La legge sulla protezione dei dati riveduta (LPD; DSG) vale insieme all’ordinanza sulla protezione dei dati (OPDa; DSV) dal 1° settembre 2023 (art. 74 LPD, art. 47 OPDa). Per le PMI si pongono due domande pratiche: la nostra azienda deve tenere un registro delle attività di trattamento e quando serve una valutazione d’impatto sulla protezione dei dati? Questa guida risponde a entrambe sul testo di legge, spiega le misure tecniche e organizzative come base comune e mostra con un esempio come procede un’azienda.
Il registro delle attività di trattamento secondo l’art. 12 LPD
I titolari e i responsabili del trattamento tengono ognuno un registro delle rispettive attività di trattamento (art. 12 cpv. 1 LPD). È titolare del trattamento chi, singolarmente o insieme ad altri, determina lo scopo e i mezzi del trattamento; il responsabile del trattamento tratta dati personali per conto del titolare (art. 5 lett. j e k LPD). Il registro del titolare contiene almeno (art. 12 cpv. 2 LPD):
- l’identità del titolare del trattamento
- lo scopo del trattamento
- una descrizione delle categorie di persone interessate e delle categorie di dati personali trattati
- le categorie di destinatari
- se possibile, la durata di conservazione dei dati personali o i criteri per determinarla
- se possibile, una descrizione generale dei provvedimenti tesi a garantire la sicurezza dei dati secondo l’art. 8 LPD
- se i dati sono comunicati all’estero, lo Stato destinatario e le garanzie di cui all’art. 16 cpv. 2 LPD
Il registro del responsabile del trattamento è più breve: contiene indicazioni sulla sua identità e su quella del titolare, sulle categorie dei trattamenti eseguiti su incarico e sui provvedimenti per la sicurezza dei dati nonché sulla comunicazione all’estero (art. 12 cpv. 3 LPD). Un esempio di collaborazione con prestatori di servizi esterni si trova nella guida Collaborare con la fiduciaria. Le imprese private non notificano il registro all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT); l’obbligo vale solo per gli organi federali (art. 12 cpv. 4 LPD).
Chi è esentato dall’obbligo
L’art. 12 cpv. 5 LPD incarica il Consiglio federale di prevedere eccezioni per le imprese con meno di 250 collaboratori i cui trattamenti comportano soltanto un rischio esiguo. L’OPDa lo attua nell’art. 24: le imprese e le altre organizzazioni di diritto privato che al 1° gennaio di un anno impiegano meno di 250 collaboratori e le persone fisiche sono esentate dall’obbligo di tenere un registro, salvo che sia adempiuta una di queste condizioni: sono trattati su vasta scala dati personali degni di particolare protezione, oppure viene eseguita una profilazione ad alto rischio.
Sono degni di particolare protezione secondo l’art. 5 lett. c LPD, ad esempio, i dati concernenti la salute, le opinioni o attività religiose, filosofiche, politiche o sindacali, i dati genetici, i dati biometrici che identificano in modo univoco una persona fisica, i dati concernenti perseguimenti e sanzioni amministrativi e penali e quelli concernenti le misure d’assistenza sociale. L’ordinanza non dice da quale quantità vi sia una «vasta scala»; va valutato caso per caso. L’IFPDT descrive l’obbligo sul suo sito in modo sostanzialmente uguale, ma indica la soglia come «più di 250 dipendenti». Per il caso limite di esattamente 250 occupati vale il testo dell’ordinanza: sono esentate solo le aziende con meno di 250. Anche chi è esentato deve rispettare le altre disposizioni, ad esempio gli obblighi di informazione.
Chi tratta dati degni di particolare protezione su vasta scala o esegue una profilazione a rischio elevato deve inoltre stabilire un regolamento per i trattamenti automatizzati (art. 5 OPDa). Un registro è comunque una buona prova di conoscere i propri trattamenti; questa raccomandazione è prassi e non un requisito di legge.
Misure tecniche e organizzative
Titolari e responsabili del trattamento garantiscono, mediante appropriati provvedimenti tecnici e organizzativi, una sicurezza dei dati adeguata al rischio (art. 8 cpv. 1 LPD). L’ordinanza lo concretizza: dapprima si definisce la necessità di protezione dei dati e si valuta il rischio, poi si stabiliscono i provvedimenti (art. 1 OPDa). Necessità di protezione, rischio e provvedimenti vanno verificati durante l’intera durata del trattamento e, se necessario, aggiornati (art. 1 cpv. 5 OPDa). I provvedimenti perseguono quattro obiettivi: confidenzialità, disponibilità, integrità e tracciabilità (art. 2 OPDa). Esempi dall’art. 3 OPDa sono il controllo dell’accesso ai dati e ai locali, il rapido ripristino dei dati dopo un incidente, un livello di sicurezza aggiornato dei sistemi e la possibilità di verificare quali dati sono stati introdotti o modificati e da chi.
