GDPR, LPD: smettila di trattarli come burocrazia. Sono il tuo sistema di difesa

Dal 2023 la Svizzera ha una nuova legge sulla protezione dei dati, così come in Europa c’è dal 2018. Se stai ancora gestendo privacy e cybersecurity come due mondi separati, questo articolo è scritto per te.

Immagina di scoprire un lunedì mattina che i dati dei tuoi clienti sono stati esfiltrati nel fine settimana.

Sai cosa devi fare nelle prossime 72 ore? Sai a chi telefonare? Hai un piano scritto e testato? Sai se sei obbligato a notificare l’incidente all’autorità di controllo — e quale, tra GDPR e la nuova LPD svizzera?

Se la risposta è «ci pensiamo quando capita», questo articolo è per te.

La privacy non è un faldone. È un sistema di difesa.

Nel 2018 scrivevo che il GDPR era un’opportunità, non una minaccia. Molte aziende hanno risposto in modo opposto: hanno trattato la compliance come un progetto una tantum, prodotto pile di documenti, e poi hanno lasciato tutto a prendere polvere.

Nel frattempo, il mondo è cambiato.

Il 1° settembre 2023 è entrata in vigore la nuova Legge federale svizzera sulla protezione dei dati (LPD / nDSG), che sostituisce la vecchia legge del 1992 e si allinea deliberatamente al modello del GDPR europeo. Nello stesso periodo, la norma ISO/IEC 27001 ha pubblicato la sua versione 2022, aggiornata per rispondere alle minacce del decennio: ransomware, cloud, supply chain attack, intelligenza artificiale.

Tre normative. Un unico messaggio: la protezione dei dati e la cybersecurity non sono due cose separate. Non lo sono mai state

GDPR e LPD: fratelli diversi, stessa filosofia

Se la tua azienda opera in Svizzera o tratta dati di persone domiciliate in Svizzera, dal settembre 2023 devi rispettare la nuova LPD. Punto.

La buona notizia? Se hai già implementato il GDPR in modo serio, sei a buon punto. Le due normative condividono i principi fondamentali: minimizzazione dei dati, limitazione della finalità, privacy by design e by default, registro dei trattamenti, notifica dei data breach.

Le differenze, però, contano — e ignorarle è un errore costoso.

Sanzioni: il GDPR colpisce le organizzazioni (fino a €20 milioni o il 4% del fatturato globale). La LPD sanziona invece le persone fisiche responsabili — dirigenti, responsabili IT, DPO — fino a CHF 250.000. Un’asimmetria che cambia radicalmente la percezione del rischio a livello individuale.

Ambito: la LPD protegge solo le persone fisiche, ma come il GDPR si applica anche alle organizzazioni straniere che trattano dati di persone domiciliate in Svizzera (art. 3 LPD — effetto extraterritoriale).

Autorità di controllo: in Svizzera non è il Garante italiano o la CNIL francese, ma l’IFPDT (Incaricato federale della protezione dei dati e della trasparenza) a ricevere le notifiche e condurre le ispezioni.

Privacy by design non è un principio filosofico. È un obbligo concreto.

L’art. 25 del GDPR e l’art. 7 della LPD dicono la stessa cosa: la protezione dei dati deve essere integrata fin dalla progettazione dei sistemi, dei processi, dei prodotti.

In concreto, questo significa che non puoi più sviluppare un’applicazione e aggiungere la privacy alla fine come se fosse un plugin. Prima di qualsiasi nuovo trattamento, devi condurre una valutazione d’impatto (DPIA / AIPD). Il tuo team di sviluppo deve applicare principi di secure coding — e non per gentile richiesta, ma perché la norma te lo impone.

La ISO/IEC 27001:2022 formalizza tutto questo nei controlli 8.25 (Secure development life cycle) e 8.28 (Secure coding). Chi ha implementato l’ISMS ha già questa struttura. Chi non l’ha fatto sta costruendo su sabbia.

"Privacy by default" significa che i tuoi sistemi devono raccogliere solo il minimo indispensabile per impostazione predefinita. In cybersecurity si chiama Least Privilege. Sono la stessa cosa.

Le 72 ore che cambiano tutto

Un data breach è un incidente di sicurezza. Ma quando coinvolge dati personali, diventa anche un problema legale urgente.

Sia il GDPR (art. 33) che la LPD (art. 24) impongono la notifica all’autorità competente entro 72 ore dalla scoperta. Se il rischio per le persone è elevato, devi notificare anche gli interessati direttamente.

72 ore. Meno di tre giorni. In questo lasso di tempo devi: confermare la natura dell’incidente, stimare i dati coinvolti, valutare il rischio residuo, coinvolgere legale e comunicazione, e inviare la notifica all’IFPDT o all’autorità GDPR competente.

