Tutte le imprese svizzere devono prepararsi alla nuova legge sulla protezione dei dati (nLPD)* che entrerà in vigore il primo settembre 2023. Per le ditte che non si sono già adeguate al regolamento europeo sulla protezione dei dati (RGPD) del 2018, l’adeguamento necessiterà di tempo e richiederà di far capo a persone con esperienza giuridica e tecnica in materia di protezione dei dati.
Per preparare il lavoro di adeguamento alla nLPD è opportuno raccogliere i dati trattati nell’ambito dell’attività e analizzare i rischi potenziali. Maggiore è la quantità di dati trattata da un’impresa e più sensibili essi sono (se legati, per esempio, alla religione, alla salute, a azioni legali, ecc.) maggiori saranno le esigenze.
Potrebbe piacerti anche
I 12 comandamenti della nLPD
- Controllare e modificare le dichiarazioni sulla protezione dei dati (sito web, contratti, contenuti pubblicitari, ecc.),
- Redigere delle direttive sul trattamento dei dati in seno all’impresa (o modificarle),
- Predisporre un registro del trattamento dei dati (eccezione per le imprese di meno di 250 impiegati e in assenza di rischio elevato di lesione alla personalità),
- Preparare un vademecum per rispondere rapidamente alle domande delle persone interessate (p. es. di informazione o di eliminazione dei dati),
- Predisporre una procedura di segnalazione delle violazioni della protezione dei dati,
- Stabilire un procedimento per le analisi d’impatto che sono necessarie nel caso in cui il trattamento dei dati presenti un rischio elevato (p. es. in caso di sorveglianza sistematica di grandi parti del dominio pubblico),
- Analizzare i contratti con i subappaltatori per verificare se la sicurezza dei dati è assicurata e aggiungere delle clausole specifiche (in particolare sulla segnalazione di qualsivoglia violazione della protezione dei dati).
- Prevedere che tutti i dati personali siano soppressi o resi anonimi (sin dal momento in cui essi non siano più necessari allo scopo che giustificherebbe il loro trattamento iniziale),
- Rivedere le pagine verso le quali i dati sono trasmessi, anche in caso di un semplice salvataggio su cloud, (tali Paesi devono figurare su di una lista stabilita dal Consiglio federale. In caso contrario si applicano esigenze più approfondite),
- Assicurare la sicurezza dei dati tramite misure tecniche e organizzative appropriate,
- Garantire la fornitura dei dati in forma elettronica (in caso di trattamento automatizzato dei dati e in particolare nell’ambito della stipula o dell’applicazione di un contratto),
- Designare un consigliere alla protezione dei dati e pubblicare i suoi recapiti (l’annuncio di questa persona all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) è raccomandato).
Questa lista non vuole essere la più esaustiva o dettagliata possibile. È opportuno far capo alla nLPD, così come all’ordinanza sulla protezione dei dati per maggiori informazioni. Inoltre, il sito del IFPDT fornisce informazioni giuridiche e tecniche verificate sul tema.
* nLPD: nuova legge sulla protezione dei dati
La Svizzera si dota di una nuova legge per meglio proteggere i dati dei propri abitanti. Le imprese del Paese devono adeguarsi a partire dal 1° settembre 2023.
Durante la sessione autunnale 2020 il Parlamento ha adottato la nuova legge federale sulla protezione dei dati (nLPD). Essa migliora il trattamento dei dati personali e accorda nuovi diritti ai cittadini svizzeri. Questo cambiamento legislativo importante è accompagnato anche da una certa quantità di obblighi per le imprese.
La revisione totale della legge sulla protezione dei dati (nLPD) e le relative disposizioni esecutive contenute nella nuova ordinanza sulla protezione dei dati (OPDa) e nella nuova ordinanza sulle certificazioni in materia di protezione dei dati (OCPD) entreranno in vigore il 1° settembre 2023.
Una nuova legge necessaria
La prima legge federale sulla protezione dei dati risale al 1992. Nel frattempo la popolazione svizzera ha introdotto l’uso di internet e degli smartphone nel suo quotidiano e ricorre sempre più frequentemente alle reti sociali, ai cloud o all’internet delle cose. In questo contesto, un rimaneggiamento completo della legge sulla protezione dei dati – e non più solo parziale come nel 2009 e 2019 – è indispensabile per assicurare alla popolazione una protezione dei suoi dati adeguata e adattata alle evoluzioni tecnologiche e sociali della nostra epoca.
La compatibilità del diritto svizzero con quello europeo, e in particolare con il Regolamento europeo sulla protezione dei dati (RGPD), costituisce l’altro tema principale della nuova legge. La nLPD dovrebbe consentire di preservare la libera circolazione dei dati con l’Unione europea (UE) e dovrebbe così evitare la perdita di competitività delle imprese svizzere.
Quali sono i cambiamenti principali?
- Solo i dati delle persone fisiche saranno da ora in poi coperti, e non più quelli delle persone giuridiche.
- I dati genetici e biometrici entrano nella definizione dei dati sensibili.
- Vengono introdotti i principi di “Privacy by Design” e di “Privacy by Default”. Come indicato dal nome, il principio di “Privacy by Design” (protezione dei dati sin dalla concezione) implica che gli sviluppatori integrino la protezione e il rispetto della vita privata degli utenti nella struttura stessa del prodotto o del servizio chiamato a raccogliere i dati personali. Il principio di “Privacy by Default” (protezione dei dati per impostazione predefinita) assicura invece il livello di sicurezza più elevato dalla messa in circolazione del prodotto o del servizio, attivando automaticamente, ovvero senza intervento da parte degli utenti, tutte le misure necessarie alla protezione dei dati e alla limitazione del loro utilizzo. In altre parole, tutti i software, il materiale e i servizi devono essere configurati in modo da proteggere i dati e da rispettare la vita privata degli utenti.
- Devono essere condotte delle analisi d’impatto, in caso si rischio elevato per la personalità o per i diritti fondamentali delle persone interessate.
- Viene esteso il diritto di informare: la raccolta di tutti i dati personali – e non più unicamente di quelli detti sensibili – deve portare all’informazione preventiva della persona interessata.
- Diventa obbligatorio allestire un registro delle attività di trattamento.
- È richiesto l’annuncio rapido in caso di violazione della sicurezza dei dati, da inoltrare all’Incaricato federale per la protezione dei dati e per la trasparenza (IDT).
- La nozione di profilazione (cioè il trattamento automatizzato dei dati personali) entra a far parte della legge.
Il sito dell’IFPDT offre informazioni più precise e dettagliate in merito alle modifiche introdotte dalla nLPD.
Fonti: Intervista pubblicata il 19.01.2022 sul Portale PMI “Se si verifica un furto di dati, significa che si ha già fallito”, articolo pubblicato il 19.05.2021 sul sito di economiesuisse “Protezione dei dati: una panoramica della nuova legge” e articolo comparso il 06.12.2021 sul sito di Axa “Nuova LPD: a cosa devono prestare attenzione le aziende?”.
Le imprese che si erano già adeguate al regolamento generale dell’UE sulla protezione dei dati (RGPD) avranno pochi cambiamenti da intraprendere. L’associazione SwissPrivacy.Law ha pubblicato una tabella comparativa tra la nLPD e il regolamento europeo (in francese): https://swissprivacy.law/55/.
