Proteção de dados na SwissImmigrationPro: Lei federal sobre a proteção de dados (nDSG)

Data de vigência: 01.09.2023. Estado do nDSG revisto no momento da primeira redação. Estado: projeto elaborado por IA, a aguardar verificação pelo advogado ou advogada of record responsável e pelo encarregado ou encarregada da proteção de dados (DPO).

Finalidade deste documento

A SwissImmigrationPro (SIP) armazena e trata dados de migração que, nos termos do direito federal, integram os dados pessoais especialmente dignos de proteção (art. 5, al. c, nDSG). Este documento descreve o regime de proteção de dados aplicável no direito federal suíço, identifica as consequências operacionais para os utilizadores da SIP e cita textualmente as disposições pertinentes. Constitui a fonte vinculativa para qualquer questão de consentimento, qualquer pedido de acesso e qualquer pedido de apagamento de dados.

1. A Lei de proteção de dados revista (nDSG): panorâmica

A Lei federal sobre a proteção de dados (DSG, SR 235.1) entrou em vigor na sua versão revista em 1 de setembro de 2023. Substitui a aDSG de 1992. A revisão foi motivada, em especial, pela adaptação ao art. 8 da CEDH, ao RGPD da UE (para efeitos da decisão de adequação) e à Convenção modernizada SEV 108+ do Conselho da Europa.

Âmbito de aplicação (art. 2 nDSG). A lei aplica-se ao tratamento de dados pessoais de pessoas singulares por:

• pessoas privadas (art. 2, n.º 1, al. a): entre elas conta-se a SIP, enquanto pessoa coletiva de direito privado;
• órgãos federais (art. 2, n.º 1, al. b): Secretaria de Estado das Migrações (SEM), Tribunal Administrativo Federal (BVGer), Administração Federal das Contribuições (ESTV), etc.

Não se aplica ao tratamento efetuado por:

• órgãos cantonais e municipais (que estão sujeitos às leis cantonais de proteção de dados; ver a secção 15);
• dados pessoais de pessoas coletivas (art. 2, n.º 2, al. b: uma alteração substancial face à aDSG, que também protegia as pessoas coletivas);
• dados pessoais destinados a uso exclusivamente pessoal (art. 2, n.º 2, al. a).

Autoridade de supervisão. Encarregado Federal da Proteção de Dados e da Transparência (EDÖB; internacionalmente FDPIC, Federal Data Protection and Information Commissioner). Sede em Berna, competência nacional. O encarregado ou a encarregada é nomeado pelo Conselho Federal (art. 43 nDSG) e não está sujeito a instruções no exercício das suas funções (art. 43, n.º 4, nDSG).

Relação com o RGPD da UE. A Comissão Europeia reconheceu o nDSG como adequado na aceção do art. 45 do RGPD em 15 de janeiro de 2024. As transferências de dados do EEE para a Suíça não exigem, por isso, garantias complementares. Contudo, o nDSG é autónomo e não coincide integralmente com o RGPD (diferenças centrais: não existe um direito autónomo ao apagamento, não há coimas até 4 % do volume de negócios anual, não há proteção explícita contra a definição de perfis ao nível do RGPD).

2. Dados pessoais especialmente dignos de proteção: art. 5, al. c, nDSG

Os dados de migração são, nos termos do direito federal suíço, especialmente dignos de proteção. A lista taxativa do art. 5, al. c, nDSG tem o seguinte teor:

Art. 5 Definições

Para efeitos da presente lei, entende-se por:

c. dados pessoais especialmente dignos de proteção: os dados:

1. sobre opiniões ou atividades religiosas, ideológicas, políticas ou sindicais,
2. sobre a saúde, a esfera íntima ou a pertença a uma raça ou etnia,
3. dados genéticos,
4. dados biométricos que identifiquem inequivocamente uma pessoa singular,
5. dados sobre perseguições ou sanções administrativas e penais,
6. dados sobre medidas de apoio social.

Consequência operacional para a SIP. Os dados de migração, em especial os dados de asilo, de pessoas sem documentos, de autorização S e de autorização F, acionam tipicamente pelo menos quatro das seis subcategorias em simultâneo:

• Dados de asilo (art. 5, al. c, pontos 1, 2, 4 e 5):

  • motivos de perseguição religiosos ou políticos (ponto 1: religião, política);
  • dados de saúde recolhidos na audição (ponto 2: saúde);
  • etnia e região de origem (ponto 2: raça/etnia);
  • registo biométrico (impressões digitais EURODAC, fotografia biométrica nos documentos N/F/B) (ponto 4: biométrico);
  • procedimento administrativo em curso (ponto 5: perseguição de direito administrativo).

• Dados de pessoas sem documentos (art. 5, al. c, ponto 5): o simples facto da presença sem estatuto de residência é já um estatuto de direito administrativo com risco de sanção nos termos do art. 115 AIG (Lei federal sobre os estrangeiros e a integração, SR 142.20), disposição penal por permanência ilegal.

