Obblighi delle imprese secondo la LPD

Chi decide in merito allo scopo e ai mezzi di un trattamento di dati è, secondo la LPD, il titolare del trattamento (art. 5 lett. j). Chi tratta dati soltanto per conto di quest’ultimo, ad esempio un fornitore di servizi informatici, è responsabile del trattamento (art. 5 lett. k). Se conosce questi obblighi, sa anche che cosa può aspettarsi da un’impresa.

Protezione dei dati sin dalla progettazione (art. 7)

Le imprese devono strutturare i loro sistemi fin dall’inizio in modo da rispettare i principi dell’art. 6 («Privacy by Design»). Le impostazioni predefinite devono limitare il trattamento allo stretto necessario («Privacy by Default») – un profilo cliente, ad esempio, non dovrebbe essere pubblico per impostazione predefinita.

Obbligo d’informare (art. 19)

Chi raccoglie dati personali deve informarla in modo adeguato, almeno su:

identità e dati di contatto del titolare del trattamento,
lo scopo del trattamento,
i destinatari o le categorie di destinatari,
in caso di comunicazione all’estero, lo Stato e le garanzie.

Di solito ciò avviene in un’informativa sulla protezione dei dati. Se i dati non sono stati raccolti presso di Lei, l’informazione va fornita al più tardi un mese dopo averli ottenuti.

Registro delle attività di trattamento (art. 12)

Il registro descrive tra l’altro scopi, categorie di dati, destinatari e durata di conservazione. Le imprese con meno di 250 collaboratori ne sono esentate, a condizione che non trattino su vasta scala dati degni di particolare protezione né effettuino una profilazione a rischio elevato (art. 24 OPDa).

Sicurezza dei dati e obbligo di notifica

I dati devono essere protetti in modo adeguato mediante provvedimenti tecnici e organizzativi (art. 8). Le violazioni della sicurezza dei dati che comportano verosimilmente un rischio elevato devono essere notificate all’IFPDT (art. 24). Maggiori dettagli nella parte 4.

Valutazione d’impatto sulla protezione dei dati (art. 22)

Se un trattamento previsto può comportare un rischio elevato per le persone interessate – ad esempio in caso di trattamento su vasta scala di dati sulla salute o di sorveglianza sistematica di aree pubbliche –, occorre allestire preventivamente una valutazione d’impatto. Se nonostante i provvedimenti permane un rischio elevato, va consultato l’IFPDT (art. 23).

Responsabili del trattamento (art. 9)

Un’impresa può esternalizzare dati a fornitori di servizi se questi li trattano solo come potrebbe farlo l’impresa stessa e garantiscono la sicurezza dei dati. Ulteriori subfornitori sono ammessi solo con autorizzazione preventiva.

Altri punti

Per i privati la nomina di un consulente per la protezione dei dati è facoltativa (art. 10).
Determinate imprese estere devono designare una rappresentanza in Svizzera (art. 14).
Le domande delle persone interessate devono ricevere risposta entro i termini (art. 25–29).

Ulteriori informazioni sono disponibili nella sezione Per le imprese e nel testo di legge dell’art. 19 LPD.