Protezione dei dati nelle PMI 2026: obblighi LPD, consulente, valutazione d'impatto, violazioni

Una PMI non è tenuta a nominare un consulente per la protezione dei dati: i titolari privati possono designarne uno (art. 10 cpv. 1 LPD), l'obbligo vale solo per gli organi federali (IFPDT). Ogni azienda deve invece proteggere i dati, informare, rispondere alle richieste d'accesso entro 30 giorni e notificare le violazioni gravi. Il registro delle attività di trattamento di regola non serve sotto i 250 collaboratori (art. 24 OPDa). Una violazione intenzionale costa alla persona responsabile una multa fino a CHF 250 000 (art. 60–63 LPD).

L'essenziale

• La LPD riveduta si applica dal 1.9.2023 e protegge solo le persone fisiche, compresi i Suoi interlocutori presso i clienti aziendali (art. 1, 2 e 74 LPD).
• Il consulente è facoltativo; se comunicato all'IFPDT, dispensa dalla consultazione dell'IFPDT anche con un rischio residuo elevato (art. 10 e 23 cpv. 4 LPD).
• Niente registro sotto i 250 collaboratori al 1° gennaio, salvo dati degni di particolare protezione su vasta scala o profilazione ad alto rischio (art. 24 OPDa).
• La valutazione d'impatto precede ogni trattamento a rischio verosimilmente elevato e si conserva due anni dopo la fine (art. 22 LPD, art. 14 OPDa).
• Una violazione a rischio verosimilmente elevato si notifica all'IFPDT «quanto prima», non entro 72 ore (art. 24 LPD).
• Le richieste d'accesso ricevono risposta gratuita entro 30 giorni; con un onere sproporzionato è ammessa una partecipazione di al massimo CHF 300 (art. 18 e 19 OPDa).
• I dati possono andare senza altre garanzie nell'UE, nel Regno Unito o a imprese statunitensi certificate; l'elenco è nell'allegato 1 OPDa.
• La multa fino a CHF 250 000 colpisce la persona responsabile, l'azienda solo fino a CHF 50 000 (art. 64 LPD).

Gli obblighi in sintesi: chi, quando, quale sanzione

Cosa impone ogni obbligo a una PMI privata e quanto costa una violazione intenzionale. Senza multa prevista, l'IFPDT può ordinare provvedimenti amministrativi (art. 51 LPD).

Fonte: legge sulla protezione dei dati RS 235.1 (stato 7.7.2025) e ordinanza sulla protezione dei dati RS 235.11 (stato 1.12.2025).

La LPD si applica alla Sua PMI?

Sì, appena tratta informazioni relative a una persona fisica identificata o identificabile (art. 5 lett. a LPD). Il Portale PMI della Confederazione ricorda che tutte le imprese in Svizzera sono coinvolte, PMI incluse (Portale PMI). La legge vale anche per fatti avvenuti all'estero che hanno effetti in Svizzera (art. 3 LPD).

Titolare o responsabile del trattamento

Il titolare decide scopo e mezzi; il responsabile tratta per suo conto (art. 5 lett. j e k LPD). La Sua PMI è titolare dei dati di clienti e personale; software salari, cloud e fiduciaria sono di regola responsabili del trattamento. La distinzione stabilisce chi informa, chi risponde alle richieste d'accesso e chi notifica una violazione.

Dati degni di particolare protezione

Sei categorie richiedono più cura: opinioni religiose, filosofiche, politiche o sindacali; salute, sfera intima, origine razziale o etnica; dati genetici; dati biometrici identificativi; perseguimenti e sanzioni penali o amministrativi; assistenza sociale (art. 5 lett. c LPD). I certificati medici del personale vi rientrano. Un consenso necessario deve allora essere esplicito (art. 6 cpv. 7 LPD).

Principi invece del consenso

La LPD non chiede un consenso per ogni trattamento, ma liceità, buona fede, proporzionalità, uno scopo riconoscibile, esattezza e distruzione o anonimizzazione una volta raggiunto lo scopo (art. 6 LPD). La durata «necessaria» deriva spesso da altre leggi: l'IFPDT cita dieci anni per i documenti contabili secondo l'art. 958f CO (FAQ IFPDT).

