01La revisione della Legge sulla protezione dei dati (nLPD) in sintesi
Il 1° settembre 2023 è entrata in vigore la Legge federale sulla protezione dei dati totalmente rivista (LPD, spesso chiamata nLPD). Sostituisce la precedente Legge sulla protezione dei dati del 1992 e adegua la protezione dei dati svizzera al Regolamento europeo sulla protezione dei dati (RGPD) -- senza copiarlo uno a uno.
Per i lavoratori autonomi e i titolari di ditte individuali, ciò è rilevante perché la nLPD si applica a tutti coloro che trattano dati personali -- indipendentemente dalle dimensioni dell'impresa. Che gestiate come freelancer i dati dei clienti in un foglio Excel o come artigiano salviate gli indirizzi nel vostro telefono: la nLPD vi riguarda.
Le novità più importanti in sintesi:
- Protetti solo i dati di persone fisiche (le persone giuridiche non più)
- Obbligo di informazione ampliato per ogni raccolta di dati (art. 19 LPD)
- Obbligo di valutazione d'impatto sulla protezione dei dati in caso di rischio elevato (art. 22 LPD)
- Obbligo di notifica in caso di violazione della sicurezza dei dati all'IFPDT (art. 24 LPD)
- Sanzioni fino a CHF 250'000 per persone fisiche in caso di violazioni intenzionali (art. 60 ss. LPD)
- Il profiling con rischio elevato richiede il consenso esplicito (art. 6 cpv. 7 LPD)
- Privacy by Design e Privacy by Default sanciti come principi (art. 7 LPD)
02Principi di trattamento: le regole nella pratica quotidiana
La nLPD definisce all'art. 6 i principi secondo cui i dati personali devono essere trattati. Questi principi valgono per ogni trattamento -- che raccogliate dati dei clienti, inviate newsletter o salviate documenti di candidatura.
| Principio | Significato per i lavoratori autonomi |
|---|---|
| Liceità (art. 6 cpv. 1) | I dati personali possono essere trattati solo in modo lecito. Il trattamento è consentito se sussiste un motivo giustificativo (consenso, contratto, interesse preponderante o obbligo legale). |
| Buona fede (art. 6 cpv. 2) | Il trattamento deve essere comprensibile e corretto. Nessuna raccolta di dati nascosta. |
| Proporzionalità (art. 6 cpv. 2) | Raccogliere solo i dati effettivamente necessari per lo scopo. Non raccogliere «in riserva». |
| Finalità (art. 6 cpv. 3) | Utilizzare i dati solo per lo scopo per cui sono stati raccolti. Gli indirizzi dei clienti per le fatture non possono semplicemente essere usati per la pubblicità. |
| Esattezza (art. 6 cpv. 5) | Dovete assicurarvi che i dati siano corretti e rettificarli se necessario. |
| Limitazione della conservazione (art. 6 cpv. 4) | Cancellare i dati non appena lo scopo è stato raggiunto -- salvo obbligo legale di conservazione (ad es. 10 anni per le pezze giustificative secondo CO art. 958f). |
03Obbligo di informazione e dichiarazione sulla protezione dei dati
Una delle novità più importanti della nLPD è l'obbligo di informazione ampliato (art. 19--21 LPD). Per ogni raccolta di dati personali, dovete informare la persona interessata -- non solo per dati particolarmente degni di protezione, come avveniva in precedenza.
Cosa dovete comunicare (art. 19 cpv. 2 LPD):
- Identità e dati di contatto del responsabile (ossia la vostra ditta e il vostro indirizzo)
- Scopo del trattamento: a cosa servono i dati
- Destinatari o categorie di destinatari: a chi trasmettete i dati (ad es. fiduciario, hosting provider)
- In caso di trasferimento all'estero: in quale Paese vanno i dati e quali misure di protezione si applicano
- Diritti della persona interessata: diritto di informazione, rettifica e cancellazione
In pratica, adempite questo obbligo nel modo più semplice con una dichiarazione sulla protezione dei dati sul vostro sito web -- accanto alle vostre CGC, uno dei documenti legali più importanti. Anche se non avete un sito web, dovete poter informare i clienti su richiesta.
La vostra dichiarazione sulla protezione dei dati dovrebbe coprire i seguenti punti:
- Nome e dati di contatto della vostra ditta
- Quali dati raccogliete (ad es. nome, e-mail, telefono, dati di pagamento)
- Scopo del trattamento dei dati (esecuzione degli incarichi, contabilità, newsletter)
- Base giuridica (contratto, consenso, interesse legittimo)
- Destinatari dei dati (hosting provider, software di contabilità, autorità)
- Durata di conservazione e termini di cancellazione
- Diritti della persona interessata (informazione, rettifica, cancellazione, opposizione)
- Utilizzo di cookie e strumenti di tracciamento (se applicabile)
- Possibilità di contatto per richieste sulla protezione dei dati
04Registro delle attività di trattamento
La nLPD introduce l'obbligo di tenere un registro delle attività di trattamento (art. 12 LPD). Questo registro documenta quali dati personali trattate, a quale scopo e come vengono protetti.