• Dados de autorização S da Ucrânia (art. 5, al. c, pontos 1, 2 e 5): a proveniência de uma zona de guerra ativa implica com elevada probabilidade indicações políticas e de saúde; o estatuto S é uma categoria de proteção decidida por via administrativa.

• Dados de autorização F (admissão provisória) (art. 5, al. c, ponto 5): execução de afastamento em curso, com execução diferida.

• Dados de reagrupamento familiar e de casamento (art. 5, al. c, ponto 2): os detalhes da relação integram a esfera íntima.

Consequência jurídica. Para os dados pessoais especialmente dignos de proteção, o nDSG agrava:

• os requisitos do consentimento (art. 6, n.º 7: é exigido consentimento expresso);
• os deveres de DSFA (art. 22: avaliação de impacto sobre a proteção de dados em caso de tratamento em larga escala);
• a comunicação a terceiros (art. 30, n.º 2, al. c: a simples comunicação pode já constituir uma violação da personalidade);
• as disposições sobre multas (art. 60 e seguintes: só são puníveis os casos que envolvem dados especialmente dignos de proteção ou definição de perfis, não de forma geral).

3. Consentimento: art. 6, n.º 6 e n.º 7, nDSG

Os requisitos do consentimento têm o seguinte teor:

Art. 6 Princípios

6 Quando for exigido o consentimento da pessoa em causa, esse consentimento só é válido se for dado livremente, para um ou vários tratamentos determinados e após informação adequada.

7 O consentimento deve ser dado de forma expressa para: a. o tratamento de dados pessoais especialmente dignos de proteção; b. a definição de perfis de risco elevado por uma pessoa privada; ou c. a definição de perfis por um órgão federal.

Consequências operacionais para a SIP.

Uma cláusula geral das condições gerais não basta. Um consentimento global inserido nas condições de utilização, por exemplo "Ao clicar em 'Criar conta', consente todos os tratamentos de dados", não é válido para dados pessoais especialmente dignos de proteção. A exigência de consentimento expresso do art. 6, n.º 7, nDSG exclui a aceitação implícita ou agrupada. Todo o tratamento de dados especialmente dignos de proteção, em especial o registo do estatuto da autorização ou o esclarecimento de um caso de rigor, exige um consentimento separado, dado antes do tratamento e registado.

Granularidade. O art. 6, n.º 6, nDSG exige um consentimento "para um ou vários tratamentos determinados". Um consentimento global "para todos os tratamentos futuros" não é específico quanto à finalidade e, por isso, não é válido. Os consentimentos da SIP devem nomear separadamente cada categoria de finalidade (gestão da conta; acompanhamento da autorização; Crisis Card; mandato de cliente; marketing, cada um com o seu próprio opt-in).

Liberdade. O consentimento não é livre se a sua recusa impedir o acesso a uma prestação essencial ou provocar desvantagens consideráveis. A SIP não pode fazer depender o acesso à conta de um consentimento a tratamentos não necessários (por exemplo, marketing) (proibição de vinculação, ver a explicação do EDÖB de 2022).

Revogabilidade. O consentimento é revogável a qualquer momento (ver o art. 30, n.º 2, al. b, nDSG, direito de oposição). A revogação produz efeitos ex nunc (para o futuro); os tratamentos anteriores à revogação mantêm-se lícitos se, à data, estivessem cobertos por um consentimento válido.

Ónus da prova. Em caso de litígio, a SIP, na qualidade de responsável pelo tratamento, suporta o ónus de provar que existia um consentimento válido. Por isso, a SIP regista cada consentimento com marca temporal, hash do IP, teor literal da declaração de consentimento e versão do formulário da interface.

4. Dever de informação do responsável pelo tratamento: art. 19 nDSG

Ao recolher dados pessoais, a SIP deve informar ativamente a pessoa em causa. O art. 19 nDSG tem, em extrato, o seguinte teor:

Art. 19 Dever de informação na recolha de dados pessoais

1 O responsável pelo tratamento informa adequadamente a pessoa em causa sobre a recolha de dados pessoais; este dever de informação aplica-se igualmente quando os dados não sejam recolhidos junto da pessoa em causa.

2 Comunica à pessoa em causa, no momento da recolha, as informações necessárias para que esta possa exercer os seus direitos ao abrigo da presente lei e para que fique assegurado um tratamento de dados transparente; comunica-lhe, no mínimo: a. a identidade e os dados de contacto do responsável pelo tratamento; b. a finalidade do tratamento; c. se for caso disso, os destinatários ou as categorias de destinatários a quem são comunicados dados pessoais.

3 Se os dados não forem recolhidos junto da pessoa em causa, comunica-lhe além disso as categorias de dados pessoais tratados.