Consulente per la protezione dei dati: facoltativo, ma utile

Il consulente è l'interlocutore delle persone interessate e delle autorità; forma, consiglia e collabora all'applicazione delle norme (art. 10 cpv. 2 LPD). L'IFPDT lo sottolinea: a differenza del RGPD, per i privati la nomina è facoltativa (IFPDT). Le guide che impongono un «responsabile della protezione dei dati» a ogni PMI riprendono la regola europea, non quella svizzera.

Le quattro condizioni dell'agevolazione

Il vantaggio vale solo se la persona soddisfa quattro condizioni (art. 10 cpv. 3 LPD):

1. Esercita la funzione in modo professionalmente indipendente e senza istruzioni.
2. Non svolge attività incompatibili.
3. Dispone delle conoscenze specialistiche necessarie.
4. L'azienda pubblica i suoi dati di contatto e li comunica all'IFPDT.

Secondo l'IFPDT sono incompatibili, ad esempio, l'appartenenza alla direzione o una funzione nel personale o nell'informatica; il cumulo con la sicurezza dell'informazione è possibile (IFPDT). La comunicazione avviene nel portale DPO, con login AGOV o CH-Login.

Cosa deve al consulente

Gli mette a disposizione le risorse necessarie, l'accesso a documenti, registri e dati e il diritto di informare l'organo di direzione superiore nei casi importanti (art. 23 OPDa). La funzione può essere esternalizzata, ripartita o affidata a una persona giuridica, senza obbligo di domicilio in Svizzera (FAQ IFPDT). La responsabilità resta all'azienda.

Risposta dettagliata: Una PMI deve nominare un consulente per la protezione dei dati?

Registro delle attività di trattamento

Il registro elenca quali dati tratta e perché. Quello del titolare contiene almeno sette elementi (art. 12 cpv. 2 LPD): identità del titolare, scopo, categorie di persone e di dati, categorie di destinatari, se possibile durata di conservazione e misure di sicurezza e, in caso di comunicazione all'estero, lo Stato e le garanzie. I responsabili del trattamento tengono un registro proprio, più breve (art. 12 cpv. 3 LPD). Solo gli organi federali lo notificano all'IFPDT.

L'eccezione per le PMI

Il Consiglio federale ha concretizzato l'eccezione dell'art. 12 cpv. 5 LPD nell'art. 24 OPDa:

Fonte: art. 24 OPDa (stato 1.12.2025).

Conta solo il 1° gennaio: chi supera 250 durante l'anno resta esentato fino al 1° gennaio successivo. Le aziende esentate devono comunque informare, rispondere alle richieste d'accesso e proteggere i dati, ricorda l'IFPDT (FAQ IFPDT).

Risposta dettagliata: Un'azienda con meno di 250 collaboratori deve tenere il registro delle attività di trattamento?

Regolamento sul trattamento e verbalizzazione

Chi tratta in modo automatizzato dati degni di particolare protezione su vasta scala o esegue una profilazione ad alto rischio redige anche un regolamento sul trattamento: organizzazione, procedure, sicurezza (art. 5 OPDa). In questi casi, se la prevenzione non basta, verbalizza registrazione, modifica, comunicazione, cancellazione e consultazione; i verbali si conservano almeno un anno separati dal sistema (art. 4 OPDa, tenore dal 1.12.2025).

Sicurezza dei dati, protezione sin dalla progettazione e responsabili del trattamento

La sicurezza dei dati riguarda ogni PMI, e i suoi requisiti minimi sono sanzionati penalmente (art. 61 lett. c LPD). Lei determina il bisogno di protezione in base ai dati e all'entità del trattamento, valuta il rischio, sceglie le misure secondo lo stato della tecnica e i costi e riesamina il tutto durante il trattamento (art. 1 OPDa).

Fonte: art. 1–3 OPDa (stato 1.12.2025).

Protezione dei dati sin dalla progettazione e per impostazione predefinita

Progetta i sistemi fin dalla pianificazione per rispettare i principi e imposta per default il trattamento al minimo necessario (art. 7 LPD). In pratica: pochi campi obbligatori, newsletter non preselezionata, termini di cancellazione impostati nel sistema.

