas o sindicales,
2. sobre la salud, la esfera íntima o la pertenencia a una raza o etnia,
3. datos genéticos,
4. datos biométricos que identifiquen de manera inequívoca a una persona física,
5. datos sobre persecuciones o sanciones administrativas y penales,
6. datos sobre medidas de ayuda social.

Consecuencia operativa para SIP. Los datos de migración, en particular los datos de asilo, de personas sin papeles, de permiso S y de permiso F, activan típicamente al menos cuatro de las seis subcategorías de forma simultánea:

• Datos de asilo (art. 5, let. c, núms. 1, 2, 4 y 5):

  • motivos de persecución religiosos o políticos (núm. 1: religión, política);
  • datos de salud en la audiencia (núm. 2: salud);
  • etnia y región de origen (núm. 2: raza/etnia);
  • registro biométrico (huellas dactilares EURODAC, fotografía biométrica en los documentos N/F/B) (núm. 4: biométrico);
  • procedimiento administrativo en curso (núm. 5: persecución administrativa).

• Datos de personas sin papeles (art. 5, let. c, núm. 5): el mero hecho de la presencia sin estatuto de residencia es un estatuto de derecho administrativo con riesgo de sanción conforme al art. 115 AIG (Ley federal de extranjería e integración, SR 142.20), disposición penal por estancia irregular.

• Datos de permiso S de Ucrania (art. 5, let. c, núms. 1, 2 y 5): la procedencia de una zona de guerra activa implica con alta probabilidad indicaciones políticas y de salud; el estatuto S es una categoría de protección acordada por vía administrativa.

• Datos de permiso F (admisión provisional) (art. 5, let. c, núm. 5): ejecución de expulsión en curso con aplazamiento de la ejecución.

• Datos de reagrupación familiar y de matrimonio (art. 5, let. c, núm. 2): los detalles de la relación quedan comprendidos en la esfera íntima.

Consecuencia jurídica. Para los datos personales especialmente dignos de protección, el nDSG endurece:

• los requisitos del consentimiento (art. 6, al. 7: se exige consentimiento expreso);
• las obligaciones de DSFA (art. 22: evaluación de impacto relativa a la protección de datos en caso de tratamiento a gran escala);
• la comunicación a terceros (art. 30, al. 2, let. c: la simple comunicación ya puede constituir una vulneración de la personalidad);
• las disposiciones sobre multas (art. 60 y ss.: solo son punibles los casos que afectan a datos especialmente dignos de protección o al profiling, no de manera general).

3. Consentimiento: art. 6, al. 6 y 7, nDSG

Los requisitos del consentimiento dicen textualmente:

Art. 6 Principios

6 Cuando se requiera el consentimiento de la persona afectada, dicho consentimiento solo será válido si se otorga libremente para uno o varios tratamientos determinados y previa información adecuada.

7 El consentimiento debe otorgarse de forma expresa para: a. el tratamiento de datos personales especialmente dignos de protección; b. un profiling de alto riesgo por parte de una persona privada; o c. un profiling por parte de un órgano federal.

Consecuencias operativas para SIP.

Una cláusula general de condiciones generales no basta. Un consentimiento global incluido en las condiciones de uso, por ejemplo "Al hacer clic en 'Crear cuenta' usted consiente todos los tratamientos de datos", no es válido para datos personales especialmente dignos de protección. La exigencia de consentimiento expreso del art. 6, al. 7, nDSG excluye la aceptación implícita o agrupada. Todo tratamiento de datos especialmente dignos de protección, en particular el registro del estatuto de permiso o el esclarecimiento de un caso de rigor, requiere un consentimiento separado, otorgado antes del tratamiento y registrado.

Granularidad. El art. 6, al. 6, nDSG exige un consentimiento "para uno o varios tratamientos determinados". Un consentimiento global "para todos los tratamientos futuros" no es específico en cuanto a la finalidad y, por tanto, no es válido. Los consentimientos de SIP deben nombrar por separado cada categoría de finalidad (gestión de la cuenta; seguimiento del permiso; Crisis Card; mandato de cliente; marketing, cada uno con su propio opt-in).

Libertad. El consentimiento no es libre si su denegación impide el acceso a una prestación esencial o provoca perjuicios considerables. SIP no puede hacer depender el acceso a la cuenta de un consentimiento a tratamientos no necesarios (por ejemplo, marketing) (prohibición de vinculación, véase la explicación del EDÖB de 2022).

