Question 1

La nuova LPD si applica alla mia PMI?

Accepted Answer

Sì. La legge sulla protezione dei dati (LPD) si applica a ogni privato e a ogni azienda che tratta dati personali di persone fisiche, qualunque sia la sua dimensione (art. 2 LPD). Vale anche per un'azienda all'estero quando il trattamento produce effetti in Svizzera (art. 3 LPD).

Question 2

nLPD e GDPR: quali differenze, e quando valgono entrambi?

Accepted Answer

La LPD svizzera e il GDPR europeo si fondano sugli stessi principi, ma la LPD non chiede una base giuridica per ogni trattamento, non fissa un termine in ore per notificare una violazione e punisce le persone responsabili invece dell'azienda. Un'azienda svizzera deve rispettare anche il GDPR quando ha una sede nell'UE, offre beni o servizi a persone nell'UE o ne osserva il comportamento (art. 3 GDPR).

Question 3

Quali sanzioni prevede la nuova LPD, e a chi?

Accepted Answer

La LPD prevede multe fino a CHF 250'000 (art. 60-63 LPD). Le paga la persona fisica responsabile, non l'azienda, e solo per violazioni intenzionali; l'azienda può essere multata fino a CHF 50'000 quando trovare la persona responsabile richiederebbe accertamenti sproporzionati (art. 64 LPD).

Question 4

Serve un registro dei trattamenti con la nuova LPD?

Accepted Answer

Sì, di regola. La LPD obbliga titolari e responsabili del trattamento a tenere un registro delle attività di trattamento (art. 12 LPD). Sono esentate le imprese con meno di 250 collaboratori, salvo che trattino su larga scala dati degni di particolare protezione o facciano una profilazione ad alto rischio (art. 24 OPDa).

Question 5

Devo nominare un consulente per la protezione dei dati (DPO)?

Accepted Answer

Con la LPD no: per le aziende private il consulente per la protezione dei dati è facoltativo (art. 10 LPD). Con il GDPR è obbligatorio quando l'attività principale consiste nel monitorare le persone in modo regolare e sistematico su larga scala o nel trattare su larga scala categorie particolari di dati (art. 37 GDPR).

Question 6

Cosa deve contenere l'informativa sulla privacy?

Accepted Answer

Quando raccoglie dati personali, l'azienda deve informare le persone almeno su: la propria identità e i propri dati di contatto, lo scopo del trattamento, i destinatari o le categorie di destinatari e, se i dati vanno all'estero, lo Stato e le garanzie (art. 19 LPD). Se i dati non sono raccolti presso la persona, va indicato anche quali categorie di dati si trattano.

Question 7

Serve una valutazione d'impatto sulla protezione dei dati (DPIA)?

Accepted Answer

Sì, ma solo quando un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali delle persone (art. 22 LPD): per esempio con nuove tecnologie, con dati degni di particolare protezione su larga scala o con la sorveglianza sistematica di ampi spazi pubblici. Se il rischio resta elevato anche dopo le misure, va consultato l'IFPDT (art. 23 LPD).

Question 8

Posso usare fornitori con server negli Stati Uniti o nell'UE?

Accepted Answer

Sì. I dati possono andare all'estero se il Consiglio federale ha riconosciuto che lo Stato protegge i dati in modo adeguato, come gli Stati dell'UE e del SEE (art. 16 cpv. 1 LPD). Verso gli Stati Uniti si possono trasferire alle aziende certificate nel Swiss-U.S. Data Privacy Framework; per le altre servono garanzie appropriate, di solito le clausole contrattuali tipo (art. 16 cpv. 2 LPD).

Question 9

Serve un contratto con i fornitori che trattano dati per noi?

Accepted Answer

Sì. Un'azienda può affidare un trattamento a un fornitore (responsabile del trattamento) per contratto, se il fornitore tratta i dati solo come potrebbe farlo l'azienda stessa e ne garantisce la sicurezza (art. 9 LPD). Il fornitore può affidarlo a sua volta a terzi solo con l'autorizzazione dell'azienda; con il GDPR il contratto deve essere scritto e avere il contenuto dell'art. 28 GDPR.

Question 10

Cookie e banner: in Svizzera serve il consenso?

Accepted Answer

Di regola no. In Svizzera i cookie si possono usare se il sito informa sul trattamento e sul suo scopo e dice come rifiutarlo (art. 45c della legge sulle telecomunicazioni); un consenso preventivo non è richiesto in generale. Se il sito si rivolge a persone nell'UE, per i cookie non necessari serve il loro consenso prima di impostarli (direttiva ePrivacy e GDPR).

Question 11

Violazione dei dati: quando e come avvisare l'IFPDT?

Accepted Answer

Una violazione della sicurezza dei dati va notificata all'IFPDT il più presto possibile quando comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali delle persone interessate (art. 24 LPD). Le persone vanno informate se serve a proteggerle o se l'IFPDT lo chiede; con il GDPR la notifica all'autorità va fatta entro 72 ore (art. 33 GDPR).

Question 12

Come rispondere a una richiesta di accesso ai dati, ed entro quanto?

Accepted Answer

Chiunque può chiedere a un'azienda se tratta dati che lo riguardano e riceverne una copia, con lo scopo, la durata di conservazione, i destinatari e gli Stati esteri (art. 25 LPD). La risposta va data di regola entro 30 giorni e gratuitamente (art. 18-19 OPDa); con il GDPR il termine è di un mese (art. 12 e 15 GDPR).

Domande sulla nuova LPD

Si applica a noi?

Documenti e ruoli

Fornitori ed estero

Quando succede qualcosa

Non trovate la vostra domanda?