Legge sulla protezione dei dati: Evoluzione del paesaggio svizzero ed europeo

Legge sulla protezione dei dati: Evoluzione del panorama svizzero ed europeo

Il regolamento (UE) 2016/679 entrerà in vigore il 24 maggio 2018. Fino ad allora, gli Stati membri dell'UE dovranno adattare la loro legislazione per consentire alle imprese e ai singoli di rispettare i loro obblighi attraverso l'adozione di codici di condotta, procedure di certificazione e programmi di sorveglianza. Le autorità nazionali per la protezione dei dati potranno infliggere sanzioni pecuniarie alle imprese fino al 4% del loro fatturato annuo a livello mondiale ed emettere sanzioni congiunte. Inoltre, il GDPR prevede la creazione di un Comitato europeo per la protezione dei dati, che controllerà le autorità nazionali degli Stati membri e arbitrerà gli eventuali conflitti tra di loro.

In Svizzera, il 21 dicembre 2016 il Consiglio federale ha emanato il progetto della nuova legge federale sulla protezione dei dati (LPD). Ciò è in linea con la sua "Strategia digitale svizzera" del 20 aprile 2016 ed è il risultato di una valutazione della legislazione vigente. Da questo studio è emerso (non sorprende) che le leggi in vigore non sono più adeguate allo stato attuale dell'evoluzione tecnologica e della prassi.

La bozza è stata concepita intorno a diversi principi guida, tra cui in particolare:

- Approccio basato sul rischio. I doveri dei responsabili del trattamento dei dati saranno più severi quando i rischi di violazione dei diritti e delle libertà degli interessati (persone fisiche) saranno più elevati. Ad esempio, un'azienda che tratta regolarmente dati "sensibili" (dati sulla salute o sulle opinioni politiche, dati biometrici, ecc.) e che delega regolarmente il trattamento dei dati a subappaltatori ("incaricati del trattamento") sarà soggetta a un esame più approfondito rispetto a un'azienda che raccoglie dati solo occasionalmente.

- Terminologia adattata all'UE. Il "file master" dell'attuale FDPA diventerà il "processore". I "dati sensibili" si estenderanno ora ai dati biometrici e genetici. Il concetto di "profilazione" affronta specificamente la questione dell'elaborazione dei dati a fini predittivi (Big Data, Smart Data).

- Miglioramento dello scambio di dati con l'estero. La trasmissione di dati all'estero rimane soggetta al principio della protezione adeguata. Tuttavia, il livello di protezione delle giurisdizioni estere non sarà determinato dal responsabile del trattamento stesso, ma direttamente dal Consiglio federale.

- Una migliore protezione dei diritti individuali. La Bozza rafforza e chiarisce i diritti preesistenti (il diritto di ottenere i dati personali dal responsabile del trattamento - ora gratuitamente, il diritto alla rettifica dei dati personali, il diritto al divieto di trattamento, il diritto di vietare la trasmissione di dati personali a terzi) e introduce anche nuovi diritti (il diritto all'oblio e il diritto di ordinare la distruzione dei dati personali). La bozza affronta anche la questione dei diritti relativi alle persone decedute e riconosce ai loro eredi il diritto di agire.

- Chiariti gli obblighi del controllore. Il responsabile del trattamento deve informare l'interessato se i dati personali sono oggetto di trattamento e se è suscettibile di essere coinvolto in un trattamento automatizzato dei dati. Il responsabile del trattamento deve inoltre informare l'interessato in caso di trattamento non autorizzato dei suoi dati (hacking) o di perdita o distruzione dei dati personali. Infine, la bozza prevede che il trattamento dei dati debba essere protetto per default (privacy by default) e dalla sua concezione (privacy by design).

- Rafforzamento del controllo e dell'indipendenza dell'Incaricato federale della protezione dei dati e della trasparenza (IFPDT). A ciò si aggiungono il rafforzamento delle sanzioni penali e la possibilità per le autorità di perseguimento penale di comminare multe fino a 500'000 franchi.  

Il Consiglio federale ha tuttavia deciso espressamente di tralasciare alcuni concetti o soluzioni applicate in particolare nelle giurisdizioni straniere:

- La protezione dei dati delle imprese.

- Il potere dell'IFPDT di adottare norme vincolanti. Il Consiglio federale ha deciso di evitare di discutere le questioni di legalità e la delega di poteri su cui tale potere si baserà. Inoltre, l'IFPDT non potrà infliggere multe (contrariamente a quanto previsto dal Parlamento europeo nel GDPR).

- Invertire l'onere della prova. In un primo tempo il Consiglio federale ha preso in considerazione la possibilità di imporre l'onere della prova al controllore in caso di controversie da parte di una persona fisica. Il responsabile del trattamento avrebbe dovuto dimostrare di aver adempiuto ai suoi obblighi legali nel trattamento dei dati personali. Alla fine, il Consiglio federale ha ritenuto che i tribunali svizzeri disponessero già di mezzi sufficientemente efficaci per valutare una situazione specifica e per risolvere i casi in caso di problemi relativi all'accertamento delle prove.

- Azioni di classe per la protezione dei dati. Il principio delle azioni collettive, ancora inesistente secondo l'attuale diritto svizzero, è ora in discussione in Parlamento. Non sembrava quindi necessario creare un diritto così nuovo e distintivo in materia di protezione dei dati.

- Portabilità dei dati. Secondo il Consiglio federale, il diritto alla portabilità dei dati mira a stimolare la concorrenza e non a proteggere le persone. Ciò sembra deplorevole, poiché è stata una delle interessanti novità del GDPR e avrebbe potuto aiutare i cittadini ad evitare di essere "bloccati" con lo stesso fornitore di servizi.

- Un regime speciale di risoluzione delle controversie. Si è ritenuto che esistano già programmi ed entità alternative di risoluzione delle controversie, a seconda del settore (in particolare nel settore bancario e assicurativo).

Il progetto è ancora soggetto all'esame del Parlamento e sarà probabilmente modificato prima della sua adozione definitiva. Nel frattempo, esso fornisce chiare indicazioni sulla prevedibile evoluzione del panorama giuridico svizzero ed europeo in materia di protezione dei dati e costringerà le imprese ad adeguare le loro condizioni generali di contratto, le politiche sulla privacy e il trattamento dei dati.

Altenburger Ltd legal + tax è pronto ad assisterli.