Nuova LPD: le prove aprono il mercato

Il contratto sembrava vicino. Il prodotto rispondeva all’esigenza, il prezzo era accettato e il team commerciale conosceva il passo successivo. Poi è arrivato il questionario del committente: quali dati personali vengono trattati, in quali Paesi, da quali responsabili del trattamento, per quanto tempo e chi decide in caso di violazione? L’informativa sulla privacy esisteva, ma le risposte erano disperse tra funzione operativa, informatica, fornitore cloud e direzione. Dal 1° settembre 2023, la nuova legge svizzera sulla protezione dei dati impone di esaminare con precisione questo funzionamento reale. Per un fornitore B2B, riunire prove chiare può inoltre rassicurare un acquirente, accelerare l’inserimento nell’albo fornitori o aprire un mercato più esigente. Questa analisi segue un trattamento di dati dei clienti dalla mappatura alla decisione e mostra come getfishnet valuterebbe un’acquisizione fondata sulla fiducia, senza trasformare un obbligo legale in una promessa di vendita.

La nuova LPD svizzera impone all’impresa di saper spiegare i propri trattamenti di dati, assegnare le responsabilità e dimostrare le misure adottate. Non si riduce a un’informativa sulla privacy né a un progetto concluso il giorno dell’entrata in vigore.

Il Parlamento ha adottato la legge interamente riveduta il 25 settembre 2020. Il nuovo diritto e le relative ordinanze d’esecuzione sono entrati in vigore il 1° settembre 2023. L’Ufficio federale di giustizia presenta la riforma come un adeguamento della protezione dei dati agli usi digitali e ai crescenti flussi transfrontalieri.

Tre anni dopo, la data resta un riferimento, ma non descrive lo stato di un’impresa. Un nuovo CRM, un portale per i datori di lavoro, un fornitore cloud, un sistema di prospezione o una funzione di intelligenza artificiale possono modificare dati, destinatari e rischi. La domanda è quindi se l’impresa sappia spiegare il trattamento attivo oggi, non se abbia preparato settembre 2023.

L’IFPDT ricorda, tra l’altro, obblighi d’informazione, diritto d’accesso, protezione dei dati fin dalla progettazione e per impostazione predefinita, nonché la notifica di determinate violazioni. Sono punti di controllo da collegare a finalità, dati, persone interessate, sistemi, fornitori, Paesi, durata, rischi e decisione.

Il trattamento da mappare per primo è quello che combina un cambiamento reale, una decisione imminente e un rischio abbastanza rilevante da mobilitare l’impresa. Partire da un flusso preciso evita un inventario astratto che non produce azioni né prove utilizzabili.

Una società di servizi vuole sostituire lo strumento di gestione commerciale. Il futuro sistema riceverà dati di contatto dei potenziali clienti, cronologia degli scambi, note di qualificazione e forse dati di partner. Hosting e assistenza saranno in parte affidati a fornitori esterni. Budget, data della decisione e responsabili identificabili ne fanno un punto di partenza migliore di una revisione generale di tutti i documenti.

Come leggere lo schema. I dati non appartengono all’IT solo perché risiedono in un software. La funzione operativa definisce l’uso, la tecnica controlla parte del funzionamento, i fornitori eseguono compiti regolati e la direzione assume le decisioni che superano il singolo team.

La mappatura segue il percorso dei dati, non l’organigramma: dall’ingresso nel sistema alla cancellazione, restituzione o anonimizzazione. Ogni fase collega un’azione a un responsabile e a una prova accessibile.

Nelle informazioni sul cloud, l’IFPDT precisa che il cliente resta responsabile della conformità quando affida un trattamento a un fornitore. Deve verificare subappalto, comunicazioni all’estero, sicurezza, ulteriori responsabili e assistenza in caso di richiesta o incidente. Il contratto è una parte della mappatura, non un suo sostituto.

I dati e le responsabilità che la mappatura deve collegare riguardano finalità, sistemi, destinatari, durate, sicurezza e decisori. Un elenco di applicazioni non basta se non chiarisce perché il trattamento esiste e chi può modificarlo.

Un dossier operativo risponde a sette domande e prepara decisioni concrete.

La mappatura rivela spesso differenze tra ciò che l’impresa crede di fare e ciò che il sistema consente: una durata scritta ma non configurata, un fornitore noto ma non i suoi subappaltatori, un responsabile nominato senza potere di fermare il trattamento.

La prova può essere un contratto, un parametro, un registro, una decisione datata o un test. Il suo valore nasce dal legame tra fatto osservato, titolare della decisione e azione successiva.

La protezione fin dalla progettazione cambia il progetto digitale integrando minimizzazione, accessi, conservazione e sicurezza prima del lancio. Le impostazioni predefinite devono limitare il trattamento a quanto necessario per la finalità dichiarata.

L’articolo 7 LPD colloca la protezione dei dati nella progettazione del servizio. Per il cloud, l’IFPDT chiarisce che, se il servizio standard non consente di controllare i rischi, l’impresa deve cercare misure adeguate, scegliere un’altra soluzione o rinunciare all’esternalizzazione.

