Checklist di conformità nLPD per moduli e sondaggi

La maggior parte degli articoli sulla nLPD spiega la legge. Questo presuppone che li abbiate letti e che ora dobbiate dimostrare qualcosa. È l'elenco che un revisore percorre quando si siede davanti a uno dei vostri moduli online: tredici verifiche, la norma che le fonda e il documento preciso che vi sarà chiesto di produrre. Se rispondete a tutte e tredici con un documento anziché con un'opinione, un controllo svizzero sulla protezione dei dati non vi riserva sorprese.

Il corrispettivo esplicativo di questo articolo è la nostra guida alla conformità nLPD dei moduli online, che spiega la ragione di ciascun dovere. Qui l'accento cade unicamente su ciò che dovete essere in grado di mostrare — in sostanza, sulla gestione documentale conforme alla nLPD.

La nLPD si applica davvero al vostro modulo?

Quasi certamente sì, e forse anche se non siete in Svizzera. La legge federale riveduta sulla protezione dei dati (nLPD, RS 235.1) disciplina il trattamento di dati personali di persone fisiche da parte di titolari privati e organi federali. Due aspetti del campo d'applicazione sfuggono con regolarità. Primo: essa coglie le fattispecie che esplicano i loro effetti in Svizzera, indipendentemente dalla sede del titolare — un'impresa tedesca o austriaca che gestisce un modulo rivolto a partecipanti svizzeri vi rientra. Secondo: l'art. 14 impone al titolare privato con sede all'estero di designare una rappresentanza in Svizzera quando il trattamento è connesso all'offerta di beni e servizi o all'osservazione del comportamento di persone in Svizzera, è di vasta portata, è regolare e comporta un rischio elevato. Secondo l'art. 15 tale rappresentanza tiene il registro delle attività di trattamento e funge da referente per l'IFPDT e per gli interessati.

Punti 1–4: prima che il modulo vada online

1. La finalità è determinata e ogni campo la serve

L'art. 6 esige un trattamento lecito, secondo buona fede e proporzionato; i dati possono essere raccolti solo per una finalità determinata e riconoscibile per l'interessato e trattati in modo compatibile con essa. Per un modulo diventa una verifica campo per campo: per ogni domanda, nominate la finalità che serve. La data di nascita su un'iscrizione a un evento di regola non supera la prova, e nemmeno il numero di telefono che non avete mai composto. Prova richiesta: l'elenco dei campi con una finalità per campo — e la cancellazione di quelli che non ne avevano.

2. Sapete nominare il motivo giustificativo — e di norma non è il consenso

Il diritto svizzero non richiede ai titolari privati una base giuridica nel senso del GDPR: richiede che una lesione della personalità sia giustificata, secondo l'art. 31, dal consenso, da un interesse privato o pubblico preponderante oppure dalla legge. L'esecuzione del contratto e un interesse aziendale reale reggono la maggior parte dei moduli ordinari. Se vi fondate sul consenso, l'art. 6 cpv. 6 esige che sia dato liberamente per uno o più trattamenti determinati dopo un'informazione adeguata, e l'art. 6 cpv. 7 che sia esplicito per i dati degni di particolare protezione e per la profilazione a rischio elevato. Prova: un motivo giustificativo annotato in una riga per modulo; in caso di consenso, il testo esatto, il modo di raccolta e la via di revoca.

3. Valutazione d'impatto dove il rischio è elevato

L'art. 22 impone una valutazione d'impatto preliminare quando un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali, e indica in particolare il trattamento su vasta scala di dati degni di particolare protezione e la sorveglianza sistematica di vasta portata di spazi pubblici. Un modulo di accettazione di pazienti, un canale di segnalazione o un'ampia indagine sanitaria vi rientrano in pieno. L'art. 23 disciplina poi quando consultare l'IFPDT. Prova: la valutazione stessa — trattamento previsto, valutazione dei rischi, misure di protezione — datata prima dell'avvio e non ricostruita a posteriori.

4. L'informativa dice ciò che l'art. 19 richiede

L'art. 19 vi obbliga a informare adeguatamente l'interessato sulla raccolta, indicando almeno l'identità e i dati di contatto del titolare, la finalità e, se del caso, i destinatari o le categorie di destinatari. L'art. 19 cpv. 4 aggiunge l'obbligo che quasi tutti dimenticano: se i dati sono comunicati all'estero, va indicato anche lo Stato e, se del caso, le garanzie dell'art. 16 cpv. 2 o la deroga dell'art. 17 invocata. Prova: l'informativa collegata dal modulo stesso — non sepolta a tre clic sul sito istituzionale — che nomini il Paese del vostro fornitore. La violazione dell'obbligo di informare è punibile secondo l'art. 60 con una multa fino a 250 000 franchi.

Punti 5–7: i documenti da produrre su richiesta

5. Registro delle attività di trattamento — e l'esenzione PMI che probabilmente non avete

L'art. 12 impone a titolari e responsabili del trattamento di tenere ciascuno un registro delle proprie attività, contenente almeno l'identità del titolare, la finalità, una descrizione delle categorie di interessati e di dati trattati, le categorie di destinatari, se possibile la durata di conservazione o i criteri per determinarla, se possibile una descrizione generale delle misure di sicurezza dell'art. 8 e — in caso di comunicazione all'estero — lo Stato e le garanzie dell'art. 16 cpv. 2.

