Nuova Legge federale sulla protezione dei dati personali LPD: dal 1° settembre nuove regole per chi tratta dati di persone fisiche

La nuova legge Federale sulla protezione dei dati LPD ha lo scopo di proteggere la personalità e i diritti fondamentali delle persone fisiche. Rispetto alla precedente versione del 1992, norma che principalmente verteva su una generale attenzione alla “riservatezza” soprattutto per collezioni di dati importanti; la nuova disciplina, grazie a scenari diversi (uno su tutti la digitalizzazione), ha rivisto in modo integrale le regole di gestione, definendo altresì un limite ai soli dati di persone fisiche (così come il “gemello” Regolamento europeo per la gestione dei dati: GDPR).

Riguardo alla nuova disciplina, di principale importanza risulta essere senza dubbio il richiamo all’articolo 7, ovvero il cosiddetto approccio basato sulla progettazione dei processi di gestione dati (privacy by design, privacy by default). In sostanza le misure messe in atto dal titolare o responsabile, dovranno in termini generali garantire la sicurezza dei dati, contro violazioni di ogni natura. Nello specifico devono essere adeguate allo stato della tecnica (con particolare riferimento alla sicurezza informatica) e adeguate al tipo di trattamento di dati (con particolare attenzione ai dati di natura particolari/sensibili). Questa attività deve essere progettata all’inizio del trattamento.

Più in generale i nuovi obblighi (e doveri) per i titolari possiamo riassumerli, come di seguito riportato:

informare la persona interessata al trattamento (mediante informativa – Art. 19);
condurre una valutazione di impatto (Art. 22) se un trattamento dovesse presentare alti rischi per la personalità̀ o i diritti fondamentali della persona interessata;
consultare Incaricato federale (Art. 23) se dalla valutazione d’impatto sulla protezione dei dati dovesse emergere che, nonostante i provvedimenti previsti dal titolare, il trattamento previsto comporta un rischio elevato per la personalità̀ o i diritti fondamentali della persona interessata;
Notificare l’IFPDT in caso di Data Breach ;
Provvedimenti tecnico/organizzativi (misure ci cui all’Art. 8 e richiamate nel Art. 7 in fase di progettazione).