Affidare correttamente i dati a un responsabile

Può affidare un trattamento se il fornitore tratta i dati come potrebbe farlo Lei, se nessun segreto vi si oppone e se ha verificato che garantisce la sicurezza dei dati (art. 9 LPD). Un ulteriore subappalto richiede la Sua autorizzazione preventiva; con un'autorizzazione generale è informato di ogni cambiamento e può opporsi (art. 7 OPDa).

Comunicazione di dati all'estero

Cloud, newsletter, videoconferenza: quasi ogni PMI trasferisce dati all'estero. La LPD prevede tre vie (art. 16–17 LPD).

Fonte: LPD art. 16–17 (stato 7.7.2025), OPDa allegato 1 (stato 1.12.2025).

L'allegato 1 conta 44 voci, riesaminate periodicamente (art. 8 OPDa). Verifichi che la certificazione di un fornitore statunitense esista davvero; altrimenti servono clausole tipo. La Sua informativa sulla privacy indica Stati e garanzie (art. 19 cpv. 4 LPD).

Obbligo d'informare e decisione individuale automatizzata

A ogni raccolta indica almeno identità e contatti, scopo e destinatari; per dati di terzi anche le categorie; per l'estero lo Stato e le garanzie (art. 19 LPD). Per dati ottenuti da terzi, l'informazione avviene al più tardi un mese dopo. Deve essere precisa, trasparente, comprensibile e facilmente accessibile (art. 13 OPDa): in pratica l'informativa sulla privacy del sito e brevi avvisi nei moduli. L'obbligo cade, tra l'altro, se la persona è già informata o se la legge prevede il trattamento (art. 20 LPD).

Decisione individuale automatizzata

Una decisione è individuale e automatizzata quando un sistema decide da solo, con effetti giuridici o un pregiudizio considerevole (art. 21 cpv. 1 LPD). Esempi in una PMI: un negozio online che rifiuta l'acquisto su fattura dopo un controllo automatico di solvibilità, un tool di selezione che scarta candidati senza sguardo umano. Informa la persona, la sente su richiesta e fa riesaminare la decisione da un essere umano se lo chiede (art. 21 cpv. 2 LPD). Nessun obbligo se la richiesta è accolta nell'ambito di un contratto o in caso di consenso esplicito (art. 21 cpv. 3 LPD). I dati di solvibilità hanno al massimo dieci anni e riguardano solo maggiorenni (art. 31 cpv. 2 lett. c LPD). Risposta dettagliata: Bisogna informare la persona di una decisione presa in modo automatizzato?

Valutazione d'impatto e consultazione dell'IFPDT

La valutazione d'impatto precede ogni trattamento che può comportare un rischio elevato, in particolare con nuove tecnologie (art. 22 cpv. 1–2 LPD). La legge cita il trattamento su vasta scala di dati degni di particolare protezione e la sorveglianza sistematica di vaste aree pubbliche. Ha tre parti: descrizione del trattamento, valutazione dei rischi, misure di protezione (art. 22 cpv. 3 LPD). Operazioni simili possono essere valutate insieme.

Sono dispensati il titolare obbligato per legge a trattare i dati, chi usa un sistema certificato e chi rispetta un codice di condotta sottoposto all'IFPDT e fondato su una valutazione d'impatto (art. 22 cpv. 4–5 LPD). La certificazione dell'art. 13 LPD è quindi l'unico audit di protezione dei dati cui la legge collega un effetto; nessun audit generale è obbligatorio.

Se nonostante le misure resta un rischio elevato, consulta preventivamente l'IFPDT. Risponde entro due mesi, entro tre per un trattamento complesso (art. 23 cpv. 1–2 LPD). Se ha consultato un consulente comunicato, questo passo cade (art. 23 cpv. 4 LPD). La valutazione si conserva almeno due anni dopo la fine del trattamento (art. 14 OPDa). Risposta dettagliata: Quando è obbligatoria la valutazione d'impatto sulla protezione dei dati?

Violazione dei dati: notifica all'IFPDT e informazione delle persone

Una violazione della sicurezza dei dati è la perdita, cancellazione, distruzione o modifica involontaria o illecita di dati, o la loro divulgazione a persone non autorizzate (art. 5 lett. h LPD). Portatile rubato, conteggio salariale inviato al destinatario sbagliato, ransomware: tutti casi. Si notifica solo la violazione a rischio verosimilmente elevato (art. 24 cpv. 1 LPD).

