Imprese e protezione dei dati. Trivilini, Supsi: «La nuova legge implica delle responsabilità»

Qualche giorno fa il Consiglio federale ha deciso che l’entrata in vigore della nuova ordinanza sulla protezione dei dati entrerà in vigore dal 1° settembre del 2023. La nuova legge vuole garantire una migliore protezione delle personalità e delle persone fisiche. Le aziende avranno il tempo per adattarsi alle nuove norme e arrivare pronte al fatidico momento in cui i suggerimenti diventeranno obbligatori.

Parola d’ordine: tutela dei dati

Con la nuova legge sulla protezione dei dati, saranno protetti personalità e diritti fondamentali delle persone fisiche residenti in Svizzera i cui dati sono oggetto di trattamento da parte di società private o dallo Stato. L’intento è di offrire ai cittadini una maggiore trasparenza, rafforzando i loro diritti sui loro dati personali. Aiutandoli anche a diventare più consapevoli sulla fine che fanno i loro dati. La legge rivista, rafforza la sorveglianza della protezione dei dati, sviluppa provvedimenti penali e introduce nuovi obblighi per le imprese, qualora perdano o abusino dei dati rilasciati dai propri clienti. Anche in caso di attacco cyber.
Secondo Alessandro Trivilini, responsabile del servizio informatica forense della Supsi, «la nuova legge sulla protezione dei dati sarà legata alla sicurezza informatica che condizionerà di pari passo».

Trivilini, dunque, a cosa sono chiamate le aziende?
«Aziende, istituzioni e pubbliche amministrazioni hanno un anno di tempo per adeguarsi e adottare crismi di sicurezza e di protezione necessari per essere pronti di fronte a un attacco informatico. Per lo meno, poter dimostrare che sono stati assunti quei requisiti necessari per prevenire e limitare l’eventuale danno. La nuova protezione dei dati porterà poi ad avere delle responsabilità».

Quali suggerimenti si possono dare per arrivare pronti al 1° settembre dell’anno prossimo?
«Avvicinarsi ad aziende ed entità che siano il più competenti possibili, nella cybersicurezza c’è un sottobosco di mercenariato per cui bisogna stare attenti a quelle aziende che hanno una comprovata autorevolezza tecnica, legale e assicurativa, per potersi far accompagnare in questo processo di cambiamento e preparazione».

Nel caso in cui un’azienda non sappia da dove cominciare?
«Il gruppo di lavoro che è nato in concomitanza del Lugano Cybersecurity Forum 2022 è un punto di riferimento che aggrega competenze ed eccellenze e a cui gli impresari possono rivolgersi».

Cosa prevede la nuova legge?

La nuova legge introduce nuovi obblighi per le imprese. Si chiede alle aziende di garantire la protezione dei dati attraverso tecnologia e strumenti utili per la loro salvaguardia. I principi di trattamento devono essere rispettati, così come il loro trattamento deve essere limitato al minimo necessario scopo di utilizzo. Tra le varie modifiche, la creazione e la conservazione di un registro per le attività di trattamento dati. Beneficiano di un’eccezione le imprese con meno di 250 collaboratori, solamente qualora il trattamento da parte loro sia identificato come basso rischio.
Vi è poi l’obbligo di informare l’incaricato federale della protezione dei dati e della trasparenza (IFPDT), nonché la persona in caso di violazione della sicurezza dei dati. Le aziende devono poi effettuare un’analisi d’impatto sulla protezione dei dati, in concomitanza di un rischio elevato. Anche nel caso in cui una decisione relativa a una persona venga presa da un algoritmo, è necessario informare l’ifpdt e la persona interessata.