La nuova legge svizzera sulla privacy: gli impatti per le aziende italiane

Il 1° settembre 2023 sono entrate in efficacia in Svizzera le modifiche alla legge federale sulla protezione dei dati personali (LPD) le cui modifiche erano state approvate dal Parlamento svizzero il 25 settembre 2020. La Svizzera, giova ricordarlo, è uno dei Paesi aderenti alla Convenzione 108/1981, la prima a disciplinare il trattamento automatizzato dei dati personali, che era stata emendata con il Protocollo CETS:223 al fine di adeguarla ai principi europei sul trattamento dei dati personali introdotti con il Regolamento (UE) n. 679/2016. La Svizzera, quale paese aderente alla Convenzione 108 ed al Consiglio d’Europa aveva sottoscritto il Protocollo con ciò sostanzialmente impegnandosi ad adeguare la propria normativa interna alle nuove disposizioni della Convenzione. In verità le modifiche alla legge federale apportate nel 2020 non costituiscono l’unico riferimento normativo relativo alle regole per il trattamento dei dati personali in Svizzera, dato che sotto tale profilo assume importanza fondamentale anche l’Ordinanza sulla protezione dei dati (OPDa) del 31 agosto 2022, in cui sono indicate, tra l’altro, le misure di sicurezza richieste, e specificati alcuni obblighi indicati nella norma principale.

La norma sull’applicazione territoriale

Ciò che interessa, ai fini del presente articolo, è però l’ambito di applicazione territoriale della norma, che ricalca, ma non del tutto, quanto già previsto nel GDPR in tema di extraterritorialità. Si ricorderà che il Regolamento Europeo per la prima volta ha sancito il principio della diretta applicabilità extra-UE delle previsioni in materia di privacy, statuendo che le regole nel medesimo previste sono applicabili anche ai titolari o responsabili non stabiliti nell’Unione Europea che effettuato trattamenti di dati personali che si trovano nell’Unione al fine o di offrire beni e servizi, anche gratuiti, agli stessi o di monitorare in maniera sistematica il loro comportamento, svolto all’interno dell’Unione stessa. L’art. 3 della nuova LPD Svizzera contiene una previsione quasi analoga, ma di portata in verità più ampia. La norma, rubricata “Campo d’applicazione territoriale”, stabilisce che “La presente legge si applica alle fattispecie che generano effetti in Svizzera, anche se si verificano all’estero”. Già dalla semplice lettura della stessa emerge la maggior ampiezza rispetto alla previsione del GDPR: la norma Svizzera non contiene la specificazione circa la tipologia di trattamenti che devono essere svolti (offerta di prodotti o servizi e monitoraggio del comportamento), ma si applica a tutti i trattamenti di dati personali “che hanno effetti” in Svizzera, ovunque posti in essere. Quindi, in primo luogo, qualunque tipologia di trattamento, indipendentemente dalle finalità per cui lo stesso è svolto, ricade nell’alveo della nuova LPD, anche se effettuato da un soggetto che non è stabilito in Svizzera. L’elemento distintivo, ossia il criterio di collegamento territoriale effettivo, riprendendo i concetti del diritto internazionale privato, è che tale trattamento (o fattispecie, come definita dalla norma) “generi effetti in Svizzera”. La locuzione non può certo dirsi del tutto chiara, dato che non è chiara la tipologia di effetti a cui la norma si riferisce. Infatti, il concetto di “effetti” potrebbe essere interpretato in due modi: 1) effetti giuridici o 2) effetti fattuali. Nel primo caso, ossia con un’interpretazione restrittiva che circoscriva l’applicabilità alle sole ipotesi in cui il trattamento produca effetti giuridici in Svizzera, ricadrebbero nell’ambito di applicazione della nuova LPD solo quelle ipotesi in cui dal trattamento scaturiscono effetti che producono la creazione, modifica od estinzione di una situazione giuridica soggettiva, o, da un punto di vista più generale, a cui la legge Svizzera riconduce la produzione di conseguenze verso una determinata persona. Si pensi a servizi di credit scoring forniti da un soggetto estero a cui possono attingere le banche svizzere per erogare prestiti o finanziamenti: in tali ipotesi il trattamento potrebbe impedire la stipulazione di un contratto con la banca da parte di un cittadino svizzero, producendo direttamente un effetto giuridico in Svizzera. Non rientrebbero in tale ambito di applicazione quelle situazioni in cui il trattamento svolto all’estero non incide sulla posizione giuridica in Svizzera di un soggetto, ma spiega detti effetti al di fuori della stessa. Tali ipotesi, potrebbero però rientrare nell’alveo di applicazione della norma qualora la si interpretasse come relativa ad effetti fattuali, ossia alla circostanza che detti effetti non necessariamente devono incidere sulla posizione giuridica della persona fisica in Svizzera, ma hanno elementi che territorialmente li ricollegano al Paese. Si pensi, ad esempio, ai cookie di profilazione sulle piattaforme di social network (ma lo stesso ragionamento potrebbe valere per i siti di e-commerce o per qualsiasi altro servizio la cui esecuzione richiede di svolgere determinate attività in Svizzera). Il cookie è installato sul dispositivo dell’utente svizzero, e quindi si ha una situazione di fatto che è ricollegabile territorialmente al Paese, ma in verità non produce effetti giuridici in Svizzera, magari essendo mirata la profilazione a personalizzare gli annunci pubblicitari che egli vedrà sulla piattaforma social (normalmente erogata da server collocati in altri Paesi). Se si tiene conto del solo effetto giuridico la fattispecie potrebbe non ricadere nell’ambito di applicazione della nuova LPD; se invece si considera l’interpretazione più estensiva degli effetti fattuali l’installazione del cookie sul dispositivo dell’utente determina tale applicabilità.

