La nuova legge federale svizzera sulla protezione dei dati (nLPD) è entrata in vigore il 1° settembre 2023. Si tratta di un grande passo verso l’allineamento tra la legislazione europea e quella svizzera in materia di protezione dei dati. Le due normative, tuttavia, non sono copie l’una dell’altra: su alcuni punti differiscono in modo sostanziale.

Cosa hanno in comune il GDPR e la nLPD

• La definizione di “dati personali” coincide sostanzialmente in entrambe le leggi. Le disposizioni riguardano solo i dati relativi a persone fisiche.
• L’azienda deve informare l’utente sul trattamento dei suoi dati tramite un’informativa sulla privacy e, ove richiesto, trattarli solo con il suo consenso esplicito (le condizioni del GDPR sono però molto più severe).
• Analogamente al diritto di accesso previsto dal GDPR, la nLPD dà all’utente il diritto di ottenere dall’azienda, entro 30 giorni dalla richiesta, l’accesso ai dati personali che lo riguardano e che l’azienda tratta. Inoltre, il diritto di opposizione della nLPD comprende i diritti di opposizione, cancellazione e limitazione che nel GDPR circoscrivono il trattamento dei dati.
• L’azienda deve tenere un registro delle attività di trattamento, che includa anche l’elenco dei Paesi o dei terzi a cui vengono comunicati i dati degli utenti.
• Entrambe le leggi obbligano l’azienda ad adottare misure tecniche e organizzative adeguate per garantire un livello appropriato di sicurezza dei dati.
• I dati degli utenti dovrebbero essere trasferiti solo verso Paesi con un livello adeguato di protezione (possono comunque essere trasferiti anche se sono state adottate garanzie sufficienti a compensare la lacuna di protezione).
• Titolari e responsabili del trattamento sono tenuti a notificare le violazioni dei dati (la legge svizzera non fissa però un termine preciso, ma usa la formula “il più rapidamente possibile”).

Come si vede, le regole generali sono piuttosto simili. E c’è una buona notizia: se la vostra azienda tratta già dati di utenti dell’Unione europea, deve comunque rispettare il GDPR. In questo caso il vostro sistema IT non richiede interventi di ampia portata.

Le principali differenze tra nLPD e GDPR

• Il GDPR elenca 9 categorie di dati personali sensibili e la nLPD ne aggiunge 2: i dati su procedimenti e sanzioni amministrativi o penali e i dati relativi a misure di assistenza sociale.
• La nLPD si basa sul principio che un privato può trattare dati personali, mentre il GDPR riconosce questo diritto a un privato solo in presenza di una specifica base giuridica.
• Come conseguenza di questo principio, le multe previste dalla nLPD si rivolgono alle persone fisiche (non alle aziende, come nel GDPR) e possono arrivare fino a 250 000 CHF. Se non è possibile identificare la persona responsabile, all’azienda può essere inflitta una multa fino a 50 000 CHF. Resta da vedere come questo approccio verrà applicato nella prassi.
• L’ambito di applicazione territoriale è diverso: quello della legge svizzera è più ampio e si basa sul “principio degli effetti”, secondo cui rileva ogni trattamento di dati che produce effetti in Svizzera, indipendentemente da dove sia avvenuto.
• Il GDPR richiede una base giuridica per qualsiasi trattamento di dati personali e obbliga il titolare a ottenere il consenso dell’utente, mentre la nLPD richiede il consenso informato ed esplicito dell’utente per il trattamento di dati sensibili e per la profilazione.
• La nLPD non prevede l’obbligo di nominare un responsabile della protezione dei dati: si tratta di una figura facoltativa, denominata “consulente per la protezione dei dati”.
• Infine, il GDPR è un regolamento sovranazionale applicato in tutta l’UE, con autorità indipendenti incaricate di vigilare sulla sua applicazione in ogni Stato membro. La nLPD è una legge federale che vincola le autorità federali e le aziende del settore privato, ma non le autorità cantonali. La collaborazione tra le autorità di protezione dei dati federali e cantonali è tuttavia consolidata ed efficiente.

Le differenze sono quindi evidenti. Sebbene il GDPR sia servito da base per la nLPD, le differenze tra il sistema svizzero e quello europeo hanno reso unica l’attuazione di molti punti. Con l’entrata in vigore della legge si apre una fase di assestamento, dopo la quale sarà possibile valutarne vantaggi e svantaggi.

La nostra azienda si impegna a rispettare al meglio le leggi sulla protezione dei dati in tutte le sue attività e in tutti i suoi prodotti. Abbiamo già una vasta esperienza nell’applicare queste pratiche al nostro interno e nell’aiutare altre aziende a valutare e riconfigurare i propri sistemi IT in conformità alla legge.

Per una consulenza su IT e protezione dei dati potete contattarci tramite il modulo sul sito web. I nostri esperti saranno lieti di aiutarvi.

Fonti:

https://www.netzwoche.ch/news/2023-06-21/das-sagt-der-edoeb-zum-neuen-datenschutzgesetz

https://www.netzwoche.ch/news/2023-06-07/neues-datenschutzgesetz-sind-sie-bereit

https://www.rosenthal.ch/downloads/VISCHER-revDPA-GDPR-Comparison.pdf

https://www.fedlex.admin.ch/eli/cc/2022/491/de

https://gdpr-info.eu/