Il quadro legale svizzero
Secondo l'art. 24 cpv. 3 LPD, il responsabile del trattamento notifica al titolare il prima possibile ogni violazione della sicurezza dei dati, indipendentemente dal rischio. Il titolare notifica all'IFPDT solo le violazioni che comportano verosimilmente un rischio elevato per la personalità o i diritti fondamentali degli interessati.
Secondo l'art. 15 OPDa, la notifica indica tra l'altro natura, momento, conseguenze e misure adottate, nonché una persona di contatto. Le informazioni mancanti vanno fornite successivamente. Ogni violazione va documentata, e la documentazione va conservata per almeno due anni. Gli organi pubblici cantonali sono soggetti al diritto cantonale.
Legge federale sulla protezione dei dati (LPD), RS 235.1 · Ordinanza sulla protezione dei dati (OPDa), RS 235.11
Termini supplementari secondo RGPD e LSIn
Se si applica anche il RGPD, il titolare notifica l'autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, salvo che un rischio sia improbabile. Ogni ritardo va motivato.
Dal 1° aprile 2025, i gestori di infrastrutture critiche contemplati dalla legge sulla sicurezza delle informazioni notificano determinati ciberattacchi soggetti all’obbligo all’Ufficio federale della cibersicurezza entro 24 ore dalla scoperta. Valgono criteri ed eccezioni legali; non ogni incidente è contemplato. L’obbligo può aggiungersi a quello sulla protezione dei dati e richiede un esame distinto.
Regolamento (UE) 2016/679, regolamento generale sulla protezione dei dati (RGPD), art. 28 e 33 · Legge sulla sicurezza delle informazioni (LSIn), RS 128, obbligo di segnalare i ciberattacchi
Clausole contrattuali raccomandate e prove
È prassi fissare per la prima notifica del responsabile del trattamento un termine fisso di 24-48 ore dalla scoperta, con aggiornamenti successivi. Il titolare conserva così il tempo per valutare il rischio e rispettare un eventuale termine di 72 ore. I subresponsabili vanno vincolati allo stesso termine.
Il contratto dovrebbe inoltre stabilire canale di notifica, referenti e contenuto minimo, nonché la collaborazione nell'informare gli interessati e la conservazione dei registri. Un termine contrattuale non sostituisce l'obbligo legale: anche se si conviene un termine più lungo, la notifica resta dovuta il prima possibile.
Legge federale sulla protezione dei dati (LPD), RS 235.1 · Regolamento (UE) 2016/679, regolamento generale sulla protezione dei dati (RGPD), art. 28 e 33
Fonti
Ricerca svolta con Omnilex e rielaborata per questo articolo. Informazioni generali sul diritto svizzero. La valutazione di un caso concreto dipende dai fatti e dal diritto applicabile.