Protezione dei dati

Informazione, sicurezza, responsabili del trattamento e violazioni dei dati: ciò che la nLPD esige da una PMI svizzera.

I trattamenti di dati avviati prima della nuova legge sulla protezione dei dati vanno adeguati?
Non in ogni caso. La legge prevede che gli articoli 7, 22 e 23 non si applicano ai trattamenti di dati avviati prima dell’entrata in vigore della legge, sempreché lo scopo del trattamento resti immutato e non siano raccolti nuovi dati.
Leggi la risposta corredata da fonti
Per quanto tempo un'azienda può conservare i dati personali di clienti e dipendenti?
Un’azienda può conservare i dati personali finché sono necessari per lo scopo del trattamento. Appena non sono più necessari, i dati personali sono distrutti o resi anonimi. La conservazione deve inoltre rispettare liceità, buona fede e proporzionalità.
Leggi la risposta corredata da fonti
Si possono trasferire dati in un Paese senza protezione adeguata con il consenso della persona?
Sì. La legge federale sulla protezione dei dati (LPD) prevede che, in deroga all’articolo 16 capoversi 1 e 2, dati personali possono essere comunicati all’estero se la persona interessata ha dato il suo espresso consenso alla comunicazione.
Leggi la risposta corredata da fonti
Quale multa per sicurezza dei dati insufficiente o trasferimenti all'estero non conformi?
La Legge federale sulla protezione dei dati prevede, a querela di parte, una multa fino a 250 000 franchi per privati che intenzionalmente violano obblighi di diligenza, tra cui il mancato rispetto dei requisiti minimi di sicurezza dei dati e la comunicazione di dati personali all’estero senza le condizioni richieste.
Leggi la risposta corredata da fonti
Che cosa deve contenere il registro delle attività di trattamento?
La Legge federale sulla protezione dei dati (LPD) prevede che ciascun titolare e ciascun responsabile del trattamento tenga un registro delle rispettive attività di trattamento. Il contenuto minimo varia secondo il ruolo e comprende, in particolare, identità, finalità o categorie di trattamenti, categorie di persone e dati, destinatari e, se possibile, durata di conservazione e misure di sicurezza; in caso di comunicazione all’estero, anche lo Stato destinatario e le garanzie richieste.
Leggi la risposta corredata da fonti
Quali informazioni deve contenere la notifica di una violazione dei dati all'IFPDT?
La notifica all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) deve riportare il tipo di violazione, il momento e la durata se possibile, le categorie e il numero approssimativo dei dati e delle persone interessate se possibile, le conseguenze e gli eventuali rischi, le misure adottate o previste e i nomi e dati di una persona di contatto. Se non tutte le informazioni sono disponibili subito, quelle mancanti devono essere fornite quanto prima.
Leggi la risposta corredata da fonti
Il datore di lavoro può installare telecamere di videosorveglianza sul posto di lavoro?
L’Ordinanza 3 concernente la legge sul lavoro (OLL 3) stabilisce che non è ammessa l’applicazione di sistemi di sorveglianza e di controllo del comportamento dei lavoratori sul posto di lavoro. Se sistemi di sorveglianza o di controllo sono necessari per altre ragioni, devono essere concepiti e disposti in modo da non pregiudicare la salute e la libertà di movimento dei lavoratori.
Leggi la risposta corredata da fonti
Come deve essere presentata l'informativa sulla privacy?
Il titolare del trattamento comunica alla persona interessata le informazioni sull’ottenimento di dati personali in forma precisa, trasparente, comprensibile e facilmente accessibile.
Leggi la risposta corredata da fonti
La nLPD protegge anche i dati relativi ad aziende e persone giuridiche?
La Legge federale sulla protezione dei dati stabilisce che il suo scopo è proteggere la personalità e i diritti fondamentali delle persone fisiche i cui dati personali sono oggetto di trattamento. La protezione enunciata dalla legge è quindi riferita alle persone fisiche e ai loro dati personali.
Leggi la risposta corredata da fonti
Che cosa si intende per violazione della sicurezza dei dati in Svizzera?
In Svizzera, la legge federale sulla protezione dei dati definisce la violazione della sicurezza dei dati come una violazione della sicurezza in seguito alla quale, in modo accidentale o illecito, dati personali vengono persi, cancellati, distrutti, modificati oppure divulgati o resi accessibili a persone non autorizzate.
Leggi la risposta corredata da fonti
Un'azienda con meno di 250 collaboratori deve tenere il registro delle attività di trattamento?
In linea di principio no. Le imprese e le altre organizzazioni di diritto privato che al 1° gennaio di un anno impiegano meno di 250 collaboratori sono esentate dall’obbligo di tenere un registro delle attività di trattamento. L’esenzione non vale se è adempiuta una delle condizioni previste dalla legge.
Leggi la risposta corredata da fonti
Un'azienda può chiedere un contributo alle spese per una richiesta di accesso?
