La Svizzera si \u00e8 dotata di una nuova Legge sulla protezione dei dati, che entrer\u00e0 in vigore il 1\u00b0 settembre. Ci\u00f2 comporta numerosi obblighi. Per aiutare gli enti di formazione continua a prepararsi, la FSEA ha organizzato un seminario online con un esperto.<\/p>\n\n\n\n
Il 1\u00b0 settembre di quest’anno entrer\u00e0 in vigore in Svizzera la nuova Legge sulla protezione dei dati (LPD). Con essa, il livello di protezione dei dati sar\u00e0 portato al livello dell’UE. Le imprese che si erano gi\u00e0 adeguate al regolamento generale dell\u2019UE sulla protezione dei dati (RGPD) avranno pochi cambiamenti da intraprendere, come osserva la stessa Confederazione sul suo portale dedicato alle PMI. Per le altre, invece, ci sar\u00e0 molto da fare. E attenzione: la nuova LPD si applica senza alcun periodo di transizione.<\/p>\n\n\n\n
Per consentire agli enti di formazione continua di prepararsi alla nuova legge, la FSEA ha organizzato a giugno un seminario online che ha illustrato i cambiamenti pi\u00f9 importanti, chiarendo nel contempo idee sbagliate e false supposizioni. Il relatore \u00e8 stato l’avvocato Michael Widmer, che da 15 anni si occupa di questioni relative alla protezione dei dati ed \u00e8 docente, tra l’altro, in un CAS dedicato a questo tema presso la Z\u00fcrcher Hochschule f\u00fcr Angewandte Wissenschaften (ZHAW).<\/p>\n\n\n\n
Si dice che la nuova Legge sulla protezione dei dati sia fondamentalmente una seccatura e che porti pochi benefici. \u00c8 una cosa che ognuno deve decidere da s\u00e9, ha detto Michael Widmer. In ogni caso la questione va affrontata per tempo.<\/p>\n\n\n\n
Le conseguenze di sue eventuali violazioni possono infatti essere costose. Anzitutto, a partire dal 1\u00b0 settembre, i procedimenti civili per violazione di diritti personali saranno gratuiti per l’accusatore. Le multe penali per le violazioni delle norme di protezione dei dati, dal canto loro, possono arrivare fino a 250 000 franchi \u2013 anche se si stratta di una cifra diretta soprattutto alle grandi aziende.<\/p>\n\n\n\n
Ci\u00f2 pu\u00f2 in ogni caso avere conseguenze spiacevoli a livello individuale, perch\u00e9 l’autore del reato \u00e8 di norma una persona fisica, per esempio l’amministratore delegato di una societ\u00e0. Anche se soltanto una violazione intenzionale dei propri obblighi pu\u00f2 essere punita, \u00e8 comunque sufficiente il dolo eventuale. Infine, ma non meno importante: i danni derivati dalla violazione delle norme sulla protezione dei dati non sono assicurabili.<\/p>\n\n\n\n
La nuova legge riguarda solo i dati delle persone fisiche. Ci\u00f2 significa che si tratta di informazioni relative a una “persona fisica identificata o identificabile”. Come ha spiegato Michael Widmer, tuttavia, l’assunto pu\u00f2 tuttavia essere complicato. Per esempio, diversi dati raccolti possono consentire di trarre conclusioni su una persona specifica, anche se nel record di dati non sono riportati n\u00e9 il suo nome n\u00e9 il suo indirizzo. Se \u00e8 possibile trarre conclusioni su una persona sulla base di determinate combinazioni di dati, allora si tratta di una persona identificabile \u2013 e ci\u00f2 \u00e8 rilevante ai fini della protezione dei dati.<\/p>\n\n\n\n
Se un’azienda rientra nel campo di applicazione della nuova legge (le autorit\u00e0 cantonali, per esempio, ne sono esenti) \u00e8 necessario anzitutto dotarsi di una dichiarazione sulla protezione dei dati. In altre parole, \u00e8 necessario fornire informazioni su come viene effettuato il trattamento dei dati stessi. Come spiega Widmer, ci\u00f2 pu\u00f2 essere comunicato anche verbalmente. Tuttavia, in caso di controversie, \u00e8 piuttosto difficile dimostrare che l’obbligo di informazione \u00e8 stato rispettato. La regola dovrebbe quindi essere una dichiarazione pubblicata per esempio sul proprio sito web.<\/p>\n\n\n\n
Uno degli errori relativi alla nuova Legge sulla protezione dei dati \u00e8 il presupposto che il trattamento dei dati personali sia consentito solo con il consenso della persona interessata. Anche qui c’\u00e8 una differenza con l’UE. In Svizzera, in linea di principio, si possono trattare dati personali, ma si devono rispettare determinati principi.<\/p>\n\n\n\n
