Studio CraveroProtezione dei dati a Bellinzona: enti pubblici e fornitori
Pagina aggiornata al 24 ottobre 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Bellinzona è la sede dell’amministrazione cantonale, e qui la domanda più frequente è: quale legge si applica? Per Cantone, Comuni ed enti di diritto pubblico vale la legge cantonale sulla protezione dei dati (LPDP); per le aziende private, anche quelle che lavorano per l’ente pubblico, vale la nLPD federale. Ti aiuto a tracciare il confine e a mettere in ordine i documenti di entrambe le parti.
Come lavoro: lo Studio ha sede a Sassari, in Italia. Con le organizzazioni ticinesi lavoro in italiano, online, con documenti costruiti sulla legge svizzera; gli incontri in presenza si concordano quando servono davvero.
Bellinzona Svizzera italiana
I settori del territorio e le regole che li riguardano: nLPD, GDPR quando si lavora con l’Unione, AI Act per chi vende in Europa.
- Comuni ed enti di diritto pubblico
- Fornitori della pubblica amministrazione
- Istituti di ricerca
- Sanità e studi medici
- Scuole e formazione
Protezione dei dati a Bellinzona: per chi lavoro
Attorno all’amministrazione cantonale lavorano comuni, consorzi, istituti di ricerca, strutture sanitarie e una rete di fornitori privati di servizi informatici, di trasporto e di consulenza. Proprio i fornitori sono spesso il punto debole: ricevono dati da un ente pubblico e devono rispettarne le condizioni, ma sono soggetti a una legge diversa.
- ✓ Comuni ed enti di diritto pubblico
- ✓ Fornitori della pubblica amministrazione
- ✓ Istituti di ricerca
- ✓ Sanità e studi medici
- ✓ Scuole e formazione
Casi tipici in questi settori
Sportelli, servizi online, videosorveglianza degli spazi pubblici e pubblicazioni: si applica la LPDP cantonale, con la vigilanza dell’Incaricato cantonale della protezione dei dati.
Un’azienda informatica che gestisce il software di un comune tratta dati per conto dell’ente: il contratto deve dire cosa può fare con quei dati, dove sono conservati e come segnala un incidente.
Progetti con dati sanitari o genetici seguono anche la legge federale sulla ricerca sull’essere umano: consenso, anonimizzazione e conservazione vanno pianificati prima dell’avvio.
Legge cantonale o legge federale: dove passa il confine
La legge ticinese sulla protezione dei dati personali del 9 marzo 1987 (LPDP) si applica agli organi pubblici: il Cantone, i Comuni, le altre corporazioni e gli istituti di diritto pubblico, e i privati ai quali sono delegati compiti pubblici, per quei compiti. La vigilanza spetta all’Incaricato cantonale della protezione dei dati. Le altre aziende private restano soggette alla nLPD federale e all’IFPDT, anche quando lavorano per un ente: un fornitore che gestisce il software di un Comune, per esempio, tratta i dati per conto del Comune e secondo il contratto, senza che gli sia delegato un compito pubblico.
Il 15 settembre 2026 il Gran Consiglio ha approvato la revisione totale della legge cantonale, che non è ancora in vigore: rafforzerà il ruolo dell’Incaricato e consentirà a Comuni ed enti di dotarsi, su base volontaria, di un responsabile della protezione dei dati. Fino all’entrata in vigore resta applicabile la LPDP del 1987.
Cosa chiede la nLPD a un’azienda
La legge federale sulla protezione dei dati, in vigore dal 1° settembre 2023, si applica a privati e organi federali. Diversamente dal GDPR non impone di nominare un consulente per la protezione dei dati, ma chiede trasparenza, sicurezza e la capacità di dimostrare quello che si fa.
| Adempimento | Obbligatorio? | Perché |
|---|---|---|
| Informare le persone quando si raccolgono i dati | Sempre | Art. 19 nLPD: identità del titolare, scopi, destinatari, Paesi esteri a cui si comunicano i dati. |
| Rispondere alle richieste di accesso | Sempre | Art. 25 nLPD: di regola entro 30 giorni e gratuitamente. |
| Registro delle attività di trattamento | Da valutare | Art. 12 nLPD: esenti le imprese con meno di 250 collaboratori se il rischio è basso; non lo sono se trattano su larga scala dati degni di particolare protezione o fanno profilazione a rischio elevato. |
| Valutazione d’impatto | Da valutare | Art. 22 nLPD: quando un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali. |
| Notifica delle violazioni all’IFPDT | Se il rischio è elevato | Art. 24 nLPD: il prima possibile, senza un termine fisso di ore. |
| Consulente per la protezione dei dati | Facoltativo | Art. 10 nLPD: per i privati non è obbligatorio, ma semplifica la valutazione d’impatto. |
| Rappresentante nell’Unione europea | Se lavori con l’UE | Art. 27 GDPR: se offri regolarmente beni o servizi a persone nell’Unione senza avere lì una sede. |
Quando vale anche il GDPR
Un’azienda svizzera è soggetta anche al GDPR quando rivolge la propria offerta di beni o servizi a persone che si trovano nell’Unione europea (per esempio con un sito, una lingua, una valuta, spedizioni o pubblicità pensati per loro), oppure ne osserva il comportamento, come con la profilazione online (art. 3 par. 2 GDPR). Avere qualche cliente europeo che arriva da sé non basta. Quando il GDPR si applica e l’azienda non ha una sede nell’Unione, deve designare anche un rappresentante nell’UE, salvo che il trattamento sia occasionale e a basso rischio (art. 27). Per gli enti pubblici ticinesi il GDPR interessa soprattutto i fornitori che lavorano anche per clienti nell’Unione europea.
