L’essenziale in breve
- La legge sulla protezione dei dati (LPD) vale per ogni azienda, indipendentemente dalla sua grandezza – anche per le ditte individuali.
- Chi raccoglie dati personali deve informare le persone interessate, ad esempio con un’informativa sulla protezione dei dati sul sito web (art. 19 LPD).
- Se affidi dati a un fornitore di software, questi è il tuo responsabile del trattamento. Serve un contratto e devi assicurarti che custodisca i dati in modo sicuro (art. 9 LPD).
- Le multe fino a CHF 250'000 colpiscono in Svizzera di principio la persona responsabile, non l’azienda – e solo in caso di intenzionalità. Solo se la ricerca della persona responsabile comporterebbe un onere sproporzionato, può essere multata l’azienda al suo posto con un massimo di CHF 50'000 (art. 64 cpv. 2 LPD).
A chi si applica la LPD?
La legge sulla protezione dei dati si applica a tutte le persone private e aziende che trattano dati di persone fisiche. «Trattare» significa qualsiasi operazione con i dati: rilevare, memorizzare, utilizzare, comunicare, cancellare. Sono dati personali tutte le indicazioni riferibili a una persona determinata – quindi anche il nome e l’indirizzo e-mail di una persona di contatto presso il tuo cliente aziendale.
Particolarmente delicati sono i dati personali degni di particolare protezione, ad esempio le indicazioni sulla salute (art. 5 lett. c LPD). Ti riguardano più in fretta di quanto pensi: ne fanno parte i certificati medici dei tuoi collaboratori.
I principi sono semplici (art. 6 LPD): tratta solo ciò che ti serve per uno scopo riconoscibile, mantieni i dati corretti e cancellali non appena non ti servono più – a meno che un obbligo di conservazione richieda altrimenti, come per i giustificativi contabili.
Obbligo d’informare e informativa sulla protezione dei dati
Se raccogli dati personali, devi informare in modo adeguato le persone interessate (art. 19 LPD). Vanno indicati almeno:
- chi è il responsabile, con i dati di contatto,
- per che cosa tratti i dati,
- a chi li comunichi eventualmente (destinatari o categorie di destinatari),
- e, se i dati vanno all’estero, in quali Stati – con le eventuali garanzie su cui ti basi.
Nella pratica lo adempi con un’informativa sulla protezione dei dati sul tuo sito web, a cui puoi rimandare in offerte, moduli o e-mail. Non deve essere recapitata singolarmente a ogni persona, ma deve essere facile da trovare. Se usi strumenti di analisi, servizi di newsletter o software cloud, vanno inclusi anch’essi.
Devo tenere un registro?
In linea di principio la LPD richiede un registro delle attività di trattamento (art. 12 LPD): una panoramica di quali dati tratti e per che cosa, per quanto tempo li conservi e come li proteggi. Per le imprese con meno di 250 collaboratori c’è un’eccezione (art. 12 cpv. 5 LPD, art. 24 OPDa) – salvo che tu tratti dati personali degni di particolare protezione su larga scala o esegua una profilazione a rischio elevato.
Per la maggior parte delle ditte individuali e piccole PMI l’obbligo quindi decade. Un breve elenco di quali dati si trovano dove vale comunque la pena: ti aiuta enormemente in caso di richiesta d’accesso o di incidente.
Esempio: studio di fisioterapia con due dipendenti
Martina gestisce uno studio di fisioterapia. Ha solo due dipendenti, ma tratta continuamente dati sanitari dei suoi pazienti – dati degni di particolare protezione su larga scala. Perciò tiene un registro delle attività di trattamento. Per il lavoro d’ufficio – fatture, giustificativi, salari – usa un software con server in Svizzera e un accordo sul trattamento dei dati.
Il fornitore di software come responsabile del trattamento
Se memorizzi dati in un software cloud, il fornitore li tratta su tuo mandato. È consentito se li tratta solo come potresti farlo tu stesso e nessun obbligo di segretezza vi si oppone (art. 9 LPD). Devi in particolare assicurarti che il fornitore possa garantire la sicurezza dei dati. Altri subappaltatori può farli intervenire solo con la tua previa autorizzazione.
Lo disciplina un accordo sul trattamento dei dati (ATD). I fornitori seri lo mettono a disposizione di propria iniziativa. Fai attenzione a dove si trovano i dati: se comunichi dati personali all’estero, lì deve esistere una protezione adeguata – per molti Stati l’ha accertato il Consiglio federale, altrimenti servono garanzie adeguate come le clausole contrattuali standard (art. 16 LPD).
Sicurezza dei dati: adeguata, non perfetta
La LPD richiede una sicurezza dei dati adeguata al rischio, con misure tecniche e organizzative (art. 8 LPD). La sicurezza perfetta non esiste – ma alcune misure sono particolarmente efficaci nelle piccole aziende:
- Due fattori per ogni accesso: una password rubata da sola allora non basta più. Le più sicure sono le passkey, perché non funzionano su pagine di accesso contraffatte.
- Backup regolari e separati: un backup che si trova sullo stesso dispositivo non serve contro un trojan di cifratura.
