nDSG: A Nova Lei Suíça de Proteção de Dados – O Que Muda (e o Que Fica Igual) ao GDPR?

O que é o nDSG e por que ele importa?

O nDSG (nova Lei Federal de Proteção de Dados) entrou em vigor em 1º de setembro de 2023, modernizando a legislação suíça de privacidade. Se você pensa que é só mais uma cópia do GDPR, prepare-se: há nuances que podem pegar desprevenido até o mais experiente DPO.

Featured Snippet Bait: O nDSG é a nova lei suíça de proteção de dados, em vigor desde setembro de 2023. Ela se alinha ao GDPR da UE, mas com diferenças-chave, como a ausência de um requisito obrigatório de DPO e regras específicas para perfis de personalidade.

Principais diferenças entre nDSG e GDPR

1. Âmbito territorial e o “efeito Suíça”

O nDSG aplica-se a empresas que processam dados de residentes suíços, mesmo que não estejam estabelecidas na Suíça. Isso é semelhante ao GDPR, mas com uma diferença: a Suíça não é membro da UE, então o GDPR não se aplica diretamente. Empresas que operam na Suíça precisam cumprir ambas as leis, o que pode ser tão divertido quanto ler os Termos e Condições de um aplicativo de fotos – mas necessário.

2. Definição de dados pessoais

O nDSG mantém uma definição ampla, mas exclui explicitamente dados de pessoas jurídicas (empresas). Já o GDPR protege apenas pessoas físicas. Então, se você está coletando o CNPJ de uma empresa suíça, o nDSG não se aplica – mas o GDPR ainda pode, se a empresa for uma pessoa física.

3. Consentimento e bases legais

O nDSG exige consentimento explícito para o processamento de dados sensíveis, assim como o GDPR. Porém, o nDSG não exige que o consentimento seja “inequívoco” – apenas “expresso”. Na prática, a diferença é sutil, mas pode simplificar alguns formulários de opt-in.

4. Obrigação de informar e transparência

Ambas as leis exigem que você informe os titulares sobre o processamento de dados. O nDSG, no entanto, é um pouco mais flexível: permite que a informação seja fornecida de forma simplificada em alguns casos, como quando os dados são obtidos de terceiros. Mas não se engane: ainda é preciso ser transparente, ou o encarregado de proteção de dados suíço pode aparecer com perguntas incômodas.

5. DPO: obrigatório ou não?

Aqui está uma diferença crucial: o nDSG não exige a nomeação de um Encarregado de Proteção de Dados (DPO) para todas as empresas. Apenas empresas com mais de 20 funcionários que processam dados sensíveis ou perfis de personalidade de forma regular precisam de um DPO. Já o GDPR exige DPO para órgãos públicos e empresas que processam dados em larga escala. Se você é uma PME suíça, pode respirar aliviado – mas ainda precisa de alguém responsável pela privacidade.

6. Sanções e multas

O nDSG prevê multas de até CHF 250.000 (cerca de € 250.000) para infrações, enquanto o GDPR pode multar em até € 20 milhões ou 4% do faturamento global. A diferença é gritante, mas não se iluda: a Suíça também pode aplicar sanções criminais a indivíduos, como dirigentes de empresas. É como comparar uma multa de trânsito com a perda da carteira de habilitação – ambas doem, mas de formas diferentes.

O que permanece igual?

Muitos princípios são idênticos: licitude, lealdade, transparência, minimização de dados, exatidão, limitação de conservação, integridade e confidencialidade. A notificação de violações de dados também é obrigatória, embora os prazos variem (o nDSG exige notificação “o mais rápido possível”, enquanto o GDPR estipula 72 horas).

Como se preparar para o nDSG?

Se você já está em conformidade com o GDPR, está no caminho certo. Mas revise seus processos: verifique se o consentimento é explícito, atualize suas políticas de privacidade para incluir residentes suíços e considere se precisa de um DPO. E, claro, mantenha-se atualizado – o texto oficial do nDSG está disponível (em alemão, francês e italiano).

FAQ