Nfadp Carlosuhart

---
name: nfadp-carlosuhart
title: nFADP / revDSG — Auditoría de Cumplimiento (Suiza)
description: 'Auditoría nFADP/revDSG (Suiza, vigente desde el 1/9/2023): detecta el sector y entrega informe con score, estado por artículo, issues priorizados y sanciones en CHF. Sub-skill de /privacidad, también invocable sola.'
author: carlosuhart
author_url: https://github.com/carlosuhart/seo-audit-skills/tree/main/skills/nfadp
license: MIT
version: 0.1.1
execution_mode: open
jurisdiction: cross-jurisdiction
practice: data-protection
language: es
---

# nFADP / revDSG — Auditoría de Cumplimiento (Suiza)

## Uso

```
/nfadp https://ejemplo.ch
/nfadp https://ejemplo.ch --docx
```

---

## Marco normativo

- **nFADP** (new Federal Act on Data Protection): Bundesgesetz über den Datenschutz
  (DSG) en alemán · Loi fédérale sur la protection des données (LPD) en francés ·
  Legge federale sulla protezione dei dati (LPD) en italiano.
  En vigor desde el **1 de septiembre de 2023**. Reemplaza la ley anterior de 1992.
- **Ordenanza sobre la Protección de Datos (OPDa)**: reglamento de desarrollo,
  también en vigor desde el 1 de septiembre de 2023.
- **FDPIC** (Federal Data Protection and Information Commissioner):
  Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) en alemán ·
  Préposé fédéral à la protection des données et à la transparence (PFPDT) en francés.
  Web: edoeb.admin.ch

Suiza **no es** miembro de la UE ni del EEE. La nFADP es derecho suizo independiente,
aunque está fuertemente inspirada en el RGPD. La UE tiene decisión de adecuación
para Suiza (flujo UE → Suiza permitido). Suiza considera adecuados los países de la
UE/EEE y otros listados por el FDPIC.

⚠️ **Diferencia crítica respecto al RGPD:** Las sanciones de la nFADP son **penales**
y recaen sobre las **personas físicas** responsables (no sobre la empresa).
El máximo es **CHF 250.000** por persona física infractora. No existe multa
administrativa directa a la empresa equivalente al Art. 83 RGPD.

---

## Paso 0 — Stack tecnológico

Si este skill es invocado desde el orquestador `/privacidad`, usar el Paso 0
compartido. Si se invoca directamente, ejecutar el Paso 0 del skill `rgpd`.

Señales adicionales específicas de Suiza:
- TLD `.ch`
- CHF (Fr. / CHF) como moneda
- MWST / TVA / IVA (IVA suizo) en precios
- Referencias al FDPIC / EDÖB / PFPDT
- Cantones suizos mencionados en el contenido o domicilio
- Número de UID (Unternehmens-Identifikationsnummer) en el pie de página

---

## Paso 1 — Recopilación de datos del sitio

Igual al skill `rgpd` Paso 1. Rutas comunes en Suiza:
- DE: `/datenschutz`, `/datenschutzerklarung`
- FR: `/protection-des-donnees`, `/confidentialite`
- IT: `/protezione-dei-dati`
- EN: `/privacy`, `/privacy-policy`

---

## Paso 2 — Detección de sector

Usar la matriz del skill `rgpd`. Señales adicionales suizas:

| Sector | Señales Suiza |
|--------|--------------|
| **Financiero** | FINMA, "banco suizo", "gestión patrimonial", CHF |
| **Farmacéutico** | Swissmedic, "Zulassung", "autorisation" |
| **Salud** | "Krankenkasse", LAMAL, "assurance maladie", "assicurazione malattie" |
| **Seguros** | FINMA, "Versicherung", "assurance" |

---

## Paso 3 — Auditoría por bloques

Evaluar: **Cumple / Parcial / No cumple / No evaluable**

### Bloque 1 — Identificación del responsable (Art. 19 nFADP)
Peso: 10 pts

La nFADP protege únicamente datos de **personas físicas** (Art. 2). Las personas
jurídicas están excluidas del ámbito de protección.

