La nuova legge federale sulla protezione dei dati (nLPD) si applica in Svizzera dal 1° settembre 2023. Protegge i dati delle persone fisiche trattati dalle imprese e dall’Amministrazione federale. Impone un obbligo d’informare, la notifica delle violazioni gravi all’Incaricato federale e punisce determinate infrazioni con una multa fino a 250'000 franchi.

Il testo porta la data del 25 settembre 2020, giorno della sua adozione da parte del Parlamento. Figura nella Raccolta sistematica del diritto federale (Fedlex), con il numero RS 235.1. Secondo il comunicato del Consiglio federale del 31 agosto 2022, la accompagnano due ordinanze: l’ordinanza sulla protezione dei dati (OPDa) e quella sulle certificazioni (OCPD).

Perché la Svizzera ha sostituito la sua legge del 1992?

La prima legge federale sulla protezione dei dati risaliva al 19 giugno 1992, secondo Fedlex. Il portale PMI della Confederazione (kmu.admin.ch) ricorda che era stata concepita prima dell’avvento del cloud e degli oggetti connessi e che era stata rivista solo parzialmente, nel 2009 e nel 2019.

Il secondo motivo è europeo. Secondo l’Ufficio federale di giustizia (UFG), la revisione avvicina il diritto svizzero al regolamento generale sulla protezione dei dati dell’Unione europea (RGPD). In gioco c’è la libera circolazione dei dati con l’UE. L’UFG indica che la Commissione europea ha confermato, il 15 gennaio 2024, che la Svizzera offre un livello adeguato di protezione. Questa decisione di adeguatezza, emessa il 26 luglio 2000, consente ai dati di circolare dall’UE senza garanzie supplementari.

Cifre chiave

  • 1° settembre 2023: entrata in vigore della nLPD, dell’OPDa e dell’OCPD;
  • 250'000 franchi: multa massima prevista dall’articolo 60, ossia 25 volte il vecchio tetto secondo il commentario online di questo articolo;
  • 30 giorni: termine di risposta a una richiesta d’accesso, di regola;
  • 250 collaboratori: soglia al di sotto della quale il Consiglio federale prevede eccezioni al registro delle attività di trattamento;
  • 455 notifiche di violazione ricevute dall’Incaricato nel 2026 fino al 25 ottobre, contro 343 in tutto il 2025.

A chi si applica la nLPD?

La legge riguarda i dati delle persone fisiche trattati da privati o da organi federali (art. 2). I dati delle persone giuridiche, come le società, non sono più coperti, rileva il portale PMI. L’uso esclusivamente personale non rientra nella legge.

La legge riguarda anche i fatti avvenuti all’estero che producono effetti in Svizzera (art. 3). Un’impresa straniera che si rivolge a persone in Svizzera designa un rappresentante in Svizzera se il suo trattamento è regolare, su vasta scala e a rischio elevato (art. 14).

Quali principi deve rispettare un’impresa?

L’articolo 6 stabilisce le regole di base di ogni trattamento di dati personali:

  • deve essere lecito, conforme al principio della buona fede e proporzionato;
  • i dati servono a uno scopo determinato e riconoscibile per la persona;
  • devono essere esatti;
  • vengono distrutti o anonimizzati non appena non sono più necessari.

Il consenso deve essere esplicito per i dati degni di particolare protezione, il cui elenco include ormai i dati genetici e biometrici (art. 5).

La legge introduce anche la protezione dei dati sin dalla progettazione e per impostazione predefinita (art. 7). In concreto, le impostazioni predefinite di un servizio devono limitare il trattamento al minimo richiesto dal suo scopo. La sicurezza dei dati deve essere adeguata al rischio (art. 8). Un responsabile del trattamento esterno deve poter garantire questa sicurezza (art. 9).

Quali obblighi concreti per una PMI?

L’obbligo d’informare viene per primo. Secondo il portale PMI, riguarda ormai la raccolta di tutti i dati personali e non più solo dei dati degni di particolare protezione. L’articolo 19 esige almeno l’identità e i dati di contatto del titolare del trattamento, lo scopo del trattamento e gli eventuali destinatari. Una comunicazione di dati all’estero va segnalata indicando il Paese interessato. Se i dati non provengono dalla persona, questa viene informata al più tardi un mese dopo il loro ottenimento.

Altri tre strumenti completano il dispositivo:

  • il registro delle attività di trattamento (art. 12), con eccezioni previste per le imprese con meno di 250 collaboratori i cui trattamenti presentano un rischio limitato;
  • la valutazione d’impatto (art. 22), obbligatoria prima di un trattamento a rischio elevato;
  • il consulente per la protezione dei dati (art. 10), facoltativo per un’impresa privata.

Se la valutazione d’impatto lascia un rischio elevato, l’impresa consulta l’Incaricato, che ha due mesi per formulare le sue obiezioni (art. 23). Un consulente indipendente ai sensi dell’articolo 10 consente di esserne dispensati.

Quali diritti per le persone interessate?

