Cosa prevede la nuova Legge federale sulla protezione dei dati (nLPD)
La revisione totale della Legge federale sulla protezione dei dati (nLPD) ha allineato l’ordinamento elvetico agli standard internazionali ed europei (GDPR), garantendo il mantenimento del riconoscimento di adeguatezza da parte dell’Unione Europea indispensabile per lo scambio fluido di dati economici e sanitari. La normativa tutela ora esclusivamente i dati personali delle persone fisiche e amplia il catalogo dei dati degni di particolare protezione, includendovi esplicitamente i dati genetici e i dati biometrici che identificano in modo univoco un individuo (come impronte digitali, scansione facciale o impronta vocale), accanto alle informazioni su salute, sfera intima, opinioni politiche e misure d’assistenza sociale.
Per le imprese, le amministrazioni e i fornitori digitali attivi sul territorio svizzero valgono i principi vincolanti di «Privacy by Design» (protezione dei dati fin dalla progettazione tecnica dei sistemi) e «Privacy by Default» (impostazioni predefinite orientate al minimo trattamento necessario). Ogni titolare del trattamento ha un dovere d’informazione esteso al momento della raccolta dei dati — anche quando avviene tramite piattaforme terze — e deve indicare chiaramente gli Stati esteri verso cui i dati vengono eventualmente trasferiti.
Una peculiarità tipicamente svizzera distingue la nLPD dal regolamento europeo sul piano sanzionatorio: anziché colpire primariamente il fatturato aziendale con sanzioni amministrative, la legge elvetica prevede multe penali personali fino a 250’000 CHF a carico delle persone fisiche dirigenti o responsabili che violano intenzionalmente gli obblighi di informazione, di accesso, di diligenza o il segreto professionale.
Il ruolo dell’IFPD e come esercitare i diritti di accesso e portabilità
La vigilanza sull’applicazione della legge spetta all’Incaricato federale della protezione dei dati e della trasparenza (IFPD), autorità indipendente con sede a Berna dotata di poteri d’inchiesta amministrativa vincolanti. L’IFPD riceve le notifiche obbligatorie di violazione della sicurezza dei dati (data breach) che comportano un rischio elevato per la personalità o i diritti fondamentali degli interessati, può ordinare la sospensione, la modifica o la cancellazione di trattamenti illeciti e aggiorna l’elenco degli Stati esteri dotati di una legislazione ritenuta adeguata.
Ogni cittadino o residente in Svizzera dispone di strumenti concreti e gratuiti per controllare la propria identità digitale. Attraverso il diritto d’accesso (art. 25 nLPD), chiunque può domandare per iscritto a una banca, assicurazione, datore di lavoro, agenzia di solvibilità o piattaforma commerciale la conferma dei dati trattati, lo scopo del trattamento, il periodo di conservazione, l’origine dei dati e i destinatari cui sono stati comunicati; il titolare è tenuto a fornire una risposta completa e gratuita di regola entro 30 giorni.
A ciò si affiancano il diritto alla rettifica di dati inesatti, il diritto alla consegna o trasmissione dei dati (portabilità) in un formato elettronico strutturato e di uso comune per agevolare il cambio di fornitore, nonché la tutela specifica sulle decisioni individuali automatizzate: quando un algoritmo decide autonomamente con effetti giuridici o rilevanti (ad esempio rifiuto automatico di un credito o di un contratto), l’interessato deve esserne informato e può esigere di esprimere il proprio punto di vista chiedendo il riesame da parte di una persona fisica.
Le quattro truffe informatiche più diffuse secondo l’UFCS: banche, TWINT, QR-fatture e spoofing
L’Ufficio federale della cibersicurezza (UFCS, subentrato al Centro nazionale per la cibersicurezza NCSC quale ufficio federale operativo) registra ogni settimana migliaia di segnalazioni di frodi mirate specificamente alle abitudini di pagamento svizzere. La prima minaccia riguarda il falso supporto tecnico o bancario: i truffatori contattano la vittima fingendosi operatori antifrode di istituti svizzeri, segnalano presunti bonifici anomali e convincono l’utente a installare programmi legittimi di teleassistenza (come AnyDesk o TeamViewer) o ad approvare notifiche push sull’app di autenticazione mobile, svuotando il conto in tempo reale.
