Quando la legge riveduta sulla protezione dei dati entrò in vigore il 1° settembre 2023 senza periodo transitorio, la preoccupazione era grande e la preparazione molto disomogenea. Tre anni dopo è possibile un bilancio onesto: gli obblighi di base sono arrivati nella maggior parte delle imprese. Informative riviste, registri dei trattamenti creati, responsabilità assegnate.
La qualità dell'attuazione però spesso non tiene il passo con l'adempimento formale. Lo schema tipico della nostra prassi: il registro dei trattamenti è stato creato una volta nel 2023 e mai più toccato. Nuovi strumenti, nuovi processi e nuovi fornitori non sono censiti da nessuna parte. Manca proprio la visione d'insieme che la legge esige.
Secondo tema ricorrente: il trattamento su incarico. Chi fa trattare dati personali da terzi ha bisogno delle garanzie contrattuali dell'art. 9 LPD. In pratica questi contratti mancano sorprendentemente spesso, o risalgono a un'epoca in cui il fornitore erogava servizi del tutto diversi. Diventa critico con i servizi cloud e IA che trattano dati fuori dalla Svizzera: senza una base pulita per la comunicazione all'estero secondo gli art. 16 segg. LPD, l'intera catena poggia su fondamenta fragili.
Terzo: la notifica delle violazioni della sicurezza dei dati. La legge esige la notifica all'IFPDT il più presto possibile quando incombe un rischio elevato per le persone interessate. Vediamo entrambi gli estremi: violazioni mai fatte risalire internamente, e notifiche in ritardo di settimane perché nessuno sapeva chi decide. Un processo di notifica testato con responsabilità chiare non è un lusso, è dotazione di base.
Il tema pratico del 2026 è il legame tra protezione dei dati e intelligenza artificiale. Chi immette dati personali in strumenti di IA li tratta ai sensi della LPD, con tutte le conseguenze: trasparenza, vincolo di finalità, trattamento su incarico, comunicazione all'estero, eventualmente una valutazione d'impatto. Per le imprese con legami UE si aggiungono gli obblighi del regolamento IA applicabili da agosto 2026. La buona notizia: chi mette in ordine il fondamento LPD ha già fatto metà del lavoro IA.
La nostra raccomandazione per l'autunno 2026: un check compatto della salute dei dati. Aggiornare il registro, esaminare i contratti dei fornitori, provare una volta il processo di notifica. Tre giorni di impegno che nel momento serio risparmiano settimane.