4 Se os dados pessoais forem comunicados para o estrangeiro, comunica também à pessoa em causa o Estado ou o organismo internacional e, se for caso disso, as garantias previstas no artigo 16, n.º 2, ou a aplicação de uma exceção prevista no artigo 17.

• identidade do responsável pelo tratamento: SwissImmigrationPro AG, sede, endereço de correio eletrónico de contacto do DPO;
• finalidade do tratamento: acompanhamento da autorização; Crisis Card; intermediação do mandato de cliente; lembretes de AHV/impostos, cada categoria de finalidade em separado;
• destinatários ou categorias: serviço cantonal de migração (apenas em caso de ação de envio explícita pelo utilizador); advogado ou advogada of record (apenas em caso de mandato); subcontratantes (Stripe SPEL, Infomaniak, Vault, Anthropic; ver a secção 13);
• receção no estrangeiro: Anthropic (EUA) para a inferência do LLM da Clara; ver a secção 12.

Momento. A informação deve ser prestada no momento da recolha, e não posteriormente. Em concreto: a camada 1 do aviso de privacidade deve estar visível antes do clique em "Criar conta", e não apenas depois da introdução dos dados.

5. Direito de acesso: art. 25 nDSG

O direito de acesso é o direito central da pessoa em causa. O art. 25 nDSG tem, em extrato, o seguinte teor:

Art. 25 Direito de acesso

1 Qualquer pessoa pode pedir ao responsável pelo tratamento informação sobre se são tratados dados pessoais que lhe digam respeito.

2 A pessoa em causa recebe as informações necessárias para poder exercer os seus direitos ao abrigo da presente lei e para que fique assegurado um tratamento de dados transparente. Recebe, em qualquer caso, as seguintes informações: a. a identidade e os dados de contacto do responsável pelo tratamento; b. os dados pessoais tratados enquanto tais; c. a finalidade do tratamento; d. o prazo de conservação dos dados pessoais ou, se tal não for possível, os critérios para fixar esse prazo; e. as informações disponíveis sobre a origem dos dados pessoais, na medida em que não tenham sido recolhidos junto da pessoa em causa; f. se for caso disso, a existência de uma decisão individual automatizada, bem como a lógica em que a decisão assenta; g. se for caso disso, os destinatários ou as categorias de destinatários a quem são comunicados dados pessoais, bem como as informações previstas no artigo 19, n.º 4.

7 A informação deve, em regra, ser prestada gratuitamente no prazo de 30 dias.

Consequência operacional para a SIP. Os pedidos de acesso devem ser respondidos gratuitamente no prazo de 30 dias, enquanto prazo-regra. Para o efeito, a SIP mantém um botão de acesso de autosserviço no painel da conta, que gera um pacote completo de exportação de dados, bem como um endereço de correio eletrónico de acesso, dpo@swissimmigrationpro.ch, para pedidos complexos.

Conteúdo mínimo da resposta. O acesso abrange não apenas os "dados", mas o catálogo completo do n.º 2, al. a a g: prazo de conservação, origem, eventuais decisões individuais automatizadas, destinatários. Uma mera compilação em PDF dos dados introduzidos, sem metadados, não é suficiente.

Prática do EDÖB em 2025. Numa recomendação publicada em agosto de 2025 contra um grande banco suíço, o EDÖB constatou que uma fundamentação genérica do atraso ("demasiados pedidos", "verificação interna de conformidade") não prolonga legitimamente o prazo de 30 dias. As prorrogações só são admissíveis em caso de complexidade demonstrada do pedido concreto e devem ser comunicadas de forma fundamentada.

Recusa. O acesso pode ser recusado, limitado ou diferido se estiverem preenchidos os pressupostos do art. 26 nDSG, em especial no âmbito de aplicação do segredo profissional do advogado (ver a secção 6).

6. Reserva de segredo profissional: art. 26, n.º 1, al. a, nDSG

O segredo profissional do advogado é um limite expresso do direito de acesso. O art. 26, n.º 1, al. a, nDSG tem o seguinte teor:

Art. 26 Restrições ao direito de acesso

1 O responsável pelo tratamento pode recusar, limitar ou diferir a informação quando: a. uma lei em sentido formal o preveja, nomeadamente para proteger um segredo profissional; b. tal for necessário por interesses preponderantes de terceiros; ou c. o pedido de acesso for manifestamente infundado, nomeadamente quando prossiga uma finalidade contrária à proteção de dados ou seja manifestamente querelante.

2 O responsável pelo tratamento pode ainda recusar, limitar ou diferir a informação quando: a. seja uma pessoa privada e estejam preenchidos os seguintes pressupostos:

1. interesses preponderantes do responsável pelo tratamento exijam a medida,
2. o responsável pelo tratamento não comunique os dados pessoais a terceiros; b. seja um órgão federal e estejam preenchidos os seguintes pressupostos:
3. interesses públicos preponderantes, em especial a segurança interna ou externa da Suíça, exijam a medida,
4. a comunicação das informações possa pôr em perigo uma investigação, uma investigação penal ou outro procedimento de investigação.

