GDPR e nLPD: Cosa devono considerare i consulenti CRM nel 2026

In breve

La nLPD (nuova Legge federale sulla protezione dei dati, revisione) è in vigore dal 01.09.2023
Lo standard di tutela del GDPR è stato in gran parte recepito, ma con disposizioni svizzere autonome
I consulenti che raccomandano CRM non sono direttamente responsabili della conformità del fornitore, ma sono responsabili per consulenze errate
Il luogo di hosting determina i requisiti di protezione dei dati: hosting in Svizzera, nell'UE (per esempio in Germania) o negli Stati Uniti
Il contratto di elaborazione dei dati (AVV/DPA) è parte obbligatoria di ogni raccomandazione CRM

Cosa è cambiato dal 01.09.2023

La revisione della legge svizzera sulla protezione dei dati (nLPD, spesso chiamata anche revDSG in tedesco) ha sostituito dal 1° settembre 2023 la vecchia legge del 1993. Le principali novità:

Obblighi di informazione ampliati al momento della raccolta di dati personali (art. 19)
Valutazione d'impatto sulla protezione dei dati per i casi ad alto rischio (art. 22)
Obbligo di notifica delle violazioni dei dati al EDÖB (art. 24)
Privacy by Design / by Default (art. 7)
Aumenti delle sanzioni fino a CHF 250'000 per persone fisiche (art. 60)
Obbligo del registro delle attività di trattamento per aziende con ≥ 250 dipendenti o in presenza di dati sensibili

La nLPD si avvicina al GDPR, ma non è identica — rimane una legge svizzera autonoma.

GDPR vs. nLPD — le principali differenze

| Aspetto | GDPR (UE) | nLPD (CH) | |--------|-----------|--------------| | Ambito di applicazione | Cittadini UE in tutto il mondo | Dati personali trattati in Svizzera | | Sanzioni | Fino a EUR 20 mln o 4% del fatturato | Fino a CHF 250'000 (persona fisica) | | Responsabile della protezione dei dati | Obbligatorio oltre certe soglie | Raccomandato, non obbligatorio | | Diritto alla portabilità dei dati | Sì (art. 20) | Sì (art. 28) | | Diritto all'oblio | Sì (art. 17) | Indiretto tramite diritto di rettifica | | Contratto di elaborazione (DPA) | Obbligatorio (art. 28) | Obbligatorio (art. 9) |

Chi consiglia clienti svizzeri i cui dati non transitano nell'UE può concentrarsi principalmente sulla nLPD. In presenza di legami con l'UE (es. dipendenti UE, clienti UE) si applica inoltre il GDPR.

Residenza dei dati — il punto critico

Nel 2026 la residenza dei dati è il criterio centrale di conformità per le raccomandazioni CRM. Tre scenari:

Scenario 1: Hosting in Svizzera

I dati restano in Svizzera
Nessun trasferimento di dati all'estero
nLPD rispettata nativamente
Non è necessario un DPA per il trasferimento di dati (solo AVV ai sensi dell'art. 9 nLPD)
Raccomandazione senza riserva di compliance possibile

Scenario 2: Hosting UE (es. TecArt con hosting in Germania, Pipedrive Francoforte, HubSpot regione UE)

I dati sono trattati nell'UE
GDPR direttamente applicabile
Dal punto di vista svizzero: trasferimento di dati verso uno Stato terzo (UE = livello di protezione adeguato riconosciuto)
Clausole contrattuali standard (SCC) consigliabili, ma non obbligatorie
DPA con il fornitore obbligatorio

Scenario 3: Hosting USA (es. Salesforce US, HubSpot default)

I dati sono trattati negli USA
USA = non ritenuto di livello di protezione adeguato dalla prospettiva svizzera (posizione dell'EDÖB)
Il trasferimento è consentito solo con garanzie aggiuntive:
- Switzerland–US Data Privacy Framework (DPF)
- Clausole contrattuali standard (SCC)
- Regole aziendali vincolanti (BCR)
DPA + Transfer Impact Assessment raccomandati
Rischio di compliance più elevato per dati sensibili

