Studio CraveroProtezione dei dati a Chiasso: logistica e commercio di confine
Pagina aggiornata al 24 ottobre 2026 · a cura del Dott. Pietro Cravero, DPO certificato
A Chiasso i dati attraversano il confine insieme alle merci. Spedizionieri, operatori doganali e società di commercio internazionale scambiano ogni giorno documenti con clienti e fornitori in Italia e nel resto del mondo, e lavorano con molti collaboratori frontalieri. La nLPD chiede di sapere dove vanno questi dati e con quali garanzie.
Come lavoro: lo Studio ha sede a Sassari, in Italia. Con le organizzazioni ticinesi lavoro in italiano, online, con documenti costruiti sulla legge svizzera; gli incontri in presenza si concordano quando servono davvero.
Chiasso Svizzera italiana
I settori del territorio e le regole che li riguardano: nLPD, GDPR quando si lavora con l’Unione, AI Act per chi vende in Europa.
- Spedizionieri e agenzie doganali
- Trasporti e logistica
- Commercio internazionale
- Servizi finanziari
- Sanità e studi medici
Protezione dei dati a Chiasso: per chi lavoro
Il territorio è un crocevia di logistica, spedizioni, agenzie doganali, trasporti, commercio internazionale e servizi finanziari. È un’economia di confine, in cui la stessa pratica passa per mani svizzere, italiane e di Paesi terzi.
- ✓ Spedizionieri e agenzie doganali
- ✓ Trasporti e logistica
- ✓ Commercio internazionale
- ✓ Servizi finanziari
- ✓ Sanità e studi medici
Casi tipici in questi settori
Documenti di trasporto, dati di destinatari e mittenti, scambi con autorità e corrispondenti esteri: per ogni Paese di destinazione va verificato se la protezione è adeguata o se servono garanzie contrattuali.
Geolocalizzazione dei mezzi e app per la consegna: utili per l’organizzazione, ma configurate in modo da non diventare un controllo continuo dei conducenti.
Verifiche su clienti e controparti, liste di sanzioni e due diligence: dati raccolti per obblighi di legge, da conservare solo per il tempo necessario e con accessi limitati.
Dati verso l’estero: chi è adeguato e chi no
La nLPD consente di comunicare dati all’estero senza garanzie aggiuntive solo verso gli Stati che il Consiglio federale considera con una protezione adeguata, elencati nell’allegato all’ordinanza sulla protezione dei dati: tra questi ci sono l’Italia e gli altri Stati dell’Unione europea (art. 16).
Verso gli altri Paesi servono garanzie, di solito clausole contrattuali tipo riconosciute dall’IFPDT, oppure una delle eccezioni previste dalla legge, come la necessità per eseguire un contratto con la persona interessata (art. 17). Per uno spedizioniere che lavora con decine di Paesi lo strumento più utile è una tabella dei destinatari abituali, con la base di ciascun trasferimento.
Cosa chiede la nLPD a un’azienda
La legge federale sulla protezione dei dati, in vigore dal 1° settembre 2023, si applica a privati e organi federali. Diversamente dal GDPR non impone di nominare un consulente per la protezione dei dati, ma chiede trasparenza, sicurezza e la capacità di dimostrare quello che si fa.
| Adempimento | Obbligatorio? | Perché |
|---|---|---|
| Informare le persone quando si raccolgono i dati | Sempre | Art. 19 nLPD: identità del titolare, scopi, destinatari, Paesi esteri a cui si comunicano i dati. |
| Rispondere alle richieste di accesso | Sempre | Art. 25 nLPD: di regola entro 30 giorni e gratuitamente. |
| Registro delle attività di trattamento | Da valutare | Art. 12 nLPD: esenti le imprese con meno di 250 collaboratori se il rischio è basso; non lo sono se trattano su larga scala dati degni di particolare protezione o fanno profilazione a rischio elevato. |
| Valutazione d’impatto | Da valutare | Art. 22 nLPD: quando un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali. |
| Notifica delle violazioni all’IFPDT | Se il rischio è elevato | Art. 24 nLPD: il prima possibile, senza un termine fisso di ore. |
| Consulente per la protezione dei dati | Facoltativo | Art. 10 nLPD: per i privati non è obbligatorio, ma semplifica la valutazione d’impatto. |
| Rappresentante nell’Unione europea | Se lavori con l’UE | Art. 27 GDPR: se offri regolarmente beni o servizi a persone nell’Unione senza avere lì una sede. |
Quando vale anche il GDPR
Un’azienda svizzera è soggetta anche al GDPR quando rivolge la propria offerta di beni o servizi a persone che si trovano nell’Unione europea (per esempio con un sito, una lingua, una valuta, spedizioni o pubblicità pensati per loro), oppure ne osserva il comportamento, come con la profilazione online (art. 3 par. 2 GDPR). Avere qualche cliente europeo che arriva da sé non basta. Quando il GDPR si applica e l’azienda non ha una sede nell’Unione, deve designare anche un rappresentante nell’UE, salvo che il trattamento sia occasionale e a basso rischio (art. 27). Per uno spedizioniere di Chiasso con clienti italiani il GDPR riguarda soprattutto i servizi offerti direttamente a privati e piccole imprese nell’Unione.
