Studio CraveroProtezione dei dati a Locarno: turismo, ospitalità e cura
Pagina aggiornata al 24 ottobre 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Il Locarnese vive di turismo e di cura: alberghi, case di vacanza, cliniche e strutture per anziani. Due tipi di dati richiedono attenzione particolare: quelli degli ospiti europei, contattati con newsletter e offerte, e i dati sulla salute, che la nLPD considera degni di particolare protezione.
Come lavoro: lo Studio ha sede a Sassari, in Italia. Con le organizzazioni ticinesi lavoro in italiano, online, con documenti costruiti sulla legge svizzera; gli incontri in presenza si concordano quando servono davvero.
Locarno Svizzera italiana
I settori del territorio e le regole che li riguardano: nLPD, GDPR quando si lavora con l’Unione, AI Act per chi vende in Europa.
- Alberghi e case di vacanza
- Cliniche e case per anziani
- Sanità e studi medici
- Immobiliari e affitti turistici
- Eventi e cultura
Protezione dei dati a Locarno: per chi lavoro
Strutture ricettive, agenzie di affitto di case di vacanza, cliniche, case per anziani, studi medici e organizzatori di eventi culturali raccolgono dati in stagioni concentrate, con personale che cambia e sistemi di prenotazione esterni. È proprio in questi passaggi che i dati si disperdono.
- ✓ Alberghi e case di vacanza
- ✓ Cliniche e case per anziani
- ✓ Sanità e studi medici
- ✓ Immobiliari e affitti turistici
- ✓ Eventi e cultura
Casi tipici in questi settori
Dati degli ospiti, sistemi di prenotazione esterni e newsletter verso clienti che vivono nell’Unione: informativa chiara, contratti adeguati con i fornitori e consenso per il marketing dove serve.
Dati sanitari di pazienti e ospiti, spesso condivisi con medici esterni e familiari: accessi per ruolo, informazioni chiare e una valutazione d’impatto quando si introducono sistemi nuovi.
Contratti brevi e rotazione continua: istruzioni scritte, accessi che si chiudono il giorno della fine del contratto e nessun uso di telefoni personali per i dati degli ospiti.
Dati sulla salute: cosa chiede la nLPD
La nLPD tratta i dati sulla salute come dati personali degni di particolare protezione (art. 5). Per una clinica o una casa per anziani questo significa tre cose concrete: quando la base è il consenso, deve essere esplicito (art. 6); un trattamento su larga scala richiede una valutazione d’impatto (art. 22); e le misure di sicurezza devono essere proporzionate al rischio, con accessi per ruolo e tracciamento.
Quando si usano strumenti di intelligenza artificiale, per esempio per trascrivere le visite o riassumere le cartelle, la valutazione va fatta prima di introdurli, insieme al contratto con il fornitore.
Cosa chiede la nLPD a un’azienda
La legge federale sulla protezione dei dati, in vigore dal 1° settembre 2023, si applica a privati e organi federali. Diversamente dal GDPR non impone di nominare un consulente per la protezione dei dati, ma chiede trasparenza, sicurezza e la capacità di dimostrare quello che si fa.
| Adempimento | Obbligatorio? | Perché |
|---|---|---|
| Informare le persone quando si raccolgono i dati | Sempre | Art. 19 nLPD: identità del titolare, scopi, destinatari, Paesi esteri a cui si comunicano i dati. |
| Rispondere alle richieste di accesso | Sempre | Art. 25 nLPD: di regola entro 30 giorni e gratuitamente. |
| Registro delle attività di trattamento | Da valutare | Art. 12 nLPD: esenti le imprese con meno di 250 collaboratori se il rischio è basso; non lo sono se trattano su larga scala dati degni di particolare protezione o fanno profilazione a rischio elevato. |
| Valutazione d’impatto | Da valutare | Art. 22 nLPD: quando un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali. |
| Notifica delle violazioni all’IFPDT | Se il rischio è elevato | Art. 24 nLPD: il prima possibile, senza un termine fisso di ore. |
| Consulente per la protezione dei dati | Facoltativo | Art. 10 nLPD: per i privati non è obbligatorio, ma semplifica la valutazione d’impatto. |
| Rappresentante nell’Unione europea | Se lavori con l’UE | Art. 27 GDPR: se offri regolarmente beni o servizi a persone nell’Unione senza avere lì una sede. |
Quando vale anche il GDPR
Un’azienda svizzera è soggetta anche al GDPR quando rivolge la propria offerta di beni o servizi a persone che si trovano nell’Unione europea (per esempio con un sito, una lingua, una valuta, spedizioni o pubblicità pensati per loro), oppure ne osserva il comportamento, come con la profilazione online (art. 3 par. 2 GDPR). Avere qualche cliente europeo che arriva da sé non basta. Quando il GDPR si applica e l’azienda non ha una sede nell’Unione, deve designare anche un rappresentante nell’UE, salvo che il trattamento sia occasionale e a basso rischio (art. 27). Per un albergo locarnese il caso tipico è la newsletter inviata a ex ospiti che vivono in Germania o in Italia.
