Glossario della protezione dei dati

Anonimizzazione

Rendere i dati tali che non permettano più, con mezzi ragionevoli, di risalire a una persona. I dati anonimi non sono più dati personali.Art. 6 cpv. 4 LPD, considerando 26 GDPRApprofondisci

Base giuridica

Nel GDPR, uno dei sei motivi che rendono lecito ogni trattamento: consenso, contratto, obbligo legale, interessi vitali, interesse pubblico, interesse legittimo. La LPD non la chiede per ogni trattamento.Art. 6 GDPR, art. 6 e 31 LPDApprofondisci

Certificazione

La verifica facoltativa di sistemi, prodotti, servizi o organizzazioni da parte di un organismo accreditato. Per un sistema, prodotto o servizio certificato e usato per l'impiego previsto, fa venir meno l'obbligo della valutazione d'impatto.Art. 13 e 22 cpv. 5 LPD, art. 42 GDPRApprofondisci

Clausole contrattuali tipo

Detto anche: Standard Contractual Clauses, SCCUn contratto standard con cui il destinatario all'estero si impegna a proteggere i dati, per trasferirli verso uno Stato senza protezione adeguata. L'IFPDT riconosce quelle della Commissione europea con gli adattamenti per la Svizzera.Art. 16 cpv. 2 lett. d LPD, art. 46 GDPRApprofondisci

Codice di condotta

Regole elaborate da associazioni professionali o di categoria, che possono essere sottoposte all'IFPDT per un parere. Chi rispetta un codice fondato su una valutazione d'impatto, che prevede misure di protezione ed è stato sottoposto all'IFPDT, è esonerato dalla propria valutazione d'impatto.Art. 11 e 22 cpv. 5 LPD, art. 40-41 GDPR

Comunicazione

Il fatto di trasmettere dati personali o di renderli accessibili, per esempio inviandoli a un fornitore o pubblicandoli.Art. 5 lett. e LPD

Consenso

La manifestazione di volontà libera, per uno o più trattamenti determinati e dopo un'informazione adeguata. Deve essere esplicito per i dati degni di particolare protezione e la profilazione a rischio elevato.Art. 6 cpv. 6-7 LPD, art. 4 n. 11 e 7 GDPRApprofondisci

Consulente per la protezione dei dati

Detto anche: Responsabile della protezione dei dati, DPOLa persona interna o esterna che consiglia l'azienda e vigila sul rispetto della legge, in modo indipendente. Con la LPD è facoltativo per i privati; con il GDPR è obbligatorio in alcuni casi.Art. 10 LPD, art. 37-39 GDPRApprofondisci

Contitolari del trattamento

Due o più titolari che determinano insieme lo scopo e i mezzi di un trattamento. Il GDPR chiede un accordo che stabilisca le rispettive responsabilità.Art. 5 lett. j LPD, art. 26 GDPRApprofondisci

Data Privacy Framework

Detto anche: Swiss-U.S. DPFIl quadro con cui le aziende statunitensi si certificano presso il Dipartimento del commercio americano. Dal 15 settembre 2024 i dati possono andare senza altre garanzie alle aziende certificate anche per la Svizzera.Art. 16 cpv. 1 LPD, allegato 1 OPDaApprofondisci

Dati degni di particolare protezione

Detto anche: Categorie particolari di dati (GDPR), dati sensibiliDati su opinioni e attività religiose, filosofiche, politiche o sindacali; salute, sfera intima, origine razziale o etnica; dati genetici; dati biometrici che identificano univocamente una persona; procedimenti e sanzioni amministrativi e penali; misure d'assistenza sociale.Art. 5 lett. c LPD, art. 9-10 GDPRApprofondisci

Dato personale

Qualsiasi informazione concernente una persona fisica identificata o identificabile. Dal 1° settembre 2023 la LPD non protegge più i dati delle persone giuridiche.Art. 5 lett. a LPD, art. 4 n. 1 GDPRApprofondisci

Decisione individuale automatizzata

Una decisione presa solo da un sistema automatizzato che produce effetti giuridici per una persona o la pregiudica in modo considerevole. La persona va informata e può chiedere che sia riesaminata da una persona fisica.Art. 21 LPD, art. 22 GDPRApprofondisci

Diritto alla portabilità dei dati

Il diritto di ricevere in un formato elettronico usuale i dati che si sono comunicati a un titolare, o di farli trasmettere a un altro, quando sono trattati in modo automatizzato con il consenso o per un contratto.Art. 28-29 LPD, art. 20 GDPRApprofondisci

Diritto d'accesso

Il diritto di chiunque di sapere se un titolare tratta dati che lo riguardano e di riceverne una copia con le informazioni principali, di regola gratis ed entro 30 giorni.Art. 25-26 LPD, art. 16-19 OPDa, art. 15 GDPRApprofondisci

Dovere d'informare

Detto anche: Informativa sulla privacy, dichiarazione sulla protezione dei datiL'obbligo di informare le persone quando si raccolgono i loro dati: chi è il titolare, lo scopo, i destinatari e gli Stati esteri a cui vanno i dati.Art. 19-21 LPD, art. 13-14 GDPRApprofondisci

IFPDT

Detto anche: Incaricato federale della protezione dei dati e della trasparenza, EDÖB, PFPDT, FDPICL'autorità federale che vigila sull'applicazione della LPD da parte dei privati e degli organi federali. Conduce inchieste e può ordinare misure, ma non infligge multe.Art. 43-58 LPDApprofondisci

Lesione della personalità

Un trattamento che viola i principi della legge, che avviene contro la volontà espressa della persona o che comunica a terzi dati degni di particolare protezione. È illecito salvo un motivo giustificativo.Art. 30 LPDApprofondisci