Verificar en la declaración de protección de datos (Datenschutzerklärung):
- [ ] Nombre o razón social del responsable del tratamiento
- [ ] Domicilio o sede del responsable
- [ ] Datos de contacto (email o formulario) para ejercicio de derechos
- [ ] UID (número de identificación de empresa) — no obligatorio pero habitual en Suiza
- [ ] Si el responsable no tiene domicilio en Suiza pero trata datos de titulares en Suiza
      (Art. 3 nFADP): ¿designa un representante en Suiza?

### Bloque 2 — Declaración de protección de datos: existencia y acceso (Art. 19 nFADP)
Peso: 5 pts

La nFADP obliga a informar al titular cuando se recogen datos (Art. 19):
- [ ] Existe declaración de protección de datos publicada
- [ ] Enlace visible en el footer de todas las páginas
- [ ] Enlace accesible desde formularios que recogen datos
- [ ] Redactada en el idioma principal del sitio (DE / FR / IT / EN)
- [ ] Fecha de última actualización visible

### Bloque 3 — Declaración de protección de datos: contenido mínimo (Art. 19 nFADP)
Peso: 15 pts

El Art. 19 establece la obligación de informar sobre (1 pt por ítem):

- [ ] **Art. 19.2(a):** Identidad y datos de contacto del responsable
- [ ] **Art. 19.2(b):** Finalidad del tratamiento
- [ ] **Art. 19.2(c):** Destinatarios o categorías de destinatarios si se comunican datos
- [ ] **Art. 19.2(d):** País de destino en transferencias internacionales (si aplica)
- [ ] **Art. 19.2(e):** Existencia de decisiones individuales automatizadas (si aplica)
      y la lógica utilizada (Art. 21)
- [ ] **Art. 19.3:** Si los datos no se recogen directamente del titular: también la
      fuente de los datos
- [ ] Categorías de datos tratados
- [ ] Períodos de conservación o criterios para determinarlos
- [ ] Derechos del titular: acceso, rectificación, eliminación, portabilidad,
      oposición a decisiones automatizadas
- [ ] Procedimiento para ejercer derechos y plazo de respuesta (30 días — Art. 25)
- [ ] Uso de cookies y tecnologías de rastreo
- [ ] Derecho a reclamar ante el **FDPIC**
- [ ] Si se realizan transferencias internacionales: países y garantías adoptadas
- [ ] Si existe asesor de protección de datos (Art. 10): datos de contacto
- [ ] Información sobre tratamiento de datos de menores si aplica

### Bloque 4 — Principios de tratamiento y licitud (Art. 6 nFADP)
Peso: 10 pts

La nFADP no exige una "base jurídica" explícita para cada tratamiento de la misma
forma que el RGPD. El tratamiento es lícito si respeta los principios del Art. 6
y no viola las prohibiciones de los Arts. 30-31 (datos sensibles):

**Principios del Art. 6:**
- [ ] **Licitud**: el tratamiento respeta el derecho y la buena fe
- [ ] **Proporcionalidad**: los datos tratados son adecuados y necesarios para la finalidad
- [ ] **Finalidad**: los datos se recogen para una finalidad determinada y reconocible;
      no se tratan posteriormente de forma incompatible (Art. 6.3)
- [ ] **Exactitud**: los datos son exactos y actualizados (Art. 6.5)
- [ ] **Seguridad**: medidas técnicas y organizativas apropiadas (Art. 8)

**Justificación del tratamiento de datos sensibles (Art. 31) si aplica:**
- [ ] Consentimiento del titular
- [ ] Obligación legal o necesidad de derechos legales
- [ ] Interés preponderante público o privado
- [ ] Datos publicados voluntariamente por el titular

