Protezione dei dati in Svizzera: le leggi che ogni azienda deve conoscere
LPD, OPDa, GDPR, LSIn, LTC e FiEle: panoramica delle leggi svizzere su protezione dei dati e sicurezza IT e delle differenze rispetto al GDPR.
Chi tratta dati personali in Svizzera, o di persone residenti in Svizzera, deve conoscere un insieme di leggi ben preciso. Il quadro svizzero sulla protezione dei dati e sulla sicurezza IT è completo ed è stato allineato in larga misura agli standard internazionali, in particolare al Regolamento generale sulla protezione dei dati dell’UE (GDPR). In questa guida trovate una panoramica delle norme più importanti e delle differenze chiave rispetto al GDPR.
Cybersecurity in Svizzera: chi fa cosa
- Ufficio federale della cibersicurezza (UFCS): l’ex Centro nazionale per la cibersicurezza (NCSC) coordina gli sforzi nazionali, pubblica raccomandazioni e supporta in caso di ciberattacchi.
- Codice penale svizzero: contiene disposizioni contro la criminalità informatica, come l’accesso indebito a sistemi (hacking), il furto di dati e la frode informatica.
Protezione dei dati e compliance IT
- Trasferimenti di dati all’estero: sono ammessi verso Paesi con un livello di protezione adeguato. Per gli altri Paesi sono necessarie garanzie supplementari.
- Compliance IT: le aziende devono dimostrare il rispetto della legge, ad esempio con audit regolari, formazione del personale e direttive interne sulla protezione dei dati.
Legge federale sulla protezione dei dati (LPD / nLPD)
La legge centrale è la Legge federale sulla protezione dei dati (LPD). Garantisce che i dati personali siano trattati nel rispetto della personalità e dei diritti fondamentali delle persone interessate.
- Il concetto di «dati personali» è ampio: comprende tutte le informazioni concernenti una persona fisica identificata o identificabile.
- Il trattamento deve essere lecito, conforme al principio della buona fede e proporzionato.
- Le persone interessate hanno diritto di accesso, di rettifica e di cancellazione dei propri dati.
- Le aziende devono adottare misure tecniche e organizzative adeguate per proteggere i dati.
- La legge si applica a tutti i trattamenti in Svizzera e anche ai trattamenti all’estero che producono effetti in Svizzera.
- La comunicazione di dati verso Paesi senza protezione adeguata richiede garanzie specifiche.
La LPD riveduta (nLPD), in vigore dal 1° settembre 2023, ha avvicinato il diritto svizzero al GDPR: obblighi più severi per le aziende, maggiore trasparenza e strumenti di applicazione più incisivi.
Ordinanza sulla protezione dei dati (OPDa)
L’OPDa contiene le disposizioni d’esecuzione della LPD e spiega come applicarne i principi nella pratica. Disciplina tra l’altro i requisiti minimi di sicurezza dei dati, il registro delle attività di trattamento, la notifica delle violazioni e i compiti dell’Incaricato federale della protezione dei dati e della trasparenza (IFPDT).
In sintesi: la LPD definisce il quadro giuridico e i principi, l’OPDa fornisce le regole operative per rispettarli.
