La legge svizzera sulla protezione dei dati in sintesi

Dal 1° settembre 2023 in Svizzera è in vigore la legge federale sulla protezione dei dati (LPD) riveduta. Essa disciplina il modo in cui imprese, associazioni, privati e autorità federali possono trattare le informazioni sulle persone.

Chi protegge la legge

La LPD protegge la personalità e i diritti fondamentali delle persone fisiche (art. 1). I dati su imprese, associazioni o fondazioni non vi rientrano. Sono dati personali tutte le informazioni concernenti una persona fisica identificata o identificabile (art. 5 lett. a) – ad esempio nome, indirizzo, numero di telefono, numero cliente o comportamento d’acquisto.

Godono di una protezione accresciuta i dati personali degni di particolare protezione, ad esempio i dati sulla salute, sulle opinioni religiose o politiche, i dati genetici e biometrici o quelli relativi a perseguimenti penali (art. 5 lett. c).

A chi si applica la legge

La LPD si applica ai privati – cioè imprese, associazioni e singole persone – nonché agli organi federali (art. 2). Non è contemplato ciò che Lei tratta esclusivamente per uso personale, ad esempio la sua rubrica privata. Per le autorità cantonali e comunali, come le scuole pubbliche o gli ospedali cantonali, vale la legge sulla protezione dei dati del rispettivo Cantone. Anche le imprese all’estero devono rispettare la LPD se il loro trattamento di dati produce effetti in Svizzera (art. 3).

Principi anziché un obbligo generale di consenso

Contrariamente a quanto si crede spesso, per il trattamento di dati personali non è di principio necessario il suo consenso. Un trattamento è ammissibile se rispetta i principi dell’art. 6:

• lecito, conforme alla buona fede e proporzionato,
• solo per uno scopo determinato e per Lei riconoscibile,
• distruzione o anonimizzazione non appena i dati non sono più necessari,
• cura dell’esattezza dei dati.

Chi non rispetta questi principi lede la sua personalità, a meno che il trattamento sia giustificato dal consenso, da un interesse preponderante o dalla legge (art. 30 e 31). Il consenso è quindi soltanto uno dei possibili motivi giustificativi. Se, per dati degni di particolare protezione o per una profilazione a rischio elevato, un’impresa si fonda sul suo consenso, questo deve essere esplicito (art. 6 cpv. 7).

Vigilanza e sanzioni

La vigilanza spetta all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Determinate violazioni intenzionali, ad esempio un’informazione falsa, sono punite con la multa fino a CHF 250 000 – perlopiù solo su querela e di principio nei confronti delle persone fisiche responsabili, non dell’impresa (art. 60–66). Il perseguimento penale compete ai Cantoni.

Differenze rispetto al RGPD

Il regolamento generale sulla protezione dei dati dell’UE persegue obiettivi simili. La LPD tuttavia non esige dai privati una base giuridica per ogni singolo trattamento, prevede multe a carico di persone anziché multe commisurate al fatturato a carico delle imprese e, per la notifica delle violazioni della protezione dei dati, non conosce un termine fisso in ore.

Al testo di legge: art. 6 LPD – Principi.