Privacy by design, privacy by default: dal 1 settembre 2023 cambiano le regole per la gestione e la protezione dei dati personali

Importanti novità sono state introdotte dalla nuova Legge federale sulla protezione dei dati (LPD). Al fine di rispondere al meglio a quanto richiesto dal Legislatore, occorre prendere in considerazione diversi aspetti. Di principale importanza risulta essere senza dubbio il richiamo all’articolo 7, ovvero il cosiddetto approccio basato sulla progettazione dei processi di gestione dei dati (privacy by design, privacy by default).

 

Articolo 7 LPD

Nello specifico l’articolo 7 prevede come “Il titolare del trattamento è tenuto ad adottare i provvedimenti tecnici e organizzativi necessari affinché́ il trattamento dei dati personali sia conforme alle disposizioni sulla protezione dei dati”. Nello specifico quindi viene introdotto il principio secondo cui la protezione dei dati debba essere progettata, così come è progettato l’intero ciclo di vita dei processi aziendali e della tecnologia utilizzata per il loro trattamento. Nello specifico la progettazione deve contenere aspetti quali:

• il trattamento dei dati, nella misura strettamente necessaria;
• le finalità previste.

Continua, il secondo capoverso dell’articolo 7 con: “I provvedimenti tecnici e organizzativi devono essere adeguati in particolare allo stato della tecnica, al tipo e all’entità̀ del trattamento dei dati personali come pure ai rischi derivanti dal trattamento per la personalità̀ o i diritti fondamentali delle persone interessate”.

 

Principi Generali LPD

Dunque, la progettazione della “privacy” diventa elemento essenziale dell’approccio alla nuova norma. Da questa attività consegue poi l’assolvimento degli altri punti essenziali della nuova disciplina quali:

• nuovi diritti per gli interessati al trattamento dei dati (Articolo 4);
• introduzione del concetto di accountability “rendere conto” (Articolo 8), ovvero dimostrare di aver fatto il possibile per gestire al meglio del rispetto della normativa;
• approccio basato sull’analisi del rischio (Articolo 20).

Il tutto genera obblighi ai quali chi si occupa di gestire i dati deve conformarsi. Tale esigenza può essere riassunta con i seguenti punti:

1. organizzare un insieme di trattamento dati e loro protezione in modo documentato;
2. ogni dato deve essere protetto da minacce sia interne al titolare che esterne;
3. utilizzare i dati in modo lecito (secondo gli scopi richiesti per l’acquisizione del dato);
4. informare l’interessato e in alcuni casi chiedere il relativo consenso al trattamento;

Gestire dati diventa sempre più complesso ed articolato: AFG&partners è a vostra disposizione nell’accompagnarvi in questo percorso di aggiornamento.

 

Per informazioni, contattateci direttamente allo 091 840 92 50, oppure scrivete a info@afgpartners.ch