La buona notizia per i lavoratori autonomi: esiste un'eccezione per le PMI. Le imprese con meno di 250 collaboratori devono tenere il registro solo se trattano dati personali particolarmente degni di protezione in grande quantità o effettuano un profiling con rischio elevato (art. 12 cpv. 5 LPD).
Per la maggior parte delle ditte individuali ciò significa: siete esonerati dall'obbligo. Ciononostante, è consigliabile tenere un registro semplice -- vi aiuta a mantenere la panoramica e ad adempiere il vostro obbligo di informazione.
Un registro minimale contiene:
| Campo | Esempio |
|---|---|
| Attività di trattamento | Gestione indirizzi clienti |
| Scopo | Esecuzione incarichi e fatturazione |
| Categorie di persone interessate | Clienti, interessati |
| Categorie di dati personali | Nome, indirizzo, e-mail, telefono |
| Destinatari | Software di contabilità (einzly), hosting (Vercel) |
| Durata di conservazione | 10 anni (obbligo legale di conservazione) |
| Misure tecniche di protezione | Cifratura, protezione con password, backup |
05Trattamento su mandato e fornitori terzi
Se fate trattare dati personali da terzi -- ad esempio da un software di contabilità cloud, un servizio di newsletter o un hosting provider --, si parla di trattamento su mandato (art. 9 LPD). Voi rimanete responsabili della protezione dei dati.
I principali obblighi nel trattamento su mandato:
- Potete trasferire il trattamento solo a terzi che garantiscono una protezione dei dati adeguata
- Il trattamento non deve essere contrattualmente o legalmente vietato
- Dovete assicurarvi che il responsabile del trattamento su mandato possa garantire la sicurezza dei dati
- Il responsabile del trattamento su mandato può trattare i dati solo come potreste farlo voi stessi
- La sub-delega a sub-responsabili necessita della vostra approvazione
In pratica, stipulate un contratto di trattamento su mandato (CTM o Data Processing Agreement, DPA) con il rispettivo fornitore. La maggior parte dei servizi cloud seri offre un CTM come standard.
06Sanzioni per violazioni: fino a CHF 250'000
Una differenza essenziale rispetto al RGPD: nella nLPD svizzera non vengono multate le imprese, ma le persone fisiche -- ossia voi come titolari della ditta individuale personalmente. Le multe possono ammontare fino a CHF 250'000 (art. 60--63 LPD).
Sono punibili le seguenti violazioni intenzionali:
| Violazione | Articolo | Multa massima |
|---|---|---|
| Violazione dell'obbligo di informazione | Art. 60 cpv. 1 lett. a LPD | CHF 250'000 |
| Violazione dell'obbligo di informazione su richiesta | Art. 60 cpv. 1 lett. a LPD | CHF 250'000 |
| Violazione dell'obbligo di diligenza nella comunicazione all'estero | Art. 61 LPD | CHF 250'000 |
| Violazione degli obblighi nel trattamento su mandato | Art. 61 LPD | CHF 250'000 |
| Violazione della sicurezza dei dati (requisiti minimi) | Art. 61 LPD | CHF 250'000 |
| Inosservanza di decisioni dell'IFPDT | Art. 63 LPD | CHF 250'000 |
| Violazione del segreto professionale | Art. 62 LPD | CHF 250'000 |
Importante: l'IFPDT (Incaricato federale della protezione dei dati e della trasparenza) può avviare indagini, formulare raccomandazioni ed emanare decisioni. Il perseguimento penale spetta alle autorità penali cantonali.
07Checklist pratica: nLPD per la vostra ditta individuale
La protezione dei dati non deve essere complicata. La seguente checklist vi aiuta a soddisfare i requisiti più importanti della nLPD -- senza una laurea in giurisprudenza.
Create una dichiarazione sulla protezione dei dati per il vostro sito web (se ne avete uno) e tenetela pronta per le richieste dei clienti. Deve contenere l'identità del responsabile, gli scopi del trattamento, i destinatari e i diritti delle persone interessate.
Anche se come PMI con meno di 250 collaboratori ne siete esonerati: documentate in una semplice tabella quali dati trattate e a quale scopo. Aiuta per le richieste di informazione.
Verificate per tutti i servizi cloud (contabilità, e-mail, hosting, CRM) se è disponibile un CTM/DPA. Offerenti seri come einzly li mettono a disposizione come standard.
Implementate misure tecniche di base: password forti, autenticazione a due fattori (2FA), trasmissione dati cifrata (HTTPS), backup regolari, software aggiornato.
Stabilite quando cancellate quali dati. Dati dei clienti dopo la fine del contratto? Documenti di candidatura dopo 3 mesi? Pezze giustificative dopo 10 anni? Documentate i termini.
I clienti hanno diritto di informazione, rettifica e cancellazione. Predisponete un processo semplice: chi risponde alle richieste, entro quale termine (legale: 30 giorni), in quale forma?
Se i dati vengono rubati o pubblicati accidentalmente, dovete informare l'IFPDT il più rapidamente possibile (art. 24 LPD). Tenete pronti i dati di contatto dell'IFPDT e riflettete in anticipo su chi contattare in caso di emergenza.