Studio CraveroProtezione dei dati a Mendrisio: commercio e logistica verso l’UE
Pagina aggiornata al 24 ottobre 2026 · a cura del Dott. Pietro Cravero, DPO certificato
Nel Mendrisiotto molte aziende vendono ogni giorno a clienti nell’Unione europea: moda, distribuzione, commercio online. Per loro la protezione dei dati è doppia, nLPD in Svizzera e GDPR verso i clienti europei. A questo si aggiungono le telecamere nei magazzini e gli strumenti di intelligenza artificiale usati per vendere online.
Come lavoro: lo Studio ha sede a Sassari, in Italia. Con le organizzazioni ticinesi lavoro in italiano, online, con documenti costruiti sulla legge svizzera; gli incontri in presenza si concordano quando servono davvero.
Mendrisio Svizzera italiana
I settori del territorio e le regole che li riguardano: nLPD, GDPR quando si lavora con l’Unione, AI Act per chi vende in Europa.
- Moda e distribuzione
- Logistica e magazzini
- E-commerce verso l’Unione europea
- Industria e produzione
- Sanità e studi medici
Protezione dei dati a Mendrisio: per chi lavoro
Il distretto unisce moda, centri logistici, commercio al dettaglio, industria e un polo di formazione universitaria. Molti collaboratori arrivano ogni giorno dall’Italia e molti clienti sono oltre confine: due flussi di dati che attraversano la frontiera in direzioni opposte.
- ✓ Moda e distribuzione
- ✓ Logistica e magazzini
- ✓ E-commerce verso l’Unione europea
- ✓ Industria e produzione
- ✓ Sanità e studi medici
Casi tipici in questi settori
Negozio online, profilazione dei clienti, pubblicità mirata e assistenza automatica: GDPR per i clienti europei, nLPD per il resto, informative coerenti e un rappresentante nell’UE quando serve.
Telecamere, badge e lettori portatili: in Svizzera i sistemi che sorvegliano il comportamento dei lavoratori sono vietati, quelli per sicurezza e organizzazione vanno progettati per non diventarlo.
Programmi fedeltà, liste clienti dei negozi e dati raccolti agli eventi: una sola regola su cosa si raccoglie, per quanto tempo e chi può usarlo.
Telecamere e controlli in magazzino: il limite svizzero
L’ordinanza 3 concernente la legge sul lavoro (art. 26) vieta i sistemi di sorveglianza e di controllo destinati a sorvegliare il comportamento dei lavoratori sul posto di lavoro. Telecamere, badge e geolocalizzazione sono ammessi solo se servono ad altri scopi, come la sicurezza o l’organizzazione del lavoro, e se sono configurati in modo da non pregiudicare la salute e la libertà di movimento dei collaboratori.
In pratica: inquadrature limitate alle zone a rischio, nessuna ripresa costante delle postazioni, accesso alle immagini ristretto e documentato, informazione chiara ai collaboratori. Il Codice delle obbligazioni (art. 328b) aggiunge che il datore di lavoro può trattare dati sul lavoratore solo se riguardano l’idoneità al lavoro o servono a eseguire il contratto.
Cosa chiede la nLPD a un’azienda
La legge federale sulla protezione dei dati, in vigore dal 1° settembre 2023, si applica a privati e organi federali. Diversamente dal GDPR non impone di nominare un consulente per la protezione dei dati, ma chiede trasparenza, sicurezza e la capacità di dimostrare quello che si fa.
| Adempimento | Obbligatorio? | Perché |
|---|---|---|
| Informare le persone quando si raccolgono i dati | Sempre | Art. 19 nLPD: identità del titolare, scopi, destinatari, Paesi esteri a cui si comunicano i dati. |
| Rispondere alle richieste di accesso | Sempre | Art. 25 nLPD: di regola entro 30 giorni e gratuitamente. |
| Registro delle attività di trattamento | Da valutare | Art. 12 nLPD: esenti le imprese con meno di 250 collaboratori se il rischio è basso; non lo sono se trattano su larga scala dati degni di particolare protezione o fanno profilazione a rischio elevato. |
| Valutazione d’impatto | Da valutare | Art. 22 nLPD: quando un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali. |
| Notifica delle violazioni all’IFPDT | Se il rischio è elevato | Art. 24 nLPD: il prima possibile, senza un termine fisso di ore. |
| Consulente per la protezione dei dati | Facoltativo | Art. 10 nLPD: per i privati non è obbligatorio, ma semplifica la valutazione d’impatto. |
| Rappresentante nell’Unione europea | Se lavori con l’UE | Art. 27 GDPR: se offri regolarmente beni o servizi a persone nell’Unione senza avere lì una sede. |
Quando vale anche il GDPR
Un’azienda svizzera è soggetta anche al GDPR quando rivolge la propria offerta di beni o servizi a persone che si trovano nell’Unione europea (per esempio con un sito, una lingua, una valuta, spedizioni o pubblicità pensati per loro), oppure ne osserva il comportamento, come con la profilazione online (art. 3 par. 2 GDPR). Avere qualche cliente europeo che arriva da sé non basta. Quando il GDPR si applica e l’azienda non ha una sede nell’Unione, deve designare anche un rappresentante nell’UE, salvo che il trattamento sia occasionale e a basso rischio (art. 27). Per un e-commerce del Mendrisiotto che vende in Italia, in Germania o in Francia è la regola, non l’eccezione.
