REP27 · Suíça
Artigo 27 GDPR · Suíça
A Suíça está rodeada por Estados-Membros, possui uma decisão de adequação e tem a sua própria lei moderna de proteção de dados. Todos esses três factos fazem com que as empresas suíças assumam que a questão europeia está resolvida. Não está: a geografia, a adequação e a conformidade interna resolvem cada uma algo diferente do Artigo 27, que pergunta apenas se alguém dentro da União pode ser contactado.
A Comissão reconheceu que a Suíça oferece proteção adequada, e o reconhecimento foi mantido após a entrada em vigor da nFADP. Essa decisão rege as transferências.
O Artigo 27 rege a contactabilidade. Exige uma designação por escrito nomeando uma entidade estabelecida na União, para que um titular de dados em Lisboa e a autoridade em Lisboa tenham um local para escrever. Nenhuma decisão de adequação cria esse endereço, razão pela qual o Japão, o Canadá, o Reino Unido e a Suíça — todos adequados — estão todos abrangidos.
O perfil típico suíço é uma marca de relógios ou bens de luxo a enviar através da fronteira, uma fintech com utilizadores europeus, um fornecedor farmacêutico ou de tecnologia médica com parceiros clínicos da UE, ou um banco privado cujo site é lido em toda a Europa.
| País | Estado | Representante do Artigo 27 |
|---|---|---|
| Alemanha, França, Itália, Áustria | Estado-Membro da UE | Não necessário |
| Noruega, Islândia, Liechtenstein | EEE — GDPR aplica-se diretamente | Não necessário |
| Suíça | Fora da UE e do EEE, adequada | Exigido |
| Reino Unido | Fora da UE, adequado | Requerido |
Liechtenstein é o caso instrutivo: um vizinho menor, também fora da UE, mas dentro do EEE — e, portanto, isento onde a Suíça não está.
Liechtenstein é a ilustração mais clara de por que a geografia não decide isso. É menor do que a maioria dos cantões suíços, não é um Estado Membro da UE, partilha uma moeda e uma área de aduana com a Suíça, e ainda assim as suas empresas não precisam de um representante ao abrigo do Artigo 27 — porque aderiu ao Espaço Económico Europeu, e o GDPR aplica-se diretamente lá.
A Suíça negociou acordos bilaterais em vez de adesão ao EEE, e a proteção de dados nunca fez parte desse pacote. O resultado é que dois países vizinhos, intimamente integrados entre si, estão em lados opostos do Artigo 3(2). Uma empresa em Vaduz que processa dados de pessoas na Alemanha está dentro do próprio território do GDPR; uma empresa a vinte quilómetros de distância em Buchs é um controlador de um terceiro país.
A consequência prática para grupos suíços com uma entidade em Liechtenstein vale a pena verificar cuidadosamente: se a entidade do EEE realmente realiza o processamento, pode haver um estabelecimento na área de proteção de dados da União e não é necessária designação. Se for uma shell de holding, não há, e a empresa-mãe suíça está claramente abrangida.
Adequação significa que os dados pessoais podem fluir da União para a Suíça sem Cláusulas Contratuais Padrão. Não diz nada sobre se uma pessoa na Espanha ou na Polónia pode contactá-lo. O Artigo 27 diz respeito à contactabilidade, e aplica-se a todas as empresas estabelecidas fora da União, independentemente da adequação.
Não. A Noruega, a Islândia e Liechtenstein estão no EEE e aplicam o GDPR diretamente, portanto as suas empresas não precisam de representante. A Suíça está fora tanto da UE quanto do EEE, razão pela qual as empresas suíças estão exatamente na mesma posição que as japonesas ou canadenses.
Não. A nFADP é uma lei suíça, supervisionada pelo Comissário Federal de Proteção de Dados e Informação. O GDPR é uma lei da UE, supervisionada por outras vinte e sete autoridades. Programas de conformidade construídos para um não dispensam o outro.
A língua sozinha não é decisiva quando também é a sua língua doméstica. O que importa é se a oferta é direcionada a pessoas na União: preços em euros, opções de envio para endereços da UE, publicidade direcionada à UE, ou perfis analíticos de visitantes europeus.
Apenas se tiver um estabelecimento em um Estado Membro. Uma firma baseada em Zurique ou Genebra não pode ser designada ao abrigo do Artigo 27, porque o representante deve estar estabelecido onde estão os titulares de dados.
A nFADP tem as suas próprias regras para controladores estrangeiros com um vínculo suíço. É uma obrigação separada com um ponto de contacto separado, e não interage com a sua designação ao abrigo do Artigo 27.
Apenas se também direcionar pessoas no Reino Unido. Desde 2021, esse é um terceiro regime com o seu próprio regulador, exigindo a sua própria designação.
Lemos o seu aviso de privacidade público e dizemos-lhe em dez segundos se um representante é nomeado.
Faça a verificação gratuita Veja preços