Revocabilidad. El consentimiento puede revocarse en cualquier momento (véase el art. 30, al. 2, let. b, nDSG, derecho de oposición). La revocación produce efectos ex nunc (hacia el futuro); los tratamientos anteriores a la revocación siguen siendo lícitos si en su momento estaban cubiertos por un consentimiento válido.

Carga de la prueba. En caso de litigio, SIP, en su condición de responsable del tratamiento, soporta la carga de probar que existía un consentimiento válido. Por ello, SIP registra cada consentimiento con marca temporal, hash de la IP, tenor literal de la declaración de consentimiento y versión del formulario de la interfaz.

4. Deber de información del responsable del tratamiento: art. 19 nDSG

Al obtener datos personales, SIP debe informar activamente a la persona afectada. El art. 19 nDSG dice, en extracto, textualmente:

Art. 19 Deber de información en la obtención de datos personales

1 El responsable del tratamiento informa adecuadamente a la persona afectada sobre la obtención de datos personales; este deber de información rige también cuando los datos no se obtengan de la persona afectada.

2 Le comunica a la persona afectada, en el momento de la obtención, las informaciones necesarias para que pueda hacer valer sus derechos con arreglo a la presente ley y para que quede garantizado un tratamiento de datos transparente; le comunica como mínimo: a. la identidad y los datos de contacto del responsable del tratamiento; b. la finalidad del tratamiento; c. en su caso, los destinatarios o las categorías de destinatarios a quienes se comunican datos personales.

3 Si los datos no se obtienen de la persona afectada, le comunica además las categorías de datos personales tratados.

4 Si los datos personales se comunican al extranjero, comunica también a la persona afectada el Estado o el organismo internacional y, en su caso, las garantías previstas en el artículo 16, apartado 2, o la aplicación de una excepción prevista en el artículo 17.

• identidad del responsable del tratamiento: SwissImmigrationPro AG, domicilio, dirección de correo electrónico de contacto del DPO;
• finalidad del tratamiento: seguimiento del permiso; Crisis Card; intermediación del mandato de cliente; recordatorios de AHV/impuestos, cada categoría de finalidad por separado;
• destinatarios o categorías: oficina cantonal de migración (solo en caso de acción de envío explícita por parte del usuario o la usuaria); abogado/a of record (solo en caso de mandato); encargados del tratamiento (Stripe SPEL, Infomaniak, Vault, Anthropic; véase el apartado 13);
• recepción en el extranjero: Anthropic (EE. UU.) para la inferencia del LLM de Clara; véase el apartado 12.

Momento. La información debe facilitarse en el momento de la obtención, no con posterioridad. En concreto: la capa 1 del aviso de privacidad debe ser visible antes de hacer clic en "Crear cuenta", no solo después de introducir los datos.

5. Derecho de acceso: art. 25 nDSG

El derecho de acceso es el derecho central de la persona afectada. El art. 25 nDSG dice, en extracto, textualmente:

Art. 25 Derecho de acceso

1 Toda persona puede solicitar al responsable del tratamiento información sobre si se tratan datos personales que le conciernen.

2 La persona afectada recibe las informaciones necesarias para poder hacer valer sus derechos con arreglo a la presente ley y para que quede garantizado un tratamiento de datos transparente. En todo caso recibe las siguientes informaciones: a. la identidad y los datos de contacto del responsable del tratamiento; b. los datos personales tratados como tales; c. la finalidad del tratamiento; d. el plazo de conservación de los datos personales o, si ello no fuera posible, los criterios para determinar dicho plazo; e. las informaciones disponibles sobre el origen de los datos personales, en la medida en que no se hayan obtenido de la persona afectada; f. en su caso, la existencia de una decisión individual automatizada, así como la lógica en la que se basa la decisión; g. en su caso, los destinatarios o las categorías de destinatarios a quienes se comunican datos personales, así como las informaciones previstas en el artículo 19, apartado 4.

7 La información debe facilitarse por regla general de forma gratuita en un plazo de 30 días.

Consecuencia operativa para SIP. Las solicitudes de acceso deben responderse gratuitamente en un plazo de 30 días, como plazo ordinario. Para ello, SIP mantiene un botón de acceso de autoservicio en el panel de la cuenta que genera un paquete completo de exportación de datos, así como una dirección de correo de acceso, dpo@swissimmigrationpro.ch, para solicitudes complejas.

