di Christophe Vallois
10 agosto 2026
14 min di lettura
Cos'è la nLPD? Definizione e obblighi per le aziende svizzere
nLPD: definizione, differenze con il RGPD, obblighi concreti e sanzioni. La guida completa per le aziende svizzere, spiegata semplicemente.
In sintesi
La nLPD (nuova Legge federale sulla Protezione dei Dati) è la legge svizzera che disciplina il trattamento dei dati personali. Entrata in vigore il 1° settembre 2023, sostituisce la vecchia LPD e si avvicina al RGPD europeo, mantenendo però particolarità svizzere importanti: protegge solo le persone fisiche, e le sue sanzioni, fino a CHF 250'000, colpiscono la persona responsabile individualmente piuttosto che l'azienda. Questo articolo spiega la definizione, gli obblighi concreti e i rischi in caso di non conformità.
Introduzione
Ogni organizzazione che tratta dati di persone situate in Svizzera, svizzera o straniera che sia, è soggetta alla nLPD dalla sua entrata in vigore nel settembre 2023. Eppure, la legge resta spesso poco compresa: confusa con il RGPD, ridotta a una formalità di conformità, o percepita come un argomento riservato ai giuristi.
In Ketl accompagniamo dal 2019 PMI svizzere e aziende regolamentate nella loro messa in conformità documentale. Questo articolo spiega cos'è la nLPD, in cosa differisce dal RGPD, chi riguarda, e quali obblighi concreti impone a un'azienda.
Cos'è la nLPD?
La nLPD, nuova Legge federale sulla Protezione dei Dati, è il testo che disciplina in Svizzera la raccolta, il trattamento e la conservazione dei dati personali. Adottata dal Parlamento nell'autunno 2020 al termine di una revisione totale, è entrata in vigore il 1° settembre 2023, sostituendo la vecchia legge risalente agli anni '90, ormai obsoleta di fronte agli usi digitali attuali.
Questa revisione perseguiva due obiettivi principali: modernizzare la protezione dei dati di fronte alle evoluzioni tecnologiche, e mantenere la compatibilità del diritto svizzero con il diritto europeo, RGPD incluso, per preservare la libera circolazione dei dati tra la Svizzera e l'Unione europea. Questa compatibilità è stata confermata da una decisione di adeguatezza della Commissione europea, che resta tuttavia una decisione politica rivedibile, non una garanzia permanente.
nLPD e RGPD: le differenze chiave
La nLPD si ispira ampiamente al RGPD, ma se ne distingue su diversi punti concreti, da conoscere prima di qualsiasi messa in conformità.
Il perimetro delle persone protette. La nLPD protegge esclusivamente le persone fisiche. La vecchia legge svizzera copriva anche le persone giuridiche (aziende, associazioni), una protezione che scompare con la revisione, allineando la Svizzera all'approccio del RGPD.
La natura delle sanzioni. È la differenza più significativa. Il RGPD prevede ammende amministrative che possono raggiungere 20 milioni di euro o il 4% del fatturato mondiale, rivolte all'azienda in quanto persona giuridica. La nLPD prevede sanzioni penali, rivolte in linea di principio alla persona fisica responsabile dell'inadempienza, con un'ammenda massima di CHF 250'000, contro i CHF 10'000 previsti dalla vecchia legge.
Il termine di notifica in caso di violazione. Il RGPD impone una notifica entro 72 ore. La nLPD richiede una notifica "il più presto possibile" (art. 24), una formulazione meno rigida nel testo, che non allevia però l'esigenza di reattività nella pratica.
L'autorità di controllo. In Svizzera, l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) conduce le indagini e può ordinare misure, ma non pronuncia esso stesso le ammende: queste rientrano nelle autorità penali cantonali, adite su denuncia dell'IFPDT.
| Criterio | RGPD | nLPD |
|---|---|---|
| Persone protette | Fisiche e talvolta giuridiche secondo il paese | Solo fisiche |
| Natura delle sanzioni | Amministrative, contro l'azienda | Penali, contro la persona responsabile |
| Ammenda massima | 20 milioni € o 4% del fatturato mondiale | CHF 250'000 |
| Termine di notifica violazione | 72 ore | Il più presto possibile |
| Negligenza sanzionabile | Sì | No, solo l'intenzionalità è punibile |
Chi è interessato dalla nLPD?
