nDSG 2023: La Svizzera si sveglia (e il GDPR trema?)

nDSG vs GDPR: le differenze che contano

Se pensavi che il GDPR fosse l'unico incubo normativo in Europa, benvenuto nel club. Dal 1° settembre 2023, la Svizzera ha il suo nuovo nDSG (Legge federale sulla protezione dei dati). E no, non è una copia carbone del regolamento UE. Ci sono differenze sottili ma cruciali, come trovare un parcheggio a Zurigo: sembra uguale, ma è tutto diverso.

Featured Snippet Bait: Quali sono le principali differenze tra nDSG e GDPR?

Il nDSG si applica solo a persone fisiche (no persone giuridiche), ha sanzioni massime inferiori (250.000 CHF contro 20 milioni di euro), e non richiede un Data Protection Officer obbligatorio per tutte le aziende. Inoltre, la Svizzera non ha un meccanismo 'one-stop-shop' come il GDPR.

Ambito di applicazione: chi è coinvolto?

Il nDSG si applica a chiunque tratti dati di persone fisiche in Svizzera, o a soggetti esteri i cui effetti si producono in Svizzera. Attenzione: a differenza del GDPR, il nDSG non protegge le persone giuridiche. Quindi se sei una PMI, i tuoi dati aziendali non sono coperti. Come dire: 'Scusa, amico, sei una società, arrangiati'.

Consenso e basi legali: meno burocrazia?

Il nDSG mantiene il consenso esplicito per dati sensibili, ma è più flessibile su altri aspetti. Ad esempio, non richiede obbligatoriamente un registro delle attività di trattamento per tutte le aziende (solo per quelle con più di 250 dipendenti o che trattano dati sensibili su larga scala). Un po' come quando il capo ti dice 'puoi lavorare da remoto, ma solo se sei produttivo' – meno regole, ma più responsabilità.

Sanzioni: meno salate, ma attenzione

Le sanzioni massime sono di 250.000 franchi svizzeri (circa 255.000 euro), molto meno dei 20 milioni del GDPR. Ma attenzione: in Svizzera le sanzioni penali possono colpire direttamente i dirigenti, non solo l'azienda. Quindi se sbagli, il CEO potrebbe finire nei guai personalmente. È come se il tuo capo fosse responsabile per ogni caffè versato sulla tastiera.

Data Protection Officer: obbligatorio o no?

No, non è obbligatorio per tutte le aziende. Solo per quelle che trattano dati sensibili su larga scala o effettuano profilazione a rischio. Per le altre, è facoltativo. Ma se non lo nomini, devi comunque garantire la conformità. Insomma, puoi scegliere se avere un 'guardiano dei dati' o fare da solo. Come decidere se assumere un commercialista o fare la dichiarazione dei redditi da soli: possibile, ma rischioso.

Trasferimenti internazionali: la Svizzera fa da sé

La Svizzera ha la sua lista di paesi adeguati, che non coincide con quella dell'UE. Quindi un trasferimento verso un paese considerato sicuro dall'UE potrebbe non esserlo per la Svizzera, e viceversa. Inoltre, il nDSG richiede garanzie adeguate per i trasferimenti, come clausole contrattuali standard svizzere (non quelle UE). Un po' come quando viaggi e scopri che il tuo adattatore universale non funziona in quel paese.

Diritti degli interessati: simili ma non identici

I diritti sono simili al GDPR: accesso, rettifica, cancellazione, portabilità (solo per dati trattati con mezzi automatizzati). Ma il nDSG non prevede esplicitamente il diritto all'oblio per i minori. Inoltre, le tempistiche per rispondere alle richieste sono di 30 giorni (contro i 30 del GDPR, ma con possibilità di proroga).

Come prepararsi al nDSG?

Se già rispetti il GDPR, sei a buon punto. Ma devi aggiornare la documentazione: informativa privacy, registro trattamenti (se obbligatorio), e valutazioni d'impatto. Inoltre, verifica i trasferimenti internazionali e le nomine dei responsabili. Consiglio: non aspettare che l'Incaricato federale bussi alla porta. Come dice il proverbio svizzero: 'Chi si lava le mani prima di mangiare, non si ammala'.

Per approfondire, consulta il testo ufficiale della legge su Fedlex.

FAQ