Consequência operacional para os mandatos da SIP. Logo que exista um mandato entre o utilizador e o advogado ou advogada of record, a organização do processo específica do mandato fica sujeita ao art. 13 BGFA (Lei federal sobre a livre circulação dos advogados, SR 935.61), segredo profissional do advogado. Os dados e a correspondência do portal de clientes ficam então excluídos do direito de acesso, na medida em que estejam abrangidos pelo segredo profissional (art. 26, n.º 1, al. a, nDSG em conjugação com o art. 13 BGFA).

O que isto significa na prática.

• O utilizador continua a ter acesso pleno ao seu próprio processo de mandato (o segredo profissional do BGFA protege a relação entre advogado e cliente, e não o inverso).
• Terceiros, como as autoridades suíças, um empregador ou outro membro da família, não podem obter acesso ao processo de mandato através do direito de acesso do nDSG.
• No caso de um pedido de acesso apresentado por uma pessoa cujos dados constem do processo de outro cliente (por exemplo, num procedimento de reagrupamento familiar), a SIP pode recusar o acesso ao abrigo do art. 26, n.º 1, al. a, nDSG, na medida em que a comunicação violaria o segredo profissional do cliente principal.

Dever de fundamentação. A recusa de acesso deve ser fundamentada (art. 26, n.º 4, nDSG em conjugação com a prática do EDÖB). Não basta invocar o "segredo profissional"; a SIP indica a base legal concreta e a categoria dos dados retidos.

7. O nDSG não prevê um direito autónomo ao apagamento

Esclarecimento importante, divergente do RGPD da UE. O nDSG não contém um "direito ao apagamento" autónomo e formulado enquanto tal (não existe um "right to be forgotten"). O RGPD da UE regula-o no seu art. 17; o equivalente suíço falta expressamente.

Esta doutrina remonta a David Rosenthal (Rosenthal/Jöhri, Handkommentar zum Datenschutzgesetz, Schulthess 2008, N 137 ao art. 5; confirmada no comentário ao nDSG de Rosenthal de 2022). No nDSG, o apagamento opera de forma indireta, através de dois mecanismos:

Mecanismo 1: direito de oposição (art. 30, n.º 2, al. b, nDSG). Teor literal:

Art. 30 Violações da personalidade

1 O responsável pelo tratamento não pode violar ilicitamente a personalidade da pessoa em causa.

2 Existe, nomeadamente, uma violação da personalidade quando: a. sejam tratados dados pessoais em desrespeito dos princípios dos artigos 6 e 8; b. sejam tratados dados pessoais contra a vontade expressamente declarada da pessoa em causa; c. sejam comunicados a terceiros dados pessoais especialmente dignos de proteção.

Uma declaração de vontade expressa contra o tratamento posterior (ou seja, a revogação do consentimento acrescida da oposição ao tratamento) torna todo o tratamento subsequente uma violação da personalidade.

Mecanismo 2: pretensão de retificação e de abstenção nos termos do art. 28 do ZGB. A pessoa em causa pode intentar no tribunal cível uma ação de apagamento com base no art. 32, n.º 2, nDSG em conjugação com os art. 28 e seguintes do ZGB (Código civil, SR 210). O art. 32, n.º 2, al. c, nDSG tem o seguinte teor:

Art. 32 Pretensões e procedimento

2 A parte demandante pode pedir: c. que os dados pessoais sejam retificados, destruídos ou não comunicados a terceiros.

Consequência operacional para a SIP. Um pedido de apagamento de um utilizador não é tratado sob a designação nDSG "Right to Erasure", mas sim assim:

1. a SIP verifica em primeiro lugar se o consentimento foi revogado; em caso afirmativo, todo o tratamento subsequente viola a personalidade (art. 30, n.º 2, al. b);
2. a SIP verifica se subsiste uma base legal para a conservação (dever contratual, dever de escrituração comercial do art. 958 OR (Código das obrigações, SR 220), dever de organização do processo do advogado do art. 12 BGFA, dever fiscal de conservação);
3. na falta de base legal, a SIP apaga de imediato; havendo base legal, a SIP bloqueia os dados e apaga-os automaticamente logo que essa base legal cesse.

Clareza para os utilizadores. A política de privacidade da SIP não formula "Tem direito ao apagamento" (o que seria impreciso do ponto de vista dogmático), mas sim: "Pode revogar o consentimento a qualquer momento. Os dados cuja conservação não tenha outra base legal são apagados. Os dados que cumprem deveres legais de conservação são bloqueados e apagados automaticamente logo que o dever cesse."

