A partire dal 1° settembre 2023, la Svizzera ha implementato una nuova Legge federale sulla Protezione dei Dati (LPD), sostituendo la precedente legge del 1992.
Questa riforma è stata necessaria per adeguare la legislazione svizzera alle nuove sfide poste dall’evoluzione tecnologica e per allinearla con il Regolamento europeo sulla protezione dei dati (GDPR). L’allineamento con il GDPR europeo è fondamentale per mantenere la libera circolazione dei dati con l’Unione Europea e preservare la competitività delle imprese svizzere. Vengono introdotte nuove norme più rigorose per le aziende straniere che operano in Svizzera, come la necessità di nominare un rappresentante svizzero. Si rafforza anche l’attenzione sui diritti degli interessati e vengono stabiliti nuovi requisiti per la notifica di violazioni dei dati. Le aziende europee che operano in Svizzera devono essere pronte ad adeguarsi alla normativa, ecco di seguito le novità principali.
Cambiamenti principali
Le aziende che si sono già conformate al GDPR troveranno il processo di adattamento relativamente agevole. Tuttavia, la LPD introduce diverse novità rilevanti:
Ambito di Applicazione oggettivo ridotto: La legge copre ora solo i dati delle persone fisiche, escludendo quelli delle persone giuridiche.
Ambito di applicazione territoriale ampliato: La legge svizzera estende significativamente la sua portata territoriale, ispirandosi al GDPR, per garantire che le aziende globali siano responsabili della protezione dei dati personali degli svizzeri. Questo vale anche per le attività che hanno un impatto in Svizzera, anche se avviate dall’estero.
Rappresentante in Svizzera: Le organizzazioni straniere che trattano dati personali di individui svizzeri dovranno nominare un rappresentante in Svizzera. Questa obbligazione si attiva se le seguenti condizioni sono soddisfatte:
- l’attività di trattamento dei dati è collegata all’offerta di beni e/o servizi agli individui svizzeri o al monitoraggio del loro comportamento;
- il trattamento dei dati è effettuato su larga scala, avviene regolarmente e presenta un alto rischio per i diritti dei soggetti interessati.
Dati Sensibili: La categoria dei dati considerati sensibili ora include anche dati genetici e biometrici.
Principi di protezione fin dalla Progettazione: Sono stati introdotti i concetti di “Privacy by Design” e “Privacy by Default” già previsti dal GDPR.
Analisi d’Impatto: Le aziende devono effettuare analisi d’impatto quando c’è un rischio elevato per i diritti delle persone interessate.
Diritto di Informazione: È obbligatorio informare in anticipo le persone interessate in caso di raccolta di qualsiasi tipo di dati personali.
Registro delle Attività: È necessario tenere un registro delle attività di trattamento dei dati.
Notifica di Violazioni: In caso di violazione dei dati, è obbligatorio informare l’autorità federale per la protezione dei dati il prima possibile. Non è indicata una deadline specifica per effettuare la notifica ma l’autorità di controllo (IFPDT) potrebbe integrare il requisito con delle proprie linee guida.
Profilazione: La legge introduce il concetto di trattamento automatizzato dei dati personali.
Sanzioni: si prevedono sanzioni fino a 250 000 franchi per i privati che intenzionalmente non ottemperano alle decisioni dell’IFPDT, o a una decisione delle autorità di ricorso, notificatagli sotto comminatoria della pena prevista nel presente articolo.
La nuova legge federale sulla protezione dei dati rappresenta un passo importante verso una maggiore tutela della privacy in Svizzera. Sebbene sia in gran parte allineata con il GDPR europeo, presenta alcune peculiarità che le aziende, sia svizzere che europee operative in svizzera, dovranno attentamente considerare.
Per ulteriori dettagli su come conformare le proprie operazioni in Svizzera alla nuova legge privacy è possibile contattare Giulio Coraggio e Tommaso Ricci.
Il lettore potrebbe trovare di interesse il seguente articolo: “Il CCPA sarà sostituiro dal California Privacy Rights Act (CPRA)”.
Autore: Tommaso Ricci