Le due leggi si somigliano ma non coincidono: il GDPR prevede sanzioni alle imprese fino al 4% del fatturato mondiale, la nLPD punisce soprattutto le persone responsabili. Il dettaglio è nella pagina GDPR, nLPD e AI Act per le aziende svizzere.
Intelligenza artificiale: cosa vale in Svizzera
L’AI Act europeo non è legge svizzera. Riguarda però le aziende svizzere che mettono sistemi di IA sul mercato dell’Unione o i cui risultati sono usati nell’Unione. In Svizzera la Confederazione ha scelto di ratificare la Convenzione del Consiglio d’Europa sull’intelligenza artificiale e di adattare le leggi esistenti, senza una legge generale come l’AI Act. Intanto vale la nLPD: chi usa l’IA su dati personali deve informare, valutare i rischi e comunicare le decisioni individuali automatizzate (art. 21).
Le sanzioni della nLPD
La nLPD ha un sistema diverso dal GDPR: le multe sono penali e colpiscono di regola la persona responsabile, non l’azienda, e riguardano le violazioni intenzionali.
Violazione intenzionale degli obblighi di informazione, accesso e collaborazione, o degli obblighi di diligenza su sicurezza, fornitori e comunicazioni all’estero (artt. 60-61).
Se la multa prevista non supera questo importo e individuare il responsabile richiederebbe indagini sproporzionate, può essere condannata l’azienda invece della persona (art. 64).
È un argomento che i dirigenti capiscono subito: la responsabilità non resta nell’organizzazione, ma ricade su chi ha deciso.
Vuoi sapere cosa ti manca? La prima valutazione è gratuita e si fa in italiano, online.
Richiedi una valutazione gratuita →Come funziona
Cosa resta in mano tua
I documenti restano dell’organizzazione, in formato aperto e in italiano, e continuano a servire anche quando l’incarico finisce.
- Informative per clienti, collaboratori e fornitori, sulla nLPD e, dove serve, anche sul GDPR
- Registro delle attività quando dovuto, o un inventario dei trattamenti quando non lo è
- Contratti con i fornitori che trattano dati per tuo conto (art. 9 nLPD)
- Tabella delle comunicazioni all’estero con la base di ciascun trasferimento
- Procedura per le violazioni dei dati, con i criteri per la notifica all’IFPDT
- Istruzioni per i collaboratori, compreso l’uso degli strumenti di intelligenza artificiale
Le domande da fare a chi tratta i tuoi dati
Chi ti fornisce software, cloud o servizi amministrativi tratta dati per tuo conto: la nLPD ti chiede di sceglierlo con cura e di vincolarlo per contratto (art. 9).
- In quale Paese sono conservati i nostri dati, e quali sub-fornitori li trattano?
- Il contratto vi vincola a usare i dati solo per conto nostro e secondo le nostre istruzioni?
- Quali misure di sicurezza applicate, e come lo dimostrate?
- In quanto tempo ci avvisate di una violazione dei dati?
- Alla fine del contratto i dati ci vengono restituiti o eliminati?
- Il servizio usa funzioni di intelligenza artificiale sui nostri dati? Possiamo disattivarle?
Domande frequenti — protezione dei dati a Chiasso
Posso inviare i dati dei clienti a un corrispondente in un Paese extraeuropeo?
Solo con garanzie adeguate, per esempio clausole contrattuali tipo, oppure se rientra in un'eccezione come l'esecuzione di un contratto con la persona interessata (art. 17 nLPD).
Quali dati posso trattare sui collaboratori frontalieri?
Quelli che servono al rapporto di lavoro e agli obblighi di legge, anche fiscali e assicurativi (art. 328b del Codice delle obbligazioni). Documenti e permessi vanno conservati con accessi limitati.
La geolocalizzazione dei mezzi è consentita?
Sì per organizzare il lavoro e proteggere i mezzi, non per sorvegliare in modo continuo il comportamento dei conducenti (art. 26 OLL 3). I conducenti vanno informati e i dati conservati per un tempo limitato.
Cosa devo fare se perdo dati dei clienti?
Se la violazione comporta probabilmente un rischio elevato per le persone, va notificata all'IFPDT il prima possibile (art. 24 nLPD) e, in certi casi, vanno informate anche le persone coinvolte.
Vuoi mettere in ordine la protezione dei dati a Chiasso?
Richiedi una valutazione gratuita: ti dico cosa manca rispetto alla nLPD e, se lavori con l’Unione europea, al GDPR.
Richiedi una valutazione gratuita →Protezione dei dati anche a: Lugano · Bellinzona · Locarno · Mendrisio · tutte le aziende svizzere.