La nuova legge sulla protezione dei dati (nLPD)

Dal 1° settembre 2023 è in vigore la nuova legge federale sulla protezione dei dati (nLPD), che ha sostituito la normativa precedente allineando la Svizzera agli standard europei. Molte PMI l’hanno vissuta come un adempimento in più, altre l’hanno ignorata sperando che non le riguardasse. Entrambe le reazioni sono sbagliate. La nLPD riguarda quasi ogni impresa, perché quasi ogni impresa tratta dati personali — di clienti, fornitori, collaboratori. Vediamo cosa cambia davvero e cosa fare in concreto.

Cosa protegge la nLPD

La legge protegge i dati personali delle persone fisiche: qualsiasi informazione riferita a una persona identificata o identificabile. Nome, indirizzo, e-mail, dati di pagamento, ma anche informazioni sul personale o sui clienti. A differenza del regime europeo, la legge svizzera non copre più i dati delle persone giuridiche: si concentra sulle persone fisiche.

Un principio chiave: la legge non vieta di trattare i dati, ma impone di farlo in modo lecito, trasparente e proporzionato, per scopi determinati e riconoscibili. Chi tratta i dati è responsabile di come lo fa.

Gli obblighi principali per una PMI

La nLPD introduce o rafforza alcuni doveri concreti.

• Informazione: al momento della raccolta bisogna informare le persone su chi tratta i dati, per quali finalità e, se rilevante, verso quali destinatari — tipicamente tramite un’informativa sulla privacy chiara e accessibile.
• Registro delle attività di trattamento: le imprese devono in linea di principio tenere un registro di quali dati trattano e perché. Sono previste agevolazioni per le PMI il cui trattamento comporta un rischio limitato per le persone.
• Sicurezza dei dati: misure tecniche e organizzative adeguate al rischio per proteggere i dati da accessi non autorizzati e perdite.
• Notifica delle violazioni: in caso di violazione della sicurezza che comporti un rischio elevato per le persone, va informato l’Incaricato federale (IFPDT) il più rapidamente possibile.
• Diritti delle persone: chi vede trattati i propri dati può chiederne accesso, rettifica e, nei casi previsti, cancellazione. L’azienda deve poter rispondere.
• Privacy by design e by default: la protezione va pensata dall’inizio dei processi, non aggiunta dopo.

Particolare attenzione va ai dati personali degni di particolare protezione (salute, opinioni, dati biometrici, appartenenza sindacale o religiosa) e alla profilazione, per cui la legge prevede tutele rafforzate.

Il tema dei trasferimenti all’estero

Molte PMI usano strumenti cloud, CRM o servizi di e-mail marketing ospitati fuori dalla Svizzera. Trasferire dati personali all’estero è possibile, ma solo verso Paesi che garantiscono una protezione adeguata o, in mancanza, adottando garanzie appropriate (per esempio clausole contrattuali riconosciute). È uno dei punti dove le imprese sbagliano più spesso, spesso senza rendersene conto.

Differenze con il GDPR europeo

La nLPD è ispirata al GDPR ma non è identica. Chi è già conforme al GDPR ha gran parte del lavoro fatto, ma non tutto.

• L’impianto è simile: trasparenza, finalità, diritti degli interessati, sicurezza.
• Le sanzioni funzionano diversamente: la nLPD prevede multe che colpiscono in primo luogo le persone fisiche responsabili (fino a 250’000 CHF nei casi previsti), non l’impresa come tale in via principale. È un cambio di prospettiva importante per chi dirige.
• Alcuni obblighi e soglie differiscono. Un’impresa attiva anche verso l’UE deve considerare entrambi i regimi.

Cosa fare in pratica

Mettersi in regola non richiede necessariamente un progetto enorme, ma un percorso ordinato.

1. Mappa i dati: quali dati personali raccogli, dove li conservi, chi vi accede, dove vanno (anche all’estero).
2. Aggiorna l’informativa sulla privacy su sito, moduli e contratti.
3. Redigi il registro dei trattamenti, proporzionato alla tua realtà.
4. Verifica i fornitori: i tuoi service provider trattano i dati in modo conforme? Servono accordi adeguati.
5. Definisci procedure per rispondere alle richieste di accesso e per gestire un’eventuale violazione.
6. Forma le persone: gran parte degli incidenti nasce da comportamenti, non da tecnologia.

Come lavoriamo noi

SIH ONE è un gruppo fiduciario AI-native con una divisione dedicata al diritto e alla governance. Aiutiamo le PMI a valutare la propria esposizione, a mappare i trattamenti, a predisporre informative e registri proporzionati e a gestire correttamente i trasferimenti all’estero e i rapporti con i fornitori. L’obiettivo è la conformità sostanziale, non un raccoglitore di documenti che nessuno usa.

Vuoi capire dove la tua azienda è esposta rispetto alla nLPD? Facciamo il punto insieme.