Studio CraveroProtezione dei dati a Lugano: consulenza nLPD e GDPR
Pagina aggiornata al 24 ottobre 2026 · a cura del Dott. Pietro Cravero, DPO certificato
A Lugano la protezione dei dati raramente riguarda una legge sola. Una fiduciaria o un gestore patrimoniale con clienti in Italia applica la nLPD a quello che fa in Svizzera e, molto spesso, anche il GDPR ai clienti che vivono nell’Unione europea. Ti aiuto a capire quale regola vale per quale dato e a tenere una sola documentazione per entrambe.
Come lavoro: lo Studio ha sede a Sassari, in Italia. Con le organizzazioni ticinesi lavoro in italiano, online, con documenti costruiti sulla legge svizzera; gli incontri in presenza si concordano quando servono davvero.
Lugano Svizzera italiana
I settori del territorio e le regole che li riguardano: nLPD, GDPR quando si lavora con l’Unione, AI Act per chi vende in Europa.
- Fiduciarie e gestori patrimoniali
- Studi legali e commerciali
- Società IT e di servizi
- Commercio e PMI con clienti in Italia
- Sanità e studi medici
Protezione dei dati a Lugano: per chi lavoro
La piazza finanziaria luganese, le fiduciarie, gli studi legali e commerciali, le società di servizi e di tecnologia trattano ogni giorno dati di clienti che vivono in Svizzera e oltre confine. È un tessuto in cui la riservatezza è un valore commerciale prima ancora che un obbligo, e in cui le regole contro il riciclaggio si sovrappongono a quelle sulla protezione dei dati.
- ✓ Fiduciarie e gestori patrimoniali
- ✓ Studi legali e commerciali
- ✓ Società IT e di servizi
- ✓ Commercio e PMI con clienti in Italia
- ✓ Sanità e studi medici
Casi tipici in questi settori
Fascicoli dei clienti conservati per anni per gli obblighi antiriciclaggio, ma accessi interni troppo ampi e nessuna regola su cosa eliminare alla scadenza. La nLPD chiede di conservare solo il necessario e di proteggere quello che si conserva.
Newsletter, gestionale clienti e contratti con persone che vivono nell’Unione: se l’offerta è rivolta a loro si applica anche il GDPR, e spesso serve un rappresentante nell’UE.
Email, cartelle condivise e strumenti di intelligenza artificiale usati per riassumere i documenti dei clienti: segreto professionale e scelta del fornitore vanno decisi prima di cominciare, non dopo.
Conservare per l’antiriciclaggio, eliminare per la nLPD
La legge sul riciclaggio di denaro impone agli intermediari finanziari di conservare i documenti per almeno dieci anni dalla fine della relazione d’affari. La nLPD, dall’altra parte, chiede che i dati siano conservati solo finché servono allo scopo. Le due regole non si contraddicono: si combinano.
In pratica servono tre cose: un elenco chiaro di cosa si conserva per obbligo di legge e per quanto, accessi limitati a chi ne ha davvero bisogno, e una procedura per eliminare o rendere anonimo il resto quando il termine scade. È uno dei primi punti che guarda chi verifica un intermediario, dall’autorità al cliente istituzionale.
Cosa chiede la nLPD a un’azienda
La legge federale sulla protezione dei dati, in vigore dal 1° settembre 2023, si applica a privati e organi federali. Diversamente dal GDPR non impone di nominare un consulente per la protezione dei dati, ma chiede trasparenza, sicurezza e la capacità di dimostrare quello che si fa.
| Adempimento | Obbligatorio? | Perché |
|---|---|---|
| Informare le persone quando si raccolgono i dati | Sempre | Art. 19 nLPD: identità del titolare, scopi, destinatari, Paesi esteri a cui si comunicano i dati. |
| Rispondere alle richieste di accesso | Sempre | Art. 25 nLPD: di regola entro 30 giorni e gratuitamente. |
| Registro delle attività di trattamento | Da valutare | Art. 12 nLPD: esenti le imprese con meno di 250 collaboratori se il rischio è basso; non lo sono se trattano su larga scala dati degni di particolare protezione o fanno profilazione a rischio elevato. |
| Valutazione d’impatto | Da valutare | Art. 22 nLPD: quando un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali. |
| Notifica delle violazioni all’IFPDT | Se il rischio è elevato | Art. 24 nLPD: il prima possibile, senza un termine fisso di ore. |
| Consulente per la protezione dei dati | Facoltativo | Art. 10 nLPD: per i privati non è obbligatorio, ma semplifica la valutazione d’impatto. |
| Rappresentante nell’Unione europea | Se lavori con l’UE | Art. 27 GDPR: se offri regolarmente beni o servizi a persone nell’Unione senza avere lì una sede. |
Quando vale anche il GDPR
Un’azienda svizzera è soggetta anche al GDPR quando rivolge la propria offerta di beni o servizi a persone che si trovano nell’Unione europea (per esempio con un sito, una lingua, una valuta, spedizioni o pubblicità pensati per loro), oppure ne osserva il comportamento, come con la profilazione online (art. 3 par. 2 GDPR). Avere qualche cliente europeo che arriva da sé non basta. Quando il GDPR si applica e l’azienda non ha una sede nell’Unione, deve designare anche un rappresentante nell’UE, salvo che il trattamento sia occasionale e a basso rischio (art. 27). Per una fiduciaria luganese con clientela italiana è la situazione più comune, e conviene impostare informative e registro in modo che coprano entrambe le leggi.
