Nuova legge UE sulla protezione dei dati: situazione legale per le aziende svizzere
Perché c'è una nuova legge europea sulla protezione dei dati?
MICHÈLE FORSTER Fin dagli albori dell'era digitale, l'attenzione per la protezione dei dati personali dei cittadini è aumentata. Chiunque navighi su Internet, comunichi sui social network o faccia acquisti online lascia automaticamente una traccia di dati. Molte aziende - soprattutto i giganti di Internet come Facebook, Google o Amazon - agiscono come raccoglitori attivi di dati per ottimizzare i propri modelli di business con informazioni sempre più dettagliate sui propri utenti e clienti. La nuova legge europea sulla protezione dei dati mira ad ampliare i diritti dei cittadini dell'UE di controllare i propri dati personali. I principali cambiamenti riguardano, ad esempio, il fatto che gli utenti di Internet potranno chiedere ai responsabili del trattamento di cancellare i loro dati personali e che potranno segnalare le violazioni della protezione dei dati all'autorità di protezione dei dati del Paese dell'UE in cui risiedono, anche se l'autore della violazione si trova al di fuori dell'UE. Per le aziende, ne consegue che devono affrontare nuove sfide per quanto riguarda la qualità, la complessità e la protezione dei dati personali. Come regola generale, la raccolta e il trattamento dei dati personali devono essere basati sui principi di liceità, limitazione delle finalità, accuratezza, limitazione dell'archiviazione e minimizzazione dei dati, nonché sul consenso, sull'integrità e sulla trasparenza. Gli interessati hanno pieno diritto di accesso ai propri dati, possono richiedere la limitazione o l'omissione del trattamento dei propri dati o il loro trasferimento a terzi. Inoltre, avranno il diritto legale di assicurarsi che le decisioni su questioni personali non siano basate sul trattamento automatizzato dei dati.
Quali aziende svizzere sono interessate dal GDPR?
MICHÈLE FORSTER La nuova legge europea sulla protezione dei dati ha effetto extraterritoriale nella misura in cui riguarda i dati dei cittadini dell'Unione europea. Si applica anche se il trattamento di questi dati da parte delle aziende stesse o di un incaricato del trattamento non avviene nell'UE ma, ad esempio, in Svizzera. Il GDPR si applica ai dati memorizzati ed elaborati per offrire prodotti e servizi ai clienti all'interno dell'UE o per monitorarli e analizzarne il comportamento d'acquisto, ad esempio. Di fatto, riguarda tutte le aziende svizzere che detengono dati di persone residenti nell'UE. Le dimensioni dell'azienda e l'esistenza di una filiale nell'UE sono irrilevanti. L'unico criterio per determinare se un'azienda deve rispettare il GDPR nella sua protezione dei dati è se vengono trattati dati personali di cittadini dell'UE. Si può trattare di dati di clienti, potenziali clienti, dipendenti e altri dati personali. Le differenziazioni in base alle dimensioni dell'azienda e quindi i vantaggi per le PMI riguardano solo disposizioni parziali, come la nomina di un responsabile interno per la protezione dei dati o l'adempimento di un obbligo di documentazione completa.Economiesuisse" afferma che la legge si applica anche alle aziende che utilizzano applicazioni digitali per esaminare il comportamento dei visitatori del loro sito web o degli utenti di app per smartphone. Inoltre, le automazioni delle newsletter e gli strumenti di comunicazione interattiva generano quasi automaticamente dati che provengono anche da clienti e visitatori internazionali del sito. Questo riguarda di gran lunga la maggior parte delle PMI svizzere e soprattutto le agenzie di marketing e comunicazione, che spesso detengono grandi archivi di dati di cittadini dell'UE.
Cosa devono fare le imprese svizzere alla luce della nuova situazione giuridica?