La valutazione d’impatto sulla protezione dei dati
Il titolare del trattamento effettua previamente una valutazione d’impatto sulla protezione dei dati quando il trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali della persona interessata (art. 22 cpv. 1 LPD). Il rischio elevato, in particolare in caso di nuove tecnologie, risulta dal tipo, dall’entità, dalle circostanze e dallo scopo del trattamento. Sussiste segnatamente nel caso di trattamento su grande scala di dati personali degni di particolare protezione e di sorveglianza sistematica di ampi spazi pubblici (art. 22 cpv. 2 LPD). Più operazioni di trattamento simili possono essere valutate insieme.
La valutazione contiene una descrizione del trattamento previsto, una valutazione dei rischi e i provvedimenti a tutela (art. 22 cpv. 3 LPD). L’IFPDT la descrive come strumento per rilevare, valutare e trattare i rischi; alla fine conta il rischio residuo. Il titolare privato tenuto a effettuare il trattamento in virtù di un obbligo legale è esentato (art. 22 cpv. 4 LPD); può inoltre rinunciarvi se si avvale di un sistema, un prodotto o un servizio certificato per l’impiego previsto oppure rispetta un codice di condotta basato su una valutazione d’impatto, che prevede misure a tutela e che è stato sottoposto all’IFPDT (art. 22 cpv. 5 LPD).
Se nonostante i provvedimenti resta un rischio elevato, il titolare chiede previamente il parere dell’IFPDT (art. 23 cpv. 1 LPD). Questi comunica le sue obiezioni entro due mesi; per i trattamenti complessi il termine può essere prorogato di un mese (art. 23 cpv. 2 LPD). Il titolare privato può rinunciare alla consultazione se ha consultato il proprio consulente per la protezione dei dati (art. 23 cpv. 4 LPD). Ciò vale soltanto se il consulente esercita la sua funzione in modo indipendente dal titolare e senza ricevere da questi istruzioni, non esercita attività inconciliabili con i suoi compiti, dispone delle conoscenze tecniche necessarie e se il titolare pubblica i dati di contatto del consulente e li comunica all’IFPDT (art. 10 cpv. 3 LPD). La valutazione va conservata per almeno due anni dopo la fine del trattamento (art. 14 OPDa).
Domande d’accesso e i 30 giorni
Chiunque può domandare al titolare del trattamento se dati personali che lo concernono sono oggetto di trattamento (diritto d’accesso, art. 25 cpv. 1 LPD); le informazioni sono fornite gratuitamente (art. 25 cpv. 6 LPD, salvo eccezioni). Secondo l’art. 18 OPDa vanno fornite entro 30 giorni dalla ricezione della domanda. Se non riesce a rispettare il termine, il titolare ne informa la persona e le comunica il termine entro il quale le informazioni saranno fornite. Chi rifiuta, limita o differisce l’informazione deve comunicarlo entro lo stesso termine.
Esempio pratico: Muster Spitex AG
La Muster Spitex AG è un’azienda fittizia di assistenza e cura a domicilio con 120 collaboratori al 1° gennaio 2026. È sotto la soglia di 250, ma tratta dati sulla salute dei suoi clienti. Se ciò avvenga «su vasta scala» non è chiarito in modo definitivo; per prudenza la direzione non si avvale quindi dell’esenzione e tiene un registro. Comprende quattro attività di trattamento:
| Attività | Persone interessate | Categorie di dati | Degni di particolare protezione | Conservazione |
|---|---|---|---|---|
| Documentazione delle cure | Clienti | Dati anagrafici, dati sulle cure | sì (salute) | secondo le disposizioni applicabili, da chiarire a cura dell’azienda |
| Pianificazione degli interventi | Collaboratori | Dati anagrafici, tempi di intervento | no | finché dura il rapporto di lavoro |
| Conteggio dei salari | Collaboratori | Dati anagrafici, dati salariali | no | secondo i termini legali |
| Candidature | Candidati | Documenti di candidatura | no | tre mesi dopo la conclusione (interno all’azienda) |
In autunno 2026 pianifica un software che stima dai dati sulle cure il rischio di caduta dei clienti. È una valutazione automatizzata di aspetti relativi alla salute (profilazione secondo l’art. 5 lett. f LPD), una nuova tecnologia e un trattamento ampio di dati degni di particolare protezione; una valutazione d’impatto è necessaria. Al più tardi con questa analisi l’azienda tratta dati degni di particolare protezione su vasta scala: l’esenzione secondo l’art. 24 OPDa decade e per il trattamento automatizzato serve un regolamento (art. 5 OPDa). Poiché l’analisi è volontaria, non si applica l’eccezione per i trattamenti previsti dalla legge (art. 22 cpv. 4 LPD). La valutazione stima tre rischi su una scala da 1 a 4 per probabilità e gravità. I livelli sono una definizione aziendale dell’esempio e non un metro legale: basso fino a 3, medio da 4 a 7, elevato da 8.