Contenido mínimo de la respuesta. El acceso comprende no solo los "datos", sino el catálogo completo del al. 2, let. a a g: plazo de conservación, origen, eventuales decisiones individuales automatizadas, destinatarios. Una mera recopilación en PDF de los datos introducidos, sin metadatos, no basta.

Práctica del EDÖB en 2025. En una recomendación publicada en agosto de 2025 contra un gran banco suizo, el EDÖB constató que una justificación genérica del retraso ("demasiadas solicitudes", "verificación interna de cumplimiento") no prolonga legítimamente el plazo de 30 días. Las prórrogas solo son admisibles en caso de complejidad acreditada de la solicitud concreta y deben comunicarse de forma motivada.

Denegación. El acceso puede denegarse, limitarse o aplazarse si se cumplen los requisitos del art. 26 nDSG, en particular en el ámbito de aplicación del secreto profesional del abogado (véase el apartado 6).

6. Reserva del secreto profesional: art. 26, al. 1, let. a, nDSG

El secreto profesional del abogado es un límite explícito del derecho de acceso. El art. 26, al. 1, let. a, nDSG dice textualmente:

Art. 26 Limitaciones del derecho de acceso

1 El responsable del tratamiento puede denegar, limitar o aplazar la información cuando: a. una ley en sentido formal así lo prevea, en particular para proteger un secreto profesional; b. ello sea necesario por intereses preponderantes de terceros; o c. la solicitud de acceso sea manifiestamente infundada, en particular cuando persiga una finalidad contraria a la protección de datos o sea manifiestamente querulante.

2 El responsable del tratamiento puede además denegar, limitar o aplazar la información cuando: a. sea una persona privada y se cumplan los siguientes requisitos:

1. intereses preponderantes del responsable del tratamiento exijan la medida,
2. el responsable del tratamiento no comunique los datos personales a terceros; b. sea un órgano federal y se cumplan los siguientes requisitos:
3. intereses públicos preponderantes, en particular la seguridad interior o exterior de Suiza, exijan la medida,
4. la comunicación de las informaciones pueda poner en peligro una investigación, una instrucción penal u otro procedimiento de investigación.

Consecuencia operativa para los mandatos de SIP. Tan pronto como exista un mandato entre el usuario o la usuaria y el/la abogado/a of record, la llevanza del expediente propia del mandato queda sujeta al art. 13 BGFA (Ley federal sobre la libre circulación de los abogados, SR 935.61), secreto profesional del abogado. Los datos y la correspondencia del portal de clientes quedan entonces excluidos del derecho de acceso en la medida en que estén amparados por el secreto profesional (art. 26, al. 1, let. a, nDSG en relación con el art. 13 BGFA).

Qué significa esto en la práctica.

• El usuario o la usuaria sigue teniendo acceso pleno a su propio expediente de mandato (el secreto profesional del BGFA protege la relación entre abogado/a y cliente, no a la inversa).
• Terceros, como las autoridades suizas, un empleador u otro miembro de la familia, no pueden acceder al expediente de mandato a través del derecho de acceso del nDSG.
• En el caso de una solicitud de acceso presentada por una persona cuyos datos figuran en el expediente de otro/a cliente (por ejemplo, en un procedimiento de reagrupación familiar), SIP puede denegar el acceso conforme al art. 26, al. 1, let. a, nDSG en la medida en que la comunicación vulneraría el secreto profesional del cliente principal.

Deber de motivación. La denegación del acceso debe motivarse (art. 26, al. 4, nDSG en relación con la práctica del EDÖB). No basta con invocar el "secreto profesional"; SIP indica la base jurídica concreta y la categoría de los datos retenidos.

7. El nDSG no contiene un derecho de supresión autónomo

Aclaración importante, divergente del RGPD de la UE. El nDSG no contiene un "derecho de supresión" autónomo y formulado como tal (no existe un "right to be forgotten"). El RGPD de la UE lo regula en su art. 17; el equivalente suizo falta expresamente.

