Gli obblighi operativi a confronto
| Obbligo | LPD | GDPR |
|---|---|---|
| Registro delle attività di trattamento | art. 12; eccezione sotto i 250 collaboratori (art. 24 OPDa) | art. 30; eccezione sotto i 250 dipendenti, strettamente limitata |
| Obbligo d'informare | art. 19 | art. 13 e 14 |
| Accesso | art. 25; di regola 30 giorni | art. 15; un mese, prorogabile di due mesi |
| Consegna e trasmissione dei dati | art. 28 | art. 20 |
| Cancellazione | art. 6 cpv. 4 e art. 32 cpv. 2 lett. c | art. 17 |
| Protezione dei dati fin dalla progettazione e per impostazione predefinita | art. 7 | art. 25 |
| Sicurezza dei dati | art. 8 | art. 32 |
| Valutazione d'impatto sulla protezione dei dati | art. 22 | art. 35 |
| Notifica delle violazioni della sicurezza dei dati | art. 24; in caso di presumibile rischio elevato il prima possibile all'IFPDT | art. 33; senza ingiustificato ritardo, possibilmente entro 72 ore all'autorità di controllo, salvo che sia improbabile un rischio |
| Comunicazione all'estero | art. 16 e 17 | art. 44 segg. |
Dove LPD e GDPR si differenziano
- Terminologia: nelle versioni tedesche le due leggi usano parole diverse per gli stessi concetti (dati personali, trattamento, responsabile del trattamento); in italiano i termini coincidono.
- Base del trattamento: la LPD consente il trattamento se i principi sono rispettati; un motivo giustificativo è necessario solo in caso di lesione della personalità. Il GDPR richiede una base giuridica per ogni trattamento (art. 6 GDPR).
- Dati degni di particolare protezione: la LPD vi include anche i dati concernenti misure d'assistenza sociale e perseguimenti o sanzioni amministrativi e penali.
- Notifica delle violazioni: la LPD la richiede in caso di presumibile rischio elevato, senza termine fisso; il GDPR già quando un rischio non è escluso, possibilmente entro 72 ore.
- Sanzioni: la LPD prevede multe di principio contro le persone fisiche responsabili, il GDPR sanzioni pecuniarie contro le imprese.
Che cosa significa per l'esercizio?
Entrambe le leggi richiedono processi, non solo documenti: un registro corretto, richieste evase nei termini, dati effettivamente cancellati alla scadenza del loro termine e prove che lo dimostrano.
Chi è soggetto a entrambi gli ordinamenti fa bene a seguire un processo unico: calcolare e monitorare i termini per ogni richiesta, coordinare le cancellazioni in tutti i sistemi, registrare ogni passo.