Sviluppi attuali nella protezione dei dati

La protezione dei dati è in continua evoluzione. Questa parte si limita agli sviluppi già certi.

La LPD riveduta è ormai quotidianità

La LPD riveduta è in vigore dal 1° settembre 2023 e ha sostituito la legge sulla protezione dei dati del 1992. Le principali novità:

• Sono protette ormai solo le persone fisiche, non più le imprese.
• L’obbligo d’informare vale per ogni raccolta di dati personali (art. 19).
• Sono nuovi tra l’altro l’obbligo di notifica delle violazioni della protezione dei dati (art. 24), la valutazione d’impatto sulla protezione dei dati (art. 22) e il diritto alla consegna dei dati (art. 28).
• Il quadro sanzionatorio per le violazioni intenzionali prevede multe fino a CHF 250 000 (art. 60–63).

L’intelligenza artificiale rientra nella LPD

L’IFPDT ha chiarito che la LPD vigente è direttamente applicabile ai trattamenti di dati basati sull’IA. Fornitori e utenti di applicazioni di IA devono quindi già oggi rispettare i principi, l’obbligo d’informare e le regole sulle decisioni individuali automatizzate (art. 21). Il Consiglio federale ha inoltre deciso di ratificare la Convenzione del Consiglio d’Europa sull’IA e di adeguare il diritto svizzero ove necessario.

Il regolamento UE sull’IA riguarda anche le imprese svizzere

Il regolamento dell’UE sull’intelligenza artificiale («AI Act») non si applica soltanto alle imprese nell’UE. Esso contempla anche i fornitori svizzeri che offrono sistemi di IA nell’UE o i cui risultati vengono utilizzati nell’UE. I suoi obblighi diventano applicabili gradualmente.

Trasferimenti di dati verso gli Stati Uniti

Il Consiglio federale ha inserito gli Stati Uniti, per le imprese certificate secondo lo Swiss-US Data Privacy Framework, nell’elenco degli Stati con una protezione dei dati adeguata (allegato 1 OPDa). Per le imprese statunitensi non certificate occorrono tuttora garanzie come le clausole tipo di protezione dei dati (art. 16 cpv. 2).

Cibersicurezza e protezione dei dati si avvicinano

I gestori di infrastrutture critiche devono notificare i ciberattacchi all’Ufficio federale della cibersicurezza (UFCS); ciò è disciplinato dalla legge sulla sicurezza delle informazioni. La LPD prevede inoltre che l’IFPDT possa trasmettere all’UFCS, con il consenso del titolare del trattamento, una notifica di violazione della protezione dei dati (art. 24 cpv. 5bis).

Cosa significa per Lei

I suoi diritti come persona interessata restano invariati: accesso, consegna, rettifica e opposizione valgono anche nei confronti dei fornitori di IA e delle imprese con server all’estero. Le nuove tecnologie non cambiano il fatto che un’impresa deve spiegarle che cosa fa con i suoi dati.

Al testo di legge: art. 16 LPD – informazioni per le aziende: Per le imprese.