Esta doctrina se remonta a David Rosenthal (Rosenthal/Jöhri, Handkommentar zum Datenschutzgesetz, Schulthess 2008, N 137 sobre el art. 5; confirmada en el comentario al nDSG de Rosenthal de 2022). En el nDSG, la supresión se produce de forma indirecta a través de dos mecanismos:

Mecanismo 1: derecho de oposición (art. 30, al. 2, let. b, nDSG). Textualmente:

Art. 30 Vulneraciones de la personalidad

1 El responsable del tratamiento no puede vulnerar ilícitamente la personalidad de la persona afectada.

2 Existe en particular una vulneración de la personalidad cuando: a. se traten datos personales contraviniendo los principios de los artículos 6 y 8; b. se traten datos personales contra la voluntad expresamente declarada de la persona afectada; c. se comuniquen a terceros datos personales especialmente dignos de protección.

Una declaración expresa de voluntad contra el tratamiento ulterior (es decir, la revocación del consentimiento más la oposición al tratamiento) convierte todo tratamiento posterior en una vulneración de la personalidad.

Mecanismo 2: pretensión de rectificación y de cesación conforme al art. 28 ZGB. La persona afectada puede demandar la supresión ante el tribunal civil sobre la base del art. 32, al. 2, nDSG en relación con los art. 28 y ss. del ZGB (Código civil, SR 210). El art. 32, al. 2, let. c, nDSG dice textualmente:

Art. 32 Pretensiones y procedimiento

2 La parte demandante puede solicitar: c. que los datos personales se rectifiquen, se destruyan o no se comuniquen a terceros.

Consecuencia operativa para SIP. Una solicitud de supresión de un usuario o una usuaria no se tramita bajo la etiqueta del nDSG "Right to Erasure", sino así:

1. SIP comprueba en primer lugar si se ha revocado el consentimiento; si es así, todo tratamiento posterior vulnera la personalidad (art. 30, al. 2, let. b);
2. SIP comprueba si sigue existiendo una base jurídica para la conservación (obligación contractual, obligación de llevanza de la contabilidad del art. 958 OR (Código de obligaciones, SR 220), obligación de llevanza del expediente del abogado del art. 12 BGFA, obligación fiscal de conservación);
3. Si falta la base jurídica, SIP suprime de inmediato; si existe una base jurídica, SIP bloquea los datos y los suprime automáticamente una vez transcurrida dicha base jurídica.

Claridad para los usuarios y las usuarias. La política de privacidad de SIP no formula "Usted tiene derecho a la supresión" (lo que sería impreciso desde el punto de vista dogmático), sino: "Usted puede revocar el consentimiento en cualquier momento. Los datos cuya conservación no tenga otra base legal se suprimen. Los datos que cumplen obligaciones legales de conservación se bloquean y se suprimen automáticamente al expirar dicha obligación."

8. Exclusión de la rectificación en caso de obligación legal de conservación: art. 32, al. 1, let. a, nDSG

El art. 32, al. 1, nDSG regula la pretensión de rectificación y sus límites. Textualmente:

Art. 32 Pretensiones y procedimiento

1 La persona afectada puede solicitar en particular que: a. se rectifiquen los datos personales inexactos, salvo que una disposición legal prohíba la modificación; b. el tratamiento no se lleve a cabo o se lleve a cabo solo de forma limitada; c. se destruyan los datos personales.

Consecuencia operativa para SIP. La cláusula "salvo que una disposición legal prohíba la modificación" es el límite central para las solicitudes de rectificación dirigidas a SIP que se refieren a un expediente de mandato del abogado.

La llevanza del expediente del abogado como límite a la rectificación. Conforme al art. 12, let. j, BGFA, la abogada o el abogado inscrito en el registro debe conservar los expedientes de mandato durante al menos diez años desde la finalización del mandato. Se trata de una disposición de ley federal en el sentido del art. 32, al. 1, let. a, nDSG.

De ello se deriva que los datos de un mandato en curso o concluido no pueden rectificarse ni suprimirse en el expediente original durante el plazo de conservación de diez años. Si es necesaria una corrección (por ejemplo, un error en una fecha de nacimiento detectado en el procedimiento), el error se documenta mediante una adenda fechada; la anotación original del expediente permanece inalterada. Esta es la práctica del derecho de la abogacía y está expresamente respaldada por el art. 32, al. 1, let. a, nDSG.

Otros límites a la rectificación.