Come l'IFPDT valuta il rischio elevato

La guida dell'IFPDT (versione 1.2 del 23.4.2025) considera la sensibilità dei dati, natura e motivi dell'attacco, l'onere d'identificazione, quantità e durata, i danni economici e le persone vulnerabili. Copie di documenti d'identità e dati di carte di credito possono fondare un rischio elevato senza essere dati degni di particolare protezione. Dati efficacemente cifrati sono anonimi per i terzi: nessuna notifica. Con un ransomware occorre, secondo i casi, presumere un rischio elevato già alla prima analisi, senza attendere.

Cosa contiene la notifica

Fonte: art. 15 OPDa (stato 1.12.2025).

La notifica passa dal modulo online dell'IFPDT (DataBreach), che rilascia una conferma scaricabile; le informazioni mancanti seguono quanto prima. Ogni violazione, anche non notificata, va documentata (fatti, effetti, misure) e la documentazione conservata almeno due anni dalla notifica (art. 15 cpv. 4 OPDa). Il Suo responsabile del trattamento Le segnala ogni violazione, a prescindere dal rischio (art. 24 cpv. 3 LPD). Informa le persone se la loro protezione lo richiede o se l'IFPDT lo esige. La notifica può essere usata in un procedimento penale contro chi l'ha fatta solo con il suo consenso (art. 24 LPD). Risposta dettagliata: Quando bisogna notificare all'IFPDT una violazione della sicurezza dei dati?

Diritto d'accesso e altri diritti delle persone interessate

Ogni persona può sapere se tratta dati che la riguardano. Indica almeno la Sua identità, i dati, lo scopo, la durata di conservazione, la provenienza, un'eventuale decisione automatizzata e la sua logica, e i destinatari (art. 25 cpv. 2 LPD). Se non tratta alcun dato, risponde comunque in modo negativo (FAQ IFPDT).

Termini e costi

La richiesta è scritta; identifica la persona con mezzi adeguati (art. 16 OPDa). Risponde entro 30 giorni dal ricevimento, o comunica in tale termine quando risponderà (art. 18 OPDa). L'accesso è gratuito (art. 25 cpv. 6 LPD). Con un onere sproporzionato è possibile una partecipazione di al massimo CHF 300; la persona ha dieci giorni per riflettere, poi decorrono i 30 giorni (art. 19 OPDa). Un rifiuto o una limitazione va motivato (art. 26 cpv. 4 LPD).

Consegna, rettifica, cancellazione

I dati forniti dalla persona e trattati in modo automatizzato le sono consegnati gratuitamente, su richiesta, in un formato elettronico usuale (art. 28 LPD). I dati inesatti vanno rettificati; davanti al giudice la persona può esigere la cancellazione o il divieto di un trattamento (art. 32 LPD).

Sanzioni e poteri dell'IFPDT

L'IFPDT apre un'inchiesta d'ufficio o su denuncia (art. 49 LPD). Può far adeguare, sospendere o cessare un trattamento, far cancellare dati ed esigere valutazione d'impatto, consultazione, notifica o informazioni (art. 51 LPD). Non pronuncia multe: lo fanno le autorità penali cantonali dopo una condanna (art. 65 LPD, FAQ IFPDT).

Fonte: LPD art. 60–66 (stato 7.7.2025).

È punibile solo l'intenzione. L'azione penale si prescrive in cinque anni (art. 66 LPD).

Esempi concreti

Persone e cifre fittizie; termini secondo LPD e OPDa.

Esempio 1: Sara, Lugano, studio di fisioterapia, 18 collaboratori

Sara gestisce circa 2 400 cartelle di pazienti. Al 1.1.2026 impiega 18 persone, meno di 250. I dati sanitari sono degni di particolare protezione e 2 400 cartelle costituiscono un trattamento su vasta scala. Si applica l'eccezione dell'art. 24 lett. a OPDa: Sara deve tenere un registro. Le cartelle sono elettroniche, quindi le serve anche un regolamento sul trattamento (art. 5 OPDa).

