Protezione dei dati e data governance
Sviluppi nell’ambito della protezione dei dati
Nuova Legge sulla protezione dei dati (nLPD)
Stato delle consultazioni in Parlamento (17.059)
La Legge federale sulla protezione dei dati (LPD) è stata adeguata alle mutate condizioni intervenute sul piano tecnologico e sociale. A seguito della decisione di sottoporre la vecchia LPD a una revisione totale, a settembre 2017 il Consiglio federale aveva presentato il relativo messaggio. Dopo un complesso iter parlamentare, il 25 settembre 2020 la nuova Legge sulla protezione dei dati (nLPD) è stata finalmente approvata e la sua entrata in vigore è prevista per il 2022.
Nella consultazione parlamentare è stata prestata un’attenzione particolare affinché la Svizzera non predisponga e/o attui un quadro normativo più rigoroso del necessario («swiss finish»). Inoltre, la Legge sulla protezione dei dati sottoposta a revisione non doveva essere una copia del Regolamento generale UE sulla protezione dei dati (RGPD), bensì tenere conto piuttosto delle peculiarità svizzere e prevedere pertanto un adeguato margine a riguardo. Tra l’altro, sono stati definiti in modo ancora più pertinente e attuabile gli obblighi d’informazione nonché lo strumento della valutazione d’impatto sulla protezione dei dati per le imprese. La nuova Legge sulla protezione dei dati prevede altresì un notevole ampliamento dell’obbligo di informazione in relazione ai responsabili dei dati. Viene implementato il concetto di profiling mediante una definizione legale. È stato poi integrato il catalogo delle disposizioni penali, con contestuale innalzamento delle multe previste. Anche il segreto professionale ha subito un allargamento della propria sfera di applicazione in quanto, oltre a settori già regolamentati come banche e avvocati, è stato esteso a tutte le professioni. Nel complesso, si può dunque parlare di un allineamento ormai necessario da tempo della LPD alle sfide digitali sul piano sia nazionale che internazionale.
L’ASB ha seguito e affiancato la revisione della LPD in stretta collaborazione con economiesuisse.
La Legge sulla protezione dei dati entra in revisione (in tedesco)
Frank Kilchenmann | 10 aprile 2018
Presa di posizione dell’ASB del 4 aprile 2017 (sull’avamprogetto LPD)
Bozza della Legge sulla protezione dei dati sottoposta a revisione totale
Messaggio sulla revisione totale della Legge sulla protezione dei dati
Legge sulla protezione dei dati sottoposta a revisione totale
Regolamento generale dell’Unione Europea sulla protezione dei dati (RGDP/GDPR)
Il RGPD è applicabile direttamente dal 25 maggio 2018. Esso rafforza i diritti delle persone fisiche nel controllo dei propri dati personali. Il Regolamento è vincolante per tutti gli Stati membri dell’Unione europea, i quali hanno in parte già emanato leggi di attuazione. Il GDPR ha tuttavia anche effetti extraterritoriali. Nella prassi, per numerose imprese svizzere ciò implica quindi la necessità di rispettare sia le disposizioni della Legge svizzera sulla protezione dei dati, sia quelle del RGPD. Le nuove disposizioni sono solitamente contornate da incertezze giuridiche. In questo senso, analisi non esaustive degli effetti del RGPD sulla Svizzera sono state pubblicate ad esempio dall’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) oppure dallo studio legale Homburger.
Presa di posizione EBF-FBE sull’ambito di applicazione extraterritoriale del RGPD del 18 gennaio 2019 (con la partecipazione dell’ASB)
La Legge sulla protezione dei dati entra in revisione (in tedesco)
Frank Kilchenmann | 10 aprile 2018
Presa di posizione dell’ASB del 4 aprile 2017 (sull’avamprogetto LPD)
Regolamento generale dell’Unione Europea sulla protezione dei dati (RGPD)
Identità elettronica (eID)
Stato delle consultazioni in Parlamento (18.049)
Il Consiglio federale ha pubblicato il 1° giugno 2018 il messaggio sulla Legge federale sui servizi d’identificazione elettronica (eID). Il 27 settembre 2019 il Consiglio nazionale e il Consiglio degli Stati hanno approvato a larga maggioranza il disegno di legge per una eID riconosciuta a livello statale. Contro tale atto normativo è stato indetto con successo il referendum e il 7 marzo 2021 la Svizzera sarà quindi chiamata alle urne per decidere in merito alla promulgazione della Legge sui servizi d’identificazione elettronica.