Limitazione dello scopo

I dati si raccolgono per uno scopo determinato e riconoscibile per la persona, e si trattano poi solo in modo compatibile con quello scopo.Art. 6 cpv. 3 LPD, art. 5 par. 1 lett. b GDPR

Misure tecniche e organizzative

Detto anche: TOMLe misure con cui titolare e responsabile garantiscono una sicurezza dei dati adeguata al rischio: riservatezza, disponibilità, integrità e tracciabilità.Art. 8 LPD, art. 1-6 OPDa, art. 32 GDPRApprofondisci

Motivo giustificativo

Ciò che rende lecito un trattamento che lede la personalità: il consenso della persona, un interesse preponderante privato o pubblico, o la legge.Art. 31 LPDApprofondisci

Persona interessata

La persona fisica i cui dati personali sono trattati: un cliente, un collaboratore, un candidato, un visitatore del sito.Art. 5 lett. b LPD, art. 4 n. 1 GDPR

Principio di proporzionalità

Detto anche: Minimizzazione dei datiSi trattano solo i dati necessari allo scopo, nel modo e per il tempo necessari. I dati che non servono più vanno distrutti o anonimizzati.Art. 6 cpv. 2 e 4 LPD, art. 5 par. 1 lett. c ed e GDPRApprofondisci

Profilazione

Il trattamento automatizzato di dati personali per valutare aspetti di una persona, in particolare il rendimento sul lavoro, la situazione economica, la salute, le preferenze, gli interessi, l'affidabilità, il comportamento, la posizione o gli spostamenti.Art. 5 lett. f LPD, art. 4 n. 4 GDPRApprofondisci

Profilazione a rischio elevato

Una profilazione che comporta un rischio elevato per la personalità o i diritti fondamentali, perché combina dati in modo da permettere di valutare aspetti essenziali della personalità. Non esiste nel GDPR.Art. 5 lett. g e 6 cpv. 7 lett. b LPDApprofondisci

Protezione adeguata

Detto anche: AdeguatezzaIl riconoscimento, da parte del Consiglio federale (per la LPD) o della Commissione europea (per il GDPR), che uno Stato protegge i dati in modo adeguato: verso quello Stato i dati vanno senza altre garanzie.Art. 16 cpv. 1 LPD, allegato 1 OPDa, art. 45 GDPRApprofondisci

Protezione dei dati fin dalla progettazione e per impostazione predefinita

Detto anche: Privacy by design, privacy by defaultL'obbligo di configurare un trattamento, già dalla pianificazione, in modo che rispetti la legge, e di impostare i sistemi in modo che trattino solo il minimo necessario, salvo che la persona decida altrimenti.Art. 7 LPD, art. 25 GDPRApprofondisci

Pseudonimizzazione

Sostituire nomi e identificativi con un codice, tenendo la chiave separata. Per chi ha la chiave i dati restano personali; è una misura di sicurezza.Art. 4 n. 5 GDPRApprofondisci

Rappresentante in Svizzera

Il punto di contatto in Svizzera che devono designare alcuni titolari con sede all'estero che trattano dati di persone in Svizzera. Il GDPR ha una figura simile, il rappresentante nell'UE.Art. 14-15 LPD, art. 27 GDPRApprofondisci

Registro delle attività di trattamento

Detto anche: Registro dei trattamentiL'elenco delle attività con dati personali, con almeno scopo, categorie di persone e di dati, destinatari, durata di conservazione, misure di sicurezza e trasferimenti all'estero.Art. 12 LPD, art. 24 OPDa, art. 30 GDPRApprofondisci

Responsabile del trattamento

Detto anche: Fornitore che tratta dati per voi, processorIl privato o l'organo federale che tratta dati personali per conto del titolare, secondo le sue istruzioni: il servizio cloud, la fiduciaria dei salari, l'agenzia della newsletter.Art. 5 lett. k e 9 LPD, art. 4 n. 8 e 28 GDPRApprofondisci

Sub-responsabile del trattamento

Detto anche: Sub-fornitoreUn terzo a cui il responsabile del trattamento affida a sua volta una parte del trattamento. È ammesso solo con l'autorizzazione preventiva del titolare.Art. 9 cpv. 3 LPD, art. 28 par. 2 e 4 GDPRApprofondisci

Titolare del trattamento

Il privato o l'organo federale che, da solo o insieme ad altri, determina lo scopo e i mezzi del trattamento. Per i dati dei propri clienti e collaboratori è di regola l'azienda stessa.Art. 5 lett. j LPD, art. 4 n. 7 GDPR

Trattamento

Qualsiasi operazione con dati personali, indipendentemente dai mezzi e dalle procedure: raccogliere, registrare, conservare, utilizzare, modificare, comunicare, archiviare, cancellare o distruggere.Art. 5 lett. d LPD, art. 4 n. 2 GDPR

Valutazione d'impatto sulla protezione dei dati

Detto anche: DPIA, DSFAL'analisi preventiva di un trattamento che può comportare un rischio elevato: descrizione, valutazione dei rischi e misure. Se il rischio resta elevato va consultato l'IFPDT.Art. 22-23 LPD, art. 35-36 GDPRApprofondisci

Violazione della sicurezza dei dati

Detto anche: Data breachUna violazione della sicurezza che causa, in modo accidentale o illecito, la perdita, la cancellazione, la distruzione o la modifica di dati personali, oppure la loro comunicazione o accessibilità a persone non autorizzate.Art. 5 lett. h e 24 LPD, art. 4 n. 12 e 33-34 GDPRApprofondisci

Definizioni riassunte dal testo della legge, non una consulenza: per il vostro caso conta il testo della legge.