Nel caso del CRM, occorre chiedersi se tutte le note libere siano necessarie, se un commerciale debba vedere dossier di altre regioni, se i contatti inattivi debbano restare accessibili senza limite, se un’esportazione completa possa avvenire senza allerta e che cosa accada all’account di chi lascia l’impresa.

Segue un ordine decisionale: eliminare dati inutili, limitare accessi, fissare la durata, documentare i fornitori, testare le operazioni sensibili e preparare la risposta agli incidenti. La conformità diventa visibile perché modifica prodotto ed esercizio.

Un registro o un’analisi d’impatto diventano necessari quando ricorrono le condizioni previste dalla LPD; la loro utilità operativa inizia però prima della soglia giuridica, appena un trattamento rilevante non può più essere spiegato, documentato o deciso in modo affidabile.

Il registro delle attività di trattamento organizza finalità, categorie di persone e dati, destinatari, durate e misure di sicurezza. Le eccezioni per determinate imprese private impediscono di considerarlo un obbligo universale senza esaminare il caso. Una mappatura proporzionata resta comunque utile per guidare un progetto, rispondere a un cliente o gestire una domanda d’accesso.

L’analisi d’impatto sulla protezione dei dati interviene quando un trattamento previsto può comportare un rischio elevato per la personalità o i diritti fondamentali. Descrive il progetto, valuta il rischio ed esamina le misure. L’IFPDT indica inoltre che la nomina di un consulente per la protezione dei dati è facoltativa per le imprese private, con condizioni precise per beneficiare delle agevolazioni in materia di analisi d’impatto.

Un fornitore non deve vendere automaticamente un’analisi onerosa partendo da una parola chiave. Deve prima comprendere trattamento, rischio, lavori già disponibili e decisione attesa. Una missione breve può giustificare un lavoro più profondo o evitare un audit sproporzionato.

Il titolare del trattamento decide dopo una violazione della sicurezza dei dati sulla base dei fatti tecnici, del contesto delle persone interessate e di una valutazione del rischio. Il responsabile del trattamento deve informarlo rapidamente e fornire gli elementi disponibili; non decide al suo posto.

Secondo l’articolo 24 LPD, una violazione suscettibile di comportare un rischio elevato per la personalità o i diritti fondamentali va notificata quanto prima all’IFPDT. Le persone interessate vanno informate quando è necessario per proteggerle. La guida IFPDT del 23 aprile 2025 distingue il rischio elevato che attiva la notifica dal bisogno di protezione che può giustificare l’informazione.

Come leggere lo schema. La rapidità non giustifica decisioni prive di fatti. Il team tecnico documenta, la funzione operativa spiega l’uso dei dati, la funzione competente prepara la valutazione e il titolare conserva decisione e motivazione.

Il 33° rapporto d’attività 2025/2026 dell’IFPDT segnala più di 2 000 notifiche di potenziali violazioni, 156 interventi presso titolari, 22 esami preliminari e 9 inchieste nell’anno in esame. Non sono un imbuto commerciale né il totale degli incidenti in Svizzera, ma mostrano una pratica concreta di vigilanza.

La priorità dei trattamenti combina impatto potenziale e carenza di prove. Un trattamento importante ma ben controllato non ha la stessa urgenza di un flusso sensibile, poco documentato e legato a una decisione imminente. La priorità sceglie lo sforzo successivo, non pronuncia da sola un verdetto giuridico.

La matrice può essere usata in un primo workshop. Il posizionamento è indicativo: ogni organizzazione deve giustificare i propri criteri e non può dedurre una qualifica giuridica dalla posizione di un punto.

Il team esamina almeno sensibilità, volume, persone interessate, destinatari, comunicazioni all’estero, dipendenza operativa, imminenza del cambiamento e qualità delle prove. Il punteggio non sostituisce il giudizio, ma rende esplicita la decisione.

«Intervenire subito» richiede responsabile, scadenza e decisione; «correggere le prove» un lavoro documentale o tecnico limitato; «verificare e monitorare» un riesame mirato; «mantenere semplicemente» non giustifica una missione onerosa.

Le prove LPD possono facilitare l’accesso a un nuovo mercato quando un acquirente, un partner o un committente deve valutare l’affidabilità di un fornitore prima di affidargli dati. Riducono un’incertezza documentabile, ma non garantiscono mai l’inserimento in un albo né una vendita.

Nel B2B, la fiducia si traduce spesso in elementi verificabili: schema dei flussi, elenco dei fornitori, misure di sicurezza, regola di conservazione, procedura d’incidente, ruoli e risposte alle richieste. La legge non promette contratti, ma risposte mancanti possono allungare la valutazione o impedire una decisione positiva.

