Dal 1° settembre 2023, la nuova Legge federale sulla protezione dei dati (LPD) ha introdotto importanti sfide per le imprese svizzere.
Il trattamento dei dati personali è diventato un obbligo imprescindibile e le aziende devono essere pronte ad evadere tempestivamente (generalmente entro 30 giorni) le richieste degli interessati, aventi ad oggetto l’esercizio dei diritti che gli sono riconosciuti dalla normativa privacy vigente.
Ciò in quanto non solo la LPD prevede sanzioni che possono arrivare fino a CHF 250’000 (cfr. art. 60), bensì il riscontro non tempestivo potrebbe determinare un vero e proprio danno reputazionale per la società.
Come può, quindi, la società essere certa di riscontrare tempestivamente e correttamente le domande degli interessati?
Implementando una procedura chiara e precisa, che includa almeno i seguenti aspetti:
- Diritti degli interessati: identificare e comunicare chiaramente quali sono i diritti riconosciuti dalla legge.
- Ruoli e responsabilità: definire chiaramente chi all’interno dell’azienda è responsabile della gestione delle richieste.
- Modalità di presentazione: chiarire come gli interessati possono inviare le loro richieste (e-mail, portali web, moduli cartacei, ecc.).
- Gestione delle richieste: stabilire un flusso operativo per la verifica, il trattamento e la risposta alle richieste.
- Registro e documentazione: mantenere un registro delle richieste ricevute e delle azioni intraprese per garantire trasparenza.
- Sanzioni e controlli: monitorare il rispetto delle normative e applicare eventuali sanzioni interne in caso di non conformità.
E se l’azienda ha un dubbio sulla legittimazione dell’interessato, cosa deve fare?
Si suggerisce, a titolo esemplificativo, di:
- Verificare la legittimazione ad agire dell’interessato, chiedendo copia del documento di identità o della procura del rappresentante, nell’ipotesi in cui la domanda venga inoltrata da un procuratore o da un terzo;
- Chiedere copia della documentazione integrativa indicando una tempistica entro cui la stessa deve essere inoltrata;
- Inoltrare una comunicazione di rigetto della richiesta, qualora la documentazione integrativa non pervenga nel termine indicato.
Focus specifico: il diritto all’oblio
Tra i diritti più complessi da gestire c’è il diritto all’oblio, che consente all’interessato di richiedere la rimozione dei propri dati personali.
Tuttavia, questo diritto non è assoluto.
Per le aziende, specialmente per quelle che trattano dati di personaggi pubblici o pubblicano contenuti informativi, può essere difficile bilanciare il diritto dell’individuo alla privacy con il diritto del pubblico all’informazione.
Non tutte le richieste di diritto all’oblio devono essere accolte automaticamente.
A cosa si dovrebbe prestare attenzione?
- Verificare l’identità dell’interessato e la fondatezza della domanda;
- Esaminare l’attualità delle informazioni pubblicate: gli articoli, pur corretti al momento della pubblicazione, potrebbero essere superati dagli eventi successivi;
- Bilanciare gli interessi: valutare l’importanza del diritto alla privacy dell’individuo rispetto al diritto del pubblico di essere informato, soprattutto se l’interessato è un personaggio pubblico.
Solo attraverso un’analisi dettagliata di questi elementi, le aziende possono decidere se accogliere o meno una richiesta di diritto all’oblio, garantendo un equilibrio tra la privacy dell’individuo e la libertà di espressione.
Tutte le richieste dovranno essere annotante in un registro specifico, da conservarsi a cura della società.
