Quattro decisioni dell'IFPDT in autunno: cosa devono trarne le imprese svizzere

Di Thomas Contin, Managing Partner

A tre anni dall'entrata in vigore della nuova Legge federale sulla protezione dei dati (LPD), l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) usa il potere di emanare decisioni vincolanti. L'autunno 2026 ne ha portate diverse, insieme a una prima sentenza importante del Tribunale amministrativo federale.

Il marketing richiede un consenso dimostrabile

Add Conti GmbH vendeva indirizzi a inserzionisti sostenendo che i consensi provenissero da concorsi online. L'IFPDT non ha ritenuto credibile questa versione, ha vietato il trattamento e ordinato la cancellazione dei dati entro 30 giorni dal passaggio in giudicato. La società non rispondeva nemmeno alle richieste di accesso e cancellazione, e averle affidate a fornitori esterni non l'ha esonerata dalla responsabilità. La decisione del 26 giugno 2026, pubblicata il 22 ottobre, è definitiva.

Il punto pratico: chi usa dati personali per il marketing deve poter provare il consenso. Una lista acquistata con un consenso che nessuno sa documentare è un rischio, non un patrimonio.

I dati raccolti per uno scopo restano a quello scopo

Il 29 ottobre 2026 l'IFPDT ha reso nota una decisione contro un'agenzia di informazioni creditizie che usava i dati sulla solvibilità anche per il marketing. Ha vietato questo uso, ha vietato di aggiungere alla banca dati i dati forniti dalle persone che chiedevano l'accesso e ha imposto di esaminare le richieste di cancellazione anche quando non sono motivate. L'agenzia ha fatto ricorso: la decisione non è ancora definitiva.

I dati biometrici richiedono un consenso esplicito

Con due sentenze del 13 ottobre 2026 (A-4467/2025 e A-6813/2025) il Tribunale amministrativo federale ha confermato la posizione dell'IFPDT sul riconoscimento vocale di PostFinance. L'impronta vocale è un dato personale degno di particolare protezione. Il cliente che continua a parlare dopo un avviso registrato non ha dato un consenso esplicito, e le impronte create senza consenso vanno cancellate.

Registrare le persone è un'ingerenza grave

Il 29 settembre 2026 l'IFPDT ha vietato a Baselland Transport AG di usare bodycam che registravano immagini e audio di passeggeri e personale, perché nessuna legge offre una base sufficiente a un'impresa che svolge un compito pubblico. BLT ha fatto ricorso. Un'impresa puramente privata non ha bisogno di una base legale, ma deve comunque giustificare la registrazione con un interesse preponderante, mantenerla proporzionata e informare le persone interessate.

Cosa fare ora

Verificate le prove del consenso dietro ogni lista di marketing. Controllate che ogni trattamento corrisponda allo scopo indicato nell'informativa. Se usate il riconoscimento della voce, del volto o delle impronte, chiedete un consenso esplicito e separato. Prima di installare telecamere, documentate perché una misura meno invasiva non basta.

Advisorn assiste le imprese nella verifica dei trattamenti, delle informative e delle prove del consenso, e le assiste nei procedimenti davanti all'IFPDT.