Conformità alla nLPD per i moduli online

Il 1° settembre 2023 è entrata in vigore la legge federale svizzera riveduta sulla protezione dei dati — nota come nLPD. La legge modernizza le norme svizzere sulla privacy, allinea molti concetti al GDPR dell'UE e aumenta in modo significativo le esigenze per qualsiasi organizzazione che raccoglie dati personali di residenti svizzeri.

I moduli online sono al centro di questo cambiamento. Che gestiate uno studio dentistico che raccoglie anamnesi, uno studio legale con presa in carico dei clienti o un negozio online con un modulo di contatto, la nLPD si applica a voi. Questa guida illustra cosa richiede la legge, cosa è cambiato e come rendere i vostri moduli conformi nella pratica.

Cos'è la nLPD — e cosa è cambiato

La nLPD è una revisione completa della legge svizzera sulla protezione dei dati del 1992. È stata approvata dal Parlamento nel settembre 2020 ed è entrata in vigore il 1° settembre 2023 senza ulteriore periodo transitorio. Da quella data, la conformità è obbligatoria.

La revisione persegue due obiettivi: modernizzare la legge per l'era digitale e mantenere l'adeguatezza del regime svizzero di protezione dei dati agli occhi della Commissione europea — un punto cruciale per la libera circolazione dei dati tra Svizzera e UE.

Principali novità in sintesi

• La protezione è ora limitata ai dati personali delle persone fisiche — i dati delle persone giuridiche non sono più coperti
• I "dati personali degni di particolare protezione" includono ora anche i dati genetici e biometrici che identificano univocamente una persona
• Privacy by design e privacy by default sono obblighi legali espliciti
• Le valutazioni d'impatto sulla protezione dei dati (VIP) sono obbligatorie per i trattamenti ad alto rischio
• La notifica all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) è ora richiesta "al più presto" per le violazioni che comportano un rischio elevato
• I titolari devono tenere un registro delle attività di trattamento (le PMI con meno di 250 dipendenti e trattamenti a basso rischio sono esentate)
• Le persone interessate hanno diritti rafforzati all'informazione, all'accesso e alla portabilità dei dati
• Sanzioni penali fino a CHF 250'000 possono colpire le persone responsabili — non solo le aziende

Perché i moduli online sono un punto focale della conformità

I moduli sono il punto di ingresso più comune per i dati personali in qualsiasi organizzazione. Sono anche, nella maggior parte dei casi, i meno esaminati. Un'azienda tipica può avere decine di moduli sparsi tra siti web, portali clienti e intranet — ognuno dei quali accumula silenziosamente nomi, recapiti, informazioni sanitarie, dati finanziari o altre categorie protette.

Secondo la nLPD, ciascuno di questi moduli deve soddisfare l'intera gamma di obblighi legali: una base legittima, informazione chiara e completa alla persona interessata, proporzionalità dei dati richiesti, sicurezza adeguata e durata di conservazione definita. L'IFPDT ha indicato che i moduli online saranno un'area pratica di controllo, perché sono visibili, testabili e spesso non soddisfano nemmeno i requisiti di base.

Sette obblighi fondamentali per i moduli online

1. Base giuridica e limitazione della finalità

Ogni modulo deve raccogliere dati per una finalità specifica e identificabile. Non potete raccogliere informazioni "per ogni evenienza" né riutilizzarle per uno scopo che il rispondente non si aspettava. Il principio di proporzionalità richiede che vengano raccolti solo i dati strettamente necessari per la finalità dichiarata.

2. Dovere di informazione

L'articolo 19 nLPD amplia il dovere di informazione. Al momento della raccolta, la persona interessata deve essere informata dell'identità e dei contatti del titolare, della finalità del trattamento, delle categorie di destinatari (compresi i responsabili esterni) e dei paesi verso cui i dati possono essere trasferiti. Questa informazione deve essere accessibile direttamente dal modulo — un link all'informativa sulla privacy è l'approccio standard.

3. Consenso — solo dove serve

Il consenso non è sempre richiesto, ma quando lo è (ad esempio per dati sensibili o profilazioni ad alto rischio), deve essere esplicito, specifico, informato e dato liberamente. Caselle pre-selezionate, checkbox nascoste o clausole "con l'invio accetti tutto" non sono conformi.