Le due leggi si somigliano ma non coincidono: il GDPR prevede sanzioni alle imprese fino al 4% del fatturato mondiale, la nLPD punisce soprattutto le persone responsabili. Il dettaglio è nella pagina GDPR, nLPD e AI Act per le aziende svizzere.
Intelligenza artificiale: cosa vale in Svizzera
L’AI Act europeo non è legge svizzera. Riguarda però le aziende svizzere che mettono sistemi di IA sul mercato dell’Unione o i cui risultati sono usati nell’Unione. In Svizzera la Confederazione ha scelto di ratificare la Convenzione del Consiglio d’Europa sull’intelligenza artificiale e di adattare le leggi esistenti, senza una legge generale come l’AI Act. Intanto vale la nLPD: chi usa l’IA su dati personali deve informare, valutare i rischi e comunicare le decisioni individuali automatizzate (art. 21).
Le sanzioni della nLPD
La nLPD ha un sistema diverso dal GDPR: le multe sono penali e colpiscono di regola la persona responsabile, non l’azienda, e riguardano le violazioni intenzionali.
Violazione intenzionale degli obblighi di informazione, accesso e collaborazione, o degli obblighi di diligenza su sicurezza, fornitori e comunicazioni all’estero (artt. 60-61).
Se la multa prevista non supera questo importo e individuare il responsabile richiederebbe indagini sproporzionate, può essere condannata l’azienda invece della persona (art. 64).
È un argomento che i dirigenti capiscono subito: la responsabilità non resta nell’organizzazione, ma ricade su chi ha deciso.
Vuoi sapere cosa ti manca? La prima valutazione è gratuita e si fa in italiano, online.
Richiedi una valutazione gratuita →Come funziona
Cosa resta in mano tua
I documenti restano dell’organizzazione, in formato aperto e in italiano, e continuano a servire anche quando l’incarico finisce.
- Informative per clienti, collaboratori e fornitori, sulla nLPD e, dove serve, anche sul GDPR
- Registro delle attività quando dovuto, o un inventario dei trattamenti quando non lo è
- Contratti con i fornitori che trattano dati per tuo conto (art. 9 nLPD)
- Tabella delle comunicazioni all’estero con la base di ciascun trasferimento
- Procedura per le violazioni dei dati, con i criteri per la notifica all’IFPDT
- Istruzioni per i collaboratori, compreso l’uso degli strumenti di intelligenza artificiale
Le domande da fare a chi tratta i tuoi dati
Chi ti fornisce software, cloud o servizi amministrativi tratta dati per tuo conto: la nLPD ti chiede di sceglierlo con cura e di vincolarlo per contratto (art. 9).
- In quale Paese sono conservati i nostri dati, e quali sub-fornitori li trattano?
- Il contratto vi vincola a usare i dati solo per conto nostro e secondo le nostre istruzioni?
- Quali misure di sicurezza applicate, e come lo dimostrate?
- In quanto tempo ci avvisate di una violazione dei dati?
- Alla fine del contratto i dati ci vengono restituiti o eliminati?
- Il servizio usa funzioni di intelligenza artificiale sui nostri dati? Possiamo disattivarle?
Domande frequenti — protezione dei dati a Lugano
Una fiduciaria di Lugano deve rispettare il GDPR?
Sì, per i trattamenti che riguardano persone nell'Unione europea quando rivolge a loro la propria offerta di servizi o ne osserva il comportamento (art. 3 par. 2 GDPR); avere qualche cliente europeo che arriva da sé non basta. Per il resto vale la nLPD. Spesso le due leggi convivono nella stessa azienda.
Un'azienda di Lugano deve nominare un rappresentante nell'Unione europea?
Se il GDPR le si applica perché rivolge la propria offerta a persone nell'Unione e non ha una sede nell'UE, l'art. 27 GDPR richiede di designare un rappresentante in uno Stato membro, salvo che il trattamento sia occasionale e a basso rischio.
La nLPD obbliga a nominare un consulente per la protezione dei dati?
No, per le aziende private è facoltativo (art. 10 nLPD). Nominarlo, se è indipendente e competente, consente di non consultare l'IFPDT quando una valutazione d'impatto lascia un rischio elevato.
I documenti sono in italiano e basati sulla legge svizzera?
Sì. Li redigo in italiano e sulla nLPD; quando si applica anche il GDPR li imposto in modo che una sola documentazione copra entrambe le leggi.
Vuoi mettere in ordine la protezione dei dati a Lugano?
Richiedi una valutazione gratuita: ti dico cosa manca rispetto alla nLPD e, se lavori con l’Unione europea, al GDPR.
Richiedi una valutazione gratuita →Protezione dei dati anche a: Bellinzona · Locarno · Mendrisio · Chiasso · tutte le aziende svizzere.