In Svizzera un'azienda è obbligata ad avere un'informativa sulla privacy?
In linea di principio sì: la LPD impone al titolare del trattamento di informare in modo adeguato la persona interessata sulla raccolta di dati personali, anche quando i dati non sono raccolti presso di lei. La legge indica inoltre quali informazioni minime devono essere fornite e quando.
In Svizzera l’obbligo legale descritto non è formulato come dovere di pubblicare un documento con un nome specifico, ma come obbligo di informare la persona interessata sulla raccolta di dati personali. Il titolare del trattamento deve informare in modo adeguato sulla raccolta dei dati personali, e questo vale anche se i dati non sono raccolti presso la persona interessata. Al momento della raccolta devono essere fornite le informazioni necessarie affinché la persona possa far valere i propri diritti secondo la legge e affinché il trattamento sia trasparente. In pratica, quindi, un’azienda che raccoglie dati personali deve verificare di comunicare almeno le informazioni richieste dalla legge in modo adeguato e tempestivo.[1]
- Le informazioni minime da fornire comprendono almeno: l’identità e i dati di contatto del titolare del trattamento.
- Occorre indicare anche lo scopo del trattamento.
- Se del caso, vanno indicati i destinatari o le categorie di destinatari cui sono comunicati dati personali.
- Se i dati personali non sono raccolti presso la persona interessata, bisogna informarla inoltre sulle categorie di dati personali trattati.
- Se i dati personali sono comunicati all’estero, bisogna informare sullo Stato o sull’organismo internazionale destinatario e, se del caso, sulle garanzie di cui all’articolo 16 capoverso 2, oppure sull’applicazione di un’eccezione secondo l’articolo 17.
Quando i dati personali non sono raccolti presso la persona interessata, la legge disciplina anche il momento dell’informazione. Le informazioni previste devono essere fornite entro un mese dalla ricezione dei dati. Se però questi dati personali sono comunicati prima della scadenza di detto termine, le informazioni devono essere fornite al più tardi al momento della comunicazione dei dati. Per capire se l’obbligo è rispettato, conviene quindi controllare non solo il contenuto dell’informazione, ma anche da dove provengono i dati e se vi sia una comunicazione all’estero o a destinatari terzi.[1]
Questa risposta riassume il testo legale citato come pubblicato su Fedlex. Prima di agire, occorre verificare la disposizione attualmente in vigore e ogni successiva modifica.[1]