- Cifrare i dispositivi e tenerli aggiornati: attivare BitLocker o FileVault, installare gli aggiornamenti tempestivamente.
- Limitare gli accessi: ogni persona vede solo ciò che le serve per il suo lavoro – i dati salariali, ad esempio, non tutto il team.
- Nessun dato in archivi privati: non portare in giro esportazioni e copie non cifrate in cartelle condivise o su chiavette USB.
Quando succede comunque qualcosa
Se una violazione della sicurezza dei dati comporta presumibilmente un rischio elevato per le persone interessate, devi notificarla all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) il più rapidamente possibile (art. 24 LPD). La notifica avviene online tramite il portale di notifica DataBreach dell’IFPDT; cosa vale come rischio elevato lo spiega la sua guida alla notifica di violazioni della sicurezza dei dati (PDF). Un termine fisso in ore come nell’UE non esiste. Le persone interessate le informi se è necessario per la loro protezione o se lo chiede l’IFPDT. Un responsabile del trattamento deve a sua volta notificarti una violazione il più rapidamente possibile.
Multe: chi colpiscono
A differenza dell’UE, in Svizzera le multe sono dirette di principio contro la persona fisica responsabile, non contro l’azienda. È punito solo l’agire intenzionale, ad esempio un’informazione omessa consapevolmente o una comunicazione falsa (art. 60 LPD) o la violazione intenzionale di obblighi di diligenza nel trattamento su mandato, nella comunicazione all’estero e nei requisiti minimi di sicurezza dei dati (art. 61 LPD). La multa ammonta fino a CHF 250'000. Chi si impegna seriamente per la protezione dei dati non deve temerla – ma non dovresti ignorarla.
Come funziona in Easly
In Easly fatture, giustificativi e dossier del personale si trovano in un unico posto – perciò la sicurezza per Easly non è un extra, ma la base:
- Istanza propria e isolata: i tuoi dati si trovano in un’applicazione propria con database, archivio e chiave propri – separati da tutti gli altri clienti.
- Memorizzati in forma cifrata, in Svizzera: database, documenti, giustificativi, dossier del personale e backup si trovano cifrati su server in Svizzera. La trasmissione avviene sempre tramite HTTPS.
- Il secondo fattore è obbligatorio: senza passkey (ad esempio Windows Hello o Face ID) o app di autenticazione non c’è accesso.
- Assistenza solo con il tuo codice: l’assistenza accede alla tua istanza solo se crei un codice di autorizzazione – valido al massimo 72 ore e revocabile in qualsiasi momento. Ogni azione viene registrata e il registro lo vedi tu stesso.
- Backup giornaliero: ogni notte un backup cifrato, conservati quotidianamente per 14 giorni, settimanalmente per 8 settimane e mensilmente per 12 mesi. Un ripristino lo richiedi direttamente in Easly.
- I tuoi dati sono tuoi: l’esportazione completa – tutti i dati come Excel e CSV, tutti i documenti – è a tua disposizione in qualsiasi momento.
- Accordo sul trattamento dei dati incluso: IT Services Schneeberger tratta i tuoi dati su tuo mandato; l’accordo (in tedesco) fa parte dell’abbonamento. Maggiori informazioni in Sicurezza e dati.
Se usi le funzioni IA, l’invio postale o l’invio e-mail, i dati necessari a tale scopo vanno al rispettivo fornitore che hai scelto tu stesso. Inserisci questi fornitori nella tua informativa sulla protezione dei dati.
Domande frequenti
La mia ditta individuale ha bisogno di un’informativa sulla protezione dei dati?
Di regola sì. Non appena raccogli dati personali – tramite il sito web, per e-mail o in un’ordinazione –, devi informare le persone interessate (art. 19 LPD). Il modo più semplice è un’informativa sulla protezione dei dati sul tuo sito web.
Come piccola PMI devo tenere un registro delle attività di trattamento?
No, se hai meno di 250 collaboratori e non tratti né dati personali degni di particolare protezione su larga scala né esegui una profilazione a rischio elevato (art. 12 cpv. 5 LPD, art. 24 OPDa).
Cosa devo fare se mi rubano il portatile?
Cambiare le password, bloccare gli accessi e verificare quali dati sono interessati. Se il dispositivo non era cifrato e alle persone interessate presumibilmente incombe un rischio elevato, devi notificare l’incidente all’IFPDT il più rapidamente possibile (art. 24 LPD). Con la cifratura del dispositivo attivata il rischio è di solito nettamente minore.
Entro quanto devo rispondere a una richiesta d’accesso?
Di regola entro 30 giorni (art. 25 LPD). Le informazioni sono di regola gratuite. Una panoramica di quali dati si trovano dove rende la risposta molto più semplice.
Stato delle indicazioni: vedi sopra. Fonti: Legge sulla protezione dei dati (LPD, in vigore dal 1° settembre 2023, tra l’altro art. 5, 6, 8, 9, 12, 16, 19, 24, 25, 60 e 61) e Ordinanza sulla protezione dei dati (OPDa, art. 24). Questo articolo non sostituisce una consulenza legale.