Marketing na Suíça: a lei revista

Nota Este artigo dá uma visão geral e não substitui aconselhamento jurídico. Para avaliar o caso próprio – sobretudo com dados especialmente protegidos, definição de perfis ou transferências de dados para países terceiros – deve ser chamado um profissional da área.

O essencial

A lei suíça revista está em vigor desde 1 de setembro de 2023 e não tem período transitório.
Três diferenças essenciais face ao RGPD: o consentimento não é a regra, as sanções recaem sobre pessoas singulares em vez de empresas, e não há registo geral para empresas pequenas.
Quem tem clientes na UE ou se dirige a cidadãos da UE fica também sujeito ao RGPD – e aí vale, na prática, o critério mais exigente.
Seis pontos têm de estar resolvidos num site de empresa suíço; a política de privacidade é apenas um deles.

As três diferenças essenciais face ao RGPD

1. O tratamento é, por princípio, permitido

O RGPD proíbe o tratamento de dados pessoais enquanto não existir uma base legal. A lei suíça inverte o ponto de partida: o tratamento é lícito enquanto não violar ilicitamente a personalidade.

Na prática: a diferença é menor do que parece. A transparência, a vinculação à finalidade, a proporcionalidade e a segurança dos dados valem também aqui. Em dados especialmente protegidos e na definição de perfis de risco elevado, também é exigido um consentimento expresso.

2. As sanções atingem pessoas, não empresas

O RGPD prevê coimas contra empresas, em percentagem da faturação. A lei suíça prevê multas até 250.000 francos – contra a pessoa singular responsável, ou seja, a direção ou o quadro competente.

Na prática: o valor mais baixo é muitas vezes lido como um alívio. É um equívoco: a responsabilidade pessoal altera a situação de responsabilidade dentro da empresa, e aplica-se também ao dolo por omissão.

3. Sem registo de atividades para empresas pequenas

As empresas com menos de 250 colaboradores estão dispensadas do registo das atividades de tratamento – desde que o tratamento não comporte um risco elevado e não sejam tratados dados especialmente protegidos em grande escala.

Na prática: a dispensa cai depressa. Quem trata dados de saúde ou faz definição de perfis em larga escala precisa do registo à mesma – e ele é, de qualquer forma, o panorama mais útil que se pode ter em casa.

Sabia que…?

A maioria das empresas suíças com site está de facto sujeita aos dois regimes em simultâneo. O RGPD aplica-se logo que se visem especificamente pessoas na UE – por exemplo com preços em euros, uma versão linguística orientada para a UE ou envios para a UE.

Daí resulta uma consequência prática: quem tem de cumprir os dois regimes orienta-se sensatamente pelo mais exigente. Manter dois processos separados para dois regimes custa mais do que trabalhar logo pelo critério mais alto.

Seis pontos que têm de estar resolvidos

Ponto	O que é exigido	Erro frequente
Política de privacidade	compreensível, completa, com todos os prestadores utilizados	prestadores nomeados que já não são usados – ou o inverso
Subcontratação	contrato com cada prestador que trata dados por vocês	falta no alojamento, no envio de newsletter e na análise
Comunicação para o estrangeiro	verificar a adequação, senão cláusulas contratuais-tipo	serviços dos EUA em uso sem base documentada
Direito de acesso	resposta em 30 dias, em regra gratuita	nenhum processo definido – o prazo corre à mesma
Segurança dos dados	medidas técnicas e organizativas adequadas	nenhuma documentação do que foi feito
Comunicação de violações	comunicação à autoridade quando existe risco elevado	ninguém sabe quem comunica em caso de necessidade

Publicidade por e-mail: um regime próprio

Na Suíça, a publicidade por e-mail não está regulada na lei de proteção de dados, mas na lei contra a concorrência desleal. Três condições têm de estar cumpridas em conjunto:

Consentimento do destinatário, ou uma relação de cliente existente com produtos próprios comparáveis.
Indicação correta do remetente com um endereço efetivamente contactável.
Indicação da possibilidade de cancelamento em cada mensagem, gratuita e sem necessidade de registo.

A violação é aqui punível – e também isso atinge a pessoa responsável. Quem escreve adicionalmente a destinatários na UE fica ainda sujeito às exigências mais estritas quanto ao consentimento comprovável; a exceção suíça para as relações de cliente existentes é ali mais restrita.

Da prática

O achado mais frequente numa revisão é sempre o mesmo: a política de privacidade nomeia serviços que já não existem na empresa – e não nomeia outros que estão em uso há muito. Uma ferramenta de análise foi trocada, um serviço de newsletter mudou, entrou uma rede de distribuição.

Não é uma falha formal: uma política que nomeia um serviço não utilizado está tão errada como uma que omite um serviço em uso. Uma data fixa uma vez por ano, em que a lista dos prestadores é confrontada com a política, elimina de longe a falha mais frequente.