La nLPD si applica a qualsiasi organizzazione, svizzera o straniera, che tratta dati di persone situate in Svizzera, indipendentemente dal luogo in cui il trattamento avviene effettivamente. Questo copre i collaboratori, i clienti, i prospect, gli amministrati, così come i loro subappaltatori e partner.
Un'azienda straniera che tratta su larga scala dati di residenti svizzeri, senza sede né stabilimento in Svizzera, può dover designare un rappresentante in Svizzera a seconda delle circostanze. La portata extraterritoriale della legge ricalca su questo punto la logica del RGPD.
Gli obblighi principali per un'azienda
Il registro delle attività di trattamento
L'art. 12 nLPD impone di tenere un registro che censisce i trattamenti di dati personali effettuati. Le aziende con meno di 250 collaboratori ne sono in linea di principio dispensate, salvo se trattano dati sensibili su larga scala o praticano una profilazione ad alto rischio.
La protezione fin dalla progettazione e per impostazione predefinita
L'art. 7 nLPD consacra i principi di Privacy by Design e Privacy by Default: la protezione dei dati deve essere integrata fin dalla progettazione di un trattamento o di un prodotto, non aggiunta successivamente.
Le misure di sicurezza minime
L'art. 8 nLPD richiede misure tecniche e organizzative adeguate al rischio, per proteggere i dati da accessi non autorizzati, perdita o alterazione.
L'obbligo di informazione
L'art. 19 nLPD impone di informare le persone interessate al momento della raccolta dei loro dati: finalità del trattamento, identità del responsabile, eventuali destinatari.
La valutazione d'impatto relativa alla protezione dei dati
L'art. 22 nLPD richiede una valutazione d'impatto quando un trattamento è suscettibile di comportare un rischio elevato per la personalità o i diritti fondamentali delle persone interessate.
La notifica in caso di violazione
L'art. 24 nLPD impone di notificare all'IFPDT, il più presto possibile, qualsiasi violazione della sicurezza dei dati suscettibile di comportare un rischio elevato per le persone interessate.
Le regole di trasferimento all'estero
Gli art. 16 e 17 nLPD disciplinano la comunicazione di dati personali all'estero. Il trasferimento verso un paese riconosciuto come dotato di una protezione adeguata, la cui lista è pubblicata dal Consiglio federale, resta possibile senza garanzia contrattuale supplementare. La Svizzera e l'insieme dei paesi dell'UE figurano in questa lista.
Sanzioni e rischi in caso di non conformità
Gli art. 60-66 nLPD definiscono il regime di sanzioni penali. Tre elementi meritano di essere ritenuti.
L'importo. L'ammenda massima ammonta a CHF 250'000 per infrazione, contro i CHF 10'000 previsti dalla vecchia legge.
Il destinatario. Contrariamente al RGPD, la sanzione colpisce in linea di principio la persona fisica responsabile dell'inadempienza all'interno dell'organizzazione, non l'azienda stessa. Questa responsabilità personale ha conseguenze dirette sulla reputazione e sulla situazione professionale della persona coinvolta. In determinate condizioni, in particolare quando l'ammenda prevista non supera CHF 50'000 e l'indagine colpirebbe in modo sproporzionato una persona fisica, l'autorità può condannare l'azienda al suo posto.
L'elemento intenzionale. Solo le violazioni intenzionali sono punibili penalmente. La negligenza, a differenza del RGPD, non comporta sanzione penale sotto la nLPD, il che non dispensa evidentemente da una gestione rigorosa dei dati.
Da notare: un'iscrizione al casellario giudiziale diventa possibile non appena un'ammenda supera CHF 5'000, il che distingue chiaramente il regime svizzero da una semplice sanzione amministrativa.
nLPD e gestione documentale: il collegamento concreto
La maggior parte degli obblighi nLPD si traduce, in pratica, in esigenze documentali: tenere un registro aggiornato, dimostrare che misure di sicurezza sono in atto, ritrovare rapidamente i dati di una persona in caso di richiesta di accesso o cancellazione, documentare una valutazione d'impatto, notificare una violazione con le informazioni necessarie riunite il più presto possibile.