• obligación de conservación contable conforme al art. 958f OR (10 años: libros de comercio, justificantes contables);
• obligación fiscal de conservación conforme al art. 126, al. 3, DBG (Ley federal del impuesto federal directo) (10 años);
• obligaciones de conservación en el ámbito del AHV (art. 209 AHVV, Reglamento del seguro de vejez y supervivencia, de 5 a 10 años según la categoría de justificante);
• obligaciones de conservación relacionadas con el blanqueo de capitales conforme al art. 7, al. 3, GwG (Ley sobre el blanqueo de capitales) (10 años, en la medida en que resulte aplicable).

9. Evaluación de impacto relativa a la protección de datos (DSFA): art. 22 nDSG

En caso de tratamiento a gran escala de datos personales especialmente dignos de protección, la evaluación de impacto relativa a la protección de datos es obligatoria. El art. 22 nDSG dice textualmente:

Art. 22 Evaluación de impacto relativa a la protección de datos

1 El responsable del tratamiento elabora previamente una evaluación de impacto relativa a la protección de datos cuando un tratamiento pueda entrañar un riesgo elevado para la personalidad o los derechos fundamentales de la persona afectada. Si se prevén varias operaciones de tratamiento similares, puede elaborarse una evaluación de impacto conjunta.

2 El riesgo elevado se deriva, en particular con el empleo de nuevas tecnologías, de la naturaleza, el alcance, las circunstancias y la finalidad del tratamiento. Existe en particular cuando: a. se traten a gran escala datos personales especialmente dignos de protección; b. se vigilen sistemáticamente y a gran escala zonas públicas.

3 La evaluación de impacto relativa a la protección de datos contiene una descripción del tratamiento previsto, una valoración de los riesgos para la personalidad o los derechos fundamentales de la persona afectada, así como las medidas de protección de la personalidad y de los derechos fundamentales.

Consecuencia operativa para SIP. SIP realiza una DSFA por cada clase de permiso y por cada nueva funcionalidad con relevancia para los datos. La DSFA está documentada internamente (/compliance/dsfa/), fechada, firmada por el DPO y actualizada en caso de cambios sustanciales, típicamente cada 12 meses o con cada versión funcional que incorpore nueva recogida de datos.

Contenido de la DSFA de SIP. Descripción del flujo de datos (obtención → almacenamiento → tratamiento → comunicación → supresión); evaluación de riesgos (vulneración de la personalidad, discriminación, uso indebido de identidad, spillover hacia las autoridades); medidas de protección (cifrado, registros de acceso, minimización de datos, hash de la IP, contrato restrictivo con el encargado del tratamiento).

No existe un derecho a su entrega. La DSFA en sí no debe hacerse pública; sin embargo, el EDÖB puede consultarla en el marco de una investigación (art. 49 nDSG).

10. Consulta al EDÖB en caso de riesgo residual: art. 23 nDSG

Si tras las medidas de protección subsiste un riesgo elevado, debe consultarse al EDÖB. El art. 23 nDSG dice textualmente:

Art. 23 Consulta al EDÖB

1 El responsable del tratamiento consulta previamente al EDÖB cuando de la evaluación de impacto relativa a la protección de datos se desprenda que el tratamiento previsto, pese a las medidas previstas por el responsable del tratamiento, sigue entrañando un riesgo elevado para la personalidad o los derechos fundamentales de la persona afectada.

2 El EDÖB comunica al responsable del tratamiento sus objeciones al tratamiento previsto en un plazo de tres meses. Este plazo puede prorrogarse un mes en casos complejos.

3 Si el EDÖB tiene objeciones al tratamiento previsto, propone al responsable del tratamiento medidas adecuadas.

Consecuencia operativa para SIP. La consulta al EDÖB es un freno de emergencia, no un trámite rutinario. SIP la activaría típicamente en caso de:

• introducción por primera vez de profiling de alto riesgo (por ejemplo, una previsión de éxito del permiso, que constituiría una infracción de anti-scope y por ello no se implementa);
• comunicación sustancial al extranjero hacia un tercer Estado sin adecuación;
• introducción de identificación biométrica (no prevista en SIP).

Duración del procedimiento. Tres meses de plazo ordinario, cuatro meses en casos complejos (art. 23, al. 2). Durante ese plazo no puede iniciarse el tratamiento.