8. Exclusão da retificação em caso de obrigação legal de conservação: art. 32, n.º 1, al. a, nDSG

O art. 32, n.º 1, nDSG regula a pretensão de retificação e os seus limites. Teor literal:

Art. 32 Pretensões e procedimento

1 A pessoa em causa pode, nomeadamente, pedir que: a. os dados pessoais inexatos sejam retificados, salvo se uma disposição legal proibir a alteração; b. o tratamento não seja efetuado ou o seja apenas de forma limitada; c. os dados pessoais sejam destruídos.

Consequência operacional para a SIP. A cláusula "salvo se uma disposição legal proibir a alteração" é o limite central para os pedidos de retificação dirigidos à SIP que se refiram a um processo de mandato do advogado.

A organização do processo do advogado como limite à retificação. Nos termos do art. 12, al. j, BGFA, a advogada ou o advogado inscrito no registo deve conservar os processos de mandato durante pelo menos dez anos a contar do termo do mandato. Trata-se de uma disposição de lei federal na aceção do art. 32, n.º 1, al. a, nDSG.

Daqui decorre que os dados de um mandato em curso ou concluído não podem ser retificados nem apagados no processo original durante o prazo de conservação de dez anos. Se for necessária uma correção (por exemplo, um erro numa data de nascimento detetado no procedimento), o erro é documentado através de um aditamento datado; o registo original do processo mantém-se inalterado. Esta é a prática do direito da advocacia e está expressamente apoiada pelo art. 32, n.º 1, al. a, nDSG.

Outros limites à retificação.

• dever de conservação contabilística nos termos do art. 958f OR (10 anos: livros comerciais, documentos de suporte);
• dever fiscal de conservação nos termos do art. 126, n.º 3, DBG (Lei federal sobre o imposto federal direto) (10 anos);
• deveres de conservação no domínio do AHV (art. 209 AHVV, Regulamento do seguro de velhice e sobrevivência, de 5 a 10 anos consoante a categoria de documento);
• deveres de conservação relacionados com o branqueamento de capitais nos termos do art. 7, n.º 3, GwG (Lei sobre o branqueamento de capitais) (10 anos, na medida em que seja aplicável).

9. Avaliação de impacto sobre a proteção de dados (DSFA): art. 22 nDSG

Em caso de tratamento em larga escala de dados pessoais especialmente dignos de proteção, a avaliação de impacto sobre a proteção de dados é obrigatória. O art. 22 nDSG tem o seguinte teor:

Art. 22 Avaliação de impacto sobre a proteção de dados

1 O responsável pelo tratamento elabora previamente uma avaliação de impacto sobre a proteção de dados quando um tratamento possa implicar um risco elevado para a personalidade ou para os direitos fundamentais da pessoa em causa. Se estiverem previstas várias operações de tratamento semelhantes, pode ser elaborada uma avaliação de impacto conjunta.

2 O risco elevado resulta, nomeadamente com a utilização de novas tecnologias, da natureza, do âmbito, das circunstâncias e da finalidade do tratamento. Existe, em especial, quando: a. sejam tratados em larga escala dados pessoais especialmente dignos de proteção; b. sejam vigiadas sistematicamente e em larga escala zonas públicas.

3 A avaliação de impacto sobre a proteção de dados contém uma descrição do tratamento previsto, uma apreciação dos riscos para a personalidade ou para os direitos fundamentais da pessoa em causa, bem como as medidas de proteção da personalidade e dos direitos fundamentais.

Consequência operacional para a SIP. A SIP realiza uma DSFA por cada classe de autorização e por cada nova funcionalidade com relevância para os dados. A DSFA está documentada internamente (/compliance/dsfa/), datada, assinada pelo DPO e atualizada em caso de alterações substanciais, tipicamente de 12 em 12 meses ou aquando de versões funcionais com nova recolha de dados.

Conteúdo da DSFA da SIP. Descrição do fluxo de dados (recolha → armazenamento → tratamento → comunicação → apagamento); avaliação de riscos (violação da personalidade, discriminação, uso indevido de identidade, spillover para as autoridades); medidas de proteção (cifragem, registos de acesso, minimização dos dados, hash do IP, contrato restritivo com o subcontratante).

Não existe direito à sua entrega. A própria DSFA não tem de ser tornada pública; o EDÖB pode, no entanto, consultá-la no âmbito de uma investigação (art. 49 nDSG).

10. Consulta do EDÖB em caso de risco residual: art. 23 nDSG

Se, após as medidas de proteção, subsistir um risco elevado, o EDÖB deve ser consultado. O art. 23 nDSG tem o seguinte teor:

Art. 23 Consulta do EDÖB

1 O responsável pelo tratamento consulta previamente o EDÖB quando da avaliação de impacto sobre a proteção de dados resulte que o tratamento previsto, apesar das medidas previstas pelo responsável pelo tratamento, continua a implicar um risco elevado para a personalidade ou para os direitos fundamentais da pessoa em causa.