Con la cosiddetta Legge eID si intende creare le condizioni quadro giuridiche e una standardizzazione per il riconoscimento dei sistemi eID e dei gestori dell’identità digitale. Concretamente, ciò significa che offerenti privati con caratteristiche adeguate saranno autorizzati dalla Confederazione a emettere eID e a gestire sistemi eID. Il coinvolgimento dell’economia privata è essenziale per il successo dell’identificazione elettronica. L’ASB sostiene apertamente la ripartizione dei compiti tra Stato e mercato prevista dal Consiglio federale. Le aziende dispongono infatti del know-how tecnologico e della necessaria vicinanza alla clientela al fine di garantire una diffusione rapida e capillare dell’eID, tale da giustificare l’attrattiva economica di un’iniziativa di questa portata. A tale proposito, una rilevanza particolare sarà rivestita dalle banche svizzere, considerato che nei loro sistemi di «mobile banking» effettuano quotidianamente l’identificazione in modo sicuro e facile di milioni di clienti bancari.
L’eID potrà tuttavia ad affermarsi soltanto se gli utenti avranno la certezza che tutti i dati utilizzati sottostanno a norme di confidenzialità ragionevoli.
Sfiducia in rete – L’eID come soluzione attendibile (in tedesco)
Simon Ruesch, 10 dicembre 2020
eID: verso il successo grazie alla sinergia tra Stato ed economia (in tedesco)
Carina Schaller, 4 aprile 2019
eID, ci siamo quasi (in tedesco)
Martin Hess, 22 novembre 2017
eID: la Svizzera sviluppa identità digitali (in tedesco)
Andrew Ertl, 21 giugno 2017
Legge federale sui servizi finanziari (Legge sui servizi finanziari, LSerFi)
Stato delle consultazioni in Parlamento (15.073)
Anche la LSerFi, entrata in vigore il 1° gennaio 2020, stabilisce prescrizioni specifiche in materia di protezione dei dati, le quali si applicano a complemento della LPD e possono sovrapporsi alle disposizioni previste da quest’ultima. Ad esempio il diritto alla consegna di tutti i documenti della clientela che il fornitore di servizi finanziari ha allestito nel quadro della relazione d’affari, sancito dall’art. 72 LSerFi, corrisponde sostanzialmente all’art. 8 LPD (art. 25 nLPD). Quest’ultimo disciplina gli obblighi d’informazione e quindi anche i doveri di consegna in relazione ai dati personali.
Messaggio concernente la LSF e la LIFin (attuali LSerFi/LIsFi)
Protezione dei dati
La protezione della sfera privata costituisce diritto fondamentale. Pertanto ai sensi dell’art. 13 della Costituzione federale ognuno ha diritto al rispetto della sua vita privata e familiare, della sua abitazione, della sua corrispondenza epistolare nonché delle sue relazioni via posta e telecomunicazioni come pure – in senso lato – di essere protetto da un impiego abusivo dei suoi dati personali.
Nel nostro mondo sempre più digitale i dati influenzano la nostra vita, sempre e ovunque. Una volta registrati, i dati restano in rete per molto tempo e possono quindi essere utilizzati potenzialmente per scopi che non corrispondono alla volontà dei rispettivi utenti. È dunque nell’interesse sia delle imprese sia dei privati che la protezione dei loro dati venga rispettata e garantita. Soprattutto le banche, che possono vantare una lunga tradizione in termini di discrezione e riservatezza, sono consapevoli che le informazioni dettagliate sulla situazione finanziaria di una persona sono tra i dati personali più sensibili.
Legge sulla protezione dei dati
In Svizzera la Legge federale sulla protezione dei dati (LPD) tutela la personalità e i diritti fondamentali delle persone fisiche e giuridiche di cui vengono trattati determinati dati. La legge cita i presupposti per il trattamento dei dati consentito in uno Stato di diritto, prevenendo così i possibili abusi. Essa sancisce altresì il principio che non possono essere raccolte più informazioni personali di quanto risulti effettivamente necessario (principio di proporzionalità e minimizzazione dei dati).
La protezione dei dati ha come obiettivo il diritto all’autodeterminazione informale, il quale esprime chiaramente che ogni cittadino e ogni cittadina deve poter decidere autonomamente in merito alla divulgazione e alla finalità d’uso dei propri dati. La legislazione in materia di protezione dei dati riconosce pertanto ai cittadini varie possibilità per salvaguardare i loro diritti della personalità.
