Protezione dei dati: confronto con la Svizzera
Leggi l’edizione PDF (1 pagina)
I regimi svizzero e di Singapore sono simili nella struttura e differiscono nell'applicazione. La Svizzera non prevede sanzioni amministrative nei confronti delle organizzazioni: le sue sanzioni sono multe penali fino a CHF 250,000 a carico delle persone fisiche responsabili, il che richiama l'attenzione di un compliance officer in modo diverso.1 Singapore sanziona l'organizzazione fino al 10 per cento del fatturato locale. La Svizzera richiede la notifica delle violazioni «il più rapidamente possibile» quando la violazione comporta verosimilmente un rischio elevato, mentre Singapore concede tre giorni dalla valutazione e fissa una soglia numerica. La Svizzera considera dati personali i dati relativi a una persona identificabile allo stesso modo di Singapore e incontra la stessa difficoltà con le blockchain pubbliche, sulle quali l'Incaricato federale della protezione dei dati e della trasparenza non ha emanato indicazioni paragonabili alla guida di Singapore. Un gruppo che costruisce il proprio programma di privacy secondo lo standard di Singapore soddisferà in genere anche quello svizzero, con l'aggiunta dei documenti specificamente svizzeri, ossia il registro delle attività di trattamento e la valutazione d'impatto sulla protezione dei dati per i trattamenti ad alto rischio.2
Prospettiva transfrontaliera
Lei può gestire un unico programma di privacy per un gruppo Zug–Singapore se adotta su ciascun punto la regola più rigorosa. Non scriva dati personali su alcuna chain pubblica. Consideri dati personali, in entrambi i paesi, gli indirizzi di wallet collegati a clienti noti. Utilizzi le clausole contrattuali tipo dell'UE con gli adeguamenti svizzeri per ogni trasferimento dalla Svizzera e un accordo infragruppo vincolante per ogni trasferimento da Singapore. Fissi il termine per le violazioni al periodo applicabile più breve, che è la notifica degli incidenti alla MAS entro un'ora per le entità autorizzate e la notifica alla PDPC entro tre giorni per i dati personali. Un programma costruito in questo modo reggerà a un'ispezione di entrambe le autorità e, soprattutto, reggerà all'attenzione di chi attacca le imprese cripto per impadronirsi dei loro elenchi di clienti.
Note
- Artt. 60–63 LPD (RS 235.1). ↩
- Art. 12 (registro delle attività di trattamento) e art. 22 (valutazione d'impatto sulla protezione dei dati) LPD (RS 235.1). ↩
Solo a scopo informativo generale. Il presente articolo non costituisce consulenza legale o fiscale, non sostituisce la consulenza sul singolo caso e non instaura alcun rapporto tra avvocato e cliente. Riflette la situazione giuridica aggiornata a novembre 2026.