Sì. Se la comunicazione delle informazioni comporta un onere sproporzionato, il titolare del trattamento può richiedere alla persona interessata un’adeguata partecipazione alle spese, fino a un massimo di 300 franchi, con informazione preventiva sull’importo richiesto.
Leggi la risposta corredata da fonti
Una persona può esigere che i suoi dati personali siano rettificati o cancellati?
Sì. La persona interessata può esigere la rettifica dei dati personali inesatti. Può anche chiedere, nell’ambito delle azioni concernenti la protezione della personalità, che determinati dati personali siano cancellati o distrutti. La rettifica non vale però se una disposizione legale vieta la modifica oppure se i dati personali sono trattati a scopo di archiviazione nell’interesse pubblico.
Leggi la risposta corredata da fonti
Che cosa sono i dati personali secondo il diritto svizzero?
Secondo la LPD, i dati personali sono tutte le informazioni concernenti una persona fisica identificata o identificabile. La legge distingue inoltre alcune categorie di dati personali degni di particolare protezione e definisce in modo ampio che cosa costituisce trattamento di tali dati.
Leggi la risposta corredata da fonti
Quali dati personali sono considerati degni di particolare protezione in Svizzera?
In Svizzera, la LPD considera degni di particolare protezione i dati su opinioni o attività religiose, filosofiche, politiche o sindacali; salute, sfera intima, razza o etnia; dati genetici; dati biometrici che identificano in modo univoco una persona fisica; dati su perseguimenti e sanzioni amministrativi e penali; e dati sulle misure d’assistenza sociale.
Leggi la risposta corredata da fonti
Che differenza c'è tra titolare e responsabile del trattamento?
Il titolare del trattamento è il privato o l’organo federale che, singolarmente o insieme ad altri, determina lo scopo e i mezzi del trattamento. Il responsabile del trattamento, invece, è il privato o l’organo federale che tratta dati personali per conto del titolare del trattamento. La differenza centrale sta quindi nel potere decisionale su finalità e mezzi, rispetto all’attività svolta per conto altrui.
Leggi la risposta corredata da fonti
In Svizzera serve sempre il consenso della persona per trattare i suoi dati?
No. Secondo l’art. 31 LPD, una lesione della personalità è illecita se non è giustificata dal consenso della persona interessata, da un interesse preponderante privato o pubblico oppure dalla legge. Il consenso quindi non è l’unica base di giustificazione prevista.
Leggi la risposta corredata da fonti
Quando il consenso al trattamento dei dati deve essere esplicito?
Il consenso deve essere esplicito nei casi indicati dalla LPD: per il trattamento di dati personali degni di particolare protezione, per la profilazione a rischio elevato da parte di privati e per la profilazione da parte di un organo federale. Inoltre, quando il consenso è una condizione necessaria del trattamento, è valido solo se, dopo debita informazione, è dato liberamente e riferito a uno o più trattamenti specifici.
Leggi la risposta corredata da fonti
Quali risorse deve garantire l'azienda al consulente per la protezione dei dati?
L'azienda, in quanto titolare del trattamento, deve mettere a disposizione del consulente per la protezione dei dati le risorse necessarie. Deve inoltre garantirgli accesso alle informazioni e ai documenti necessari, compreso il registro delle attività di trattamento e i dati personali utili ai suoi compiti, nonché il diritto di informare i massimi organi dirigenti o amministrativi in casi importanti.
Leggi la risposta corredata da fonti
In Svizzera un'azienda è obbligata ad avere un'informativa sulla privacy?
In linea di principio sì: la LPD impone al titolare del trattamento di informare in modo adeguato la persona interessata sulla raccolta di dati personali, anche quando i dati non sono raccolti presso di lei. La legge indica inoltre quali informazioni minime devono essere fornite e quando.
Leggi la risposta corredata da fonti
Che cosa deve contenere l'informativa sulla privacy?
Deve informare in modo adeguato sulla raccolta di dati personali e includere almeno l’identità e i dati di contatto del titolare del trattamento, lo scopo del trattamento e, se del caso, i destinatari o le categorie di destinatari. In alcune situazioni devono aggiungersi anche categorie di dati trattati e informazioni su comunicazioni all’estero.
Leggi la risposta corredata da fonti
Bisogna informare la persona di una decisione presa in modo automatizzato?
Sì, in linea di principio il titolare del trattamento deve informare la persona interessata di ogni decisione basata esclusivamente su un trattamento automatizzato di dati personali che produca effetti giuridici o conseguenze significative. La legge prevede però eccezioni precise e, su richiesta, ulteriori garanzie per la persona interessata.
Leggi la risposta corredata da fonti
Quali informazioni deve fornire un'azienda a chi esercita il diritto d'accesso?
