La nuova legge sulla protezione dei dati è entrata in vigore in Svizzera il 1° settembre 2023.

La nuova legge sulla protezione dei dati e la relativa ordinanza sulla protezione dei dati sono entrate in vigore in Svizzera il 1° settembre 2023 e sono applicabili senza un periodo di transizione. La nuova legislazione interessa tutte le aziende di tutti i settori, ma in particolare quelle che gestiscono dati sensibili e personali dei clienti, come le società fiduciarie e informatiche, gli studi sanitari e le società di gestione immobiliare.

Cosa è cambiato nello specifico dal 1° settembre?
Le misure più importanti in breve: Dal 1° settembre 2023, l'azienda o l'organizzazione deve garantire la sicurezza dei dati personali, introdurre l'autenticazione a più fattori, definire super amministratori per il trattamento dei dati e attuare direttive interne e formazione.

Penalità: In precedenza, le violazioni della protezione dei dati erano considerate reati banali, ma ora anche una violazione dell'obbligo di informazione è considerata un reato.

L'informativa sulla privacy deve essere pubblicata sul sito web. Si tratta di un aspetto centrale. La formulazione deve essere precisa, trasparente, comprensibile e facilmente accessibile. Gli interessati devono sempre essere informati sull'uso dei loro dati PRIMA che vengano elaborati. Inoltre, le richieste degli interessati relative al trattamento dei dati devono essere soddisfatte gratuitamente ed entro 30 giorni ("obbligo di informazione"). I dati devono anche essere trasmessi in un formato elettronico di uso comune.

A chi si applica la nuova legge sulla protezione dei dati?
La nuova legge sulla protezione dei dati protegge solo le persone fisiche (ma non più le persone giuridiche) dagli abusi, ma tutte le aziende e gli individui che trattano i dati sono obbligati a farlo. La legge è inoltre applicabile a livello mondiale per tutte le situazioni che hanno un impatto sulla Svizzera. L'applicabilità a livello mondiale consente di intraprendere azioni contro la fame di dati di grandi aziende tecnologiche come Alpha (Google), Meta (Facebook), Amazon, ecc.

Quali sono gli obblighi dei responsabili del trattamento e degli incaricati del trattamento?
Siete tenuti a informare i clienti, le parti interessate, i partner commerciali, i dipendenti e i visitatori del sito web - in breve, chiunque vi affidi dati personali (= soggetti interessati) - che e quando raccogliete e trattate i loro dati. Nella vostra informativa sulla privacy, dovete fornire informazioni sulla raccolta, sulle finalità e sul tipo di trattamento dei dati personali (ad esempio, la profilazione).

Sono inoltre tenuti a informare gli interessati dei loro diritti. Ciò include, ad esempio, il diritto di richiedere informazioni sui dati personali raccolti o il diritto di far correggere o cancellare i propri dati personali. Devono inoltre indicare agli interessati come possono esercitare i loro diritti e chi devono contattare per farlo.

Cosa deve contenere la mia informativa sulla privacy?
I requisiti per le politiche sulla privacy stanno aumentando enormemente: questo rischia di farle diventare troppo lunghe anziché troppo corte per essere protette da tutte le eventualità.

In futuro, l'informativa sulla privacy dovrà rispondere alle seguenti domande:

Quali dati personali vengono raccolti e per quale scopo? Come viene informato l'utente? Come si ottiene il suo consenso?
Utilizzate i dati raccolti per misure di marketing, eventualmente attraverso fornitori di tracking terzi, in particolare Google Analytics?
Per quanto tempo vengono conservati i dati e dove? Come proteggete i dati durante l'archiviazione?
I dati saranno trasmessi? Se sì, a chi?
A chi rivolgersi per una richiesta di informazioni, cancellazione, correzione o divulgazione di dati? Quali informazioni (in particolare la prova di identità) sono necessarie?
Utilizzate processi automatizzati per identificare gli utenti (profilazione) o per ricavare informazioni legalmente rilevanti dai dati (ad es. punteggio di credito)?
Utilizzate i modelli di Google sul vostro sito web o avete integrato i font di Google che consentono l'accesso a Google (i font scaricati non sono un problema)?

In che modo la nuova legge svizzera differisce dal GDPR dell'UE?
Se avete già allineato le vostre attività al GDPR dell'UE, allora è già un'ottima cosa. È importante notare che il trattamento dei dati commissionato e le clausole contrattuali standard sono soggetti alla legge svizzera sulla protezione dei dati dal 1° settembre 2023. In Svizzera è ora obbligatorio conservare la documentazione relativa alle notifiche effettuate all'IFPDT per 2 anni.

Infine, un consiglio pratico:
Sensibilizzate i vostri dipendenti alla riservatezza della protezione dei dati. Ogni persona che tratta i dati è obbligata a rispettare la nuova legge e deve essere in grado di fornire trasparenza sull'uso dei dati entro 30 giorni su richiesta e in linea di principio gratuitamente.

Fonte: Gryps.ch - 20.05.2023