2 O EDÖB comunica ao responsável pelo tratamento as suas objeções ao tratamento previsto no prazo de três meses. Este prazo pode ser prorrogado por um mês em casos complexos.

3 Se o EDÖB tiver objeções ao tratamento previsto, propõe ao responsável pelo tratamento medidas adequadas.

Consequência operacional para a SIP. A consulta do EDÖB é um travão de emergência, não um procedimento de rotina. A SIP acioná-la-ia tipicamente em caso de:

• introdução, pela primeira vez, de definição de perfis de risco elevado (por exemplo, uma previsão de êxito da autorização, que constituiria uma violação de anti-scope e, por isso, não é implementada);
• comunicação substancial para o estrangeiro a um Estado terceiro sem adequação;
• introdução de identificação biométrica (não prevista na SIP).

Duração do procedimento. Três meses de prazo-regra, quatro meses em casos complexos (art. 23, n.º 2). Durante esse prazo, o tratamento não pode ser iniciado.

11. Obrigação de notificação de violações da segurança dos dados: art. 24 nDSG

Em caso de violação da proteção de dados existe uma obrigação de notificação ao EDÖB e, havendo risco elevado, às pessoas em causa. O art. 24 nDSG tem o seguinte teor:

Art. 24 Notificação de violações da segurança dos dados

1 O responsável pelo tratamento notifica o EDÖB, com a maior brevidade possível, de qualquer violação da segurança dos dados que previsivelmente implique um risco elevado para a personalidade ou para os direitos fundamentais da pessoa em causa.

2 Na notificação indica, no mínimo, a natureza da violação, as suas consequências e as medidas adotadas ou previstas.

3 O subcontratante notifica o responsável pelo tratamento, com a maior brevidade possível, de qualquer violação da segurança dos dados.

4 O responsável pelo tratamento informa a pessoa em causa quando tal for necessário para a sua proteção ou quando o EDÖB o exigir.

5 Pode limitar, diferir ou prescindir da informação à pessoa em causa quando: a. exista um motivo previsto no artigo 26, n.º 1, alínea b, ou n.º 2, ou um dever legal de sigilo o proíba; b. a informação for impossível ou exigir um esforço desproporcionado; c. a informação à pessoa em causa estiver assegurada de modo comparável através de um anúncio público.

6 Uma notificação efetuada ao abrigo do presente artigo só pode ser utilizada num processo penal contra a pessoa obrigada a notificar com o consentimento desta.

Consequência operacional para a SIP.

O limiar do "risco elevado". Nem toda a falha de dados é de notificação obrigatória. Critérios: sensibilidade dos dados (especialmente dignos de proteção equivale a um limiar de risco elevado mais alto); âmbito (número de pessoas em causa); probabilidade das consequências (uso indevido de identidade, discriminação, medidas das autoridades). Uma vez que a SIP trata, por princípio, dados especialmente dignos de proteção, na prática o limiar é quase sempre ultrapassado.

"Com a maior brevidade possível". A lei federal não fixa um prazo rígido (ao contrário do RGPD da UE, com a sua regra das 72 horas). O EDÖB esclareceu na sua explicação de 2023 que a notificação deve ocorrer no prazo de poucos dias; atrasos superiores a uma semana sem motivo objetivo são qualificados como violação da obrigação de notificação. SLA interno da SIP: notificação ao EDÖB no prazo de 72 horas a contar do conhecimento.

Precedente "Xplain" 2023. Em junho de 2023, o prestador de serviços informáticos Xplain foi vítima de um ataque de ransomware. Foram divulgados, entre outros, dados da polícia e da fedpol. A investigação do EDÖB concluiu, em 2024, que a notificação tardia e incompleta às autoridades afetadas constituía, por si só, uma violação do nDSG. Este caso concretizou de forma decisiva a prática quanto ao prazo e à profundidade da notificação.

Informação às pessoas em causa. Havendo risco elevado, as pessoas em causa devem ser informadas diretamente, para além da notificação ao EDÖB (art. 24, n.º 4). Para o efeito, a SIP envia uma mensagem de correio eletrónico para o endereço registado na conta e bloqueia a conta até à confirmação, na medida em que tal sirva a proteção.

Proteção penal contra a autoincriminação. O art. 24, n.º 6, é uma cláusula de proteção central: a notificação não pode ser utilizada num processo penal contra a SIP. Isto baixa o limiar de inibição para notificar em caso de dúvida.

12. Comunicação transfronteiriça de dados: art. 16 a 18 nDSG

Os dados pessoais só podem ser comunicados para o estrangeiro em determinadas condições. O art. 16 nDSG (extrato) tem o seguinte teor:

Art. 16 Princípios

1 Os dados pessoais podem ser comunicados para o estrangeiro quando o Conselho Federal tenha constatado que a legislação do Estado em questão ou o organismo internacional assegura uma proteção adequada.