11. Obligación de notificar las violaciones de la seguridad de los datos: art. 24 nDSG

En caso de violación de la protección de datos existe una obligación de notificación al EDÖB y, si el riesgo es elevado, a las personas afectadas. El art. 24 nDSG dice textualmente:

Art. 24 Notificación de violaciones de la seguridad de los datos

1 El responsable del tratamiento notifica al EDÖB con la mayor rapidez posible toda violación de la seguridad de los datos que previsiblemente entrañe un riesgo elevado para la personalidad o los derechos fundamentales de la persona afectada.

2 En la notificación indica como mínimo la naturaleza de la violación, sus consecuencias y las medidas adoptadas o previstas.

3 El encargado del tratamiento notifica al responsable del tratamiento con la mayor rapidez posible toda violación de la seguridad de los datos.

4 El responsable del tratamiento informa a la persona afectada cuando ello sea necesario para su protección o cuando el EDÖB lo exija.

5 Puede limitar, aplazar o renunciar a la información a la persona afectada cuando: a. concurra un motivo del artículo 26, apartado 1, letra b, o apartado 2, o una obligación legal de secreto lo prohíba; b. la información sea imposible o exija un esfuerzo desproporcionado; c. la información a la persona afectada quede garantizada de forma comparable mediante una comunicación pública.

6 Una notificación efectuada en virtud del presente artículo solo podrá utilizarse en un procedimiento penal contra la persona obligada a notificar con el consentimiento de esta.

Consecuencia operativa para SIP.

El umbral del "riesgo elevado". No toda incidencia de datos es notificable. Criterios: sensibilidad de los datos (especialmente dignos de protección equivale a un umbral de riesgo elevado más alto); alcance (número de personas afectadas); probabilidad de las consecuencias (uso indebido de identidad, discriminación, medidas de las autoridades). Dado que SIP trata por principio datos especialmente dignos de protección, en la práctica el umbral se supera casi siempre.

"Con la mayor rapidez posible". La ley federal no fija un plazo rígido (a diferencia del RGPD de la UE, con su regla de 72 horas). El EDÖB aclaró en su explicación de 2023 que la notificación debe efectuarse en unos pocos días; los retrasos superiores a una semana sin motivo objetivo se califican como infracción de la obligación de notificación. SLA interno de SIP: notificación al EDÖB en un plazo de 72 horas desde el conocimiento.

Precedente "Xplain" 2023. En junio de 2023, el proveedor de servicios informáticos Xplain fue víctima de un ataque de ransomware. Se filtraron, entre otros, datos de la policía y de fedpol. La investigación del EDÖB concluyó en 2024 que la notificación tardía e incompleta a las autoridades afectadas constituía por sí misma una infracción del nDSG. Este caso ha concretado de forma decisiva la práctica sobre el plazo y la profundidad de la notificación.

Información a las personas afectadas. En caso de riesgo elevado, además de la notificación al EDÖB debe informarse directamente a las personas afectadas (art. 24, al. 4). Para ello, SIP envía un correo electrónico a la dirección registrada en la cuenta y bloquea la cuenta hasta la confirmación, en la medida en que ello sirva a la protección.

Protección penal frente a la autoinculpación. El art. 24, al. 6, es una cláusula de protección central: la notificación no puede utilizarse en un procedimiento penal contra SIP. Esto rebaja el umbral de inhibición para notificar en caso de duda.

12. Comunicación transfronteriza de datos: art. 16 a 18 nDSG

Los datos personales solo pueden comunicarse al extranjero bajo determinadas condiciones. El art. 16 nDSG (extracto) dice textualmente:

Art. 16 Principios

1 Los datos personales pueden comunicarse al extranjero cuando el Consejo Federal haya constatado que la legislación del Estado de que se trate o el organismo internacional garantiza una protección adecuada.

2 Si no existe una decisión del Consejo Federal conforme al apartado 1, los datos personales pueden comunicarse al extranjero cuando se garantice una protección de datos adecuada mediante: a. un tratado de derecho internacional; b. cláusulas de protección de datos en un contrato entre el responsable del tratamiento o el encargado del tratamiento y su contraparte contractual, comunicadas previamente al EDÖB; c. garantías específicas elaboradas por el órgano federal competente y comunicadas previamente al EDÖB; d. cláusulas tipo de protección de datos previamente aprobadas, emitidas o reconocidas por el EDÖB; e. normas corporativas vinculantes de protección de datos previamente aprobadas por el EDÖB o por una autoridad competente en materia de protección de datos de un Estado que garantice una protección adecuada.

