Protezione dei dati nell'outsourcing: le basi della nLPD svizzera per le PMI
Affida lavoro a un assistente all'estero? Le basi della nLPD per le PMI: trasferimenti all'estero, contratti di trattamento, sicurezza e obblighi in caso di violazioni.
Delegare lavoro a un assistente da remoto significa spesso condividere dati personali: e-mail dei clienti, elenchi di contatti, fatture, dati dei dipendenti. In Svizzera questi dati sono protetti dalla legge federale sulla protezione dei dati riveduta, nota come nLPD (o revDSG in tedesco), entrata in vigore il 1° settembre 2023. Se il Suo assistente si trova all’estero, si applicano regole aggiuntive. Questo articolo offre alle PMI una panoramica pratica degli aspetti da considerare prima e durante l’outsourcing.
Nota: questo articolo fornisce informazioni generali e non costituisce una consulenza legale. I requisiti in materia di protezione dei dati dipendono dalla Sua situazione specifica. Si rivolga a un avvocato svizzero qualificato o a uno specialista della protezione dei dati prima di prendere decisioni sui Suoi obblighi.
Che cosa disciplina la nLPD
La nLPD si applica al trattamento di dati personali riguardanti persone fisiche da parte di aziende private e organi federali. Il «trattamento» è inteso in senso ampio: raccogliere, conservare, utilizzare, comunicare o cancellare dati rientrano tutti in questa nozione. L’autorità di vigilanza è l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT, o EDÖB in tedesco).
Per una PMI ciò comprende di norma i dati di clienti, potenziali clienti, persone di contatto dei fornitori e dipendenti.
I ruoli di titolare e responsabile del trattamento
Quando esternalizza un’attività che comporta dati personali, la Sua azienda resta di solito il titolare del trattamento: è Lei a decidere perché e come i dati vengono trattati. Il fornitore del servizio agisce generalmente come responsabile del trattamento, trattando i dati per Suo conto e secondo le Sue istruzioni.
Secondo la nLPD, può affidare il trattamento a un responsabile se, in linea di massima:
- Il responsabile tratta i dati soltanto nel modo in cui sarebbe autorizzato a farlo Lei stesso
- Nessun obbligo legale o contrattuale di riservatezza lo vieta
- Lei si assicura che il responsabile sia in grado di garantire la sicurezza dei dati
Contratti per il trattamento dei dati
Un contratto scritto per il trattamento dei dati (DPA) è il modo usuale per documentare questo rapporto. Di norma definisce l’ambito e lo scopo del trattamento, le categorie di dati coinvolti, le misure di sicurezza, la riservatezza, il ricorso a subresponsabili e ciò che accade ai dati alla fine del contratto. Gli NDA sono utili, ma in genere non sostituiscono un DPA.
Comunicazione all’estero
È la questione centrale quando il Suo assistente lavora da un altro Paese. La nLPD consente di comunicare liberamente dati personali all’estero solo se il Consiglio federale svizzero ha stabilito che il Paese di destinazione offre una protezione adeguata. Il Consiglio federale tiene un elenco di questi Paesi.
Le Filippine, al momento della redazione, non figurano in tale elenco. La comunicazione verso Paesi senza una protezione adeguata richiede generalmente garanzie appropriate. Un’opzione comune consiste nell’utilizzare clausole contrattuali tipo riconosciute dall’IFPDT, spesso basate sulle clausole contrattuali tipo dell’UE con adattamenti specifici per la Svizzera. Esistono altri meccanismi ed eccezioni limitate, ma vanno valutati con una consulenza professionale.
Da notare: dare a un assistente da remoto l’accesso a dati conservati su server in Svizzera o nell’UE può comunque costituire una comunicazione all’estero, perché ai dati si accede da un altro Paese.
