nDSG: La nuova legge svizzera sulla privacy che ti farà rivalutare il GDPR

Addio, vecchia legge: benvenuto nDSG

Se pensavi che il GDPR fosse l'unico incubo normativo in Europa, preparati: la Svizzera ha appena lanciato il suo nDSG (nuova legge sulla protezione dei dati), in vigore dal 1° settembre 2023. E no, non è una copia carbone del regolamento UE. Ci sono differenze sottili ma cruciali, soprattutto per chi gestisce dati di cittadini svizzeri. In questo articolo ti spiego cosa cambia, con un tono leggero ma preciso – perché leggere leggi sulla privacy è divertente quanto pulire le fughe delle piastrelle con uno spazzolino, ma almeno possiamo farlo insieme.

Featured Snippet: Qual è la differenza principale tra nDSG e GDPR?

La differenza principale è che il nDSG non richiede la nomina di un Data Protection Officer (DPO) obbligatorio per tutte le aziende, a differenza del GDPR. Inoltre, il nDSG ha sanzioni massime più basse (fino a 250.000 franchi svizzeri) rispetto al GDPR (fino a 20 milioni di euro o 4% del fatturato annuo globale). Tuttavia, il nDSG introduce l'obbligo di tenere un registro delle attività di trattamento per aziende con più di 250 dipendenti, simile al GDPR.

Chi è coinvolto? (Spoiler: quasi tutti)

Il nDSG si applica a qualsiasi azienda che tratta dati personali di persone residenti in Svizzera, indipendentemente da dove ha sede l'azienda. Quindi sì, anche se sei un'azienda italiana che vende cioccolato a clienti svizzeri, devi adeguarti. La buona notizia? Se sei già compliant GDPR, sei a metà dell'opera. La cattiva? Ci sono alcune differenze che possono farti inciampare.

Le 3 differenze chiave che devi conoscere

1. Consenso: più flessibile, ma attento

Il nDSG è leggermente più flessibile sul consenso rispetto al GDPR. Ad esempio, non richiede sempre un consenso esplicito per i dati sensibili, ma si basa su un concetto di "consenso qualificato". Tuttavia, se sbagli, le sanzioni arrivano comunque. Meglio non giocare d'azzardo.

2. Notifica delle violazioni: tempistiche diverse

Con il GDPR hai 72 ore per notificare una violazione. Con il nDSG, il termine è "il più presto possibile", senza una scadenza fissa. Ma attenzione: se ritardi troppo, l'autorità svizzera (PFPDT) potrebbe non essere clemente. Il consiglio? Tratta il nDSG come il GDPR e notifica entro 72 ore, così sei coperto.

3. Sanzioni: più basse, ma non meno dolorose

Le multe massime sono di 250.000 franchi svizzeri (circa 250.000 euro), molto meno delle sanzioni GDPR. Ma attenzione: in Svizzera le sanzioni penali possono colpire direttamente i dirigenti, non solo l'azienda. Quindi, se sei il CEO, potresti finire nei guai personalmente. Non proprio una passeggiata.

Come adeguarsi senza perdere la testa

Ecco una checklist pratica per mettersi in regola con il nDSG:

• Aggiorna la tua privacy policy includendo i riferimenti al nDSG.
• Verifica se devi nominare un rappresentante in Svizzera (se non hai sede lì).
• Implementa un registro delle attività di trattamento se hai più di 250 dipendenti.
• Rivedi i consensi: assicurati che siano conformi al nDSG (non serve sempre esplicito, ma meglio essere cauti).
• Prepara un piano di notifica delle violazioni con tempistiche chiare.

Per approfondire, consulta il testo ufficiale della legge nDSG su Fedlex.

FAQ