framework · nLPD – Legge federale sulla protezione dei dati e ordinanza
nLPD: Protezione dei dati svizzera senza congetture
Clienti, utenti o dipendenti in Svizzera? Allora vale la LPD riveduta, anche con sede all’estero. Complass mostra che cosa può riprendere dal GDPR e che cosa la Svizzera richiede in più.
Che cosa disciplina la nLPD?
La legge federale sulla protezione dei dati (LPD, RS 235.1) è in vigore nella versione interamente riveduta dal 1° settembre 2023, insieme all’ordinanza sulla protezione dei dati (OPDa, RS 235.11). Tutela la personalità delle persone fisiche nel trattamento dei loro dati e disciplina, tra l’altro, principi, obbligo di informazione, sicurezza dei dati, comunicazione all’estero, valutazione d’impatto, notifica delle violazioni della sicurezza dei dati e diritti degli interessati.
Fa fede il testo di legge tedesco su fedlex.admin.ch. I contenuti spiegano la legge con parole proprie e non sostituiscono la consulenza legale.
Aggiornamento dei contenuti:
Vale anche per me?
La LPD si applica a ogni azienda che tratta dati personali di persone fisiche, se il trattamento produce effetti in Svizzera. Non è necessaria una sede in Svizzera: rientrano nell’ambito di applicazione anche un negozio online all’estero con clienti in Svizzera o un software con utenti svizzeri. Le aziende senza sede in Svizzera necessitano, a condizioni ristrette, di un rappresentante in Svizzera.
Chi attua già il GDPR utilizza il modulo GDPR per gli obblighi UE e questo modulo per le specificità svizzere: elenco dei Paesi proprio, adattamento svizzero delle clausole contrattuali tipo, registrazione e regolamento sul trattamento, risposta alle richieste di accesso in 30 giorni e multe a carico delle persone responsabili.
Questa panoramica non sostituisce la consulenza legale. Fa fede il testo giuridico o normativo; in Complass verificate l’applicabilità con indicazioni basate sui riferimenti.
Base giuridica
- Art. 2 DSGAmbito di applicazione personale e materiale
- Art. 3 DSGAmbito di applicazione territoriale (principio degli effetti)
- Art. 5 DSGDefinizioni
- Art. 14 DSGRappresentanza dei titolari esteri
- Art. 60 bis 66 DSGDisposizioni penali
Date chiave
-
Parliament adopts the totally revised FADP
Art. 72 FADP
-
Federal Council adopts the Data Protection Ordinance (DPO)
DPO
-
FADP and DPO enter into force without a transitional period
Art. 69 to 72 FADP
-
USA added to Annex 1 DPO for companies certified under the Swiss-US Data Privacy Framework
Annex 1 DPO
-
Il più rapidamente possibile
Notifica all’IFPDT di una violazione della sicurezza dei dati con probabile rischio elevato, senza un termine fisso in ore
Art. 24 DSG
-
30 giorni
Risposta alle richieste di accesso di norma entro 30 giorni, in linea di principio gratuita
Art. 25 DSG
Come Complass aiuta
- 9fasi
- 22passi guidati
- 14modelli di documento
- 76requisiti nel catalogo
Guidato in nove fasi
Applicabilità e ruoli, registro, principi, informazione, sicurezza dei dati, trattamento su incarico ed estero, valutazione d’impatto, notifiche e diritti degli interessati, nonché governance e rischio di sanzioni.
76 duties from the FADP and DPO
Ogni obbligo con riferimento normativo, spiegazione con parole proprie, indicazione delle differenze rispetto al GDPR e guida all’attuazione con ambito minimo ed evidenze.
14 templates with completion guidance
Tra l’altro registro, informativa sulla protezione dei dati, regolamento sul trattamento, concetto di sicurezza dei dati e di registrazione, elenco dei Paesi, valutazione d’impatto, notifica all’IFPDT e processo di accesso.
Insieme al GDPR
Complass propone di riprendere le evidenze dei progetti GDPR e ISO 27001 tramite le misure comuni.
Le fasi nel modulo
- Applicability and roles
- Inventory and record
- Principles and lawful processing
- Information and transparency
- Data security, logging and processing regulations
- Processors and cross-border disclosure
- Impact assessment and data protection by design
- Data security breaches and data subject rights
- Governance, sanction risk and review
Catalogo: FADP – duties under the FADP and DPO
Domande frequenti
La nLPD si applica anche alle aziende senza sede in Svizzera?
Sì, non appena il trattamento produce effetti in Svizzera, ad esempio tramite clienti, utenti o dipendenti ivi presenti. Se sia necessario anche un rappresentante in Svizzera, lo verifica nel primo passaggio del progetto.
La nostra attuazione del GDPR è sufficiente?
In gran parte. Deve integrare soprattutto l’elenco svizzero dei Paesi e l’adattamento delle clausole, la registrazione e il regolamento sul trattamento in determinati casi, il termine di 30 giorni per l’accesso e le responsabilità per gli obblighi sanzionati penalmente.
Chi colpiscono le multe?
Le multe fino a 250 000 CHF sono dirette alla persona fisica responsabile che agisce intenzionalmente, non automaticamente all’azienda. Competenze chiare e verifiche documentate sono quindi importanti.
Complass notifica le violazioni all’IFPDT?
No. Complass supporta valutazione, contenuto e documentazione; la segnalazione la effettua tramite il modulo di segnalazione dell’IFPDT.
Provate Complass con i vostri dati
Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.