**Privacidad por diseño y por defecto (Art. 7 nFADP):**
- [ ] El sistema / formulario recoge solo los datos necesarios para la finalidad
- [ ] La configuración de privacidad más protectora está activada por defecto
- [ ] Las opciones de suscripción a comunicaciones no están preseleccionadas

### Bloque 5 — Cookies, consentimiento y perfilado (Art. 6 + Art. 21 + DSG-Praxis)
Peso: 15 pts

La nFADP no regula cookies específicamente. El FDPIC ha indicado que las cookies
de rastreo no esenciales requieren consentimiento informado conforme al Art. 6.
La práctica suiza (DSG-Praxis) se alinea en este punto con el RGPD.

**Perfilado (Art. 5(f)) y perfilado de alto riesgo (Art. 5(g)):**
- **Perfilado**: cualquier tratamiento automatizado de datos para evaluar aspectos
  personales (comportamiento, preferencias, rendimiento, situación económica, etc.)
- **Perfilado de alto riesgo**: perfilado que conduce a combinar datos para evaluar
  aspectos esenciales de la personalidad → requiere consentimiento expreso o
  una de las justificaciones del Art. 31

**Banner de cookies:**
- [ ] Existe banner o CMP
- [ ] El banner bloquea cookies no esenciales hasta obtener consentimiento
- [ ] No hay cookies de análisis, publicidad o rastreo activas antes del consentimiento
- [ ] Opción de rechazo tan accesible como la aceptación
- [ ] Configuración granular por categoría
- [ ] El consentimiento es revocable fácilmente

**Formularios:**
- [ ] Checkbox de consentimiento no pre-marcado cuando aplica
- [ ] Finalidad concreta declarada antes de enviar

**Perfilado:**
- [ ] Si el sitio realiza perfilado: declarado en la Datenschutzerklärung (Art. 19.2(e))
- [ ] Si es perfilado de alto riesgo: consentimiento expreso o justificación Art. 31

**Marketing directo:**
- [ ] Existe mecanismo de baja de comunicaciones comerciales
- [ ] La declaración menciona el derecho de oposición al tratamiento para marketing

### Bloque 6 — Derechos del titular (Art. 25–32 nFADP)
Peso: 15 pts

La nFADP reconoce los siguientes derechos, con plazo de respuesta de **30 días**
(Art. 25.5), prorrogable hasta 3 meses con notificación:

1. **Derecho de acceso** (Art. 25): información sobre si se tratan sus datos y,
   en caso afirmativo, qué datos, con qué finalidad, conservación, destinatarios y
   origen; si hay decisiones automatizadas y la lógica empleada
2. **Derecho a la exactitud / rectificación** (Art. 32): corrección de datos inexactos
3. **Derecho de supresión** (Art. 32): eliminación de datos cuyo tratamiento sea
   contrario a los principios de la nFADP
4. **Derecho a la portabilidad** (Art. 28): recibir los datos en formato estructurado
   y de uso común; aplica cuando el tratamiento es automatizado y se basa en
   consentimiento o contrato
5. **Derecho a oponerse a decisiones individuales automatizadas** (Art. 21):
   incluido el perfilado de alto riesgo; el responsable debe comunicar la decisión
   y el titular puede solicitar revisión por persona física

Nota: la nFADP tiene menos derechos que el RGPD — no existe derecho explícito a
la limitación del tratamiento ni al olvido como tal (aunque la supresión cubre
parte de esta función).

