Modello di comunicazione di una violazione dei dati alle persone interessate
- art. 24 LPD
- art. 33-34 GDPR
- Circa 20 minuti
- Italiano · Deutsch · Français · English
In breve
È la lettera con cui avvisi, in parole semplici, le persone i cui dati sono stati toccati da una violazione. Ti serve quando l'incidente comporta un rischio per loro o quando l'autorità te lo chiede.
- Per chi
- Le persone toccate dall'incidente. La invii per posta o per e-mail, dopo aver tolto le indicazioni per l'uso.
- Da decidere prima
- Cosa è successo e quando, quali dati sono coinvolti, quali conseguenze sono possibili, cosa hai già fatto e cosa consigli alle persone di fare.
- Dopo
- Inviala senza attendere, conserva una copia e annota l'invio nel registro delle violazioni.
Che cosa contiene
- 1Indicazioni per l'uso (da togliere prima dell'invio)
- 2Testo della comunicazione
Un estratto
Indicazioni per l'uso (da togliere prima dell'invio)
- Quando inviarla. Secondo la LPD le persone vanno informate quando è necessario per la loro protezione o quando l'IFPDT lo esige (art. 24 cpv. 4 LPD). Secondo il GDPR gli interessati vanno informati senza ingiustificato ritardo quando la violazione presenta un rischio elevato per i loro diritti e le loro libertà (art. 34 GDPR). Anche quando non è obbligatoria, la comunicazione è consigliata ogni volta che le persone possono fare qualcosa per proteggersi.
- Contenuto minimo. LPD: tipo di violazione, conseguenze e rischi, misure adottate o previste, persona di contatto (art. 15 cpv. 3 OPDa). GDPR: natura della violazione, punto di contatto, probabili conseguenze, misure adottate o proposte (art. 34 par. 2 GDPR). Il testo qui sotto copre tutti questi punti.
- Linguaggio. Frasi brevi, nessun termine tecnico o giuridico, nessuna minimizzazione. Le parti tra parentesi quadre vanno sostituite con il testo del caso concreto.
- Canale. Usare un canale diretto e personale (lettera, e-mail, telefono), separato da messaggi pubblicitari. Se una comunicazione individuale è impossibile o richiede un onere sproporzionato, informare con una comunicazione pubblica di pari efficacia, per esempio un avviso ben visibile sul sito web.
- Sicurezza. Non chiedere mai nella comunicazione password o dati bancari e non inserire link a pagine di accesso: chi riceve il messaggio deve poterlo distinguere da un tentativo di raggiro.
- Documentazione. Annotare nel registro delle violazioni la data, il canale e i destinatari della comunicazione.
Il testo completo si genera nella piattaforma, con i dati della vostra organizzazione già inseriti.
LPD e GDPR a confronto
| LPD (Svizzera) | GDPR (UE) | |
|---|---|---|
| Quando informare | Se è necessario per proteggerle o se lo chiede l'IFPDT (art. 24 cpv. 4 LPD) | Se la violazione presenta un rischio elevato per i loro diritti e libertà (art. 34 GDPR) |
| Entro quando | Il più presto possibile | Senza ingiustificato ritardo |
| Eccezioni | Interessi preponderanti di terzi, obbligo legale di segretezza, informazione impossibile o sproporzionata (art. 24 cpv. 5 LPD) | Dati resi incomprensibili, rischio eliminato, sforzo sproporzionato: allora comunicazione pubblica (art. 34 par. 3 GDPR) |
Il modello si adatta da solo: sceglie i paragrafi in base alle leggi che valgono per la vostra organizzazione.
Modelli collegati
- Modello di modulo interno per segnalare una violazione dei dati
- Modello di notifica di una violazione dei dati all'autorità
- Modello di procedura in caso di violazione dei dati (data breach)
Domanda collegata: Violazione dei dati: quando e come avvisare l'IFPDT?
Un modello è un'informazione generale, non una consulenza sul vostro caso: va adattato alla vostra organizzazione. Per una domanda sul vostro caso c'è la consulenza di Advisorn. A cura di Advisorn, aggiornato il 20 ottobre 2026.