Serviços dos EUA e de outros países terceiros

É o ponto que na prática mais emperra – porque quase todas as ferramentas de marketing estão em causa.

A Suíça mantém uma lista de Estados com um nível adequado de proteção de dados. Para os EUA existe desde 2024 um quadro que permite a transferência para destinatários certificados. Há duas coisas a verificar:

O fornecedor concreto está certificado? O quadro não vale em bloco para todas as empresas dos EUA, apenas para as que se certificaram. Isso é verificável no registo público.
Se não estiver: cláusulas contratuais-tipo mais uma avaliação de risco própria. As cláusulas por si só não chegam; é preciso avaliar se no país de destino é efetivamente possível uma proteção equivalente.

Dica Mantenham uma lista simples de todos os serviços que tratam dados pessoais: fornecedor, finalidade, localização dos servidores, base da transferência, data da última verificação. Esta lista responde à maioria das perguntas de uma auditoria em poucos minutos – e é a base do registo, caso precisem de um.

Prompt

Ajuda-me a verificar lacunas nos nossos documentos de proteção de
dados. Somos uma empresa suíça.

A nossa situação:
- Colaboradores: [número]
- Temos clientes na UE ou dirigimo-nos a cidadãos da UE? [sim/não]
- Serviços que tratam dados pessoais: [lista com finalidade e
  localização dos servidores, na medida do conhecido]
- O que já temos: [política de privacidade / contratos de
  subcontratação / registo / nada disso]

Tarefas:
1. Indica, por serviço, que base é necessária para a comunicação
   para o estrangeiro e o que temos de ter em nosso poder.
2. Verifica, com base nos nossos dados, se temos de manter um
   registo das atividades de tratamento. Fundamenta.
3. Indica que informações faltarão provavelmente na nossa
   política de privacidade.
4. Enumera os pontos em que se aplica adicionalmente o RGPD e o
   que é aí mais exigente.
5. Assinala tudo o que tem obrigatoriamente de ser avaliado por
   um profissional da área.

Não inventes artigos de lei nem prazos. Se não souberes uma
informação com segurança, assinala-a como a verificar.

Conclusão

A lei suíça revista é menos exigente do que o RGPD e, ainda assim, não é motivo para descontração – sobretudo porque a responsabilidade é pessoal e porque a maioria das empresas suíças está de qualquer forma sujeita aos dois regimes.

Na prática, isso leva a uma recomendação simples: trabalhar pelo critério mais exigente, manter uma lista atualizada de todos os prestadores e verificar uma vez por ano se a política de privacidade ainda descreve o que está efetivamente em uso. Isso cobre a maior parte daquilo que numa auditoria realmente salta à vista.

Perguntas frequentes

O RGPD aplica-se a empresas suíças?

Sim, logo que se visem especificamente pessoas na UE – por exemplo com preços em euros, envios para a UE ou uma versão linguística orientada para clientes da UE – ou quando o seu comportamento é observado. Nesse caso aplicam-se em simultâneo a lei suíça e o RGPD, e na prática é mais simples trabalhar logo pelo critério mais exigente.

Qual é a diferença mais importante entre a lei suíça revista e o RGPD?

O ponto de partida: o RGPD proíbe o tratamento enquanto não houver base legal; a lei suíça permite-o enquanto a personalidade não for ilicitamente violada. Mais relevantes na prática são outras duas diferenças – as multas até 250.000 francos dirigem-se à pessoa singular responsável, e as empresas pequenas estão, sob condições, dispensadas do registo de atividades.

Uma pequena empresa suíça precisa de um registo de atividades de tratamento?

As empresas com menos de 250 colaboradores estão dispensadas, desde que o tratamento não comporte risco elevado e não sejam tratados dados especialmente protegidos em grande escala. A dispensa cai depressa – por exemplo com definição de perfis em larga escala. Independentemente disso, uma lista dos serviços utilizados é o panorama mais útil que se pode ter em casa.

Pode usar-se serviços dos EUA a partir da Suíça?

Sim, sob condições. Há que verificar se o fornecedor concreto está certificado ao abrigo do quadro em vigor desde 2024 – isso não vale em bloco para todas as empresas dos EUA. Se não estiver, são precisas cláusulas contratuais-tipo e, adicionalmente, uma avaliação própria sobre se no país de destino é efetivamente possível uma proteção equivalente.

Que regras valem na Suíça para a publicidade por e-mail?

Não a lei de proteção de dados, mas a lei contra a concorrência desleal. São exigidas três coisas em conjunto: consentimento ou uma relação de cliente existente com produtos próprios comparáveis, uma indicação de remetente correta e contactável, e uma indicação gratuita de cancelamento em cada mensagem. Com destinatários na UE aplicam-se adicionalmente as exigências mais estritas quanto ao consentimento comprovável.