2 Não existindo uma decisão do Conselho Federal nos termos do n.º 1, os dados pessoais podem ser comunicados para o estrangeiro quando seja assegurada uma proteção de dados adequada através de: a. um tratado de direito internacional; b. cláusulas de proteção de dados num contrato entre o responsável pelo tratamento ou o subcontratante e a sua contraparte contratual, previamente comunicadas ao EDÖB; c. garantias específicas elaboradas pelo órgão federal competente e previamente comunicadas ao EDÖB; d. cláusulas-tipo de proteção de dados previamente aprovadas, emitidas ou reconhecidas pelo EDÖB; e. regras vinculativas internas de proteção de dados previamente aprovadas pelo EDÖB ou por uma autoridade competente em matéria de proteção de dados de um Estado que assegure uma proteção adequada.

Lista de adequação do EDÖB, estado a 1.9.2023. Estados terceiros adequados (extrato, não exaustivo): Estados da UE/EEE, Reino Unido, Andorra, Argentina, Ilhas Faroé, Guernsey, Ilha de Man, Israel, Jersey, Canadá (setor privado), Nova Zelândia, Uruguai, Japão, Coreia do Sul.

Não adequados, relevante para a SIP: Estados Unidos da América (EUA). Um "Swiss-US Data Privacy Framework" (equivalente ao EU-US DPF) está em vigor desde setembro de 2024, mas só é aplicável aos destinatários norte-americanos que se tenham autocertificado. A Anthropic PBC, no estado de maio de 2026, não consta da lista de autocertificação do Swiss-US DPF do U.S. Department of Commerce.

Consequência operacional para a SIP. Para as comunicações à Anthropic (EUA), a inferência do LLM para a Clara, são exigidas, nos termos do art. 16, n.º 2, al. d, nDSG, cláusulas-tipo de proteção de dados aprovadas pelo EDÖB ("Swiss SCCs") no contrato entre a SIP e a Anthropic. Estas devem ser:

• celebradas antes da primeira transmissão de dados;
• comunicadas ao EDÖB no âmbito de uma DSFA, desde que a DSFA indique um risco residual elevado;
• verificadas periodicamente.

Caso especial da Stripe. A Stripe Payments Europe Limited (Irlanda) é a contraparte contratual para o processamento de pagamentos suíço. A Stripe Switzerland Payments Limited (Stripe SPEL) foi inscrita em 2024 como responsável pelo tratamento suíça. Para os dados de pagamento da SIP deixa de existir, assim, um facto gerador de transferência transfronteiriça; a Stripe SPEL é subcontratante ao abrigo do direito suíço e das cláusulas de subcontratação internas do grupo Stripe.

Infomaniak. Prestador de alojamento suíço, na Suíça; sem transferência transfronteiriça.

Vault. O HashiCorp Vault, enquanto armazenamento de segredos, é executado self-hosted na Infomaniak; sem transferência para Estado terceiro.

13. Contrato de subcontratação do tratamento: art. 9 nDSG

Quando a SIP delega o tratamento de dados em terceiros, aplicam-se os requisitos do art. 9 nDSG. Teor literal:

Art. 9 Tratamento por subcontratante

1 O tratamento de dados pessoais pode ser confiado por contrato ou por lei a um subcontratante quando: a. os dados sejam tratados do modo como o próprio responsável pelo tratamento o poderia fazer; e b. nenhum dever legal ou contratual de sigilo proíba a delegação.

2 O responsável pelo tratamento deve, em especial, certificar-se de que o subcontratante está em condições de assegurar a segurança dos dados.

3 O subcontratante só pode delegar o tratamento num terceiro com a autorização prévia do responsável pelo tratamento.

4 Pode invocar os mesmos fundamentos de justificação que o responsável pelo tratamento.

Cadeia de subcontratantes da SIP.

Cada subcontratante está sujeito a um contrato escrito de subcontratação do tratamento (Data Processing Agreement, DPA), com os seguintes conteúdos mínimos:

• objeto, duração e finalidade do tratamento;
• categorias de pessoas em causa e de dados;
• dever de confidencialidade;
• medidas técnicas e organizativas (TOM);
• autorização ou proibição de subcontratação ulterior;
• devolução ou apagamento no termo do contrato;
• direito de auditoria a favor da SIP.

Para a Anthropic, complementarmente, cláusulas contratuais-tipo do EDÖB (ver a secção 12).

