LPD svizzera per PMI: conformità e obblighi
Nuova legge federale sulla protezione dei dati (nLPD), obblighi delle imprese, sanzioni e misure di conformità per le PMI svizzere.
> Nuova LPD: principi fondamentali
La nuova legge federale sulla protezione dei dati (nLPD), entrata in vigore il 1° settembre 2023, modernizza il quadro giuridico svizzero per allinearsi parzialmente al RGPD europeo. Si applica a tutte le imprese che trattano dati personali in Svizzera, indipendentemente dalla loro dimensione. I principi di base rimangono: liceità, buona fede, proporzionalità, finalità determinata, esattezza e sicurezza dei dati.
Definizioni chiave: Dati personali: tutte le informazioni relative a una persona identificata o identificabile. Dati sensibili: informazioni sulla salute, religione, opinioni politiche, origine etnica, biometria, dati genetici, misure di assistenza sociale, procedimenti o sanzioni penali/amministrativi. Trattamento: ogni operazione relativa ai dati (raccolta, registrazione, conservazione, utilizzo, trasmissione, distruzione).
Campo di applicazione territoriale: La nLPD si applica anche alle imprese estere il cui trattamento di dati produce effetti in Svizzera o mira a persone in Svizzera. Queste imprese devono designare un rappresentante in Svizzera se trattano dati sensibili su larga scala o effettuano un profilazione su larga scala che presenta un rischio elevato.
Basi di trattamento: Il trattamento di dati deve poggiare su una delle seguenti basi: consenso della persona interessata, interesse legittimo preponderante del responsabile del trattamento, esecuzione di un contratto, obbligo legale, interesse pubblico, protezione di interessi vitali. Per i dati sensibili e la profilazione ad alto rischio, il consenso deve essere esplicito.
> Obblighi delle PMI
Informazione e trasparenza: Obbligo di informare le persone interessate alla raccolta di dati: identità del responsabile del trattamento, finalità, destinatari o categorie di destinatari, paesi destinatari in caso di comunicazione all'estero, durata di conservazione. Queste informazioni devono figurare in una dichiarazione di riservatezza accessibile (sito web, contratti, formulari).
Diritti delle persone: Diritto di accesso (lista di tutti i dati trattati), diritto di rettifica (correzione di dati inesatti), diritto alla cancellazione (sotto condizioni), diritto alla portabilità (ricevere i propri dati in formato strutturato), diritto di opposizione al trattamento. Il responsabile deve rispondere gratuitamente entro 30 giorni. Rifiuto possibile solo se motivo legale (conflitto con obblighi legali, interessi preponderanti).
Sicurezza dei dati: Obbligo di proteggere i dati attraverso misure tecniche e organizzative appropriate: controllo d'accesso, cifratura, pseudonimizzazione se possibile, backup regolari, formazione del personale, gestione degli incidenti, contratti con i responsabili del trattamento. Il livello di sicurezza deve essere adattato ai rischi e alla sensibilità dei dati.
Registro delle attività di trattamento: Le imprese con più di 250 dipendenti devono tenere un registro che dettaglia ogni attività di trattamento: finalità, categorie di dati e persone, destinatari, durata di conservazione, misure di sicurezza, trasferimenti internazionali. Le PMI con meno di 250 dipendenti ne sono esentate, salvo se il trattamento presenta un rischio elevato per la personalità delle persone interessate.
> Casi particolari e rischi elevati
Analisi d'impatto (AIPD): Obbligatoria se il trattamento comporta un rischio elevato per la personalità: trattamento automatizzato di dati sensibili su larga scala, profilazione ad alto rischio, sorveglianza sistematica di zone accessibili al pubblico, tecnologie nuove. L'AIPD deve valutare i rischi e le misure di attenuazione. Se rischio residuo elevato, consultazione preventiva dell'Incaricato federale della protezione dei dati e della trasparenza (IFPDT).
Violazione della sicurezza dei dati: In caso di fuga di dati suscettibile di comportare un rischio elevato per la personalità, notifica obbligatoria all'IFPDT il più rapidamente possibile. La notifica deve descrivere: natura della violazione, categorie e numero approssimativo di persone e registrazioni interessate, conseguenze probabili, misure prese o previste. Notifica anche alle persone interessate se necessario per la loro protezione.
Comunicazione di dati all'estero: Principio: trasferimento libero verso paesi con livello di protezione adeguato (UE/SEE, riconosciuti dal Consiglio federale). Per altri paesi: necessità di garanzie appropriate (clausole contrattuali tipo, norme vincolanti d'impresa) o consenso esplicito della persona. Stati Uniti: accordo Data Privacy Framework per certi settori certificati. Informazione preventiva delle persone interessate obbligatoria.
