La legge federale sulla protezione dei dati, nella versione riveduta spesso chiamata nLPD, ha avvicinato la normativa svizzera a quella europea, mantenendo alcune differenze. Riguarda tutte le imprese che trattano dati personali, comprese quelle che raccolgono dati tramite il sito: moduli di contatto, newsletter, strumenti di analisi, pixel pubblicitari.
L’informativa sulla protezione dei dati
La nLPD prevede un dovere di informazione quando si raccolgono dati personali. Il sito deve spiegare in modo chiaro chi è il responsabile del trattamento, quali dati vengono raccolti, per quali scopi, a chi vengono comunicati e se vengono trasferiti all’estero, indicando gli Stati di destinazione. L’informativa deve essere facile da trovare, di solito nel piè di pagina.
Strumenti di terze parti
Analytics, pixel pubblicitari, mappe, video incorporati e chat trasmettono spesso dati a fornitori esteri. Questi trasferimenti vanno indicati e devono avvenire verso Paesi con protezione adeguata o con garanzie appropriate. Per gli Stati Uniti esiste un quadro dedicato per le aziende che vi aderiscono; in altri casi si ricorre a clausole contrattuali.
La nLPD non contiene una regola sui cookie identica a quella europea, ma la trasparenza è obbligatoria e per alcuni trattamenti può servire il consenso. Molte aziende ticinesi che si rivolgono anche all’Italia adottano un banner conforme alle regole europee per tutti.
Sicurezza dei dati
Il responsabile del trattamento deve adottare misure tecniche e organizzative adeguate al rischio. Per un sito significa connessione cifrata, aggiornamenti regolari, accessi protetti al pannello di gestione, backup e attenzione ai plugin installati. I moduli non dovrebbero raccogliere dati non necessari.
Violazioni della sicurezza
Se una violazione della sicurezza dei dati comporta verosimilmente un rischio elevato per le persone interessate, va notificata all’Incaricato federale della protezione dei dati e della trasparenza il prima possibile. Avere una procedura interna, anche semplice, aiuta a reagire in fretta. Approfondiamo nell’articolo su cosa fare in caso di violazione dei dati.
Diritti delle persone
Le persone possono chiedere informazioni sui propri dati, la rettifica, la cancellazione in determinati casi e la consegna dei dati in un formato elettronico usuale. L’azienda deve essere in grado di rispondere entro i termini previsti. Un indirizzo di contatto indicato nell’informativa è il primo passo.
Una checklist per il sito
- Informativa aggiornata e raggiungibile da ogni pagina.
- Elenco degli strumenti di terze parti e dei Paesi di destinazione dei dati.
- Moduli con soli campi necessari.
- Sicurezza tecnica di base verificata.
- Procedura per richieste degli interessati e violazioni.
Domande frequenti
La nLPD si applica anche alle piccole imprese?
Sì, a tutte le persone private e le imprese che trattano dati personali, con alcuni alleggerimenti per le PMI su specifici obblighi.
Un’azienda svizzera deve rispettare anche il GDPR?
Se offre beni o servizi a persone nell’Unione europea o ne monitora il comportamento, può rientrare nell’ambito del GDPR.
Ci sono sanzioni?
Sì, la legge prevede multe per alcune violazioni intenzionali, che colpiscono le persone responsabili. Meglio prevenire.
I siti realizzati con CMXD WebStart possono includere le pagine informative necessarie, da far verificare al proprio consulente. Per il tracciamento conforme delle campagne, c’è CMXD GoogleReach.