Verificar:
- [ ] Existe mecanismo para ejercer derechos (email, formulario)
- [ ] Se menciona el plazo de **30 días** (prorrogable a 3 meses)
- [ ] Se mencionan los derechos: acceso, rectificación, supresión, portabilidad,
      oposición a decisiones automatizadas
- [ ] Se indica qué información debe adjuntar el titular (identificación)
- [ ] Se menciona el derecho a reclamar ante el **FDPIC** (edoeb.admin.ch)

### Bloque 7 — Datos sensibles y perfilado de alto riesgo (Art. 5(c) + Art. 22 nFADP)
Peso: 10 pts

**Datos sensibles (Art. 5(c)):**
- Opiniones o actividades religiosas, ideológicas, políticas o sindicales
- Datos de salud, esfera íntima u origen racial o étnico
- Datos genéticos
- Datos biométricos que identifiquen de forma unívoca a una persona física
- Datos sobre procedimientos y sanciones administrativos o penales
- Datos sobre medidas de asistencia social

Nota: lista similar al RGPD pero incluye datos sobre medidas de asistencia social
y procedimientos penales de forma explícita.

**Si el sitio no recoge datos sensibles ni realiza perfilado de alto riesgo:**
bloque N/A — asignar 10 pts.

**Si recoge datos sensibles o realiza perfilado de alto riesgo:**
- [ ] Identificados explícitamente en la declaración
- [ ] Consentimiento expreso del titular u otra justificación Art. 31
- [ ] Finalidad específica declarada
- [ ] Medidas de seguridad reforzadas mencionadas

**Evaluación de impacto sobre la protección de datos (EIPD — Art. 22 nFADP):**
Obligatoria cuando el tratamiento conlleva alto riesgo para la personalidad
o los derechos fundamentales del titular. Criterios: datos sensibles a gran
escala, perfilado de alto riesgo, monitorización sistemática de zonas públicas.
- [ ] Si aplica: ¿la declaración menciona la realización de EIPD?
- [ ] Si la EIPD revela riesgo residual elevado: ¿se consultó al FDPIC (Art. 23)?

### Bloque 8 — Transferencias internacionales (Art. 16–18 nFADP)
Peso: 10 pts

La nFADP permite transferencias a países con nivel de protección adecuado
reconocido por el Consejo Federal suizo (Art. 16). El FDPIC publica y mantiene
la lista. Países incluidos: todos los estados de la UE/EEE + varios más
(ver edoeb.admin.ch para la lista actualizada).

**Para transferencias a países sin nivel adecuado (Art. 16.2 + Art. 17):**
- Cláusulas contractuales tipo aprobadas por el FDPIC (o equivalentes)
- Normas corporativas vinculantes (BCR)
- Garantías específicas reconocidas (certificaciones, códigos de conducta)
- Consentimiento expreso del titular para la transferencia
- Necesidad para ejecutar un contrato con el titular

**EE.UU.:** Suiza tiene el Swiss-US Data Privacy Framework (DPF) en vigor.
Las organizaciones de EE.UU. certificadas bajo el DPF + extensión suiza
tienen nivel adecuado para transferencias desde Suiza.

Verificar:
- [ ] La declaración informa sobre transferencias internacionales (Art. 19.2(d))
- [ ] Se identifican los países o regiones de destino
- [ ] Se indica la garantía adoptada (adecuación suiza, DPF, SCCs suizas)
- [ ] Si hay trackers de EE.UU. activos: ¿se menciona el Swiss-US DPF o SCCs?

### Bloque 9 — Seguridad y notificación de brechas (Art. 8 + Art. 24 nFADP)
Peso: 5 pts

La nFADP exige medidas técnicas y organizativas apropiadas para garantizar la
seguridad de los datos según el riesgo (Art. 8).

