La legge riveduta sulla protezione dei dati è in vigore dal 1° settembre 2023, senza periodo transitorio. Quasi tre anni dopo, nella prassi emerge uno schema chiaro: la maggior parte delle imprese ha attuato gli obblighi una volta, senza mai aggiornarli. Proprio lì nascono oggi i rischi.

I requisiti centrali sono invariati: un registro attuale delle attività di trattamento, informative trasparenti, processi definiti per le domande di accesso, contratti con tutti i responsabili del trattamento e una via di notifica funzionante all'IFPDT per le violazioni della sicurezza dei dati.

Il primo punto debole è quasi sempre il registro. Creato nel 2023, da allora tutto è cambiato: nuovi strumenti, nuovi servizi cloud, nuove applicazioni di IA, nuovi destinatari all'estero. Un registro che non rispecchia più la realtà non protegge, simula sicurezza.

Il secondo punto debole sono i contratti con i fornitori. Chi fa trattare dati personali da terzi ha bisogno delle garanzie contrattuali dell'art. 9 LPD. Questi contratti mancano sorprendentemente spesso, o non coprono più le prestazioni realmente acquistate. Particolarmente critico: i servizi cloud e IA con trattamento fuori dalla Svizzera, che richiedono in più una base per la comunicazione all'estero secondo gli art. 16 segg. LPD.

Il terzo punto debole è il processo per gli incidenti. Una violazione della sicurezza dei dati va notificata il più presto possibile quando minaccia un rischio elevato per le persone interessate. Chi chiarisce solo durante l'incidente chi decide internamente perde proprio il tempo che la legge non concede. Si aggiungono le sanzioni penali della LPD: multe fino a 250 000 franchi colpiscono le persone fisiche responsabili, non solo l'impresa.

La nostra raccomandazione è un check compatto della salute dei dati di due o tre giorni: confrontare il registro con la realtà, esaminare lista e contratti dei fornitori, chiarire le comunicazioni all'estero, provare una volta il processo di notifica. L'impegno è contenuto, l'effetto grande, proprio prima che i progetti IA cambino ulteriormente il panorama dei dati.

Come primo passo potete chiudere da soli la lacuna contrattuale più frequente con il nostro allegato sul trattamento su incarico. Per il check e le questioni più delicate siamo volentieri a disposizione.