Lista de adecuación del EDÖB, estado a 1.9.2023. Terceros Estados adecuados (extracto, no exhaustivo): Estados de la UE/EEE, Reino Unido, Andorra, Argentina, Islas Feroe, Guernsey, Isla de Man, Israel, Jersey, Canadá (sector privado), Nueva Zelanda, Uruguay, Japón, Corea del Sur.

No adecuado, relevante para SIP: Estados Unidos de América (EE. UU.). Un "Swiss-US Data Privacy Framework" (equivalente al EU-US DPF) está en vigor desde septiembre de 2024, pero solo es aplicable a los destinatarios estadounidenses que se hayan autocertificado. Anthropic PBC, en estado de mayo de 2026, no figura en la lista de autocertificación del Swiss-US DPF del U.S. Department of Commerce.

Consecuencia operativa para SIP. Para las comunicaciones a Anthropic (EE. UU.), la inferencia del LLM para Clara, se requieren conforme al art. 16, al. 2, let. d, nDSG cláusulas tipo de protección de datos aprobadas por el EDÖB ("Swiss SCCs") en el contrato entre SIP y Anthropic. Estas deben:

• celebrarse antes de la primera transmisión de datos;
• comunicarse al EDÖB en el marco de una DSFA, siempre que la DSFA indique un riesgo residual elevado;
• revisarse periódicamente.

Caso particular de Stripe. Stripe Payments Europe Limited (Irlanda) es la contraparte contractual para la tramitación de pagos suiza. Stripe Switzerland Payments Limited (Stripe SPEL) fue inscrita en 2024 como responsable del tratamiento suiza. Para los datos de pago de SIP ya no se da, por tanto, un supuesto de transferencia transfronteriza; Stripe SPEL es encargado del tratamiento bajo derecho suizo y bajo las cláusulas de encargo internas del grupo Stripe.

Infomaniak. Proveedor de alojamiento suizo en Suiza; sin transferencia transfronteriza.

Vault. HashiCorp Vault, como almacén de secretos, se ejecuta self-hosted en Infomaniak; sin transferencia a un tercer Estado.

13. Contrato de encargo del tratamiento: art. 9 nDSG

Cuando SIP delega el tratamiento de datos en terceros, rigen los requisitos del art. 9 nDSG. Textualmente:

Art. 9 Tratamiento por un encargado del tratamiento

1 El tratamiento de datos personales puede encomendarse contractualmente o por ley a un encargado del tratamiento cuando: a. los datos se traten del modo en que el propio responsable del tratamiento podría hacerlo; y b. ninguna obligación legal o contractual de secreto prohíba la delegación.

2 El responsable del tratamiento debe asegurarse en particular de que el encargado del tratamiento esté en condiciones de garantizar la seguridad de los datos.

3 El encargado del tratamiento solo puede delegar el tratamiento en un tercero con la autorización previa del responsable del tratamiento.

4 Puede invocar los mismos motivos justificativos que el responsable del tratamiento.

Cadena de encargados del tratamiento de SIP.

Cada encargado del tratamiento está sujeto a un contrato escrito de encargo del tratamiento (Data Processing Agreement, DPA) con los siguientes contenidos mínimos:

• objeto, duración y finalidad del tratamiento;
• categorías de personas afectadas y de datos;
• obligación de confidencialidad;
• medidas técnicas y organizativas (TOM);
• autorización o prohibición de subcontratación;
• devolución o supresión al término del contrato;
• derecho de auditoría a favor de SIP.

Para Anthropic, de forma complementaria, cláusulas contractuales tipo del EDÖB (véase el apartado 12).

14. Facultades de supervisión del EDÖB: art. 49 a 51 nDSG

El EDÖB es la autoridad de supervisión, con facultades de intervención limitadas, aunque ampliadas en comparación con la aDSG. Extracto del art. 49 nDSG, textualmente:

Art. 49 Investigaciones

1 El EDÖB abre de oficio o previa denuncia una investigación contra un órgano federal o una persona privada cuando existan indicios suficientes de que un tratamiento de datos pudiera infringir las disposiciones de protección de datos.

2 Puede abstenerse de abrirla cuando la infracción de las disposiciones de protección de datos sea de escasa importancia.