Le due leggi si somigliano ma non coincidono: il GDPR prevede sanzioni alle imprese fino al 4% del fatturato mondiale, la nLPD punisce soprattutto le persone responsabili. Il dettaglio è nella pagina GDPR, nLPD e AI Act per le aziende svizzere.
Intelligenza artificiale: cosa vale in Svizzera
L’AI Act europeo non è legge svizzera. Riguarda però le aziende svizzere che mettono sistemi di IA sul mercato dell’Unione o i cui risultati sono usati nell’Unione. In Svizzera la Confederazione ha scelto di ratificare la Convenzione del Consiglio d’Europa sull’intelligenza artificiale e di adattare le leggi esistenti, senza una legge generale come l’AI Act. Intanto vale la nLPD: chi usa l’IA su dati personali deve informare, valutare i rischi e comunicare le decisioni individuali automatizzate (art. 21).
Le sanzioni della nLPD
La nLPD ha un sistema diverso dal GDPR: le multe sono penali e colpiscono di regola la persona responsabile, non l’azienda, e riguardano le violazioni intenzionali.
Violazione intenzionale degli obblighi di informazione, accesso e collaborazione, o degli obblighi di diligenza su sicurezza, fornitori e comunicazioni all’estero (artt. 60-61).
Se la multa prevista non supera questo importo e individuare il responsabile richiederebbe indagini sproporzionate, può essere condannata l’azienda invece della persona (art. 64).
È un argomento che i dirigenti capiscono subito: la responsabilità non resta nell’organizzazione, ma ricade su chi ha deciso.
Vuoi sapere cosa ti manca? La prima valutazione è gratuita e si fa in italiano, online.
Richiedi una valutazione gratuita →Come funziona
Cosa resta in mano tua
I documenti restano dell’organizzazione, in formato aperto e in italiano, e continuano a servire anche quando l’incarico finisce.
- Informative per clienti, collaboratori e fornitori, sulla nLPD e, dove serve, anche sul GDPR
- Registro delle attività quando dovuto, o un inventario dei trattamenti quando non lo è
- Contratti con i fornitori che trattano dati per tuo conto (art. 9 nLPD)
- Tabella delle comunicazioni all’estero con la base di ciascun trasferimento
- Procedura per le violazioni dei dati, con i criteri per la notifica all’IFPDT
- Istruzioni per i collaboratori, compreso l’uso degli strumenti di intelligenza artificiale
Le domande da fare a chi tratta i tuoi dati
Chi ti fornisce software, cloud o servizi amministrativi tratta dati per tuo conto: la nLPD ti chiede di sceglierlo con cura e di vincolarlo per contratto (art. 9).
- In quale Paese sono conservati i nostri dati, e quali sub-fornitori li trattano?
- Il contratto vi vincola a usare i dati solo per conto nostro e secondo le nostre istruzioni?
- Quali misure di sicurezza applicate, e come lo dimostrate?
- In quanto tempo ci avvisate di una violazione dei dati?
- Alla fine del contratto i dati ci vengono restituiti o eliminati?
- Il servizio usa funzioni di intelligenza artificiale sui nostri dati? Possiamo disattivarle?
Domande frequenti — protezione dei dati a Locarno
Un hotel di Locarno deve applicare il GDPR agli ospiti europei?
Per il soggiorno in Svizzera vale la nLPD. Il GDPR entra in gioco quando l'hotel rivolge attivamente offerte o marketing a persone nell'Unione, per esempio con newsletter o campagne mirate.
Le newsletter agli ex ospiti sono consentite?
In Svizzera la pubblicità di massa per email è regolata anche dalla legge contro la concorrenza sleale: serve il consenso, salvo verso i clienti a cui si propongono prodotti o servizi simili, sempre con la possibilità di opporsi.
Una casa per anziani deve fare una valutazione d'impatto?
Quando un trattamento può comportare un rischio elevato per la personalità, come il trattamento su larga scala di dati sanitari, la nLPD la richiede (art. 22).
Il personale può usare il telefono personale per scrivere agli ospiti?
Meglio di no: con telefoni e app personali i dati degli ospiti finiscono su dispositivi privati e fuori controllo. Servono un canale aziendale e istruzioni scritte.
Vuoi mettere in ordine la protezione dei dati a Locarno?
Richiedi una valutazione gratuita: ti dico cosa manca rispetto alla nLPD e, se lavori con l’Unione europea, al GDPR.
Richiedi una valutazione gratuita →Protezione dei dati anche a: Lugano · Bellinzona · Mendrisio · Chiasso · tutte le aziende svizzere.