Il diritto d’accesso apre l’elenco. Chiunque può chiedere a un’impresa se tratta dati che lo riguardano (art. 25). La risposta è gratuita e avviene di regola entro 30 giorni. Comprende i dati, lo scopo, la durata di conservazione e i destinatari. Un rifiuto resta possibile, per esempio di fronte a una richiesta manifestamente infondata, ma deve essere motivato (art. 26).

La persona può ottenere i suoi dati in un formato elettronico usuale (art. 28). Può anche esigere davanti al giudice civile la rettifica di dati inesatti, il divieto di un trattamento o la cancellazione dei suoi dati (art. 32).

Quando bisogna notificare una violazione dei dati all’Incaricato?

Una violazione della sicurezza dei dati designa una perdita, una modifica, una distruzione, una divulgazione o un accesso non autorizzato, accidentale o illecito (art. 5). L’articolo 24 impone di notificarla all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) «il prima possibile». L’obbligo vale quando la violazione comporta verosimilmente un rischio elevato per le persone interessate.

La notifica indica almeno la natura della violazione, le sue conseguenze e le misure adottate o previste. Un responsabile del trattamento esterno deve invece segnalare ogni incidente al suo cliente, senza soglia di gravità. Le persone colpite vengono informate quando la loro protezione lo esige o quando l’Incaricato lo chiede. Dal 1° aprile 2025 l’Incaricato può, con l’accordo del titolare del trattamento, trasmettere la notifica all’Ufficio federale della cibersicurezza (UFCS) per un’analisi.

Il numero di notifiche aumenta. In un’intervista al SonntagsBlick ripresa il 25 ottobre 2026 dall’agenzia Keystone-ATS, l’Incaricato Adrian Lobsiger ha riferito di 455 notifiche ricevute dall’inizio dell’anno, contro 343 nel 2025. Ritiene che molti incidenti non gli vengano mai segnalati, come 2clics ha riferito a proposito delle violazioni dei dati in Svizzera. La rubrica protezione dei dati di 2clics segue questi dossier.

Quali poteri ha l’Incaricato federale?

L’IFPDT è un’autorità indipendente che, secondo il suo sito, vigila sugli organi federali e sulle imprese private. Apre un’inchiesta d’ufficio o su denuncia quando indizi sufficienti lasciano supporre che un trattamento violi la legge (art. 49). Se constata una violazione, può ordinare di modificare, sospendere o cessare un trattamento, oppure di cancellare dei dati (art. 51).

Un esempio datato illustra questa procedura. Il 23 ottobre 2026 l’Incaricato ha aperto un’inchiesta formale nei confronti di PK Softech, fornitore di software di diverse casse pensioni svizzere, tra cui la Cassa pensioni della Confederazione Publica. L’impresa stessa gli aveva segnalato un ciberattacco l’8 ottobre. Come 2clics ha riferito a proposito dell’inchiesta dell’Incaricato su PK Softech, l’Incaricato vuole stabilire quali dati gli avevano affidato le casse, su quale base giuridica e che cosa è stato rubato.

Quali sanzioni prevede la nLPD?

Le multe colpiscono inadempienze precise. L’articolo 60 punisce con una multa fino a 250'000 franchi i privati che, intenzionalmente:

  • forniscono informazioni inesatte o incomplete nell’ambito dell’informazione o di una richiesta d’accesso;
  • omettono di informare la persona interessata della raccolta dei suoi dati o di una decisione automatizzata;
  • forniscono false informazioni all’Incaricato o rifiutano di collaborare alla sua inchiesta.

Secondo il commentario online dell’articolo 60, redatto da Jonas D. Gassmann su Onlinekommentar.ch, la negligenza non è punibile. Basta invece il dolo eventuale. I primi due casi sono perseguiti a querela di parte, il terzo d’ufficio.

Lo stesso commentario sottolinea la differenza rispetto al RGPD: in Svizzera la multa colpisce le persone fisiche che agiscono per l’impresa, dirigenti o altri responsabili. Queste multe sono di competenza della giustizia penale, non dell’Incaricato.

nLPD e RGPD: quali differenze?

I due testi si assomigliano nella sostanza. Secondo il portale PMI della Confederazione, un’impresa già conforme al RGPD ha pochi cambiamenti da fare. La tabella seguente riassume le principali differenze tra i due testi.

PuntonLPD (Svizzera)RGPD (Unione europea)
Autorità di controlloIFPDT, a BernaAutorità nazionale, per esempio la Commission nationale de l’informatique et des libertés (CNIL) in Francia
Soglia di notifica di una violazioneRischio elevato verosimile per le personeRischio per i diritti e le libertà delle persone
Termine di notifica«Il prima possibile», senza un termine in cifreSenza ingiustificato ritardo, con una notifica iniziale entro 72 ore se possibile
Chi viene sanzionatoLe persone fisiche responsabili, multa fino a 250'000 franchiL’impresa interessata

La CNIL, l’autorità francese, precisa che un ritardo oltre le 72 ore deve essere giustificato. Una PMI svizzera soggetta anche al RGPD deve quindi tenere presente questo riferimento.

Ciò che non si sa ancora

  • Il numero di violazioni mai notificate: l’Incaricato lo ritiene importante, senza quantificarlo.

Fonti