GDPR e nLPD: cosa cambia per chi tratta dati UE

Un’azienda svizzera che vende a clienti tedeschi, francesi o italiani, o che gestisce dati di residenti nell’Unione europea, deve fare i conti con due normative sulla protezione dei dati: la nuova Legge federale sulla protezione dei dati (nLPD), in vigore dal 1° settembre 2023, e il GDPR europeo. Non sono alternative: possono applicarsi entrambe. Vediamo cosa cambia e cosa fare in concreto.

Due leggi, un tema comune

La nLPD ha modernizzato il diritto svizzero avvicinandolo agli standard europei, proprio per garantire che la Svizzera continui a essere considerata dall’UE un Paese con un livello di protezione adeguato. Questo riconoscimento è cruciale: permette il libero flusso di dati tra UE e Svizzera senza garanzie aggiuntive.

Per questo nLPD e GDPR condividono l’impianto di fondo: trasparenza verso gli interessati, sicurezza dei dati, diritti di accesso e cancellazione, responsabilizzazione di chi tratta i dati. Ma restano differenze pratiche che è bene conoscere.

Chi deve applicare cosa

Il primo passo è capire quale normativa si applica, e spesso la risposta è “entrambe”.

• nLPD: si applica ai trattamenti di dati effettuati in Svizzera o con effetti in Svizzera. Riguarda quindi ogni impresa svizzera.
• GDPR: ha portata extraterritoriale. Si applica anche a un’impresa svizzera, senza stabile organizzazione nell’UE, se offre beni o servizi a persone nell’UE o ne monitora il comportamento.

In pratica, l’azienda svizzera che ha clienti nell’UE, un e-commerce che vende in Europa o che profila utenti europei deve considerare anche il GDPR, oltre alla nLPD.

Le differenze pratiche che contano

Pur nell’impianto simile, alcuni punti divergono e vanno gestiti.

Dati delle persone giuridiche

La nLPD protegge solo i dati delle persone fisiche. Il GDPR pure. Su questo la nuova legge svizzera si è allineata: a differenza della precedente, i dati delle aziende non sono più coperti.

Sanzioni

Qui la differenza è marcata. Il GDPR prevede sanzioni amministrative fino a 20 milioni di euro o il 4% del fatturato mondiale. La nLPD prevede invece multe fino a 250’000 CHF rivolte alle persone fisiche responsabili (non all’azienda in quanto tale), tipicamente i decisori. Logiche diverse, ma entrambe con conseguenze reali.

Registro dei trattamenti

Entrambe lo richiedono, ma la nLPD prevede esenzioni per le PMI con meno di 250 collaboratori, salvo trattamenti a rischio elevato o di dati sensibili su larga scala.

Responsabile della protezione dei dati

Il GDPR lo impone in casi determinati. La nLPD non lo rende obbligatorio, ma prevede la figura del consulente per la protezione dei dati su base facoltativa, con alcuni vantaggi procedurali.

Notifica delle violazioni

Entrambe la richiedono, ma con soglie e tempistiche diverse: il GDPR fissa il celebre termine di 72 ore, la nLPD richiede la notifica “nel più breve tempo possibile” quando il rischio per gli interessati è elevato.

Cosa fare in concreto

Per un’impresa svizzera con clienti UE, il percorso pratico è questo.

• Mappa i trattamenti: quali dati raccogli, di chi, per quali finalità, dove finiscono. Senza questa base non si costruisce nulla.
• Verifica la doppia applicabilità: se tratti dati di persone nell’UE per offrire servizi o monitorarne il comportamento, allinea le procedure al livello più esigente, di norma il GDPR.
• Aggiorna le informative privacy: trasparenti, complete e coerenti con entrambe le normative.
• Cura i trasferimenti verso Paesi terzi: verso l’UE il flusso è agevolato dall’adeguatezza reciproca; verso altri Paesi servono garanzie specifiche.
• Prepara le procedure per i diritti degli interessati: accesso, rettifica, cancellazione, opposizione. Devi saper rispondere nei tempi previsti.
• Predisponi un piano per le violazioni: chi fa cosa, entro quando, verso quali autorità.

L’errore da evitare

Il rischio più comune è pensare “sono svizzero, mi basta la nLPD”. Se hai clienti o utenti nell’UE, il GDPR ti raggiunge comunque, con il suo apparato sanzionatorio ben più pesante. Meglio impostare fin dall’inizio processi che soddisfano entrambe, evitando di doversi adeguare in emergenza dopo un reclamo o un controllo.

Il nostro approccio

In SIH ONE aiutiamo le imprese svizzere a mappare i trattamenti, capire quali normative si applicano davvero al loro caso e costruire una conformità unica che risponde sia alla nLPD sia al GDPR. Niente adempimenti duplicati o inutili: processi tarati sui dati che tratti e sui mercati in cui operi.

Tratti dati di clienti nell’UE e vuoi essere in regola con entrambe le leggi? Verifichiamolo insieme.