4. Sicurezza dei dati

L'articolo 8 nLPD obbliga i titolari e i responsabili a garantire un livello di sicurezza adeguato al rischio. L'ordinanza (OPDa) e le linee guida dell'IFPDT menzionano esplicitamente crittografia, pseudonimizzazione, controlli di accesso e test regolari. Per i moduli che raccolgono dati sensibili, la crittografia end-to-end sta rapidamente diventando lo standard atteso.

5. Minimizzazione e conservazione

Raccogliete solo ciò che vi serve, conservatelo solo per il tempo necessario e poi cancellatelo o anonimizzatelo. Il vostro strumento per moduli deve permettervi di impostare politiche di conservazione e di cancellare le risposte quando non sono più necessarie alla finalità originaria.

6. Diritti delle persone interessate

I rispondenti hanno il diritto di sapere quali dati conservate su di loro, di richiederne una copia (portabilità), di correggere le inesattezze e, in molti casi, di esigerne la cancellazione. I vostri processi e il vostro strumento per moduli devono permettervi di evadere queste richieste entro 30 giorni.

7. Trasferimenti transfrontalieri

Trasferire dati personali verso un paese privo di un livello adeguato di protezione — che nel diritto svizzero include in molti casi gli Stati Uniti — richiede garanzie specifiche: clausole contrattuali standard, norme vincolanti d'impresa o consenso esplicito. Per molte organizzazioni, la risposta più semplice è ospitare i dati dei moduli in Svizzera o nell'UE.

Sanzioni — Perché non è solo un "GDPR leggero"

Un errore comune è pensare che la nLPD sia una versione attenuata del GDPR. Su un aspetto cruciale è probabilmente più severa: le sanzioni penali possono colpire direttamente le persone responsabili, non solo l'azienda.

A differenza del GDPR, dove le multe sono amministrative e colpiscono le organizzazioni, quelle della nLPD sono penali e possono essere inflitte ad amministratori, responsabili della protezione dei dati o altre persone fisiche che hanno commesso la violazione. La responsabilità personale diventa un fattore molto concreto.

Come Schweizerform vi aiuta a essere conformi

Schweizerform è stato progettato fin dall'inizio nel contesto della nLPD. La piattaforma gestisce molti degli obblighi tecnici di default, così il vostro lavoro di conformità riguarda policy e processi — e non l'adattamento di uno strumento costruito per un contesto normativo diverso.

La vostra checklist di conformità nLPD per i moduli

Usate la seguente checklist come punto di partenza. Ogni voce corrisponde a un obbligo fondamentale discusso sopra.

1. Ogni modulo ha una finalità documentata e raccoglie solo i dati strettamente necessari a tale finalità
2. Un'informativa sulla privacy è collegata direttamente da ogni modulo — con titolare, finalità, destinatari e paesi di trasferimento
3. Dove è richiesto il consenso, viene ottenuto tramite una casella esplicita, chiaramente etichettata, non pre-selezionata
4. I dati sensibili non vengono mai trasmessi o archiviati in chiaro — viene utilizzata la crittografia end-to-end
5. Le risposte dei moduli sono ospitate in Svizzera o in un paese con protezione adeguata
6. Per ogni modulo è definito un periodo di conservazione e viene rispettato in pratica
7. Esiste un processo documentato per rispondere a richieste di accesso, rettifica e cancellazione entro 30 giorni
8. Esiste un processo di gestione delle violazioni che designa la persona responsabile della notifica all'IFPDT
9. Il registro delle attività di trattamento elenca ogni modulo e i dati raccolti (se richiesto)
10. I moduli ad alto rischio sono stati valutati tramite una valutazione d'impatto sulla protezione dei dati

La conclusione

La nLPD non è una preoccupazione futura — è in vigore da settembre 2023. Per la maggior parte delle organizzazioni svizzere, il percorso più rapido e duraturo verso la conformità è combinare buoni processi interni con una piattaforma di moduli conforme per progettazione.

Se il vostro strumento attuale archivia le risposte in chiaro, risiede in una giurisdizione non adeguata o non vi dà un vero controllo sulla conservazione, state portando un rischio di conformità facile da eliminare. Hosting svizzero e crittografia a conoscenza zero non sono più funzionalità premium — sono ciò che la legge si aspetta.