- [ ] HTTPS activo en todas las páginas
- [ ] Certificado SSL/TLS válido y no expirado
- [ ] HSTS habilitado
- [ ] La declaración menciona que se adoptan medidas de seguridad

**Notificación de brechas (Art. 24 nFADP):**
Cuando una violación de seguridad probablemente conlleve un alto riesgo para
la personalidad o los derechos fundamentales del titular, el responsable debe
notificar al **FDPIC "lo antes posible"** (no existe el plazo de 72h del RGPD).
También debe notificar al titular si es necesario para su protección.
- [ ] La declaración menciona el procedimiento ante vulneraciones de seguridad

### Bloque 10 — Asesor de protección de datos y EIPD (Art. 10 + Art. 22–23 nFADP)
Peso: 5 pts

**Asesor de protección de datos (Datenschutzberater — Art. 10):**
Es **voluntario** para empresas privadas (a diferencia del DPD del RGPD que es
obligatorio en ciertos casos). Su designación puede ser considerada por el FDPIC
como señal de cumplimiento proactivo y relevante para la valoración de sanciones.

- [ ] ¿La declaración menciona la existencia de un asesor de protección de datos?
- [ ] Si existe: datos de contacto publicados
- [ ] Si no existe: es una mejora recomendada, no un issue (no obligatorio)

**Para organizaciones con tratamientos de alto riesgo:**
Si el responsable realiza EIPD (Art. 22) y esta revela riesgo residual elevado,
debe consultar al FDPIC previamente (Art. 23 — consulta previa).

---

## Paso 4 — Score global

```
Score = suma de puntos obtenidos / 100
```

| Rango | Interpretación |
|-------|---------------|
| 80–100 | Postura defensible |
| 60–79 | Riesgo moderado |
| 40–59 | Riesgo alto |
| 0–39 | Riesgo crítico |

---

## Paso 5 — Clasificación de issues y sanciones (Art. 60–66 nFADP)

⚠️ Las sanciones de la nFADP son **penales** y recaen sobre **personas físicas**
(directivos, responsables de protección de datos, empleados infractores) — no
directamente sobre la empresa. Multa penal de hasta **CHF 250.000** por persona
física. La empresa puede responder subsidiariamente si la investigación de la
persona responsable sería desproporcionada (Art. 64).

| Conducta sancionable | Máximo |
|---|---|
| Incumplir el deber de informar (Art. 19), no atender derechos del titular (Art. 25-32), no cumplir requisitos de transferencia internacional (Art. 16-17) | CHF 250.000 |
| Incumplir disposiciones de la OPDa sobre seguridad o EIPD | CHF 250.000 |

**Críticos:**
- Sin declaración de protección de datos → Art. 19
- Datos sensibles tratados sin justificación → Art. 31
- Sin mecanismo de ejercicio de derechos → Art. 25-32
- Transferencias internacionales a países sin adecuación sin garantías → Art. 16-17
- Sin HTTPS → Art. 8

**Medios:**
- Declaración existe pero falta contenido mínimo Art. 19
- Derechos mencionados sin canal ni plazo (30 días)
- Perfilado de alto riesgo no declarado → Art. 19.2(e) + Art. 21
- EIPD probable pero no mencionada → Art. 22
- Cookies no esenciales sin consentimiento previo

**Bajos:**
- Falta fecha de actualización
- Asesor de protección de datos no mencionado
- Headers de seguridad recomendados ausentes

---

## Paso 6 — Output según modo

Guardar en `<directorio-de-auditorias>/[cliente]/auditoria_nfadp_[fecha].md` o `.docx`.

Modo `--docx`: misma estructura que `rgpd`, adaptada:
- Autoridad: FDPIC (edoeb.admin.ch)
- Sanciones: multa penal CHF 250.000 contra persona física
- Idioma: adaptar terminología al idioma principal del sitio (DE/FR/IT/EN)
- Pie de página: hipervínculo "Zythos Media" → https://zythos.media

---

## Actualización normativa

- **nFADP**: en vigor desde el 1 de septiembre de 2023.
- **OPDa** (Ordenanza): en vigor desde el 1 de septiembre de 2023.
- **Swiss-US DPF**: operativo. Verificar estado en edoeb.admin.ch.
- **Lista de países con adecuación**: mantiene el FDPIC en edoeb.admin.ch.
- **Versión de esta skill:** 1.0.0 (2026-07-08).