Chi non ha un Incident Response Plan scritto, testato e aggiornato non ce la fa. Non è pessimismo: è aritmetica.

Cosa prevede la ISO/IEC 27001:2022

I controlli 5.24, 5.25, 5.26 e 5.27 coprono l’intero ciclo di gestione degli incidenti: pianificazione, rilevamento, risposta, comunicazione e apprendimento. Un’organizzazione certificata che subisce un breach è già in posizione nettamente migliore — e le autorità lo sanno.

ISO/IEC 27001:2022: cosa è cambiato e perché importa

La versione 2022 non è un aggiornamento cosmetico. I 114 controlli in 14 domini sono diventati 93 controlli in 4 categorie (organizzativi, persone, fisici, tecnologici). Sono stati aggiunti 11 nuovi controlli che sembrano scritti leggendo le cronache degli ultimi anni di incidenti informatici.

Tre di questi meritano attenzione specifica per chi gestisce dati personali:

•       Threat Intelligence (5.7): non basta difendersi dagli attacchi noti. La norma chiede di raccogliere e analizzare informazioni sulle minacce emergenti per anticiparle. Per chi tratta grandi volumi di dati personali, questo è un cambio di paradigma.

•       Data Leakage Prevention — DLP (8.12): il controllo che formalizza l’obbligo di impedire l’esfiltrazione non autorizzata di dati. Direttamente collegato agli obblighi di protezione dell’art. 32 GDPR e dell’art. 8 LPD.

•       Cloud services security (5.23): chi archivia dati personali in cloud senza una politica strutturata di sicurezza non è conforme alla ISO 27001:2022, né agli obblighi del GDPR e della LPD. Il cloud non è un trasferimento di responsabilità.

Non tre compliance separate. Un unico sistema.

Ecco la trappola in cui cadono molte organizzazioni: gestire GDPR, LPD e ISO 27001 come tre progetti separati, con team diversi, budget distinti, e la certezza implicita che «qualcuno se ne stia occupando».

Il risultato? Sovrapposizioni, lacune, e una conformità fragile che non regge alla prima ispezione.

L’approccio corretto è costruire un unico sistema integrato che risponda contemporaneamente a tutte e tre. Le fondamenta sono quattro dimensioni inseparabili:

• Dati: Censisci tutto ciò che tratti, classificalo, stabilisci le basi giuridiche, definisci le retention, cifra ciò che va cifrato. Il registro dei trattamenti (GDPR art. 30 / LPD art. 12) è il punto di partenza.

• Processi: DPIA/AIPD sistematiche prima di ogni nuovo trattamento. Contratti adeguati con i fornitori (DPA). Incident Response Plan scritto e testato. Gestione delle richieste degli interessati. Audit interni regolari.

• Persone: Formazione continua, Security Awareness (controllo 6.3 ISO 27001), cultura della privacy come valore. Il controllo più sofisticato del mondo è inutile se un dipendente apre un allegato di phishing.

• Tecnologie: IAM, DLP, SIEM, MFA, cifratura end-to-end, backup testati, business continuity. Non come lista della spesa, ma come architettura coerente costruita sul risk assessment.

Da dove si comincia: cinque passi concreti

Se non sai da dove partire, il ciclo PDCA della ISO/IEC 27001:2022 è già la tua roadmap:

1 – AS IS: Gap Analysis. Mappa tutti i trattamenti, analizza i rischi esistenti, identifica le lacune rispetto a GDPR, LPD e ISO 27001. Non puoi migliorare ciò che non misuri.

2 – PLAN: Definisci la politica di protezione dei dati e il piano di trattamento del rischio (Risk Treatment Plan). Prioritizza in base alla probabilità e all’impatto.

3 – DO: Implementa i controlli tecnici e organizzativi: cifratura, IAM, DLP, formazione, contratti con i fornitori. Esegui la DPIA/AIPD per ogni trattamento a rischio elevato.

•4 – CHECK: Audit interni, penetration test, verifica delle DPIA, monitoraggio dei KPI di sicurezza e privacy. La conformità non si dichiara: si dimostra.

5 – ACT: Riesame della direzione, miglioramento continuo, aggiornamento delle misure alle nuove minacce. Il ciclo riparte.

La conformità è un vantaggio competitivo. Davvero.

Le organizzazioni che hanno costruito questo sistema integrato — e sanno dimostrarlo — vincono le gare d’appalto che le altre perdono. Entrano nei mercati regolamentati (finanza, sanità, settore pubblico) dove le altre rimangono fuori. Gestiscono gli incidenti in modo ordinato mentre le altre improvvisano. E quando arriva l’ispezione dell’IFPDT o del Garante, non si trovano con le mani nel sacco.

Le sanzioni sono il bastone. La reputazione è la carota. Ma il motivo più solido per costruire questo sistema è uno solo: funziona.