Anche la convinzione che sia sempre necessario il consenso del destinatario per l’invio di una newsletter \u00e8 in parte sbagliata, ha sottolineato Widmer. Se si invia una newsletter a qualcuno con cui esiste gi\u00e0 un rapporto commerciale, infatti, il consenso non \u00e8 affatto necessario. Diverso \u00e8 il caso in cui si utilizzi un indirizzo qualsiasi, quale quello riportato su un biglietto da visita. In questo caso il consenso \u00e8 necessario. Anche il servizio utilizzato per l’invio della newsletter \u00e8 importante: per esempio, se si utilizza il programma americano Mailchimp, i dati vengono trasmessi a cosiddetti Paesi stranieri non sicuri \u2013 e questo, come spiegato pi\u00f9 avanti \u2013 complica le cose.<\/p>\n\n\n\n
Anche l’obbligo di nominare un consulente per la protezione dei dati \u00e8 una leggenda, ha ancora affermato Widmer. \u00c8 in ogni caso ragionevole nominare una persona interna che si occupi di queste problematiche.<\/p>\n\n\n\n
Infine, Widmer ha spiegato che occorre fare una distinzione riguardo all’obbligo di fornire informazioni. \u00c8 vero che si devono fornire informazioni sui dati personali trattati se una persona interessata ne fa richiesta. Allo stesso tempo, tuttavia, bisogna tenere conto del fatto che altri dati personali non sono interessati.<\/p>\n\n\n\n
Michael Widmer raccomanda che il primo passo consista nel sapere quali dati personali vengono trattati in azienda e nel creare quindi un elenco dei trattamenti. Le aziende con meno di 250 dipendenti non sono obbligate a farlo, a patto che non effettuino un trattamento su larga scala di dati particolarmente sensibili o una profilazione ad alto rischio. Tuttavia, \u00e8 chiaro che non \u00e8 possibile redigere una dichiarazione sulla protezione dei dati senza un elenco dei trattamenti. La dichiarazione di protezione dei dati \u00e8 a sua volta parte dell’obbligo di informazione.<\/p>\n\n\n\n
L’elenco dei trattamenti pu\u00f2 in ogni caso essere un semplice foglio Excel. Esso deve riportare almeno l’identit\u00e0 del responsabile, lo scopo, la categoria di dati personali e i destinatari, il periodo o i criteri di conservazione, la descrizione delle misure di sicurezza dei dati e, se applicabile, la loro divulgazione all’estero (menzionando il Paese di destinazione e le relative garanzie).<\/p>\n\n\n\n
Anche i contratti stipulati con i fornitori di servizi informatici, cloud o HR devono essere rivisti alla luce della nuova Legge sulla protezione dei dati ed eventualmente aggiornati. I primi passi comprendono altres\u00ec la verifica della sicurezza dei dati. A questo riguardo potrebbe essere opportuno limitare i diritti di accesso (per esempio tramite un’apposita lista), criptare alcuni set di dati o adottare altre misure di protezione.<\/p>\n\n\n\n
Come \u00e8 emerso dalla discussione seguita alla presentazione, anche con la revisione della Legge sulla protezione dei dati il diavolo si nasconde nei dettagli, o meglio negli strumenti utilizzati quotidianamente, come Zoom, Dropbox, Teams e altri servizi analoghi, nonch\u00e9 nell’uso di servizi cloud o di software per l’invio di newsletter come Mailchimp.<\/p>\n\n\n\n
Occorre infatti distinguere tra Paesi sicuri e non sicuri (gli elenchi corrispondenti si trovano su Internet<\/a>). Mentre i Paesi dell’UE sono generalmente considerati sicuri e la divulgazione dei dati verso di essi \u00e8 possibile senza ulteriori indugi, gli Stati Uniti appartengono ai candidati non sicuri. Ci\u00f2 significa che chiunque utilizzi software o servizi cloud basati negli Stati Uniti o trasferisca comunque dati a server situati in Paesi stranieri non sicuri deve prestare attenzione a ottenere il necessario consenso. Le istruzioni su come procedere quando si divulgano dati personali all’estero sono disponibili sul sito web dell’Incaricato federale della protezione dei dati e della trasparenza<\/a>. Secondo Widmer, la divulgazione di dati verso un Paese estero non sicuro comporta in ogni caso grandi sforzi. \u00c8 quindi consigliabile esaminare le alternative, come i provider in Svizzera, nell’UE o nel SEE \u2013 anche per quanto riguarda l’ubicazione dei server. L’implementazione delle nuove norme richiede tempo, e Michael Widmer consiglia di darsi da fare fin da subito. Ulteriori informazioni sulla nuova legge sono disponibili su numerosi siti internet – fra cui in particolare il sito web dell’Incaricato federale della protezione dei dati e della trasparenza<\/a><\/p>\n\n\n\nMaggiori informazioni<\/h2>\n\n\n\n