Le due leggi si somigliano ma non coincidono: il GDPR prevede sanzioni alle imprese fino al 4% del fatturato mondiale, la nLPD punisce soprattutto le persone responsabili. Il dettaglio è nella pagina GDPR, nLPD e AI Act per le aziende svizzere.
Intelligenza artificiale: cosa vale in Svizzera
L’AI Act europeo non è legge svizzera. Riguarda però le aziende svizzere che mettono sistemi di IA sul mercato dell’Unione o i cui risultati sono usati nell’Unione. In Svizzera la Confederazione ha scelto di ratificare la Convenzione del Consiglio d’Europa sull’intelligenza artificiale e di adattare le leggi esistenti, senza una legge generale come l’AI Act. Intanto vale la nLPD: chi usa l’IA su dati personali deve informare, valutare i rischi e comunicare le decisioni individuali automatizzate (art. 21).
Le sanzioni della nLPD
La nLPD ha un sistema diverso dal GDPR: le multe sono penali e colpiscono di regola la persona responsabile, non l’azienda, e riguardano le violazioni intenzionali.
Violazione intenzionale degli obblighi di informazione, accesso e collaborazione, o degli obblighi di diligenza su sicurezza, fornitori e comunicazioni all’estero (artt. 60-61).
Se la multa prevista non supera questo importo e individuare il responsabile richiederebbe indagini sproporzionate, può essere condannata l’azienda invece della persona (art. 64).
È un argomento che i dirigenti capiscono subito: la responsabilità non resta nell’organizzazione, ma ricade su chi ha deciso.
Vuoi sapere cosa ti manca? La prima valutazione è gratuita e si fa in italiano, online.
Richiedi una valutazione gratuita →Come funziona
Cosa resta in mano tua
I documenti restano dell’organizzazione, in formato aperto e in italiano, e continuano a servire anche quando l’incarico finisce.
- Informative per clienti, collaboratori e fornitori, sulla nLPD e, dove serve, anche sul GDPR
- Registro delle attività quando dovuto, o un inventario dei trattamenti quando non lo è
- Contratti con i fornitori che trattano dati per tuo conto (art. 9 nLPD)
- Tabella delle comunicazioni all’estero con la base di ciascun trasferimento
- Procedura per le violazioni dei dati, con i criteri per la notifica all’IFPDT
- Istruzioni per i collaboratori, compreso l’uso degli strumenti di intelligenza artificiale
Le domande da fare a chi tratta i tuoi dati
Chi ti fornisce software, cloud o servizi amministrativi tratta dati per tuo conto: la nLPD ti chiede di sceglierlo con cura e di vincolarlo per contratto (art. 9).
- In quale Paese sono conservati i nostri dati, e quali sub-fornitori li trattano?
- Il contratto vi vincola a usare i dati solo per conto nostro e secondo le nostre istruzioni?
- Quali misure di sicurezza applicate, e come lo dimostrate?
- In quanto tempo ci avvisate di una violazione dei dati?
- Alla fine del contratto i dati ci vengono restituiti o eliminati?
- Il servizio usa funzioni di intelligenza artificiale sui nostri dati? Possiamo disattivarle?
Domande frequenti — protezione dei dati a Mendrisio
Un e-commerce svizzero che vende in Italia deve rispettare il GDPR?
Sì, se la sua offerta è rivolta a persone nell'Unione europea, per esempio con spedizioni, prezzi in euro o un sito in italiano pensato per l'Italia: il GDPR si applica a quei trattamenti anche senza una sede nell'UE (art. 3 par. 2), e di regola serve un rappresentante nell'Unione (art. 27).
Posso installare telecamere nel magazzino?
Sì, per la sicurezza delle merci e delle persone, ma non per sorvegliare il comportamento dei collaboratori (art. 26 OLL 3). Inquadrature, accessi alle immagini e conservazione vanno decisi e scritti prima.
Gli strumenti di intelligenza artificiale per vendere online sono soggetti all'AI Act?
L'AI Act non è legge svizzera, ma riguarda le aziende svizzere che mettono sistemi di IA sul mercato europeo o i cui risultati sono usati nell'Unione. Un assistente automatico rivolto a clienti europei, per esempio, deve rispettare gli obblighi di trasparenza.
I dati dei collaboratori frontalieri possono essere gestiti in Italia?
Sì: l'Italia è tra gli Stati che la Svizzera considera con protezione adeguata, quindi la comunicazione è possibile. Restano i principi della nLPD e del Codice delle obbligazioni sui dati dei lavoratori.
Vuoi mettere in ordine la protezione dei dati a Mendrisio?
Richiedi una valutazione gratuita: ti dico cosa manca rispetto alla nLPD e, se lavori con l’Unione europea, al GDPR.
Richiedi una valutazione gratuita →Protezione dei dati anche a: Lugano · Bellinzona · Locarno · Chiasso · tutte le aziende svizzere.