MICHÈLE FORSTER Ogni azienda svizzera dovrà chiarire nei prossimi mesi se è interessata dal GDPR. In caso affermativo, devono innanzitutto ottenere una panoramica di tutti i dati personali in loro possesso: Quali sono i dati in loro possesso? Come, dove, da chi e perché vengono raccolti e trattati? Inoltre, le misure di protezione dei dati esistenti e i processi corrispondenti devono essere documentati, verificati rispetto alle normative vigenti in materia di protezione dei dati e devono essere identificate le lacune nella loro conformità. Le seguenti procedure, che in futuro saranno richieste dalla legge, sono particolarmente importanti:Attuazione degli obblighi di informazione, ad esempio attraverso le dichiarazioni di protezione dei dati e l'ottenimento del consenso al trattamento dei dati.Esame delle basi contenutistiche, organizzative e tecniche del trattamento dei dati, attuazione di misure di protezione adeguate.Conclusione e adeguamento dei contratti con i trasformatori.Il GDPR stabilisce che in futuro gli incaricati del trattamento potranno operare solo su base contrattuale. Occorre verificare se possono fornire garanzie sufficienti per un trattamento dei dati personali conforme alla legge, ad esempio attraverso un sigillo di protezione dei dati o certificati analoghi.Stabilire processi interni per garantire i diritti degli interessati sui propri dati.Si tratta in particolare del diritto all'informazione, all'accesso, alla rettifica o alla cancellazione dei dati personali e del diritto di opporsi al trattamento dei dati personali.Implementazione di processi in caso di violazione della protezione dei dati.La nuova legge europea stabilisce che le violazioni della protezione dei dati devono essere segnalate all'autorità di vigilanza competente entro 72 ore. Se esiste un rischio elevato di violazioni della personalità attraverso l'uso e l'elaborazione dei dati, anche le persone interessate devono essere informate. Questo naturalmente aumenta anche il rischio di danni alla reputazione per le aziende. È opportuno includere il tema della protezione dei dati nella pianificazione della comunicazione di crisi delle aziende.Garantire la documentazione completa dell'elaborazione dei dati.Si tratta di un requisito obbligatorio ai sensi del GDPR per tutte le aziende con più di 250 dipendenti. Le aziende con meno di 250 dipendenti sono esenti da questo requisito se trattano dati personali solo occasionalmente, se non vi sono rischi particolari associati e se il trattamento non riguarda dati personali particolarmente sensibili, ad esempio quelli relativi alla salute.Nomina di un responsabile della protezione dei dati.In futuro, un responsabile della protezione dei dati dovrà essere attivo in tutte le aziende che detengono dati di cittadini dell'UE. Le aziende con più di 250 dipendenti sono obbligate a nominare un responsabile interno della protezione dei dati. Nelle aziende più piccole, anche un consulente esterno può assumere questo compito. Nei gruppi aziendali, un responsabile della protezione dei dati può occuparsi dell'intero gruppo di società.Nomina di un rappresentante nell'UE.Le aziende svizzere senza filiale nell'UE che offrono beni o servizi o effettuano un monitoraggio comportamentale in quel Paese devono nominare un rappresentante nell'UE. Le eccezioni a questa regola si applicano se il trattamento dei dati è solo occasionale, non comporta rischi particolari e non riguarda dati particolarmente sensibili.Esecuzione di una valutazione d'impatto sulla protezione dei dati (DPIA).Il DSFA è un nuovo strumento che diventerà legalmente vincolante con l'entrata in vigore della legge europea sulla protezione dei dati. Deve essere effettuata se vengono raccolti dati personali sensibili o se la raccolta e il trattamento dei dati servono a valutare la personalità, le capacità, le prestazioni e il comportamento delle persone. In questi casi, il responsabile della protezione dei dati deve esaminare i rischi particolari per i diritti e le libertà degli interessati ed esprimere un parere sulla legittimità del trattamento di tali dati. Per l'uso dei Big Data o per le attività di profilazione, un DPA è obbligatorio come controllo preventivo. Una DSFA comprende una descrizione sistematica delle procedure di trattamento dei dati previste, una valutazione della loro necessità e proporzionalità, nonché le misure adottate per evitare i rischi associati. A lungo termine, l'obiettivo è quello di garantire l'attuazione sostenibile delle misure e dei processi di protezione dei dati implementati, nonché di generare una consapevolezza generale sulle questioni relative alla protezione dei dati. A tal fine, nelle aziende devono essere nominate persone responsabili e, naturalmente, devono essere messe a disposizione risorse sufficienti.