Contratto di elaborazione dei dati (AVV/DPA)

Ogni implementazione CRM richiede un contratto di elaborazione tra il cliente (titolare del trattamento) e il fornitore CRM (responsabile del trattamento). Contenuti obbligatori secondo nLPD art. 9:

Oggetto e durata del trattamento
Tipo e finalità del trattamento dei dati
Categorie di persone interessate e tipi di dati
Obblighi e diritti del titolare
Misure di sicurezza del responsabile del trattamento
Sub-responsabili (hosting, backup, monitoring)
Diritti di accesso e rettifica
Cessazione e restituzione / cancellazione dei dati

Fornitori CRM svizzeri come TecArt forniscono template AVV come prassi. Per i fornitori statunitensi la conformità GDPR/nLPD deve essere verificata caso per caso.

Responsabilità del consigliere

Chi, in qualità di fiduciario o consulente IT, consiglia un software CRM non è direttamente responsabile della conformità alla normativa sulla protezione dei dati — questa incombe sul fornitore e sul cliente.

Tuttavia: una consulenza errata può avere rilievo civilistico. Se raccomandate a un cliente un CRM senza segnalare rischi di protezione dati noti, ciò può costituire una violazione del dovere di diligenza (CO 398).

Suggerimento pratico: una raccomandazione scritta dovrebbe includere i seguenti punti:

Residenza dei dati del fornitore
Disponibilità di un template AVV/DPA
Rischi di compliance noti (es. hosting USA per dati sensibili)
Raccomandazione di svolgere una valutazione d'impatto per tipologie di dati a rischio

Checklist: raccomandazione CRM conforme

Per ogni raccomandazione CRM discutete i seguenti punti con il cliente:

[ ] Tipologie di dati identificate (dati di contatto, solvibilità, informazioni sanitarie?)
[ ] Dati sensibili contrassegnati separatamente (nLPD art. 5 lett. c)
[ ] Residenza dei dati del fornitore chiarita (CH/EU/US?)
[ ] AVV/DPA disponibile e firmato?
[ ] Sub-responsabili documentati?
[ ] Valutazione d'impatto per trattamenti ad alto rischio eseguita?
[ ] Registro delle attività aggiornato?
[ ] Formazione del personale per l'uso del CRM pianificata?
[ ] Politica di cancellazione per dati non più necessari definita?
[ ] Meccanismo di audit stabilito (verifica annuale)?

Quando è necessaria la valutazione d'impatto sulla protezione dei dati

Una valutazione d'impatto sulla protezione dei dati (DSFA) è obbligatoria secondo nLPD art. 22 quando il trattamento "può presentare un rischio elevato per la personalità o i diritti fondamentali della persona interessata".

Trigger tipici:

Trattamento massiccio di categorie di dati sensibili
Profilazione con conseguenze legali o analogamente significative
Sorveglianza sistematica di aree pubbliche
Nuove tecnologie dal rischio incerto

Per un'implementazione "standard" di CRM con dati di contatto e commerciali la DSFA di norma non è obbligatoria, ma è raccomandata.

Conclusione: prima la residenza dei dati

Per i clienti svizzeri la strategia di conformità più semplice è verificare il luogo di hosting e il DPA/AVV prima della raccomandazione. L'hosting in Svizzera evita la complessità dei trasferimenti internazionali. Per TecArt, ospitato in Germania (UE), il trasferimento verso l'UE deve essere documentato.

Nel consigliare fornitori statunitensi (Salesforce, HubSpot) l'onere di compliance è maggiore e va documentato esplicitamente nella consulenza.

Avvertenza importante: il diritto della protezione dei dati è complesso e soggetto a frequenti aggiornamenti. Questo articolo fornisce informazioni generali, non consulenza legale. In casi critici consultate uno studio legale specializzato o l'EDÖB.