Cosa è cambiato con la nLPD
La nuova legge sulla protezione dei dati è entrata in vigore il 1° settembre 2023. Protegge ormai solo i dati delle persone fisiche e chiede più trasparenza: chi raccoglie dati personali deve informarne attivamente le persone interessate.
Sono dati personali tutte le informazioni concernenti una persona fisica identificata o identificabile: il nome e l’indirizzo e-mail inseriti nel modulo di contatto, ma a seconda dei casi anche gli indirizzi IP trasmessi quando si carica una pagina.
Quando serve un’informativa sulla privacy
Un’informativa sulla privacy, o dichiarazione sulla protezione dei dati, è necessaria non appena il tuo sito tratta dati personali. Succede su quasi ogni sito aziendale: modulo di contatto, iscrizione alla newsletter, analisi web, conto cliente o negozio online.
L’informativa deve essere facile da trovare, di regola tramite un link nel piè di pagina di tutte le pagine. Pubblicala in tutte le lingue in cui il tuo sito si rivolge ai clienti.
Cosa deve contenere
Vanno indicati almeno: chi è il titolare del trattamento, con ragione sociale e dati di contatto; per quali scopi tratti i dati; a quali destinatari o categorie di destinatari li comunichi, ad esempio fornitori di hosting, servizi di newsletter o fornitori di pagamento.
Se comunichi dati all’estero, indica gli Stati destinatari e, se non garantiscono una protezione adeguata dei dati, le garanzie su cui ti basi. Spiega inoltre quali diritti hanno le persone interessate, in particolare accesso, rettifica e cancellazione, e come possono esercitarli.
Multe e responsabilità
Per le violazioni intenzionali di determinati obblighi, ad esempio l’obbligo di informare o di concedere l’accesso ai dati, la nLPD prevede multe fino a CHF 250’000. A differenza dell’UE, le multe colpiscono in primo luogo le persone responsabili all’interno dell’azienda, non l’azienda stessa.
Se una violazione della sicurezza dei dati comporta verosimilmente un rischio elevato per le persone interessate, devi inoltre notificarla quanto prima all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT).
Lista di controllo per il tuo sito
Moduli: chiedi solo i dati che ti servono davvero e trasmettili cifrati tramite HTTPS. Strumenti di analisi: verifica quali dati raccolgono, se gli indirizzi IP vengono troncati e dove il fornitore conserva i dati.
Contenuti incorporati: Google Maps, video di YouTube e caratteri caricati dall’esterno come Google Fonts trasmettono dati a terzi già all’apertura della pagina. I caratteri si possono integrare dal proprio server, mappe e video si possono caricare solo dopo un clic.
Hosting e contratti: chiarisci in quale Paese sono salvati il sito e i dati dei moduli. Con i fornitori che trattano dati per tuo conto (i cosiddetti responsabili del trattamento), ad esempio di hosting, newsletter o CRM, regola il trattamento in un contratto.
Domande frequenti
La nLPD vale anche per i siti piccoli?
Sì, la legge non prevede una dimensione minima. Non appena il tuo sito tratta dati personali, ad esempio con un modulo di contatto, valgono gli obblighi di informare. Le agevolazioni per le PMI riguardano soprattutto la documentazione interna.
La mia PMI deve tenere un registro delle attività di trattamento?
Le aziende con meno di 250 collaboratori ne sono in linea di principio esentate. L’eccezione non vale se tratti su vasta scala dati personali degni di particolare protezione o esegui una profilazione ad alto rischio. Un registro semplice aiuta comunque a mantenere la visione d’insieme.
Mi serve un consulente per la protezione dei dati?
Per le aziende private il consulente per la protezione dei dati è facoltativo. Può essere interno o esterno e offre supporto per domande e formazioni. Per molte PMI basta affidare il tema a una persona in azienda.