El art. 51 nDSG (medidas), en extracto, textualmente:

Art. 51 Medidas administrativas

1 Si existe una infracción de las disposiciones de protección de datos, el EDÖB puede ordenar que el tratamiento se adapte total o parcialmente, se interrumpa o se cese, y que los datos personales se supriman o destruyan total o parcialmente.

Disposiciones sobre multas (art. 60 y ss. nDSG). A diferencia del RGPD de la UE, el nDSG prevé multas penales dirigidas contra personas físicas (típicamente los directivos responsables), no principalmente contra la persona jurídica. Importe máximo: CHF 250'000.- por infracción. Son punibles en particular:

• la infracción dolosa de los deberes de información, de acceso y de colaboración (art. 60);
• la infracción dolosa de los deberes de diligencia relativos a la comunicación al extranjero (art. 61, let. a);
• la infracción dolosa de los requisitos mínimos de seguridad de los datos (art. 61, let. c);
• la infracción del deber de secreto (art. 62).

Punto esencial. Se trata de sanciones personales contra las personas físicas responsables, no de "multas empresariales" como bajo el RGPD de la UE. Ahora bien, el listón del dolo es alto; la negligencia solo es punible en supuestos estrictamente delimitados.

15. Leyes cantonales de protección de datos: qué regulan y qué no

Relación con los cantones. El nDSG no se aplica al tratamiento por parte de órganos cantonales (art. 2 nDSG a contrario). Para las oficinas cantonales de migración, las administraciones fiscales cantonales, la policía cantonal, los servicios sociales cantonales, etc., rigen las respectivas leyes cantonales de protección de datos. Estas existen en cada uno de los 26 cantones con una configuración propia; en lo esencial son similares al nDSG, pero divergen en los detalles (por ejemplo, el plazo de acceso o la estructura de la autoridad de supervisión).

Ejemplos de leyes cantonales de protección de datos.

• Zúrich: Gesetz über die Information und den Datenschutz, Ley sobre la información y la protección de datos (IDG, LS 170.4); supervisión: Delegado de Protección de Datos del Cantón de Zúrich.
• Berna: Datenschutzgesetz, Ley de protección de datos (KDSG, BSG 152.04); supervisión: Oficina de Supervisión de la Protección de Datos del Cantón de Berna.
• Ginebra: Loi sur l'information du public, l'accès aux documents et la protection des données personnelles (LIPAD, A 2 08); supervisión: Préposé(e) cantonal(e).
• Vaud: Loi sur la protection des données personnelles (LPrD, BLV 172.65); supervisión: Préposé(e) cantonal(e).
• Tesino: Legge sulla protezione dei dati personali (LPDP); supervisión: Incaricato cantonale per la protezione dei dati.

Consecuencia operativa para SIP. SIP, como empresa de derecho privado, está sujeta por principio al derecho federal (nDSG), no a las leyes cantonales. Sin embargo, tan pronto como los usuarios y las usuarias de SIP envían datos a las oficinas cantonales de migración, por ejemplo mediante el envío directo de una solicitud de reagrupación familiar cumplimentada, el tratamiento ulterior por parte de la autoridad se rige por el respectivo derecho cantonal.

Claridad para los usuarios y las usuarias. La información del apartado 4 (art. 19 nDSG) debe dejar claro que SIP solo responde de su propio tratamiento; lo que la oficina cantonal de migración haga con los datos que se le transmiten se rige por el derecho cantonal y no está sujeto a la práctica de protección de datos de SIP.

Resumen: el marco del nDSG desde la perspectiva de SIP

Referencias cruzadas

• el glosario de conceptos de AIG y VZAE: conceptos de AIG/VZAE a los que se refieren las categorías de datos relevantes para la migración;
• el glosario de la Ley de asilo: conceptos de AsylG, en particular sobre los estatutos N, F y S.

Nota de versión

Este documento se revisa trimestralmente (cada 90 días) para comprobar su actualidad. Motivos de revisión extraordinaria:

• nueva recomendación del EDÖB con efecto de precedente;
• decisión del Consejo Federal sobre la adecuación de otro tercer Estado (por ejemplo, la ampliación del USA-Swiss DPF);
• entrada en vigor de la revisión de la DSV (Reglamento del nDSG);
• cambio sustancial de encargado del tratamiento en SIP;
• BGE o BVGE con incidencia en la interpretación del nDSG.

Última revisión: 2026-05-18. Próxima revisión ordinaria prevista: 2026-08-18.