nLPD e GDPR: le differenze principali
La Svizzera non fa parte dell’UE, ma la nLPD è strettamente allineata al GDPR. Questo facilita il trasferimento di dati e l’attività internazionale delle aziende svizzere. Restano però alcune differenze importanti:
| nLPD (Svizzera) | GDPR (UE) |
|---|---|
Campo di applicazione | |
Si applica a privati e organi federali che trattano dati personali in Svizzera, nonché ai trattamenti all’estero che producono effetti in Svizzera. | Si applica a qualsiasi organizzazione che tratta dati personali di persone che si trovano nell’UE, indipendentemente dalla sua sede. |
Responsabile della protezione dei dati (DPO) | |
Non è obbligatorio, ma è raccomandato come buona pratica. | È obbligatorio in determinati casi, ad esempio per le autorità pubbliche o in caso di monitoraggio regolare e sistematico su larga scala. |
Base giuridica del trattamento | |
I dati devono essere trattati in modo lecito, secondo buona fede e in modo proporzionato; non è richiesta una base giuridica per ogni trattamento. | Prevede sei basi giuridiche: consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico e legittimo interesse. |
Notifica delle violazioni dei dati | |
Le violazioni che comportano un rischio elevato vanno notificate all’IFPDT «il prima possibile», senza un termine fisso. | Le violazioni vanno notificate all’autorità di controllo entro 72 ore, salvo che sia improbabile un rischio per i diritti delle persone. |
Diritti delle persone interessate | |
Diritti simili: accesso, rettifica, cancellazione e, dalla revisione, anche la portabilità dei dati. | Accesso, rettifica, cancellazione (diritto all’oblio), limitazione, portabilità e opposizione. |
Sanzioni | |
Multe fino a CHF 250 000, inflitte alle persone fisiche responsabili, non all’azienda. | Sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato annuo mondiale, se superiore. |
Decisioni automatizzate e profilazione | |
Obbligo di informare sulle decisioni individuali automatizzate e diritto di esprimere il proprio punto di vista. | Diritto di non essere sottoposti a decisioni basate unicamente su trattamenti automatizzati con effetti giuridici significativi. |
Trasferimenti all’estero | |
Consentiti verso Stati con protezione adeguata secondo l’elenco del Consiglio federale; altrimenti servono garanzie come le clausole contrattuali tipo. | Consentiti verso Paesi con decisione di adeguatezza o con garanzie adeguate (clausole contrattuali tipo, BCR). |
Autorità di vigilanza | |
Incaricato federale della protezione dei dati e della trasparenza (IFPDT). | Autorità nazionali di controllo, coordinate dal Comitato europeo per la protezione dei dati (EDPB). |
Le due normative condividono gli stessi obiettivi, ma chi opera sia in Svizzera sia nell’UE deve tenere conto di entrambe.
Legge sulla sicurezza delle informazioni (LSIn)
In vigore dal 1° gennaio 2024, la LSIn mira a garantire la confidenzialità, l’integrità e la disponibilità delle informazioni trattate dalla Confederazione e dai gestori di infrastrutture critiche, ad esempio nei settori energia, acqua potabile, smaltimento dei rifiuti, finanza, sanità, informazione e comunicazione, alimentazione, trasporti e sicurezza.
- Gestione della sicurezza delle informazioni: richiede sistemi di gestione (ISMS) basati su standard riconosciuti.
- Obbligo di notifica: dal 1° aprile 2025 i gestori di infrastrutture critiche devono notificare i ciberattacchi all’UFCS entro 24 ore.
Altre leggi rilevanti per comunicazioni elettroniche e infrastruttura IT
- Legge sulle telecomunicazioni (LTC): disciplina i servizi di telecomunicazione, con particolare attenzione a concorrenza, tutela dei consumatori e sicurezza dei dati.
- Legge sulla firma elettronica (FiEle): equipara la firma elettronica qualificata alla firma autografa.
Conclusione
La legislazione svizzera su protezione dei dati e sicurezza IT è solida e moderna. L’allineamento con il GDPR consente alle aziende svizzere di operare senza ostacoli a livello internazionale, mantenendo standard elevati di protezione dei dati e di cybersecurity.
PassSecurium ospita i propri dati e quelli dei clienti esclusivamente in Svizzera, dove sono protetti sia fisicamente sia giuridicamente.
Fonti:
Questo sito web utilizza cookie. Questi hanno due funzioni: da un lato garantiscono le funzionalità di base per questo sito web, dall'altro, salvando e analizzando i dati utente anonimizzati, ci permettono di migliorare i nostri contenuti per te. Puoi ritirare il tuo consenso all'utilizzo di questi cookie in qualsiasi momento. Trova ulteriori informazioni sui cookie visitando la pagina Informativa sulla Privacy e riguardo a noi visitando la pagina Informazioni legali.