REP27 · Suiza
Artículo 27 GDPR · Suiza
Suiza está rodeada de Estados miembros, tiene una decisión de adecuación y cuenta con su propia ley moderna de protección de datos. Estos tres hechos hacen que las empresas suizas asuman que la cuestión europea está resuelta. No es así: la geografía, la adecuación y el cumplimiento interno resuelven algo diferente al Artículo 27, que solo pregunta si alguien dentro de la Unión puede ser contactado.
La Comisión reconoció a Suiza como un país que proporciona protección adecuada, y el reconocimiento se mantuvo después de que entrara en vigor la nFADP. Esa decisión rige las transferencias.
El Artículo 27 rige la contactabilidad. Requiere una designación por escrito que nombre a una entidad establecida en la Unión, de modo que un interesado en Lisboa y la autoridad en Lisboa tengan un lugar al que escribir. Ninguna decisión de adecuación crea esa dirección, por lo que Japón, Canadá, el Reino Unido y Suiza —todos adecuados— están todos en el ámbito de aplicación.
El perfil típico suizo es una marca de relojes o bienes de lujo que envía a través de la frontera, una fintech con usuarios europeos, un proveedor farmacéutico o de tecnología médica con socios clínicos en la UE, o un banco privado cuyo sitio es leído en toda Europa.
| País | Estado | Representante del Artículo 27 |
|---|---|---|
| Alemania, Francia, Italia, Austria | Estado miembro de la UE | No necesario |
| Noruega, Islandia, Liechtenstein | EEE — GDPR se aplica directamente | No necesario |
| Suiza | Fuera de la UE y el EEE, adecuado | Requerido |
| Reino Unido | Fuera de la UE, adecuado | Requerido |
Liechtenstein es el caso instructivo: un vecino más pequeño, también fuera de la UE, pero dentro del EEE — y por lo tanto exento donde Suiza no lo está.
Liechtenstein es la ilustración más clara de por qué la geografía no decide esto. Es más pequeño que la mayoría de los cantones suizos, no es un Estado miembro de la UE, comparte una moneda y un área aduanera con Suiza, y sin embargo sus empresas no necesitan un representante del Artículo 27 — porque se unió al Espacio Económico Europeo, y el GDPR se aplica allí directamente.
Suiza negoció acuerdos bilaterales en lugar de la membresía en el EEE, y la protección de datos nunca fue parte de ese paquete. El resultado es que dos países vecinos, estrechamente integrados entre sí, están en lados opuestos del Artículo 3(2). Una empresa en Vaduz que procesa datos de personas en Alemania está dentro del propio territorio del GDPR; una empresa a veinte kilómetros en Buchs es un controlador de un tercer país.
La consecuencia práctica para los grupos suizos con una entidad en Liechtenstein merece ser revisada cuidadosamente: si la entidad del EEE lleva a cabo genuinamente el procesamiento, puede haber un establecimiento en el área de protección de datos de la Unión y no se necesita designación. Si es una entidad de tenencia, no hay, y la matriz suiza está claramente dentro del alcance.
La adecuación significa que los datos personales pueden fluir de la Unión a Suiza sin Cláusulas Contractuales Estándar. No dice nada sobre si una persona en España o Polonia puede contactarte. El Artículo 27 se refiere a la contactabilidad, y se aplica a cada empresa establecida fuera de la Unión independientemente de la adecuación.
No. Noruega, Islandia y Liechtenstein están en el EEE y aplican el GDPR directamente, por lo que sus empresas no necesitan representante. Suiza está fuera tanto de la UE como del EEE, razón por la cual las empresas suizas están en exactamente la misma posición que las japonesas o canadienses.
No. La nFADP es ley suiza, supervisada por el Comisionado Federal de Protección de Datos e Información. El GDPR es ley de la UE, supervisada por veintisiete otras autoridades. Los programas de cumplimiento construidos para uno no eximen al otro.
El idioma por sí solo no es decisivo cuando también es tu idioma nacional. Lo que importa es si la oferta está dirigida a personas en la Unión: precios en euros, opciones de envío a direcciones de la UE, publicidad dirigida a la UE, o análisis de visitantes europeos.
Solo si tiene un establecimiento en un Estado miembro. Una firma con sede en Zúrich o Ginebra no puede ser designada bajo el Artículo 27, porque el representante debe estar establecido donde están los interesados.
La nFADP tiene sus propias reglas para controladores extranjeros con un vínculo suizo. Es una obligación separada con un punto de contacto separado, y no interactúa con tu designación del Artículo 27.
Solo si también diriges a personas en el Reino Unido. Desde 2021, ese es un tercer régimen con su propio regulador, que requiere su propia designación.
Leemos tu aviso de privacidad público y te decimos en diez segundos si se nombra un representante.
Realiza la verificación gratuita Ver precios