Protezione dei dati fin dalla concezione (Privacy by Design): I sistemi e i processi devono integrare la protezione dei dati fin dalla loro concezione: minimizzazione dei dati (raccogliere solo il necessario), limitazione della finalità, limitazione della conservazione, pseudonimizzazione e cifratura per default, separazione delle funzioni. Preferire fornitori e strumenti rispettosi della vita privata.
> Sanzioni e responsabilità
Sanzioni penali: La nLPD introduce sanzioni penali contro le persone fisiche (dirigenti, dipendenti). Multa fino a CHF 250'000 per: violazione intenzionale del dovere di informare, non rispetto del diritto di accesso, fornitura intenzionale di false informazioni all'IFPDT, violazione dell'obbligo di notifica di una violazione, violazione degli obblighi in materia di trasferimento transfrontaliero. Le infrazioni per negligenza sono sanzionate solo su querela.
Responsabilità civile: La persona interessata può esigere dal responsabile del trattamento la cessazione dell'attentato (ingiunzione), la cancellazione dei dati, la rettifica o l'accertamento della loro inesattezza. Può anche reclamare danni-interessi se prova una colpa, un danno e un nesso di causalità. Il responsabile può esonerarsi provando di non aver commesso alcuna colpa. Prescrizione: 3 anni dalla conoscenza del danno, al più tardi 10 anni.
Ruolo dell'IFPDT: L'Incaricato federale della protezione dei dati e della trasparenza indaga su reclamo o d'ufficio. Può: chiedere informazioni e documenti, effettuare controlli sul posto, ordinare la distruzione di dati, vietare il trattamento, raccomandare misure. Le sue decisioni possono essere contestate davanti al Tribunale amministrativo federale. Procedura gratuita per la persona interessata.
Conformità e buone pratiche: Audit interno per identificare i trattamenti di dati, redazione di una politica di protezione dei dati chiara e accessibile, formazione regolare del personale, contratti di trattamento conformi (clausole RGPD adattabili), processo di gestione delle domande di accesso e degli incidenti, revisione annuale della conformità. Documentazione di tutte le misure per provare la conformità in caso di controllo.
FAQ
Q: La mia PMI deve designare un incaricato della protezione dei dati?
R: No, la designazione di un incaricato della protezione dei dati (DPO) non è obbligatoria in Svizzera, contrariamente al RGPD europeo. Tuttavia, è raccomandato designare una persona responsabile della conformità, soprattutto se tratta dati sensibili o effettua trasferimenti internazionali. Questa persona può essere interna o esterna (consulente specializzato).
Q: Posso utilizzare Google Analytics o Facebook Pixel?
R: Sì, ma con precauzioni. Deve informare i visitatori del trasferimento di dati verso gli USA, ottenere il loro consenso attivo tramite cookie banner conforme, anonimizzare gli indirizzi IP e verificare che il fornitore sia certificato Data Privacy Framework o utilizzare clausole contrattuali tipo. Privilegi strumenti europei (Matomo, Plausible) per limitare i rischi.
Q: Cosa fare se un cliente chiede la cancellazione dei suoi dati?
R: Deve rispondere entro 30 giorni. Se la richiesta è giustificata, cancelli i dati e confermi per iscritto. Può rifiutare se: obbligo legale di conservazione (contabilità: 10 anni, contratti: secondo il tipo), interesse legittimo preponderante (difesa in giustizia), consenso iniziale per durata determinata non scaduta. In caso di rifiuto, motivi per iscritto e informi del diritto di ricorso all'IFPDT.
Q: Cosa rischia concretamente la mia PMI in caso di non conformità?
R: Rischi principali: sanzioni penali fino a CHF 250'000 per i dirigenti, danni-interessi in caso di violazione provata, danno alla reputazione e perdita di fiducia dei clienti, divieto temporaneo di trattare certi dati, costi di messa in conformità forzata dopo controllo IFPDT. Le PMI sono meno controllate delle grandi imprese, ma i reclami di clienti o dipendenti scatenano indagini.
Bisogno di aiuto per la conformità LPD?
La nostra IA giuridica analizza la sua situazione e la informa sui suoi obblighi
Avvertenza giuridica:
Questa guida fornisce informazioni generali sulla LPD svizzera e non costituisce una consulenza giuridica personalizzata. La protezione dei dati evolve rapidamente e gli obblighi variano secondo l'attività e i rischi. Per un'analisi precisa della sua conformità, raccomandiamo di consultare un avvocato specializzato in protezione dei dati o un consulente certificato. Utilizzi il nostro assistente IA per un primo orientamento.