Deve fornire le informazioni necessarie perché la persona interessata possa far valere i propri diritti e perché il trattamento sia trasparente. In ogni caso rientrano almeno identità e contatti del titolare, dati trattati, scopo, durata di conservazione o criteri, provenienza dei dati non raccolti presso l'interessato, eventuale decisione individuale automatizzata con la relativa logica, ed eventuali destinatari o categorie di destinatari con le informazioni richiamate dalla legge.
Leggi la risposta corredata da fonti
Quali provvedimenti può ordinare l'IFPDT in caso di violazione della protezione dei dati?
In caso di violazione delle disposizioni sulla protezione dei dati, l’IFPDT può ordinare di adeguare, sospendere o cessare il trattamento, nonché di cancellare o distruggere dati personali. Può anche sospendere o vietare comunicazioni di dati personali all’estero contrarie alle condizioni legali e imporre specifici adempimenti; se la situazione viene corretta durante l’inchiesta, può limitarsi a un ammonimento.
Leggi la risposta corredata da fonti
La legge svizzera sulla protezione dei dati si applica anche alla mia azienda?
In linea di principio sì, se la tua attività comporta il trattamento di dati personali concernenti persone fisiche da parte di privati. La legge prevede però esclusioni precise e, per alcuni ambiti come procedimenti giudiziari o registri pubblici relativi a rapporti di diritto privato, rinvia ad altre norme applicabili.
Leggi la risposta corredata da fonti
Quali principi deve rispettare un'azienda quando tratta dati personali?
Un’azienda deve trattare i dati personali in modo lecito, secondo buona fede e proporzionalità, per uno scopo determinato e riconoscibile, verificandone l’esattezza e cancellandoli, distruggendoli o rendendoli anonimi quando non sono più necessari. Se il trattamento richiede il consenso, questo deve essere debitamente informato, libero e riferito a uno o più trattamenti specifici; in alcuni casi è richiesto l’espresso consenso.
Leggi la risposta corredata da fonti
Che cosa significa protezione dei dati sin dalla progettazione e per impostazione predefinita?
Significa che il titolare del trattamento deve integrare fin dall’inizio provvedimenti tecnici e organizzativi necessari perché il trattamento rispetti le disposizioni sulla protezione dei dati e, con impostazioni predefinite appropriate, limitarlo al minimo indispensabile per lo scopo perseguito, salvo diversa scelta della persona interessata.
Leggi la risposta corredata da fonti
La mia azienda è obbligata a garantire la sicurezza dei dati personali che tratta?
Sì. Il titolare e il responsabile del trattamento devono garantire, con appropriati provvedimenti tecnici e organizzativi, che la sicurezza dei dati personali sia adeguata al rischio e che i provvedimenti permettano di evitare violazioni della sicurezza dei dati.
Leggi la risposta corredata da fonti
Quali misure tecniche e organizzative servono per proteggere i dati personali?
Servono provvedimenti adeguati adottati dal titolare del trattamento e dal responsabile del trattamento per garantire confidenzialità, disponibilità, integrità e tracciabilità dei dati personali. In pratica, occorre limitare gli accessi, proteggere locali, sistemi, supporti e comunicazioni, assicurare il ripristino e mantenere aggiornato il livello di sicurezza dei sistemi e delle applicazioni.
Leggi la risposta corredata da fonti
Quando un'azienda deve redigere un regolamento sul trattamento dei dati?
Un’azienda deve stabilire un regolamento per i trattamenti automatizzati quando, come titolare privato del trattamento o responsabile privato, tratta su grande scala dati personali degni di particolare protezione oppure esegue una profilazione a rischio elevato. Il regolamento va anche aggiornato periodicamente e, se esiste un consulente per la protezione dei dati, deve essergli messo a disposizione.
Leggi la risposta corredata da fonti
A quali condizioni si possono affidare dati personali a un responsabile del trattamento?
I dati personali possono essere affidati a un responsabile del trattamento per contratto o per legge se il responsabile effettua soltanto trattamenti che il titolare avrebbe il diritto di effettuare e se nessun obbligo legale o contrattuale di serbare il segreto lo vieta. Inoltre, il titolare deve assicurare in particolare che il responsabile sia in grado di garantire la sicurezza dei dati.
Leggi la risposta corredata da fonti
Entro quando informare una persona i cui dati sono stati ottenuti da terzi?
Se i dati personali non sono raccolti presso la persona interessata, le informazioni richieste devono essere fornite entro un mese dalla ricezione dei dati. Se però i dati vengono comunicati prima della scadenza di tale termine, l’informazione deve essere data al più tardi al momento della comunicazione dei dati.
Leggi la risposta corredata da fonti
Quando è obbligatoria la valutazione d'impatto sulla protezione dei dati?