Registro delle attività di trattamento
La nLPD obbliga titolari e responsabili del trattamento a tenere un registro delle attività di trattamento. È prevista un’esenzione per le aziende con meno di 250 dipendenti, a meno che non trattino dati personali degni di particolare protezione su vasta scala o effettuino una profilazione a rischio elevato. Anche quando l’esenzione si applica, un semplice registro di quali dati tratta, perché, dove vengono inviati e chi vi ha accesso è una buona prassi e facilita le decisioni sull’outsourcing.
Misure di sicurezza dei dati
Lei è tenuto a garantire una sicurezza dei dati adeguata al rischio. Quando lavora con un assistente da remoto, le misure pratiche comprendono:
| Misura | Come si presenta nella pratica |
|---|---|
| Controllo degli accessi | Autorizzazioni basate sui ruoli; l’assistente vede solo ciò che serve all’attività |
| Gestione delle credenziali | Un gestore di password aziendale invece di password condivise |
| Autenticazione | Autenticazione a due fattori su tutti gli account principali |
| Standard dei dispositivi | Sistemi operativi aggiornati, blocco dello schermo, antivirus |
| Riservatezza | NDA firmati e istruzioni chiare sul trattamento dei dati |
| Revoca degli accessi | Una checklist per revocare tempestivamente tutti gli accessi a fine collaborazione |
Sono il tipo di prassi che integriamo in ogni collocamento; per i dettagli consulti come funziona. Nessuna di esse, da sola, rende un’azienda conforme, ma insieme riducono il rischio.
Notifica delle violazioni
Se una violazione della sicurezza dei dati comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali delle persone interessate, il titolare del trattamento deve notificarla all’IFPDT il più rapidamente possibile. I responsabili del trattamento devono informare il titolare di una violazione il più rapidamente possibile. In alcuni casi devono essere informate anche le persone interessate. Il Suo DPA dovrebbe stabilire come e con quale tempestività il Suo fornitore La informerà.
L’obbligo di informare
Quando raccoglie dati personali, deve informare le persone interessate, di norma tramite un’informativa sulla privacy. Se comunica dati all’estero, l’informativa dovrebbe in genere indicare i Paesi coinvolti e, se del caso, le garanzie su cui si fonda. Se inizia a esternalizzare attività nelle Filippine, verifichi se la Sua informativa sulla privacy deve essere aggiornata.
Una checklist pratica per le PMI
- Mappi quali dati personali saranno accessibili al Suo assistente.
- Sottoscriva un contratto per il trattamento dei dati con il Suo fornitore.
- Predisponga garanzie appropriate per la comunicazione all’estero, come le clausole contrattuali tipo riconosciute dall’IFPDT.
- Aggiorni la Sua informativa sulla privacy.
- Applichi controlli degli accessi, un gestore di password e la 2FA.
- Concordi una procedura di notifica delle violazioni.
- Riesamini regolarmente le Sue disposizioni con un consulente qualificato.
Per saperne di più su come strutturare il lavoro delegato, consulti il nostro servizio di supporto amministrativo o legga come le PMI svizzere possono ridurre i costi amministrativi con un assistente virtuale.
In sintesi
- La nLPD si applica dal 1° settembre 2023 e copre la maggior parte dei dati personali gestiti dalle PMI.
- Con l’outsourcing il fornitore diventa di solito responsabile del trattamento; lo documenti in un DPA.
- La comunicazione di dati verso le Filippine richiede generalmente garanzie come le clausole contrattuali tipo riconosciute dall’IFPDT.
- Misure di sicurezza, procedure in caso di violazione e un’informativa sulla privacy aggiornata fanno tutte parte del quadro.
- Chieda sempre consiglio a un avvocato svizzero qualificato per la Sua situazione specifica.
Domande su come gestiamo i dati con i nostri assistenti? Prenoti una consulenza gratuita e Le illustreremo le nostre prassi.
Scritto da
Team di Swiss Virtual Assistant
Redazione
Consigli pratici su delega, automazione e team da remoto per imprenditori in Svizzera e nei Paesi limitrofi — scritti dalle persone che reclutano, formano e gestiscono i nostri assistenti virtuali.