6. Un contratto di committenza per ogni fornitore della catena

L'art. 9 consente la delega a un responsabile del trattamento per contratto o per legge, purché i dati siano trattati soltanto come potreste farlo voi stessi e nessun obbligo legale o contrattuale di segretezza lo vieti; vi impone inoltre di accertarvi che il responsabile sia in grado di garantire la sicurezza. L'art. 9 cpv. 3 richiede la vostra autorizzazione preliminare prima di ogni delega ulteriore. Prova: il contratto, l'elenco dei subresponsabili nello stato in cui l'avete accettato — e lo stesso per il servizio di posta, l'archiviazione dei file e qualsiasi funzione di IA. Il dettaglio è nella nostra guida al contratto sul trattamento dei dati per gli strumenti per moduli.

7. Una base nominata per ogni comunicazione all'estero

L'art. 16 cpv. 1 ammette la comunicazione all'estero quando il Consiglio federale ha constatato una protezione adeguata — allegato 1 dell'ordinanza. Altrimenti valgono le garanzie dell'art. 16 cpv. 2 oppure, nel caso singolo, le deroghe dell'art. 17. L'art. 61 lett. a punisce la comunicazione illecita con la multa fino a 250 000 franchi a carico della persona responsabile. Prova: per ciascun fornitore lo Stato e lo strumento invocato, coerenti con la vostra informativa. La nostra guida ai trasferimenti all'estero svolge la verifica.

Punti 8–10: sicurezza e doveri di documentazione che la sorreggono

L'art. 8 impone a titolare e responsabile del trattamento di garantire una sicurezza adeguata al rischio mediante misure tecniche e organizzative, e l'art. 7 esige protezione dei dati sin dalla progettazione e per impostazione predefinita, già dalla pianificazione. L'ordinanza rende concreti entrambi — ed è qui che un revisore tecnicamente competente passa il suo tempo.

1. 8. Bisogno di protezione determinato, misure calibrate su di esso. L'art. 1 OPDa impone di determinare il bisogno di protezione dei dati e di definire le misure adeguate al rischio, valutato secondo la natura dei dati e lo scopo, la natura, l'estensione e le circostanze del trattamento. L'art. 2 OPDa fissa i quattro obiettivi: riservatezza, disponibilità, integrità e tracciabilità. L'art. 3 OPDa nomina i controlli — controllo dell'accesso ai dati, controllo dell'accesso ai locali, controllo degli utenti, oltre a misure per disponibilità e integrità. Prova: una breve valutazione scritta per categoria di moduli e una descrizione della sicurezza riconducibile all'art. 3.
2. 9. Registrazione dove l'art. 4 OPDa la richiede. Quando dati degni di particolare protezione sono trattati automaticamente su vasta scala, oppure si effettua una profilazione a rischio elevato e le misure preventive non bastano, devono essere registrati memorizzazione, modifica, lettura, comunicazione, cancellazione e distruzione. Prova: la configurazione dei registri, la loro durata di conservazione e chi li esamina.
3. 10. Regolamento del trattamento dove l'art. 5 OPDa lo richiede. Il titolare privato e il suo responsabile privato devono redigere un regolamento per i trattamenti automatizzati se trattano su vasta scala dati degni di particolare protezione o effettuano una profilazione a rischio elevato, con indicazioni sull'organizzazione interna, sulla procedura di trattamento e di controllo e sulle misure di sicurezza — aggiornato regolarmente e messo a disposizione del consulente per la protezione dei dati designato secondo l'art. 10. Prova: il documento, con una data di revisione dell'ultimo anno.

Punti 11–13: mentre il modulo è attivo

11. La conservazione è una decisione, la cancellazione si documenta

L'art. 6 cpv. 4 impone di distruggere o anonimizzare i dati personali non appena non sono più necessari allo scopo del trattamento. Quest'obbligo non conosce periodi di grazia né eccezioni del tipo « potrebbe servirci un giorno », ed è il punto che più spesso viene mancato da organizzazioni con il resto della documentazione impeccabile. Le risposte si accumulano nella piattaforma, nel foglio collegato, nelle notifiche via e-mail e nelle esportazioni sui portatili. Prova: una durata per categoria di moduli, il meccanismo che la applica e la dimostrazione che una coorte passata è stata effettivamente cancellata — backup compresi, con la relativa finestra di ritenzione indicata. Come fissare le durate lo spiega il nostro articolo sulla conservazione dei dati dei moduli.