È obbligatoria prima del trattamento quando il trattamento di dati personali può comportare un rischio elevato per la personalità o i diritti fondamentali della persona interessata. Il rischio elevato dipende dal tipo, dall’entità, dalle circostanze e dallo scopo del trattamento e sussiste segnatamente nei casi indicati dalla legge.
Leggi la risposta corredata da fonti
Che cosa deve contenere la valutazione d'impatto sulla protezione dei dati?
Deve contenere tre elementi: una descrizione del trattamento previsto, una valutazione dei rischi per la personalità o per i diritti fondamentali della persona interessata e i provvedimenti a loro tutela. L’obbligo nasce quando il trattamento può comportare un rischio elevato; in alcuni casi la legge prevede esenzioni o la possibilità di rinunciarvi.
Leggi la risposta corredata da fonti
Quando bisogna consultare l'IFPDT prima di avviare un trattamento di dati?
Bisogna chiedere previamente il parere dell’IFPDT quando dalla valutazione d’impatto sulla protezione dei dati risulta che, nonostante i provvedimenti previsti dal titolare, il trattamento previsto comporta un rischio elevato per la personalità o i diritti fondamentali della persona interessata. Per il titolare privato esiste però una possibilità di rinuncia se ha consultato il consulente per la protezione dei dati ai sensi dell’articolo 10.
Leggi la risposta corredata da fonti
Quando bisogna notificare all'IFPDT una violazione della sicurezza dei dati?
La notifica all’IFPDT va fatta quanto prima quando una violazione della sicurezza dei dati comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata. Il responsabile del trattamento deve informare quanto prima il titolare del trattamento di ogni violazione.
Leggi la risposta corredata da fonti
In caso di violazione dei dati bisogna informare le persone interessate?
Non sempre. Il titolare del trattamento informa la persona interessata sulla violazione della sicurezza dei dati se ciò è necessario per proteggerla o se lo esige l’IFPDT. La legge prevede però anche casi in cui l’informazione può essere limitata, differita o omessa.
Leggi la risposta corredata da fonti
Chi deve notificare una violazione dei dati avvenuta presso il responsabile del trattamento?
La notifica all’IFPDT spetta al titolare del trattamento, non al responsabile del trattamento. Se la violazione avviene presso il responsabile, quest’ultimo deve informare quanto prima il titolare del trattamento; poi è il titolare a notificare all’IFPDT la violazione che comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata.
Leggi la risposta corredata da fonti
In che forma va presentata una richiesta di accesso ai propri dati?
La richiesta va presentata per scritto al titolare del trattamento. Può essere fatta anche oralmente solo se il titolare del trattamento è d’accordo. Le informazioni possono inoltre essere domandate e comunicate per via elettronica e devono essere fornite in una forma comprensibile; il titolare del trattamento deve adottare misure adeguate per identificare la persona interessata, che ha l’obbligo di collaborare.
Leggi la risposta corredata da fonti
Quando si può rifiutare o limitare una richiesta di accesso ai dati?
Il titolare del trattamento può rifiutare, limitare o differire l’informazione solo nei casi indicati dalla LPD: se lo prevede una legge in senso formale, se vi sono interessi preponderanti di terzi, se la domanda è manifestamente infondata o querulosa, e in ulteriori casi specifici per privati e organi federali. Deve inoltre indicare il motivo del rifiuto, della limitazione o del differimento.
Leggi la risposta corredata da fonti
Una persona può chiedere di ricevere i propri dati in un formato elettronico?
Sì, in determinate condizioni. Si può esigere la consegna dei dati personali comunicati al titolare del trattamento in un formato elettronico usuale se il trattamento è automatizzato e avviene con il consenso della persona interessata oppure in relazione diretta con la conclusione o l’esecuzione di un contratto. Può anche essere chiesta la trasmissione a un altro titolare, se ricorrono le stesse condizioni e senza onere sproporzionato.
Leggi la risposta corredata da fonti
Quando l'IFPDT può aprire un'inchiesta nei confronti di un'azienda?
L’IFPDT può aprire, d’ufficio o su denuncia, un’inchiesta nei confronti di un privato quando vi sono indizi sufficienti per presumere che un trattamento di dati potrebbe violare le disposizioni sulla protezione dei dati. Può però rinunciare se la violazione è di poca importanza.
Leggi la risposta corredata da fonti
Chi viene multato in caso di violazione della nLPD: l'azienda o la persona responsabile?
In linea di principio, per le infrazioni commesse nell’azienda si applicano gli articoli 6 e 7 DPA. La multa può quindi riguardare le persone punibili secondo l’articolo 6 DPA; tuttavia, se la multa applicabile non supera i 50 000 franchi e l’accertamento di tali persone richiede provvedimenti d’inchiesta sproporzionati, l’autorità può condannare al pagamento della multa l’azienda in loro vece.
Leggi la risposta corredata da fonti

