Broker e fiduciari gestiscono costantemente dati dei clienti che vanno ben oltre nome e indirizzo: situazione reddituale, informazioni sulla salute nei dossier assicurativi, patrimonio e talvolta anche estratti dell'ufficio esecuzioni. Da quando la nuova Legge federale sulla protezione dei dati (nLPD) è entrata in vigore, molti studi piccoli e medi si pongono le stesse domande: quali dati sono considerati particolarmente degni di protezione? Che cosa significa «sicurezza dei dati adeguata» nella pratica quotidiana di uno studio di broker o fiduciario? E dove inizia la propria responsabilità nel trattamento dei dati personali? Questo articolo inquadra i punti principali – come guida di orientamento, non come consulenza legale per il singolo caso.
Quali dati dei clienti sono particolarmente degni di protezione
La legge sulla protezione dei dati distingue tra dati personali «ordinari» e dati personali particolarmente degni di protezione. Alla seconda categoria appartengono tra l'altro le informazioni sulla salute – ad esempio nel caso di assicurazioni d'indennità giornaliera in caso di malattia, assicurazioni sulla vita o assicurazioni complementari. Altre informazioni come gli estratti dell'ufficio esecuzioni o i dettagli sulla situazione patrimoniale non rientrano necessariamente in questa categoria legale, ma richiedono comunque, nella pratica, una diligenza accresciuta. Dove vengono trattati dati particolarmente degni di protezione, si applicano requisiti più severi in materia di limitazione degli accessi, sicurezza dei dati e documentazione rispetto ai normali dati di contatto.
In pratica questo significa: non ogni collaboratrice ha bisogno di accedere a ogni dossier, e un semplice allegato e-mail con un questionario sulla salute raramente è la modalità di archiviazione più adatta. Chi struttura chiaramente i propri dossier e disciplina in modo tracciabile l'accesso per ogni cliente ha già compiuto un passo importante.
I principi fondamentali in breve: vincolo di scopo, sicurezza, conservazione
- Vincolo di scopo: i dati possono essere trattati solo per lo scopo per cui sono stati raccolti. Un dossier per un'assicurazione malattia non è una licenza per utilizzare le stesse informazioni, senza previo consenso, per un'offerta di cross-selling indipendente.
- Sicurezza dei dati: la legge richiede misure tecniche e organizzative adeguate, commisurate al rischio dei dati trattati. Ne fanno tipicamente parte la crittografia, l'accesso controllato e la possibilità di ricostruire a posteriori chi ha effettuato un accesso.
- Conservazione e cancellazione: i dati personali non dovrebbero essere conservati più a lungo del necessario. Vanno rispettati i termini di conservazione consueti per il settore e previsti dalla legge; una volta scaduti, i documenti vanno sistematicamente cancellati o archiviati correttamente.
- Trasparenza: le clienti e i clienti devono poter riconoscere chi tratta i loro dati e per quale scopo – ne fa parte un'informativa sulla protezione dei dati comprensibile.
La vostra responsabilità – anche nel caso di fornitori esterni
Per i propri mandati, broker e fiduciari agiscono di norma essi stessi come responsabili del trattamento: decidono quali dati vengono raccolti e per quale scopo. Allo stesso tempo, la maggior parte degli studi utilizza strumenti esterni – dal programma di posta elettronica fino al portale clienti – che trattano dati per loro conto. Chi si avvale di simili fornitori resta comunque responsabile nei confronti dei propri clienti e dovrebbe assicurarsi che i sistemi utilizzati siano ospitati in Svizzera, cifrino i dati e separino nettamente i mandati tra loro. Se nel singolo caso sia necessario anche un contratto di trattamento dei dati su incarico e come inquadrare esattamente la propria situazione dipende dai dettagli – in caso di dubbio conviene consultare una persona esperta.
Come un portale clienti sicuro facilita l'attuazione
Molti dei requisiti sopra citati sono difficili da rispettare in modo coerente con le sole regole organizzative – troppo facilmente un documento sensibile finisce nella casella e-mail sbagliata o su un dispositivo privato. Un portale clienti sicuro toglie qui parecchio carico: i clienti caricano i documenti direttamente tramite una checklist di richiesta invece che come allegato e-mail, ogni condivisione di dossier avviene in modo digitale e tracciabile, e un registro degli accessi mostra a posteriori chi ha avuto accesso a quale dossier e quando.
Altrettanto importante è la separazione tecnica tra i mandati: ogni cliente vede esclusivamente i propri documenti, ogni collaboratrice solo i dossier di cui è responsabile. Combinato con un hosting esclusivamente in Svizzera e una crittografia end-to-end, questo permette di coprire nella pratica gran parte dei requisiti di sicurezza dei dati previsti dalla nLPD, senza che ogni collaboratrice debba conoscere i dettagli del testo di legge.
Un portale clienti ben strutturato non sostituisce una consulenza legale – ma rende sensibilmente più semplice l'attuazione tecnica degli obblighi di diligenza.
Un primo passo per il vostro studio
finra è un portale clienti svizzero per studi di broker e fiduciari che riunisce in un unico luogo dossier, contatti, contratti e scadenze – ospitato esclusivamente in Svizzera, con separazione dei mandati, crittografia e un registro degli accessi per ogni dossier. Se desiderate verificare come questo potrebbe essere attuato nel vostro studio, potete provare finra gratuitamente per 30 giorni – senza carta di credito, con tariffe a partire da CHF 29 al mese.