Il 3.2.2026 un ex paziente chiede l'accesso. Senza partecipazione, il termine è di 30 giorni dal ricevimento: 5.3.2026 (art. 18 OPDa). Vuole però copie di dodici anni di cure, su carta e in due sistemi. Il 5.2.2026 Sara comunica una partecipazione di CHF 120, sotto il massimo di CHF 300. I dieci giorni di riflessione finiscono il 15.2.2026; poi decorrono i 30 giorni, risposta dovuta entro il 17.3.2026 (art. 19 cpv. 3 OPDa). Senza conferma, la richiesta è considerata ritirata.

Esempio 2: Marco, Bellinzona, negozio online, 35 collaboratori

Marco vende accessori per bici online. Il suo CRM è presso un fornitore statunitense certificato Swiss-US Data Privacy Framework, ammesso secondo l'allegato 1 OPDa. Il suo tool di newsletter statunitense non è certificato: Marco conclude clausole tipo (art. 16 cpv. 2 lett. d LPD).

Lunedì 9.3.2026 alle 7.30 un ransomware cifra il server. Sono toccate 12 000 schede clienti (indirizzi, ordini) e gli aggressori minacciano di pubblicarle. La guida dell'IFPDT impone di presumere un rischio elevato: Marco notifica lo stesso giorno su DataBreach tipo, momento, numero approssimativo di schede e persone, conseguenze, misure e un interlocutore (art. 15 OPDa). Conserva la documentazione almeno due anni, quindi almeno fino al 9.3.2028.

Omettere la notifica non sarebbe stato punibile (guida IFPDT, n. 1.8). Ignorare intenzionalmente i requisiti minimi di sicurezza, ad esempio lasciare aperte lacune critiche note (art. 3 cpv. 2 lett. f OPDa), lo è: multa fino a CHF 250 000 per lui personalmente (art. 61 lett. c LPD).

Esempio 3: Luca, Mendrisio, costruzione di macchine, 248 collaboratori

Al 1.1.2026 l'azienda di Luca conta 248 collaboratori, meno di 250, senza dati degni di particolare protezione su vasta scala né profilazione ad alto rischio: nessun registro nel 2026. A marzo assume 15 persone, totale 263. Conta solo il 1° gennaio; l'obbligo inizia il 1.1.2027 se l'effettivo è allora di almeno 250 (art. 24 OPDa).

Luca vuole un tool che valuti le candidature e rifiuti automaticamente sotto una soglia. È una decisione individuale automatizzata; un rifiuto non accoglie la richiesta, l'eccezione dell'art. 21 cpv. 3 lett. a LPD non si applica. Informa nell'annuncio di lavoro e offre un riesame da parte delle HR. Poiché il tool combina prestazioni e comportamento, esegue prima una valutazione d'impatto. Se resta un rischio elevato, consulta l'IFPDT il 4.5.2026: risposta al più tardi il 4.7.2026, o il 4.8.2026 se il trattamento è complesso (art. 23 cpv. 2 LPD). Con una consulente indipendente comunicata potrebbe farne a meno (art. 23 cpv. 4 LPD).

Casi particolari

Esattamente 250 collaboratori

L'ordinanza esenta solo chi impiega «meno di 250» collaboratori (art. 24 OPDa). Con esattamente 250 al 1° gennaio tiene un registro. Le FAQ dell'IFPDT parlano di «più di 250»; fa stato il testo dell'ordinanza.

Clienti aziendali invece di privati

La LPD non protegge i dati delle persone giuridiche (art. 1 LPD). Ma nome, e-mail e telefono del Suo interlocutore presso un cliente sono dati di una persona fisica: anche una PMI puramente B2B è coinvolta.

Trattamenti iniziati prima dell'1.9.2023

Protezione sin dalla progettazione, valutazione d'impatto e consultazione non si applicano ai trattamenti iniziati prima dell'entrata in vigore, se lo scopo è invariato e non si raccolgono nuovi dati (art. 69 LPD). Gli altri obblighi valgono subito.

Portatile perso con disco cifrato

Dati efficacemente cifrati restano illeggibili per chi trova l'apparecchio; l'IFPDT li considera anonimi, nessuna notifica (guida IFPDT). Dati solo pseudonimizzati restano dati personali. Documenti comunque l'incidente (art. 15 cpv. 4 OPDa).

