In Svizzera la multa per la protezione dei dati non colpisce l’azienda. Colpisce una persona.

Immagini la scena: una collaboratrice della Sua clinica a Lugano scopre uno strumento online comodo, che riassume le richieste del modulo di contatto e risponde. Lo configura in un pomeriggio, senza chiedere a nessuno. Nessuno firma un contratto con il fornitore. Da mesi le richieste delle pazienti e dei pazienti passano per un sistema di cui in direzione nessuno sa nulla.

Chi pensa alla protezione dei dati pensa al GDPR e a multe milionarie contro i grandi gruppi. La legge svizzera funziona in un altro modo. Si rivolge prima di tutto alle persone, ed è proprio per questo che quello strumento deve arrivare sul tavolo della direzione.

Che cosa dice la legge.

Gli articoli da 60 a 63 della legge sulla protezione dei dati prevedono per i «privati» multe fino a CHF 250’000. È punito chi fornisce intenzionalmente informazioni inesatte o incomplete, o chi omette intenzionalmente di informare la persona interessata quando ne raccoglie i dati. Lo stesso vale per chi, intenzionalmente, comunica dati all’estero senza che le condizioni siano adempiute, affida un trattamento a un responsabile senza rispettare le condizioni dell’articolo 9 o non rispetta i requisiti minimi di sicurezza dei dati. Si aggiungono la rivelazione intenzionale di dati segreti appresi nell’esercizio di una professione e l’inosservanza di una decisione dell’IFPDT.

La maggior parte di questi reati è perseguita solo a querela di parte, per esempio quando una persona interessata sporge querela. Il perseguimento spetta ai Cantoni, non all’IFPDT, che però può sporgere denuncia e far valere nel procedimento i diritti di accusatore privato. L’azione penale si prescrive in cinque anni.

E l’azienda?

L’azienda paga solo in via eccezionale. Secondo l’articolo 64, l’autorità può condannare l’azienda al posto delle persone responsabili se entra in considerazione una multa di al massimo CHF 50’000 e se individuare tali persone richiederebbe misure d’inchiesta sproporzionate. Altrimenti valgono le regole del diritto penale amministrativo, e sono punite le persone fisiche che hanno agito.

Il commento online all’articolo 64 descrive proprio la scena iniziale come esempio. Una collaboratrice che usa senza autorizzazione lo strumento di un fornitore online che tratta dati personali, senza occuparsi di un contratto di trattamento sufficiente, è punibile secondo l’articolo 61. L’articolo introduce inoltre una sorta di responsabilità del titolare dell’azienda: in certi casi può rispondere anche il superiore che avrebbe potuto impedire il fatto. Fin dove arrivi questa responsabilità per i reati puramente intenzionali è controverso, secondo il commento.

Il punto cieco: l’intenzione.

È punibile solo l’intenzione. Sembra rassicurante. Ma secondo la definizione generale del Codice penale basta che l’autore ritenga possibile il realizzarsi dell’atto e se ne accolli il rischio. Non sono un giurista e non valuto casi concreti. Ma non conterei su un «non lo sapevamo» quando qualcuno nel team ha già sollevato il problema e non è successo nulla.

È esattamente qui che la protezione dei dati incontra gli strumenti digitali. Ogni modulo, ogni chat, ogni automazione e ogni strumento di IA che il Suo team configura da sé è un trattamento di dati, con un fornitore, un luogo e un contratto, oppure senza. La domanda non è se il Suo team usi strumenti simili. La domanda è se qualcuno sappia quali.

Lo strumento si configura in un pomeriggio. La responsabilità resta alle persone.

La mia posizione.

Non credo nel vietare gli strumenti. I team che vogliono lavorare più in fretta li trovano comunque. Farei invece in modo che ogni strumento che tocca dati personali passi per un’unica strada verificata, con contratto, luogo del trattamento e responsabile designato. Un registro degli strumenti protegge il Suo team meglio di qualsiasi divieto.

Che cosa verificherei.

• Il registro degli strumenti. Ogni sistema che riceve dati dal sito, da un modulo, da una chat o da un’e-mail, con fornitore, luogo e persona responsabile.
• I contratti. Per ogni fornitore, un contratto di trattamento che soddisfi i requisiti dell’articolo 9.
• L’informativa sulla protezione dei dati. Chi è il titolare del trattamento, a che scopo tratta i dati e a chi li comunica, come chiede l’articolo 19.
• La strada per i nuovi strumenti. Una regola semplice per proporre uno strumento e sapere chi lo approva.
• Il diritto d’accesso. Chi risponde alla richiesta di una persona interessata, in modo completo e di regola entro 30 giorni.

Da dove cominciare.

1. Questa settimana

   Chiedere al team

   Quali strumenti online usa ciascuno nel lavoro quotidiano, senza cercare colpevoli, per avere un elenco completo.

2. Questo mese

   Chiarire contratti e luoghi

   Per ogni strumento, verificare il contratto, il luogo del trattamento e la comunicazione all’estero.

3. Questo trimestre

   Fissare la strada di approvazione

   Una persona responsabile, una breve lista di controllo e un termine di risposta, perché nessuno cerchi scorciatoie.

4. Ogni anno

   Rivedere

   Strumenti, contratti e informativa, con il Suo consulente legale.

Scriva il nome della persona della Sua azienda che ha approvato l’ultimo strumento che tratta dati dei clienti. Ora si chieda se quella persona sa che, in Svizzera, la multa potrebbe portare il suo nome e non quello dell’azienda.

E se nessuno l’ha approvato, perché qualcuno l’ha semplicemente installato, la domanda diventa più interessante: chi risponde di una decisione che nessuno ha preso?

Se vuole che verifichi dove vanno oggi i dati del Suo sito e delle Sue automazioni, cominci dalla Diagnosi strategica. Se il Suo caso comporti un rischio penale lo valuta il Suo consulente legale, non un designer.