Una gestione documentale dispersa tra caselle e-mail, cartelle locali e fogli di calcolo rende questi obblighi difficili da soddisfare in modo affidabile. Un DMS che classifica automaticamente i documenti, traccia ogni accesso e ogni modifica, e permette di ritrovare un'informazione in pochi secondi anziché in diverse ore, trasforma questi obblighi teorici in un processo sostenibile nel quotidiano.
Ketl è progettato nLPD-nativo: hosting esclusivamente in Svizzera, traccia di audit completa su ogni documento, e classificazione automatica tramite IA che semplifica la tenuta di un registro dei trattamenti aggiornato.
In cifre: Ketl elabora oltre 46 milioni di documenti in 11 settori regolamentati, con un'infrastruttura e modelli di IA ospitati esclusivamente in Svizzera.
FAQ
Cosa significa l'acronimo nLPD?
nLPD significa nuova Legge federale sulla Protezione dei Dati. È la legge svizzera, entrata in vigore il 1° settembre 2023, che disciplina la raccolta, il trattamento e la conservazione dei dati personali.
Qual è la differenza tra la nLPD e il RGPD? La differenza principale riguarda la natura delle sanzioni: il RGPD prevede ammende amministrative contro l'azienda, fino a 20 milioni di euro o il 4% del fatturato mondiale. La nLPD prevede sanzioni penali rivolte alla persona fisica responsabile, fino a CHF 250'000. La nLPD protegge inoltre solo le persone fisiche, a differenza della vecchia legge svizzera che copriva anche le persone giuridiche.
Un'azienda straniera è interessata dalla nLPD? Sì, se tratta dati di persone situate in Svizzera, indipendentemente dal luogo in cui il trattamento avviene effettivamente. A seconda dell'ampiezza del trattamento, un'azienda straniera senza stabilimento in Svizzera può dover designare un rappresentante sul territorio svizzero.
Tutte le aziende devono tenere un registro delle attività di trattamento? No. Le aziende con meno di 250 collaboratori ne sono dispensate, salvo se trattano dati sensibili su larga scala o praticano una profilazione ad alto rischio.
Chi può essere condannato in caso di violazione della nLPD? In linea di principio, la persona fisica responsabile dell'inadempienza all'interno dell'azienda, ad esempio un dirigente o la persona designata responsabile della protezione dei dati. L'azienda stessa può essere condannata al posto della persona fisica in determinate condizioni precise, in particolare quando l'ammenda prevista resta modesta.
Conclusione
La nLPD disciplina dal settembre 2023 il trattamento dei dati personali in Svizzera, con un'architettura vicina al RGPD nella sostanza, ma differenze concrete sulla natura delle sanzioni e sul perimetro di protezione. Per un'azienda, la conformità passa meno da una lettura giuridica puntuale che da una gestione documentale in grado di dimostrare, in ogni momento, che gli obblighi sono effettivamente rispettati.
Il prossimo passo concreto: verificate se la vostra azienda tiene già un registro delle attività di trattamento aggiornato, e se potreste rispondere in pochi minuti a una richiesta di accesso ai dati di una persona interessata. Questi due test rivelano rapidamente lo stato reale della vostra conformità.
Redatto a seguito di un colloquio con James McGill, co-fondatore di Ketl. Strutturato e ottimizzato con Ketl AI, la nostra IA sovrana ospitata in Svizzera.
Questo articolo ha una vocazione informativa e non costituisce una consulenza legale. Per un'analisi di conformità specifica alla vostra situazione, consultate un consulente specializzato in protezione dei dati.
Fonti:
- nLPD — Incaricato federale della protezione dei dati e della trasparenza (IFPDT)
- Nuova legge sulla protezione dei dati — KMU.admin.ch
- Nuova legge federale sulla protezione dei dati (nLPD) in Svizzera — Check