Cosa devono considerare le agenzie di marketing e comunicazione?
MICHÈLE FORSTER Per la maggior parte dei fornitori di servizi di marketing e comunicazione, non vale la pena di sviluppare una propria infrastruttura per la gestione delle e-mail e dei lead. Di conseguenza, si affidano a fornitori terzi per la raccolta e l'elaborazione dei dati. In futuro, anche la compatibilità con il GDPR delle loro pratiche commerciali dovrà avere un ruolo nella loro selezione, in particolare la garanzia che siano soddisfatti diversi requisiti di sicurezza dei dati, tra cui i controlli di accesso, accesso e trasferimento, nonché i requisiti di separazione e l'uso esclusivo dei dati per scopi specifici. Anche per le agenzie di marketing e comunicazione, in futuro l'esternalizzazione del trattamento dei dati potrà avvenire solo su base contrattuale, utilizzando clausole contrattuali standard e con sufficienti garanzie di protezione dei dati da parte dell'appaltatore. I responsabili del trattamento possono trasferire tali attività a ulteriori fornitori di servizi - i cosiddetti sub-accessori - solo se hanno il consenso scritto del responsabile dell'azienda committente.I fornitori di servizi di marketing e comunicazione devono inoltre osservare gli ulteriori requisiti della nuova legge europea sulla protezione dei dati per la pianificazione e la progettazione di campagne individuali. Per gli invii promozionali, le newsletter o le campagne nurture, sono indispensabili un'impronta, un'informativa sulla protezione dei dati e un'opzione di revoca, ad esempio tramite un link di annullamento dell'iscrizione. Per un contatto pubblicitario, le aziende hanno sempre bisogno di una prova del consenso attivo, esplicito, consapevole e volontario del destinatario. Michèle Forster raccomanda alle agenzie di utilizzare sempre una procedura di double opt-in per garantire tale consenso. Inoltre, le aziende devono informare i propri clienti e contatti pubblicitari in modo completo e comprensibile su tutti gli aspetti della raccolta e del trattamento dei loro dati.
Quali sono le sanzioni per le violazioni della normativa UE sulla protezione dei dati?
MICHÈLE FORSTER Le aziende che non si adeguano ai requisiti della nuova legge europea sulla protezione dei dati dovranno affrontare sanzioni severe a partire dal 25 maggio 2018. Secondo Michèle Forster, le violazioni del GDPR saranno sanzionate con una multa fino al quattro per cento del fatturato annuo fino a un massimo di 20 milioni di euro.Come conclusione: a prima vista, le aziende svizzere dovranno affrontare cambiamenti onerosi a causa dell'attuazione della legge europea sulla protezione dei dati, ma in pratica le conseguenze per le PMI e anche per le agenzie di marketing e comunicazione dovrebbero essere gestibili. Si può presumere che la maggior parte delle aziende disponga già delle basi per gestire i dati personali in conformità con il GDPR. Non a caso, già nel 2016 la Commissione UE ha certificato alla Svizzera che la sua legislazione sulla protezione dei dati e il suo livello di protezione dei dati corrispondono alle norme del diritto dell'UE, in modo che non vi siano ostacoli legali allo scambio di dati. Inoltre, le PMI possono usufruire di agevolazioni per quanto riguarda la documentazione del trattamento dei dati, la nomina di un responsabile della protezione dei dati o di un rappresentante dell'UE.
*Questo articolo è stato pubblicato dal campagna d'affari GmbH fornito.