Nel rapporto annuale 2025, l’Ufficio federale della cibersicurezza sottolinea l’importanza di catene di approvvigionamento sicure. Il dato riguarda la cibersicurezza in senso ampio e non rende ogni prova LPD un requisito d’acquisto, ma conferma che un fornitore è valutato anche per dipendenze e rischi introdotti.

Il confronto con la notifica degli attacchi informatici alle infrastrutture critiche diventa quindi utile. Entrambi i temi distribuiscono i fatti tra tecnica, funzione operativa e direzione, ma hanno presupposti e autorità diversi.

getfishnet costruirebbe un’acquisizione fondata sulla fiducia partendo dai mercati target, dalle prove realmente richieste e dalla capacità del partner di produrre un primo risultato utile. La strategia resterebbe da verificare; non sarebbe presentata come una campagna eseguita né come un risultato acquisito.

La prima fase identificherebbe un momento commerciale preciso: gara d’appalto, inserimento nell’albo fornitori, ingresso in un settore regolamentato o richiesta di un grande account. Un obbligo senza acquirente, scadenza e offerta erogabile non è ancora un’opportunità.

La seconda fase distinguerebbe diagnosi breve dell’ostacolo, attuazione delle prove prioritarie e monitoraggio solo se nuovi progetti o fornitori generano regolarmente decisioni. La ricorrenza non serve ad abbellire il modello economico.

La terza confronterebbe l’approccio con il mercato insieme a un partner capace di precisare rapidamente perimetro, termine, esclusioni e capacità disponibile. Senza reattività, l’interesse generato peggiora l’esperienza dei potenziali clienti.

I canali da verificare dipendono dal momento in cui la prova diventa decisiva: ricerca online, prospezione di account, telefono, e-mail, reti professionali, partner, eventi e contenuti possono essere complementari. Nessun canale va scelto per abitudine né valutato solo sul volume dei contatti.

La ricerca intercetta una domanda già espressa. La prospezione mirata raggiunge fornitori che puntano a committenti esigenti. Partner legali, cyber, cloud, assicurativi o software possono rilevare prima il cambiamento. Eventi e contenuti aiutano a comprendere le obiezioni.

Come leggere lo schema. I canali alimentano la stessa qualificazione. Il primo indicatore utile non è il clic o l’appuntamento, ma la quota di casi in cui coincidono trattamento reale, prova mancante e decisione commerciale.

Il costo di acquisizione comprende media, dati, strumenti, produzione e tempo umano. Va confrontato con margine attribuibile, tempi d’incasso e capacità di erogazione. Senza questi dati, getfishnet propone un test, non un rendimento.

I risultati modellabili prima di una campagna sono soglie decisionali, mai prestazioni osservate: dimensione del bacino accessibile, tasso di dossier realmente qualificati, valore del primo risultato, costo massimo di acquisizione, capacità mensile e tempi d’incasso. Ogni ipotesi deve poter essere sostituita da una misura.

Una modellazione indicativa può confrontare tre scenari senza probabilità fittizie: prudente, centrale e capacità massima. Parte dagli account realmente accessibili e arriva alle missioni erogabili. Tassi di risposta o firma entrano nel modello solo dopo essere stati osservati durante un test.

La disciplina evita di convertire le oltre 2 000 notifiche dell’IFPDT in potenziali clienti e di presentare il valore totale di un contratto sperato come ricavo da acquisizione. Solo ricavi firmati, incassati e attribuibili convalidano il modello.

Un ricavo ricorrente è realmente giustificato quando nuovi progetti, fornitori, trattamenti o requisiti degli acquirenti generano decisioni regolari che il partner deve preparare e seguire. Un aggiornamento automatico privo di lavoro utile non è un’offerta sostenibile.

Il monitoraggio può coprire cambiamenti, nuovi responsabili del trattamento, questionari dei clienti, esercitazioni d’incidente o analisi d’impatto. Il perimetro precisa che cosa viene esaminato, chi decide e quale risultato viene consegnato.

Il cliente deve nominare i responsabili, segnalare i cambiamenti e decidere. Un partner esterno non può sostenere da solo una governance che l’organizzazione non alimenta.

La pagina del mercato svizzero dell’IT e della cibersicurezza riunisce altri approfondimenti per distinguere protezione dei dati, sicurezza operativa e obblighi di notifica.

La decisione da prendere è mappare un trattamento reale prima di parlare di conformità o acquisizione. Se la mappatura rivela una prova mancante che blocca una decisione commerciale, getfishnet può valutare una strategia di conquista con il partner competente.

La nuova LPD offre un quadro esigente. La fiducia commerciale aggiunge una sfida di sviluppo solo quando un acquirente si aspetta davvero le prove e l’impresa può produrle. Il lavoro decisivo consiste nel collegare dati, responsabilità, rischi, documenti e decisione.

Questa analisi non certifica organizzazioni né promette vendite. Mostra come trasformare una domanda troppo ampia in un dossier verificabile e decidere se meriti un test di acquisizione multicanale. Le ipotesi economiche restano indicative fino a firma, incasso e attribuzione di ricavi osservabili.