14. Poderes de supervisão do EDÖB: art. 49 a 51 nDSG

O EDÖB é a autoridade de supervisão, com poderes de intervenção limitados, ainda que alargados em comparação com a aDSG. Extrato do art. 49 nDSG, teor literal:

Art. 49 Investigações

1 O EDÖB abre, oficiosamente ou mediante denúncia, uma investigação contra um órgão federal ou uma pessoa privada quando existam indícios suficientes de que um tratamento de dados possa infringir as disposições de proteção de dados.

2 Pode abster-se de a abrir quando a violação das disposições de proteção de dados for de reduzida importância.

O art. 51 nDSG (medidas), em extrato, teor literal:

Art. 51 Medidas administrativas

1 Havendo violação das disposições de proteção de dados, o EDÖB pode ordenar que o tratamento seja total ou parcialmente adaptado, interrompido ou cessado e que os dados pessoais sejam total ou parcialmente apagados ou destruídos.

Disposições sobre multas (art. 60 e seguintes nDSG). Diferentemente do RGPD da UE, o nDSG prevê multas de natureza penal, dirigidas contra pessoas singulares (tipicamente os gerentes responsáveis), e não em primeira linha contra a pessoa coletiva. Montante máximo: CHF 250'000.- por infração. São puníveis, em especial:

• a violação dolosa dos deveres de informação, de acesso e de colaboração (art. 60);
• a violação dolosa dos deveres de diligência relativos à comunicação para o estrangeiro (art. 61, al. a);
• a violação dolosa dos requisitos mínimos de segurança dos dados (art. 61, al. c);
• a violação do dever de sigilo (art. 62).

Ponto essencial. Trata-se de sanções pessoais contra as pessoas singulares responsáveis, e não de "multas empresariais" como ao abrigo do RGPD da UE. Contudo, a exigência do dolo é elevada; a negligência só é punível em tipos legais estritamente delimitados.

15. Leis cantonais de proteção de dados: o que regulam e o que não regulam

Relação com os cantões. O nDSG não se aplica ao tratamento por órgãos cantonais (art. 2 nDSG a contrario). Aos serviços cantonais de migração, às administrações fiscais cantonais, à polícia cantonal, aos serviços sociais cantonais, etc., aplicam-se as respetivas leis cantonais de proteção de dados. Estas existem em cada um dos 26 cantões, com configuração própria; no essencial são semelhantes ao nDSG, mas divergem nos pormenores (por exemplo, o prazo de acesso ou a estrutura da autoridade de supervisão).

Exemplos de leis cantonais de proteção de dados.

• Zurique: Gesetz über die Information und den Datenschutz, Lei sobre a informação e a proteção de dados (IDG, LS 170.4); supervisão: Encarregado da Proteção de Dados do Cantão de Zurique.
• Berna: Datenschutzgesetz, Lei de proteção de dados (KDSG, BSG 152.04); supervisão: Serviço de Supervisão da Proteção de Dados do Cantão de Berna.
• Genebra: Loi sur l'information du public, l'accès aux documents et la protection des données personnelles (LIPAD, A 2 08); supervisão: Préposé(e) cantonal(e).
• Vaud: Loi sur la protection des données personnelles (LPrD, BLV 172.65); supervisão: Préposé(e) cantonal(e).
• Ticino: Legge sulla protezione dei dati personali (LPDP); supervisão: Incaricato cantonale per la protezione dei dati.

Consequência operacional para a SIP. A SIP, enquanto empresa de direito privado, está sujeita, por princípio, ao direito federal (nDSG), e não às leis cantonais. Todavia, logo que os utilizadores da SIP enviem dados aos serviços cantonais de migração, por exemplo através do envio direto de um pedido de reagrupamento familiar preenchido, o tratamento posterior pela autoridade rege-se pelo respetivo direito cantonal.

Clareza para os utilizadores. A informação da secção 4 (art. 19 nDSG) deve deixar claro que a SIP só responde pelo seu próprio tratamento; o que o serviço cantonal de migração faz com os dados que lhe são transmitidos rege-se pelo direito cantonal e não está sujeito à prática de proteção de dados da SIP.

Resumo: o quadro do nDSG na perspetiva da SIP

Referências cruzadas

• o glossário de conceitos do AIG e do VZAE: conceitos do AIG/VZAE a que se referem as categorias de dados relevantes para a migração;
• o glossário da Lei do asilo: conceitos do AsylG, em especial quanto aos estatutos N, F e S.

Nota de versão

Este documento é verificado trimestralmente (de 90 em 90 dias) quanto à sua atualidade. Motivos de revisão extraordinária:

• nova recomendação do EDÖB com efeito de precedente;
• decisão do Conselho Federal quanto à adequação de outro Estado terceiro (por exemplo, o alargamento do USA-Swiss DPF);
• entrada em vigor da revisão da DSV (Regulamento do nDSG);
• mudança substancial de subcontratante na SIP;
• BGE ou BVGE com impacto na interpretação do nDSG.

Última verificação: 2026-05-18. Próxima verificação regular prevista: 2026-08-18.