Perché vi riguarda
La legge federale sulla protezione dei dati riveduta (nLPD) è entrata in vigore il 1° settembre 2023. Si applica a qualsiasi azienda che tratta dati di persone fisiche in Svizzera, senza soglia di dimensione. Una PMI che tiene un archivio clienti, invia una newsletter o gestisce salari è interessata. Le sanzioni colpiscono le persone responsabili, con multe fino a 250 000 franchi.
La buona notizia: per una PMI la conformità si riassume in dieci punti concreti.
I dieci punti
- Registro dei trattamenti. Elencate dove vivono i vostri dati personali: CRM, contabilità, salari, newsletter, sito web, file condivisi.
- Informativa sulla privacy. Pubblicate sul vostro sito cosa raccogliete, perché, per quanto tempo e chi contattare. Deve essere leggibile, non copiata da un modello straniero.
- Base di ogni trattamento. Per ogni utilizzo, sappiate perché ne avete il diritto: contratto, interesse legittimo o consenso.
- Consenso esplicito per le newsletter. Casella non preselezionata, disiscrizione con un clic, traccia del consenso conservata.
- Cookie e tracciatori. Nessun tracciatore pubblicitario senza consenso. I cookie strettamente necessari non ne hanno bisogno, a condizione di dirlo.
- Contratti con i vostri responsabili del trattamento. Hosting, fiduciaria, agenzia, software paghe: ognuno deve firmare un contratto di trattamento dei dati e dirvi dove ospita i dati.
- Trasferimenti all’estero. Uno strumento americano senza garanzie riconosciute è un trasferimento a rischio. Preferite un hosting in Svizzera o nell’Unione europea.
- Diritti delle persone. Un cliente può chiedere l’accesso ai propri dati o la loro cancellazione. Avete 30 giorni per rispondere: stabilite chi se ne occupa.
- Sicurezza proporzionata. Password uniche, autenticazione a due fattori, backup, accessi nominativi. Niente di esotico, ma applicato.
- Procedura in caso di incidente. Se i dati trapelano, dovete valutare il rischio e, se è elevato, informare senza indugio l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) e le persone interessate. Scrivete la procedura prima di averne bisogno.
Da dove cominciare
Cominciate dal registro. Nella maggior parte delle PMI rivela tre o quattro strumenti che nessuno gestisce, spesso ospitati fuori dall’Europa, con accessi condivisi. Sistemare questi tre o quattro punti copre l’essenziale del rischio.
In C’mon la questione è trattata a monte: un’unica piattaforma ospitata in Europa, accessi nominativi e un contratto di trattamento dei dati fornito. I nostri impegni su sicurezza e dati.