La Sua domanda non è nell’elenco?

La ponga all’agente: una risposta con fonti, basata sugli stessi testi ufficiali.

Prova una domanda

Ogni risposta cita fonti ufficiali svizzere, datate e consultabili.

Un account gratuito per ottenere una risposta adatta alla Sua situazione.

Consultazione senza rischi: l’agente risponde e cita le fonti, senza mai toccare i Suoi dati.

Protezione dei dati

I trattamenti di dati avviati prima della nuova legge sulla protezione dei dati vanno adeguati?

Per quanto tempo un'azienda può conservare i dati personali di clienti e dipendenti?

Si possono trasferire dati in un Paese senza protezione adeguata con il consenso della persona?

Quale multa per sicurezza dei dati insufficiente o trasferimenti all'estero non conformi?

Che cosa deve contenere il registro delle attività di trattamento?

Quali informazioni deve contenere la notifica di una violazione dei dati all'IFPDT?

Il datore di lavoro può installare telecamere di videosorveglianza sul posto di lavoro?

Come deve essere presentata l'informativa sulla privacy?

La nLPD protegge anche i dati relativi ad aziende e persone giuridiche?

Che cosa si intende per violazione della sicurezza dei dati in Svizzera?

Un'azienda con meno di 250 collaboratori deve tenere il registro delle attività di trattamento?

Un'azienda può chiedere un contributo alle spese per una richiesta di accesso?

Una persona può esigere che i suoi dati personali siano rettificati o cancellati?

Che cosa sono i dati personali secondo il diritto svizzero?

Quali dati personali sono considerati degni di particolare protezione in Svizzera?

Che differenza c'è tra titolare e responsabile del trattamento?

In Svizzera serve sempre il consenso della persona per trattare i suoi dati?

Quando il consenso al trattamento dei dati deve essere esplicito?

Quali risorse deve garantire l'azienda al consulente per la protezione dei dati?

In Svizzera un'azienda è obbligata ad avere un'informativa sulla privacy?

Che cosa deve contenere l'informativa sulla privacy?

Bisogna informare la persona di una decisione presa in modo automatizzato?

Quali informazioni deve fornire un'azienda a chi esercita il diritto d'accesso?

Quali provvedimenti può ordinare l'IFPDT in caso di violazione della protezione dei dati?

La legge svizzera sulla protezione dei dati si applica anche alla mia azienda?

Quali principi deve rispettare un'azienda quando tratta dati personali?

Che cosa significa protezione dei dati sin dalla progettazione e per impostazione predefinita?

La mia azienda è obbligata a garantire la sicurezza dei dati personali che tratta?

Quali misure tecniche e organizzative servono per proteggere i dati personali?

Quando un'azienda deve redigere un regolamento sul trattamento dei dati?

A quali condizioni si possono affidare dati personali a un responsabile del trattamento?

Entro quando informare una persona i cui dati sono stati ottenuti da terzi?

Quando è obbligatoria la valutazione d'impatto sulla protezione dei dati?

Che cosa deve contenere la valutazione d'impatto sulla protezione dei dati?

Quando bisogna consultare l'IFPDT prima di avviare un trattamento di dati?

Quando bisogna notificare all'IFPDT una violazione della sicurezza dei dati?

In caso di violazione dei dati bisogna informare le persone interessate?

Chi deve notificare una violazione dei dati avvenuta presso il responsabile del trattamento?

In che forma va presentata una richiesta di accesso ai propri dati?

Quando si può rifiutare o limitare una richiesta di accesso ai dati?

Una persona può chiedere di ricevere i propri dati in un formato elettronico?

Quando l'IFPDT può aprire un'inchiesta nei confronti di un'azienda?

Chi viene multato in caso di violazione della nLPD: l'azienda o la persona responsabile?

La Sua domanda non è nell’elenco?