Diritto d’informazione
Ogni persona può domandare al detentore di una collezione di dati se e quali dati che la concernono sono trattati. La comunicazione delle informazioni può essere rifiutata o limitata soltanto nella misura in cui una legge formale lo preveda oppure laddove ciò risulti necessario al fine di tutelare gli interessi preponderanti di un terzo.
Obbligo d’informazione
Se vengono raccolti dati personali degni di particolare protezione o profili della personalità, le persone fisiche interessate devono essere informate attivamente dal detentore della rispettiva collezione di dati. A tale proposito deve essere comunicato tra l’altro lo scopo dell’elaborazione come pure, in caso di divulgazione, il destinatario dei dati.
Sicurezza dei dati
Nell’epoca del mobile banking e delle app per i pagamenti, numerosi clienti bancari accedono quotidianamente ai propri dati relativi al conto o alla carta di credito attraverso il computer o lo smartphone. La gestione delle lacune di sicurezza rappresenta pertanto una sfida particolarmente impegnativa. Le banche reagiscono a questo scenario individuando in modo mirato i nuovi rischi e cercando di contenerli. Inoltre, il tema della protezione dei dati e il correlato aspetto della sicurezza dei dati rientrano sempre più spesso nella sfera decisionale del Consiglio di amministrazione e della Direzione di una banca e sono oggetto delle relative delibere.
Segreto bancario
Il segreto bancario (art. 47 della Legge sulle banche) è un segreto professionale effettivo e in quanto tale è paragonabile a quello dei medici o degli avvocati. Esso mira alla tutela della sfera privata finanziaria e protegge tutte le constatazioni di fatto, i giudizi di valore o altri tipi di dati (compresi i risultati delle valutazioni riferite a persone), che si possono attribuire a un cliente bancario. In questo senso il segreto bancario va oltre la Legge sulla protezione dei dati. Tuttavia, contrariamente a un’opinione molto diffusa, esso non ha valore illimitato: il segreto bancario, introdotto già nel 1934, non concede infatti alcuna protezione in particolare ai criminali. Le banche sono da sempre tenute a divulgare informazioni sulla clientela nei seguenti casi:
- nei processi civili (ad es. nelle vertenze ereditarie o nelle cause di divorzio),
- nei procedimenti di esecuzione e di realizzazione forzata,
- nei processi penali (anche e soprattuto in caso di frode fiscale),
- nei procedimenti dell’Autorità di vigilanza sui mercati finanziari, nonché
- nelle procedure relative allo scambio di informazioni a livello transfrontaliero.
Negli anni passati il segreto bancario ha altresì subito profondi cambiamenti di portata storica, soprattutto per quanto riguarda le questioni fiscali. Sulla scia degli sviluppi sul fronte internazionale, anche in Svizzera è stata infatti attribuita maggiore rilevanza alla trasparenza nei confronti delle autorità fiscali e di vigilanza.
Scambio automatico di informazioni (SAI)
A partire dal 1° gennaio 2017 le banche svizzere attuano lo scambio automatico di informazioni (SAI) con l’estero. Il SAI regolamenta le modalità con cui le autorità fiscali dei Paesi aderenti si scambiano reciprocamente dati su conti e depositi titoli dei contribuenti. La Svizzera è interessata in modo particolarmente intenso dal SAI, in quanto sul suo territorio viene amministrato oltre un quarto dei patrimoni investiti a livello transfrontaliero su scala mondiale. Il governo svizzero e le banche si sono pertanto intensamente impegnate in seno all’OCSE a favore di una definizione equa e praticabile dello standard SAI; in tale novero rientra anche la pretesa avanzata con determinazione in merito a una sufficiente protezione dei dati.
Foreign Account Tax Compliance Act (FATCA)
Maggiori requisiti di trasparenza valgono anche nei confronti degli Stati Uniti. La FATCA è una legge fiscale statunitense unilaterale con effetti extraterritoriali, che si prefigge di arginare una possibile evasione fiscale ai danni degli USA. Questa normativa si rivolge agli istituti finanziari a livello globale ed esige che questi ultimi inoltrino periodicamente alle autorità fiscali USA informazioni sui cosiddetti «conti statunitensi». Come numerosi altri Paesi, la Svizzera ha stipulato con gli Stati Uniti un trattato internazionale per l’applicazione agevolata della normativa FATCA. Sulla base di questo trattato (ossia il cosiddetto accordo FATCA) è stata in seguito emanata in Svizzera la Legge FATCA, in vigore dal 30 giugno 2014.