Conformità alla nLPD per i gruppi aziendali svizzeri — sviluppata da un team svizzero, ospitata in Svizzera

Punti chiave: Conformità alla nLPD svizzera con Priverion

La nuova legge federale svizzera sulla protezione dei dati (nLPD/nDSG), in vigore dal 1° settembre 2023, richiede ai titolari del trattamento di tenere registri dei trattamenti, svolgere DPIA per le attività ad alto rischio, notificare all'IFPDT le violazioni gravi e documentare i trasferimenti transfrontalieri con garanzie adeguate. Priverion è una piattaforma SaaS ospitata in Svizzera che automatizza tutte le sette aree di conformità (registro dei trattamenti, governance, informative sulla privacy, DPIA, gestione dei fornitori, notifica delle violazioni e trasferimenti transfrontalieri) sia secondo la nLPD sia secondo il GDPR dell'UE in un unico spazio di lavoro.

Che cos'è la nLPD svizzera (nDSG)?

La legge federale svizzera sulla protezione dei dati (nLPD), conosciuta in tedesco come Datenschutzgesetz (DSG), è la principale normativa svizzera in materia di protezione dei dati. La versione completamente revisionata è entrata in vigore il 1° settembre 2023, sostituendo la legge del 1992. Allinea maggiormente la protezione dei dati svizzera al GDPR dell'UE, pur mantenendo caratteristiche specifiche svizzere, come la responsabilità penale individuale e il modello di applicazione consultivo dell'IFPDT. Il testo consolidato completo è disponibile su fedlex.admin.ch.

In che modo la nLPD revisionata differisce dal GDPR dell'UE?

Sebbene entrambi i quadri normativi condividano principi fondamentali (liceità, limitazione delle finalità, minimizzazione dei dati e responsabilizzazione) esistono differenze chiave. La nLPD non include una base giuridica di “interesse legittimo”; il diritto svizzero consente invece il trattamento sulla base di un “interesse privato o pubblico preponderante” (art. 31 nLPD). Le multe penali ai sensi degli art. 60-63 della nLPD colpiscono le persone fisiche responsabili (fino a CHF 250'000), non l'organizzazione. L'IFPDT emette raccomandazioni anziché ordini vincolanti con multe dirette. Secondo l'IAPP, questo modello di responsabilità individuale è unico tra i principali regimi di protezione dei dati a livello globale.

Chi deve conformarsi alla nLPD svizzera?

Devono conformarsi tutte le persone private e gli organi federali che trattano dati personali di persone in Svizzera. La nLPD si applica in modo extraterritoriale: anche le aziende straniere il cui trattamento produce effetti in Svizzera sono soggette alla legge (art. 3 cpv. 1 nLPD). L'IFPDT (Incaricato federale della protezione dei dati e della trasparenza) vigila sulla conformità e pubblica linee guida per i titolari del trattamento sia nazionali sia esteri.

Che cos'è una DPIA secondo la nLPD svizzera?

Ai sensi dell'art. 22 nLPD, una valutazione d'impatto sulla protezione dei dati deve essere svolta quando il trattamento previsto può comportare un rischio elevato per la personalità o i diritti fondamentali degli interessati. La valutazione deve descrivere il trattamento, valutare la necessità e la proporzionalità, individuare i rischi e documentare le misure di mitigazione. Se, dopo la mitigazione, permane un rischio elevato residuo, il titolare del trattamento deve consultare l'IFPDT prima di procedere (art. 23 nLPD). Le linee guida dell'EDPB sulle DPIA, sebbene incentrate sull'UE, sono ampiamente utilizzate come riferimento metodologico dai professionisti svizzeri (Linee guida EDPB 4/2017).

Quali sono i requisiti di notifica delle violazioni secondo la nLPD?

L'art. 24 della nLPD richiede ai titolari del trattamento di notificare all'IFPDT “il più rapidamente possibile” le violazioni dei dati personali che comportano un rischio elevato. L'IFPDT raccomanda una finestra di notifica di 72 ore, coerente con la prassi del GDPR. Gli interessati devono inoltre essere informati quando ciò è necessario per la loro protezione. Un registro delle violazioni documentato, che riporti data, natura, portata, valutazione del rischio e azioni correttive, è una prova essenziale della conformità.

Quali sono le sanzioni per la non conformità alla nLPD?

Le violazioni intenzionali di obblighi fondamentali, tra cui la mancata fornitura di informazioni (art. 60), la mancata collaborazione con l'IFPDT (art. 63) e la violazione del segreto professionale (art. 62), comportano multe fino a CHF 250'000 a carico della persona fisica responsabile. Secondo un sondaggio del 2024 dell'IAPP, il 68% dei professionisti svizzeri della protezione dei dati ha riferito che il modello di responsabilità individuale ha aumentato l'attenzione a livello di consiglio di amministrazione sulla conformità alla protezione dei dati.

In che modo Priverion automatizza la conformità alla nLPD?

Priverion mappa ogni attività di trattamento simultaneamente sia sulla nLPD svizzera sia sul GDPR dell'UE. La piattaforma automatizza il registro delle attività di trattamento con campi di contenuto minimo specifici per la Svizzera, genera documentazione DPIA pronta per l'IFPDT, traccia i contratti con i responsabili del trattamento e le catene di sub-responsabili, gestisce le tempistiche di notifica delle violazioni e documenta i trasferimenti transfrontalieri con le Transfer Impact Assessment (TIA) ai sensi degli art. 16-17 nLPD. Tutti i dati sono ospitati in Svizzera, con piena residenza dei dati in Svizzera, su un ISMS allineato alla ISO 27001.

Statistiche e contesto

Secondo l'IAPP-EY 2023 Privacy Governance Report, l'organizzazione media spende circa il 54% del proprio budget per la protezione dei dati in attività operative di conformità, come la manutenzione del registro dei trattamenti, l'esecuzione delle DPIA e le valutazioni dei fornitori. Una previsione di Gartner del 2024 prevede che entro il 2026 il 60% delle grandi imprese utilizzerà piattaforme automatizzate di gestione della protezione dei dati, rispetto a meno del 15% nel 2021. Il rapporto di attività 2023-2024 dell'IFPDT ha rilevato un aumento significativo delle richieste di consultazione in seguito all'entrata in vigore della nLPD revisionata, sottolineando l'onere di conformità per le organizzazioni svizzere. Il rapporto 2023 dell'ENISA sul panorama delle minacce (ENISA) ha individuato il ransomware e gli attacchi alla catena di approvvigionamento come le principali minacce ai dati personali, rafforzando l'importanza di solidi processi di notifica delle violazioni e di gestione dei fornitori.

nLPD vs GDPR: Tabella di confronto