12. Rispondete a una richiesta d'accesso entro 30 giorni

L'art. 25 riconosce a ogni persona il diritto di sapere se dati che la riguardano sono trattati e di ottenere le informazioni necessarie a esercitare i propri diritti — i dati stessi, la finalità, la durata di conservazione o i criteri per determinarla, la provenienza, i destinatari e le informazioni dell'art. 19 cpv. 4 sulle comunicazioni all'estero. L'informazione è gratuita (art. 25 cpv. 6), al diritto non si può rinunciare anticipatamente (art. 25 cpv. 5) e il ricorso a un responsabile del trattamento non ve ne libera (art. 25 cpv. 4). L'art. 25 cpv. 7 fissa di norma 30 giorni, e l'art. 18 OPDa precisa: 30 giorni dalla ricezione della richiesta, con l'obbligo di informare la persona e indicare un nuovo termine se non riuscite a rispettarlo. L'art. 28 aggiunge il diritto alla consegna in un formato elettronico corrente o al trasferimento, quando il trattamento è automatizzato e si fonda sul consenso o su un contratto. Prova: una persona responsabile, una procedura scritta e il registro delle richieste passate con date che mostrino il rispetto del termine.

13. Un processo di notifica che comincia prima dell'incidente

L'art. 24 cpv. 1 impone al titolare di annunciare all'IFPDT il più rapidamente possibile una violazione della sicurezza dei dati che comporti presumibilmente un rischio elevato per la personalità o i diritti fondamentali, indicando almeno la natura della violazione, le sue conseguenze e le misure adottate o previste. L'art. 24 cpv. 3 obbliga il vostro responsabile del trattamento ad annunciarvi una violazione il più rapidamente possibile — un dovere legale, non soltanto contrattuale. L'art. 24 cpv. 4 disciplina l'informazione dell'interessato. Prova: la procedura scritta con nomi e contatti fuori orario, l'impegno di notifica del vostro fornitore e il modello di valutazione che compilereste nella prima ora. L'interazione con la crittografia è trattata nel nostro articolo su notifica delle violazioni e crittografia.

La tabella delle prove

La versione compressa. Stampatela, riempite la terza colonna con la collocazione del documento e le lacune salteranno all'occhio.

I cinque cedimenti che affondano davvero un controllo

• Documenti che descrivono un sistema che non gestite più. Un registro che elenca uno strumento abbandonato diciotto mesi fa è peggio di nessun registro: dimostra che il processo non è mantenuto.
• Risposte a livello aziendale a domande a livello di modulo. « Abbiamo un'informativa sulla privacy » non dice che cosa raccoglie il modulo per le candidature, chi lo riceve né per quanto tempo è conservato.
• La conservazione come proposito. Una durata dichiarata che nessuno applica, con quattro anni di risposte ancora nell'account e in un foglio collegato.
• Campi liberi che alzano silenziosamente la classe di rischio. Una sola casella « c'è altro che dovremmo sapere? » su un modulo di iscrizione trasforma un trattamento ordinario in un trattamento di dati sanitari — cambiando in un colpo solo le risposte su valutazione d'impatto, registro e regolamento del trattamento.
• Presumere che valga l'esenzione PMI. L'art. 24 OPDa è un'esenzione condizionata, e i dati degni di particolare protezione su vasta scala la fanno cadere. È il falso negativo più frequente nelle autovalutazioni delle PMI svizzere.

Una prima passata in 90 minuti

Se l'elenco completo è più di quanto possiate affrontare oggi, questa sequenza vi porta in un pomeriggio da « nessuna idea » a un piano di lavoro difendibile.

Una piattaforma a conoscenza zero accorcia questo elenco?

Accorcia alcuni punti e non ne elimina nessuno. Continuate a dovere la verifica della finalità, il motivo giustificativo, l'informativa, il registro, il contratto di committenza, la decisione sulla conservazione e la procedura per le richieste d'accesso: la crittografia end-to-end non è un'esenzione, e qualsiasi fornitore che lo lasci intendere sta esagerando.

Ciò che cambia è il peso di tre verifiche. La valutazione della sicurezza si accorcia, perché l'obiettivo di riservatezza dell'art. 2 OPDa è raggiunto per architettura anziché confidando nei controlli d'accesso del fornitore. L'analisi dei trasferimenti si semplifica, perché ciò che lascia la vostra sfera di controllo è testo cifrato e non contenuto leggibile. E il processo di notifica cambia forma, perché un incidente presso il fornitore espone dati che nessuno può leggere — una discussione diversa ai sensi dell'art. 24. Dove la piattaforma non può aiutarvi è la disciplina della conservazione e la risposta alle richieste d'accesso: quelle restano vostre, e nessuna architettura le svolge al posto vostro.

In sintesi

La conformità nLPD dei moduli non è un certificato e non esiste alcuna « dichiarazione di conformità » da depositare: per i trattamenti ordinari dei moduli la Svizzera non conosce una registrazione del genere. Esiste invece una posizione probatoria: tredici domande, ciascuna sostenibile con un documento, per attività di trattamento. Chi fallisce un controllo raramente ha frainteso una norma; fallisce perché nessuno è riuscito a produrre il registro, la prova della cancellazione o la valutazione datata nel momento in cui sono stati chiesti.

Cominciate quindi dal modulo che vi metterebbe più a disagio, percorrete i tredici punti e annotate che cosa manca. Poi eliminate i campi di cui non avete mai avuto bisogno: la via più rapida attraverso una checklist di conformità consiste nell'avere meno cose da rendere conformi.