Violazione presso il fornitore

Il responsabile del trattamento avvisa Lei, non l'IFPDT; Lei valuta il rischio e notifica (art. 24 cpv. 3 LPD). Esiga nel contratto un avviso senza indugio.

Azienda estera con clienti in Svizzera

Un titolare senza sede in Svizzera designa un rappresentante se vi offre beni o servizi e il trattamento è esteso, regolare e ad alto rischio; le condizioni sono cumulative (art. 14 LPD).

Consulente esterno

Uno studio legale o una società di consulenza può assumere la funzione (FAQ IFPDT), se è raggiungibile dalle persone interessate e dall'IFPDT e presenta all'occorrenza una procura (IFPDT). I criteri d'indipendenza valgono verso ogni mandante.

Cosa cambia per Lei

1. Questa settimana: verifichi l'effettivo al 1.1.2026 e le due eccezioni dell'art. 24 OPDa.
2. Entro un mese: elenchi i fornitori con accesso ai dati e il loro Paese; controlli l'allegato 1 e le certificazioni statunitensi.
3. Entro un mese: completi l'informativa sulla privacy (Stati, garanzie, decisioni automatizzate).
4. Entro tre mesi: fissi per iscritto diritti d'accesso, cifratura, backup e aggiornamenti (art. 3 OPDa).
5. Subito: designi chi valuta e notifica una violazione su DataBreach e chi risponde alle richieste d'accesso entro 30 giorni.
6. Prima di ogni nuovo tool: verifichi se serve una valutazione d'impatto, soprattutto per IA, videosorveglianza e selezione del personale.
7. Ogni 1° gennaio: controlli effettivo, registro e conservazione dei verbali. Numezis riunisce clienti, personale e documenti con diritti d'accesso e cronologia delle modifiche, il che facilita registro e risposte d'accesso.

Checklist: la protezione dei dati nelle PMI in dieci passi

1. Inventariare i dati. Clienti, fornitori, personale, candidati: scopo e luogo di conservazione (art. 6 LPD).
2. Verificare il registro. Effettivo al 1° gennaio e due eccezioni (art. 24 OPDa); se del caso, registro secondo l'art. 12 LPD.
3. Decidere sul consulente. Se prevede valutazioni d'impatto, nomini una persona indipendente, comunicata nel portale DPO (art. 10 cpv. 3 LPD).
4. Controllare i responsabili del trattamento. Per ogni fornitore: contratto, prova di sicurezza, subappaltatori (art. 9 LPD, art. 7 OPDa).
5. Chiarire i trasferimenti all'estero. Confrontare lo Stato con l'allegato 1, altrimenti clausole tipo (art. 16 LPD).
6. Aggiornare l'informativa sulla privacy. Indicazioni obbligatorie, Stati, garanzie, decisioni automatizzate (art. 19 e 21 LPD).
7. Fissare le misure di sicurezza. Diritti d'accesso, cifratura, backup, aggiornamenti, verbali (art. 3 OPDa).
8. Valutazione d'impatto per i nuovi progetti. Prima di ogni trattamento ad alto rischio (art. 22 LPD).
9. Gestire le violazioni. Segnalazione interna, rischio, notifica su DataBreach, documentazione per due anni (art. 15 OPDa).
10. Accesso e cancellazione. Risposta tipo entro 30 giorni, cancellazione a scopo raggiunto (art. 18 OPDa, art. 6 cpv. 4 LPD).

Errori frequenti

• Contare 72 ore. La LPD dice «quanto prima» (art. 24 LPD); tre giorni di indagini su un ransomware sono troppi, e l'IFPDT può ordinare la notifica (art. 51 cpv. 3 lett. f LPD).
• Nominare consulente il direttore. La direzione è incompatibile secondo l'IFPDT; la dispensa cade e l'IFPDT può ordinare la consultazione (art. 51 cpv. 3 lett. e LPD).
• Credere obbligatorio il consulente. I privati sono liberi (art. 10 LPD); investa piuttosto nella sicurezza, la cui violazione costa fino a CHF 250 000 (art. 61 lett. c LPD).
• Tool statunitense senza certificazione né clausole. Una comunicazione intenzionalmente illecita costa fino a CHF 250 000 (art. 61 lett. a LPD).
• Fornitore non verificato. Affidare dati senza verificarne la sicurezza espone a CHF 250 000 al massimo (art. 61 lett. b LPD).
• Informazioni incomplete. Un'informazione intenzionalmente incompleta è punibile fino a CHF 250 000 (art. 60 cpv. 1 lett. a LPD); anche la risposta negativa è dovuta.
• Credere che paghi l'azienda. È punita la persona responsabile; l'azienda solo per eccezione, fino a CHF 50 000 (art. 64 LPD).