Le due leggi si somigliano ma non coincidono: il GDPR prevede sanzioni alle imprese fino al 4% del fatturato mondiale, la nLPD punisce soprattutto le persone responsabili. Il dettaglio è nella pagina GDPR, nLPD e AI Act per le aziende svizzere.
Intelligenza artificiale: cosa vale in Svizzera
L’AI Act europeo non è legge svizzera. Riguarda però le aziende svizzere che mettono sistemi di IA sul mercato dell’Unione o i cui risultati sono usati nell’Unione. In Svizzera la Confederazione ha scelto di ratificare la Convenzione del Consiglio d’Europa sull’intelligenza artificiale e di adattare le leggi esistenti, senza una legge generale come l’AI Act. Intanto vale la nLPD: chi usa l’IA su dati personali deve informare, valutare i rischi e comunicare le decisioni individuali automatizzate (art. 21).
Le sanzioni della nLPD
La nLPD ha un sistema diverso dal GDPR: le multe sono penali e colpiscono di regola la persona responsabile, non l’azienda, e riguardano le violazioni intenzionali.
Violazione intenzionale degli obblighi di informazione, accesso e collaborazione, o degli obblighi di diligenza su sicurezza, fornitori e comunicazioni all’estero (artt. 60-61).
Se la multa prevista non supera questo importo e individuare il responsabile richiederebbe indagini sproporzionate, può essere condannata l’azienda invece della persona (art. 64).
È un argomento che i dirigenti capiscono subito: la responsabilità non resta nell’organizzazione, ma ricade su chi ha deciso.
Vuoi sapere cosa ti manca? La prima valutazione è gratuita e si fa in italiano, online.
Richiedi una valutazione gratuita →Come funziona
Cosa resta in mano tua
I documenti restano dell’organizzazione, in formato aperto e in italiano, e continuano a servire anche quando l’incarico finisce.
- Informative per clienti, collaboratori e fornitori, sulla nLPD e, dove serve, anche sul GDPR
- Registro delle attività quando dovuto, o un inventario dei trattamenti quando non lo è
- Contratti con i fornitori che trattano dati per tuo conto (art. 9 nLPD)
- Tabella delle comunicazioni all’estero con la base di ciascun trasferimento
- Procedura per le violazioni dei dati, con i criteri per la notifica all’IFPDT
- Istruzioni per i collaboratori, compreso l’uso degli strumenti di intelligenza artificiale
Le domande da fare a chi tratta i tuoi dati
Chi ti fornisce software, cloud o servizi amministrativi tratta dati per tuo conto: la nLPD ti chiede di sceglierlo con cura e di vincolarlo per contratto (art. 9).
- In quale Paese sono conservati i nostri dati, e quali sub-fornitori li trattano?
- Il contratto vi vincola a usare i dati solo per conto nostro e secondo le nostre istruzioni?
- Quali misure di sicurezza applicate, e come lo dimostrate?
- In quanto tempo ci avvisate di una violazione dei dati?
- Alla fine del contratto i dati ci vengono restituiti o eliminati?
- Il servizio usa funzioni di intelligenza artificiale sui nostri dati? Possiamo disattivarle?
Domande frequenti — protezione dei dati a Bellinzona
Un Comune ticinese deve nominare un responsabile della protezione dei dati?
Oggi la LPDP del 1987 non lo prevede come obbligo. La revisione approvata dal Gran Consiglio il 15 settembre 2026, non ancora in vigore, consentirà a Comuni ed enti di nominarlo su base volontaria. Restano dovuti tutti gli obblighi della LPDP.
Un fornitore privato del Cantone quale legge applica?
Di norma la nLPD federale. Se tratta dati per conto dell'ente, deve rispettare le istruzioni e le condizioni del contratto. Se invece il Cantone o un Comune gli delega un compito pubblico, per quel compito si applica la LPDP cantonale.
Chi vigila sugli enti pubblici ticinesi?
L'Incaricato cantonale della protezione dei dati, nominato dal Consiglio di Stato e sottoposto all'alta vigilanza del Gran Consiglio. Sulle aziende private vigila l'IFPDT.
Un progetto di ricerca con dati sanitari quali regole segue?
Oltre alla protezione dei dati, la legge federale sulla ricerca sull'essere umano, che disciplina consenso, uso dei dati e ruolo delle commissioni d'etica. Conviene pianificare tutto prima dell'avvio.
Vuoi mettere in ordine la protezione dei dati a Bellinzona?
Richiedi una valutazione gratuita: ti dico cosa manca rispetto alla nLPD e, se lavori con l’Unione europea, al GDPR.
Richiedi una valutazione gratuita →Protezione dei dati anche a: Lugano · Locarno · Mendrisio · Chiasso · tutte le aziende svizzere.