En Suiza, la multa por protección de datos no le cae a la empresa. Le cae a una persona.

Imagine la escena: una empleada de su clínica en Ginebra descubre una herramienta en línea muy práctica que resume y contesta las consultas del formulario de contacto. La configura en una tarde, sin preguntar a nadie. Nadie firma un contrato con el proveedor. Desde hace meses, las consultas de pacientes pasan por un sistema del que nadie en la dirección sabe nada.

Al pensar en protección de datos, casi todos piensan en el RGPD y en multas millonarias contra grandes grupos. La ley suiza funciona de otra manera. Se dirige ante todo a personas, y precisamente por eso esa herramienta tiene que llegar a la mesa de la dirección.

Lo que dice la ley.

Los artículos 60 a 63 de la ley federal suiza de protección de datos prevén para las «personas privadas» multas de hasta 250.000 francos. Se castiga a quien da intencionadamente información falsa o incompleta, o deja intencionadamente de informar a la persona afectada al recoger sus datos. También a quien, de forma intencionada, comunica datos al extranjero sin que se cumplan las condiciones, encarga un tratamiento a un encargado sin cumplir las condiciones del artículo 9 o no respeta los requisitos mínimos de seguridad de los datos. A eso se suman revelar intencionadamente datos secretos conocidos en el ejercicio de una profesión y desobedecer una resolución del Comisionado federal de protección de datos.

La mayoría de estas infracciones solo se persiguen a instancia de parte, por ejemplo cuando una persona afectada presenta una denuncia. La persecución corresponde a los cantones, no al Comisionado, que sin embargo puede denunciar los hechos y actuar en el procedimiento como parte querellante. La infracción prescribe a los cinco años.

¿Y la empresa?

La empresa solo paga por excepción. Según el artículo 64, la autoridad puede condenar a la empresa en lugar de a las personas responsables cuando la multa en juego no supera los 50.000 francos y averiguar quiénes son esas personas exigiría una investigación desproporcionada. Si no, se aplican las reglas del derecho penal administrativo y se castiga a las personas físicas que actuaron.

El comentario en abierto del artículo 64 pone como ejemplo justo la escena del principio. Una empleada que usa sin autorización la herramienta de un proveedor en línea que trata datos personales, sin ocuparse de que haya un contrato de encargo suficiente, puede ser castigada según el artículo 61. El artículo introduce además una especie de responsabilidad del jefe: en algunos casos también puede responder el superior que podría haber evitado la infracción. Hasta dónde llega esa responsabilidad en las infracciones que exigen dolo es discutido, según el comentario.

El punto ciego: el dolo.

Solo se castiga el dolo. Suena tranquilizador. Pero según la definición general del Código Penal suizo, ya actúa con dolo quien considera posible que se produzca el hecho y lo acepta. No soy abogado y no valoro casos concretos. Pero no confiaría en un «no lo sabíamos» cuando alguien del equipo ya ha planteado el problema y no ha pasado nada.

Es justo aquí donde la protección de datos se cruza con las herramientas digitales. Cada formulario, cada chat, cada automatización y cada herramienta de IA que su equipo configura por su cuenta es un tratamiento de datos, con un proveedor, un lugar y un contrato, o sin él. La pregunta no es si su equipo usa herramientas así. La pregunta es si alguien sabe cuáles.

La herramienta se configura en una tarde. La responsabilidad sigue siendo de personas.

Mi posición.

No creo en prohibir herramientas. Los equipos que quieren trabajar más rápido las encuentran igual. Lo que haría es asegurarme de que toda herramienta que toque datos personales entre por un único camino revisado, con contrato, lugar de tratamiento y un responsable con nombre. Un registro de herramientas protege a su equipo mejor que cualquier prohibición.

Lo que yo revisaría.

• El registro de herramientas. Cada sistema que recibe datos de la web, de un formulario, de un chat o del correo, con proveedor, lugar y persona responsable.
• Los contratos. Para cada proveedor, un contrato de encargo que cumpla los requisitos del artículo 9.
• La política de privacidad. Quién es usted, para qué trata los datos y a quién se los comunica, como exige el artículo 19.
• El camino para herramientas nuevas. Una regla sencilla para proponer una herramienta y saber quién la aprueba.
• El derecho de acceso. Quién responde a la petición de una persona afectada, de forma completa y, por regla general, en 30 días.

Por dónde empezar.

1. Esta semana

   Preguntar al equipo

   Qué herramientas en línea usa cada persona en el día a día, sin buscar culpables, para tener una lista completa.

2. Este mes

   Aclarar contratos y lugares

   Para cada herramienta, revisar el contrato, dónde se tratan los datos y si salen al extranjero.

3. Este trimestre

   Fijar el camino de aprobación

   Una persona responsable, una lista de control breve y un plazo de respuesta, para que nadie busque atajos.

4. Cada año

   Revisar

   Herramientas, contratos y política de privacidad, con su asesor jurídico.

Escriba el nombre de la persona de su empresa que aprobó la última herramienta que trata datos de clientes. Ahora pregúntese si esa persona sabe que, en Suiza, la multa podría llevar su nombre y no el de la empresa.

Y si nadie la aprobó, porque alguien simplemente la instaló, la pregunta se vuelve más interesante: ¿quién responde de una decisión que nadie tomó?

Si quiere que revise adónde van hoy los datos de su web y de sus automatizaciones, empiece por el Diagnóstico Estratégico. Si su caso tiene un riesgo penal lo valora su asesor jurídico, no un diseñador.