La seconda insidia colpisce gli utenti di TWINT e dei portali svizzeri di compravendita dell’usato. Nei falsi annunci i criminali si fingono acquirenti interessati e inviano al venditore un link di phishing o un falso codice QR sostenendo che serva per «accreditare» la somma; in realtà la pagina clona il portale bancario per associare un nuovo profilo TWINT sul telefono del truffatore, oppure invia una richiesta di addebito invece di un accredito. La terza frode sfrutta la manipolazione delle QR-fatture (Quishing): mediante fatture contraffatte via e-mail o adesivi sovrapposti nella bucalettere, l’IBAN codificato dentro il quadrato Swiss QR viene sostituito con un conto fraudolento lasciando inalterata l’intestazione stampata.
Particolarmente insidioso è infine lo spoofing telefonico della finta polizia cantonale o di false autorità giudiziarie: falsificando tecnicamente l’identificativo del chiamante (Caller ID), sul telefono della vittima compare il vero numero di un posto di Polizia cantonale o persino variazioni del 117. Con forti pressioni psicologiche su presunti furti imminenti o indagini segrete, i malviventi inducono spesso anziani e risparmiatori a prelevare contanti, lingotti o gioielli per consegnarli a sedicenti «agenti in borghese».
Autenticazione forte a due fattori (2FA), Passkey e protocollo di reazione rapida
Secondo le linee guida tecniche dell’UFCS e della piattaforma «Swiss Banking» per la sicurezza dei pagamenti, oltre il 90% degli attacchi opportunistici viene neutralizzato adottando un’autenticazione forte a più fattori resistente al phishing. Per posta elettronica, identità digitali elvetiche (AGOV / SwissID), portali previdenziali e conti cloud è fondamentale disattivare ove possibile i codici via SMS — vulnerabili all’intercettazione e alle pagine clone — privilegiando chiavi crittografiche Passkey biometriche, token fisici FIDO2 o app di autenticazione dedicate, abbinate a password uniche generate da un gestore di password.
Nell’e-banking svizzero, sistemi ottici crittografici come PhotoTAN o CrontoSign codificano nel mosaico colorato i dati esatti dell’operazione (IBAN del destinatario e importo in franchi): leggere attentamente tali parametri sullo schermo del dispositivo secondario prima di premere «Conferma» smaschera all’istante sia i malware bancari sia le QR-fatture manomesse.
Qualora si sospetti di aver cliccato su un collegamento malevolo o comunicato codici sensibili, la tempestività è decisiva: occorre contattare immediatamente il numero di blocco d’emergenza ufficiale della propria banca o dell’emittente della carta (reperito sul retro della carta e mai tramite link ricevuti per messaggio), cambiare le credenziali da un dispositivo pulito, inoltrare il tentativo di frode al modulo nazionale di segnalazione dell’UFCS (antiphishing.ch / report.ncsc.ch) e sporgere formale denuncia penale presso la Polizia cantonale affinché possano essere attivati i blocchi investigativi sui flussi finanziari.
| Tipologia di minaccia / diritto | Segnale d’allarme tipico | Verifica preventiva | Azione corretta |
|---|---|---|---|
| Phishing TWINT / Portali annunci | Link esterno o QR per «ricevere» denaro da un acquirente | Per incassare su TWINT basta il numero di cellulare, mai un link | Interrompere la chat e non inserire mai credenziali e-banking |
| QR-fattura manipolata (Quishing) | Fattura inattesa o discrepanza tra carta e app mobile | Confrontare IBAN e beneficiario sullo schermo PhotoTAN prima dell’invio | Bloccare il pagamento e verificare per telefono col fornitore noto |
| Spoofing finta Polizia / Banca | Richiesta urgente di AnyDesk, PIN, contanti o segretezza | Polizia e banche non chiedono mai password, accesso remoto o valori | Riagganciare subito e richiamare il 117 o il numero ufficiale della banca |
| Esercizio diritti nLPD (art. 25) | Trattamento opaco di dati personali o profilazione | Richiesta scritta di accesso o portabilità al titolare dei dati | Risposta gratuita entro 30 giorni; segnalazione all’IFPD in caso di abusi |
In Svizzera la protezione digitale poggia su un doppio scudo: da un lato la nLPD attribuisce a ogni cittadino il controllo giuridico gratuito sui propri dati personali, dall’altro l’uso rigoroso di Passkey, la verifica visiva dell’IBAN nei sistemi PhotoTAN e il rifiuto categorico di qualsiasi richiesta telefonica urgente neutralizzano le truffe informatiche più sofisticate.