Risposte dettagliate

• Una PMI deve nominare un consulente per la protezione dei dati? → /it/compliance/protezione-dei-dati/consulente-protezione-dati-obbligo
• Un'azienda con meno di 250 collaboratori deve tenere il registro delle attività di trattamento? → /it/compliance/protezione-dei-dati/registro-trattamento-obbligo-pmi
• Quando è obbligatoria la valutazione d'impatto sulla protezione dei dati? → /it/compliance/protezione-dei-dati/valutazione-impatto-obbligatoria
• Quando bisogna notificare all'IFPDT una violazione della sicurezza dei dati? → /it/compliance/protezione-dei-dati/notifica-violazione-dati-ifpdt
• Bisogna informare la persona di una decisione presa in modo automatizzato? → /it/compliance/protezione-dei-dati/decisione-individuale-automatizzata
• Che cosa significa protezione dei dati sin dalla progettazione e per impostazione predefinita? → /it/compliance/protezione-dei-dati/protezione-dati-progettazione-predefinita
• A quali condizioni si possono affidare dati personali a un responsabile del trattamento? → /it/compliance/protezione-dei-dati/affidare-dati-responsabile-trattamento
• A quali condizioni si possono trasferire dati personali all'estero? → /it/compliance/protezione-dei-dati/trasferimento-dati-estero-condizioni
• Chi viene multato in caso di violazione della nLPD: l'azienda o la persona responsabile? → /it/compliance/protezione-dei-dati/multa-azienda-o-persona
• Entro quale termine bisogna rispondere a una richiesta di accesso ai dati? → /it/compliance/protezione-dei-dati/termine-risposta-diritto-accesso

Fonti

1. Legge federale sulla protezione dei dati (LPD), RS 235.1, art. 1–33, 49–51, 60–66, 69, 74 — https://www.fedlex.admin.ch/eli/cc/2022/491/it (stato 7.7.2025).
2. Ordinanza sulla protezione dei dati (OPDa), RS 235.11, art. 1–5, 7–24, allegato 1 — https://www.fedlex.admin.ch/eli/cc/2022/568/it (stato 1.12.2025).
3. Codice delle obbligazioni (CO), RS 220, art. 958f — https://www.fedlex.admin.ch/eli/cc/27/317_321_377/it#art_958_f (stato 1.10.2026).
4. IFPDT, Guida sulla notifica delle violazioni della sicurezza dei dati (art. 24 LPD), versione 1.2 — https://www.edoeb.admin.ch/dam/it/sd-web/T64CAUyvAMcF/1_2%20Leitfaden%20des%20ED%C3%96B%20betreffend%20die%20Meldung%20von%20Datensicherheitsverletzungen%20und%20Information%20der%20Betroffenen%20nach%20Art.%2024%20DSG_IT.pdf (23.4.2025).
5. IFPDT, Consulenti per la protezione dei dati — https://www.edoeb.admin.ch/it/consulenti-per-la-protezione-dei-dati (2.11.2026).
6. IFPDT, FAQ protezione dei dati — https://www.edoeb.admin.ch/it/faq-protezione-dei-dati (2.11.2026).
7. IFPDT, portale di notifica DataBreach — https://www.edoeb.admin.ch/it/databreach-3 (2.11.2026).
8. IFPDT, portali di notifica (DataBreach, portale DPO) — https://www.edoeb.admin.ch/it/portali-notifica (2.11.2026).
9. SECO, Portale PMI, Protezione dei dati: cosa bisogna sapere — https://www.kmu.admin.ch/it/protezione-dei-dati-cosa-bisogna-sapere (2.11.2026).