L’impatto per le imprese italiane

Date tali necessarie premesse e sospendendo per ora il giudizio circa la corretta interpretazione della locuzione contenuta nell’art. 3 LPD, per cui sarebbe necessario un intervento chiarificatore da parte delle autorità elvetiche, è evidente che le aziende italiane che offrono servizi a cittadini svizzeri devono cominciare a riflettere sulla portata della norma appena citata, dovendo nel caso porre in essere gli adempimenti dalla medesima richiesti. Tali adempimenti, per i soggetti come le aziende italiane che operano al di fuori della Svizzera, ricomprendono:

• L’obbligo di fornire un’informativa, con i requisiti previsti dalla LPD, agli interessati;
• Il rispetto dei principi stabiliti dalla norma (liceità, esattezza, finalità, buona fede, proporzionalità, limitazione della conservazione);
• La necessità di una base giuridica valida;
• Il rispetto delle norme in materia di sicurezza (meglio enucleati nell’OPDa);
• L’individuazione per iscritto dei responsabili del trattamento;
• La nomina di un rappresentante in Svizzera. E’ opportuno evidenziare che tale nomina è obbligatoria solamente qualora il trattamento: 1) è finalizzato all’offerta di beni o servizi o alla profilazione; 2) è su grande scala; 3) è periodico; 4) comporta un rischio elevato per le persone interessate. Il rappresentante deve mantenere un registro apposito che può essere richiesto dall’autorità di controllo;
• Lo svolgimento di una valutazione di impatto ove richiesta dalla normativa;
• La notifica dei data breach;
• Consentire e dar seguito all’esercizio dei diritti previsti nella LPD in favore degli interessati.

Dall’elenco sopra riportato emerge chiaramente che gli adempimenti richiesti dalla nuova legge svizzera sono sostanzialmente analoghi a quelli previsti nel GDPR. In alcuni casi, ad esempio lo svolgimento della valutazione di impatto o il rispetto dei principi e dell’obbligo di informativa, l’adeguamento da parte delle imprese italiane potrà essere svolto sulla falsariga di quanto già posto in essere per il GDPR. A titolo di esempio basti riflettere sulla circostanza gli elementi per i quali l’art. 19 della LPD richiede di fornire una specifica informazione agli interessati sono sostanzialmente i medesimi stabiliti dal GDPR, e quindi la trasposizione degli stessi in un’informativa confezionata in conformità della legge svizzera dovrebbe risultare non troppo gravosa. Per completezza appare anche opportuno segnalare che non tutti gli adempimenti previsti dalla LPD prevedono l’applicazione di una sanzione in caso di inadempimento. Innanzitutto, la legge svizzera è assai meno severa del GDPR: le sanzioni pecuniarie non superano generalmente la somma di 250.000 franchi, salva l’applicazione della federale 22 marzo 1974 sul diritto penale amministrativo (quella che in Italia è la disciplina del D.l.vo n. 231/2001 sulla responsabilità amministrativa degli enti). L’applicazione delle sanzioni è prevista poi solo per inadempimenti specifici, quali l’omissione delle informazioni che dovrebbero essere fornite agli interessati, la fornitura di informazioni false o inesatte all’autorità di controllo, la violazione degli obblighi previsti per il trasferimento dei dati all’estero, per la comunicazione di dati a responsabili del trattamento o in materia di sicurezza. Stesse sanzioni sono previste per l’illecita divulgazione dati coperti dal segreto professionale nonché per l’inosservanza delle decisioni dell’autorità di controllo. Ciò che appare evidente, quindi, è che la nuova legge svizzera sulla protezione dei dati personali dispiega i suoi effetti anche al di fuori dallo Stato elvetico, obbligando anche le aziende italiane che nella loro attività trattano dati di persone fisiche svizzere, a confrontarsi con gli adempimenti previsti in tale normativa.