| Rischio | Prima | Misura | Dopo |
|---|---|---|---|
| Una valutazione errata porta a misure inadeguate | 2 × 3 = 6 | Prognosi solo come indicazione, la decisione del professionista delle cure è documentata | 1 × 3 = 3 |
| Accesso non autorizzato alle analisi | 3 × 3 = 9 | Accesso per ruoli, verbalizzazione | 2 × 3 = 6 |
| Accesso di supporto del produttore dall’estero | 2 × 4 = 8 | Accesso solo su richiesta, garanzie contrattuali secondo l’art. 16 cpv. 2 LPD | 1 × 4 = 4 |
La valutazione più alta dopo le misure è 6, quindi media. La direzione conclude che non resta un rischio elevato ai sensi dell’art. 23 cpv. 1 LPD e documenta la decisione con motivazione; il parere dell’IFPDT non è quindi necessario. Il supporto del produttore viene iscritto nel registro come comunicazione all’estero con Stato e garanzia. Lunedì 9 novembre 2026 giunge inoltre una domanda d’accesso di un cliente. Il termine di 30 giorni scade mercoledì 9 dicembre 2026.
Checklist
- Verificato se vale l’esenzione secondo l’art. 24 OPDa (collaboratori al 1° gennaio, dati degni di particolare protezione, profilazione)
- Attività di trattamento registrate: scopo, categorie, destinatari, conservazione, comunicazione all’estero
- Misure per la sicurezza dei dati descritte e verificate regolarmente
- Registro concordato con i responsabili del trattamento
- Prima di nuovi sistemi verificato se serve una valutazione d’impatto e risultato documentato
- In caso di rischio residuo elevato: parere dell’IFPDT richiesto o consultato il consulente per la protezione dei dati secondo l’art. 10 LPD
- Valutazione d’impatto conservata almeno due anni dopo la fine del trattamento
- Procedura per le domande d’accesso con termine di 30 giorni stabilita
La soluzione KMU | base
QMS | base conduce i temi della protezione dei dati sotto Esercizio e prove › Protezione dei dati. L’area è legata a un diritto proprio. Il software stesso avverte che termini, soglie e criteri sono impostazioni predefinite di QMS | base e non sostituiscono una valutazione giuridica del singolo caso.
1. Registro delle attività di trattamento. Tiene il registro secondo la LPD con finalità, categorie di dati, destinatari, comunicazione all’estero, conservazione e intervallo di verifica, come tabella e PDF. Il software segnala i dati obbligatori mancanti. Una voce diventa attiva solo quando finalità, categorie e conservazione sono registrate; per la conservazione richiede così più dell’art. 12 cpv. 2 lett. e LPD, che chiede questa indicazione solo «se possibile». Se la Sua azienda sia esentata secondo l’art. 24 OPDa, non lo verifica automaticamente.
2. Misure tecniche e organizzative. Gestisce le misure con stato e data di verifica e le collega alle attività di trattamento.
3. Valutazione d’impatto sulla protezione dei dati. Verifica il rischio in anticipo con un esame preliminare a criteri, valuta rischi e misure e, in caso di rischio residuo elevato, vede l’avvertenza di valutare la consultazione dell’autorità di vigilanza. L’approvazione avviene secondo il principio dei quattro occhi. I criteri dell’esame preliminare e le soglie della matrice dei rischi sono impostazioni proprie di QMS | base; se una valutazione d’impatto sia necessaria lo decide il titolare del trattamento. Il software non sorveglia la conservazione della valutazione.
4. Richieste delle persone interessate con termini. Registra richieste di accesso, rettifica e cancellazione solo con una sigla scelta liberamente, senza nomi né recapiti, sorveglia il termine e riceve un promemoria ogni giorno. Il termine interno è di 30 giorni dalla ricezione e, con motivazione, si può prorogare. Per l’accesso corrisponde all’art. 18 OPDa; per le altre richieste è un’impostazione di QMS | base.
Se desidera provare di persona, guardi la demo o apra un conto di prova. Le condizioni attuali si trovano sotto Prezzi; in caso di domande aiuta la pagina di contatto.
Fonti
- Legge federale sulla protezione dei dati (LPD; DSG, RS 235.1), art. 5, 8, 10, 12, 16, 22, 23, 25 e 74, stato 7 luglio 2025: fedlex.admin.ch, consultata il 27.10.2026.
- Ordinanza sulla protezione dei dati (OPDa; DSV, RS 235.11), art. 1–3, 5, 14, 18, 24 e 47, stato 1° dicembre 2025: fedlex.admin.ch, consultata il 27.10.2026.
- IFPDT: Domande frequenti sulla protezione dei dati, sezione Elenco dei trattamenti, pagina senza indicazione di data, consultata il 27.10.2026.
- IFPDT: Valutazione d’impatto sulla protezione dei dati, pagina senza indicazione di data, consultata il 27.10.2026.
Questa guida non sostituisce una consulenza legale o fiscale. Stato delle informazioni: 27.10.2026.