Protezione dei dati: dove è necessario intervenire?

Nell’autunno 2023 entra in vigore la revisione totale della Legge svizzera sulla protezione dei dati. Comporta alcuni importanti cambiamenti, che generano un inasprimento delle disposizioni vigenti.

lunedì, 31.10.2022 | 06:30

  2. ...
  3. Società Svizzera Impresari-Costruttori
  4. Lavoro e partenariato sociale
  5. Protezione dei dati: dove è necessario intervenire?

Nell’autunno 2023 entra in vigore la revisione totale della Legge svizzera sulla protezione dei dati. Comporta alcuni importanti cambiamenti, che generano un inasprimento delle disposizioni vigenti. Le aziende edili hanno ancora tempo a sufficienza per prepararsi alle novità.

Tre scenari quotidiani in un’azienda edile. In fase di ricerca di un nuovo professionista un’azienda fa la propria scelta e desidera al tempo stesso conservare il dossier di candidatura di un altro candidato ben qualificato, nel caso in cui in futuro sia possibile assumere altre figure professionali. Inoltre è prevista una festa per l’anniversario in azienda e la ditta desidera inviare un invito alla propria clientela, compreso il signor Meier, che solo ieri ha lasciato il biglietto da visita. Allo stesso tempo, un collaboratore uscente richiede la cancellazione di tutte le sue foto scattate in occasione di eventi aziendali.

Qui e in innumerevoli altri casi vengono elaborati i dati personali. Ma a cosa bisogna prestare attenzione e cosa si deve attuare fino all’entrata in vigore – il 1°settembre 2023 – della revisione totale della Legge sulla protezione dei dati (nLPD)? La revisione della Legge sulla protezione dei dati comprende tre modifiche essenziali. Comporta:

  • un maggiore livello di protezione dei dati;
  • una più forte autodeterminazione delle persone interessate e
  • maggiore responsabilità di chi tratta i dati.

Con la revisione della Legge federale sulla protezione dei dati si intende tenere conto dei cambiamenti delle condizioni tecnologiche e sociali. L’adeguamento aggiuntivo della revisione della Legge federale sulla protezione dei dati alle norme europee sulla protezione dei dati mira a garantire che anche la Svizzera continui a essere riconosciuta come Paese terzo con un livello adeguato di protezione dei dati e che la trasmissione dei dati tra la Svizzera e l’UE resti possibile anche in futuro.

Il servizio giuridico della SSIC sosterrà puntualmente i propri membri nell’attuazione della nuova Legge sulla protezione dei dati (nLPD). In primis, le aziende edili devono essere sensibilizzate con informazioni di base a riguardo.

Quali sono i cambiamenti più rilevanti della nLPD per le imprese di costruzione?

  • Si proteggono solo più i dati delle persone fisiche.
  • Vengono introdotti i principi «protezione dei dati tramite tecnologia» («Privacy by Design») e «protezione dei dati tramite impostazioni predefinite rispettose della protezione dei dati» («Privacy by Default»).
  • Viene esteso l’obbligo di informazione. Le persone interessate devono essere preventivamente informate in merito al trattamento dei loro dati.
  • Viene esteso il diritto d’accesso delle persone interessate.
  • Diventa obbligatorio allestire un registro delle attività di trattamento, eccetto per le aziende che impiegano meno di 250 tra collaboratori e collaboratrici e se il rischio di violazioni della personalità è basso.
  • È necessario annunciare tempestivamente all’Incaricato federale della protezione dei dati e della trasparenza (IDT) se si è verificata una violazione della sicurezza dei dati.
  • Si paventano sanzioni per i privati in caso di inosservanza intenzionale degli obblighi di informazione, accesso e annuncio, in caso di violazione degli obblighi di diligenza e dell’obbligo del segreto professionale e in caso di inosservanza delle disposizioni dell’IDT. Possono essere sanzionate anche le aziende.

Liste di controllo per le PMI: qual è il giusto approccio per gli impresari-costruttori?

 

  1. Fornire una panoramica: in particolare per quanto riguarda il nuovo obbligo di informazione e l’estensione dell’obbligo di accesso gli imprenditori dovrebbero sapere quali dati personali vengono trattati, da dove o da chi li hanno ricevuti e dove vengono memorizzati. Questo aiuta in caso di richiesta di accesso o di cancellazione da parte di una persona. Un’azienda dovrebbe inoltre sapere a chi e come garantisce accesso a tali dati e se e a quali terzi li trasmette. L’ideale sarebbe definire quando questi dati vengono archiviati ed eliminati.
  2. Conoscere i propri rischi: troppe persone hanno accesso a dati protetti? Quali sono i rischi in azienda, ad esempio la perdita di dati personali o l’abuso di dati personali sensibili? Se un’azienda non è in grado di sapere quali dati si trovano in quale luogo, non è possibile fornire informazioni esaustive quando un interessato si presenta.
  3. Ridurre al minimo i rischi: quali misure sono più efficaci per eliminare i punti deboli rilevati? Eventualmente viene implementato un concetto di autorizzazione e di ruolo che definisce chi ha accesso a quali dati e chi può elaborarli come. Forse servono istruzioni operative al personale che utilizza dispositivi privati per lavorare oppure occorre fornire dispositivi aziendali. Eventualmente può essere d’aiuto un semplice elenco di trattamento e chiare procedure per rispondere rapidamente alle richieste degli interessati o per una procedura di annuncio per violazioni della protezione dei dati. Può avere senso chiarire contrattualmente eventuali diritti, obblighi e rischi con i propri partner IT.
  4. Sensibilizzare e fornire spiegazioni: che tipo di informazione e formazione riceve il personale e la direzione? L’introduzione di una politica sulla protezione dei dati contenente i principi e le linee guida fondamentali può contribuire a creare un concetto comune di protezione dei dati in azienda. Chi è stato sensibilizzato e conosce i rischi supporta più facilmente le nuove misure e i nuovi processi.
  5. Informare: le aziende dovrebbero chiarire come desiderano informare le persone interessate su cosa accade ai loro dati e perché. Magari un’azienda dispone già di una dichiarazione sulla protezione dei dati che potrebbe eventualmente dover integrare con i seguenti dati: chi è responsabile della protezione dei dati? Per quale scopo vengono raccolti/trattati i dati? A chi vengono comunicati i dati? Dove vengono esportati i dati?

Circa l'autore

pic

Romina Dietsche

[email protected]

Condividi questo articolo