Protezione dei dati per le PMI: l’essenziale nella pratica

La LPD si applica a tutte le imprese private, indipendentemente dalle loro dimensioni – dal salone di parrucchiere allo studio medico fino al negozio online. Per Lei come cliente ciò significa: anche nei confronti di una piccola azienda ha gli stessi diritti. Per le PMI esistono alcune agevolazioni, ma nessuna eccezione generale.

Dove le PMI vengono sgravate

Registro delle attività di trattamento: le imprese con meno di 250 collaboratori non devono tenerne uno, purché non trattino su vasta scala dati degni di particolare protezione né effettuino una profilazione a rischio elevato (art. 12 LPD, art. 24 OPDa).
Consulente per la protezione dei dati: la nomina è facoltativa (art. 10).
Valutazione d’impatto e obbligo di notifica si applicano solo in caso di rischio elevato (art. 22 e 24).

Un approccio pragmatico in nove passi

Farsi un quadro d’insieme: quali dati personali abbiamo, dove si trovano, chi vi ha accesso?
Allestire o aggiornare l’informativa sulla protezione dei dati (art. 19).
Verificare i fornitori di servizi: fiduciaria, supporto informatico, cloud o strumento per newsletter sono perlopiù responsabili del trattamento; la collaborazione deve soddisfare i requisiti dell’art. 9.
Chiarire i trasferimenti all’estero: in quali Stati si trovano i dati, e sono adempiute le condizioni degli art. 16 e 17?
Attuare la protezione di base: password robuste, autenticazione a due fattori, aggiornamenti, backup, dispositivi cifrati (art. 8).
Pianificare le domande d’accesso: chi vi risponde entro 30 giorni?
Piano d’emergenza per le violazioni dei dati: chi decide in merito a una notifica all’IFPDT?
Piano di cancellazione: cancellare i dati non appena non sono più necessari (art. 6 cpv. 4) – nel rispetto degli obblighi legali di conservazione, ad esempio dieci anni per i libri contabili e i giustificativi contabili (art. 958f CO).
Verificare la pubblicità: newsletter solo con consenso o nell’ambito dell’eccezione per i clienti prevista dalla LCSl (vedi parte 6).

Inciampi frequenti

Informative sulla protezione dei dati copiate che non corrispondono alla propria prassi.
Collaboratori che usano messenger o servizi cloud privati per dati dei clienti.
Competenze non definite quando arriva una domanda d’accesso.

Per una PMI la protezione dei dati non deve essere costosa. Determinante è conoscere i propri flussi di dati e attuare nella quotidianità i principi dell’art. 6.

Ulteriori indicazioni per le aziende sono disponibili nella sezione Per le imprese.