Una scheda redatta dall’Avv. Michele Rossi, Delegato alle relazioni esterne Cc-Ti. Scopriamo i dettagli.

Il Tribunale federale ha confermato il rifiuto di concedere le indennità per lavoro ridotto ad una società ticinese che gestisce alcune stazioni di servizio nella zona di frontiera, avvallando in tal modo quanto precedentemente deciso dalla Sezione cantonale del lavoro e dal medesimo Tribunale cantonale delle assicurazioni.

La richiesta delle indennità era stata motivata dall’assenza di clienti e dal calo del fatturato dovuti al taglio delle accise sui combustibili fossili, adottato dall’Italia in risposta all’importante aumento del prezzo del petrolio causato dal conflitto in Ucraina e dalle relative sanzioni nei confronti della Russia.

Ma qual ’è stato il ragionamento che ha condotto a tale decisione, tenuto conto che il massiccio calo della clientela è realmente avvenuto?
I giudici hanno innanzitutto stabilito che l’attività in oggetto consiste nella gestione di aree di servizio a ridosso della frontiera con l’Italia proprio per poter beneficiare della differenza di prezzo della benzina nei due Stati. Questa attività, secondo il Tribunale federale è pertanto fondata su tali differenze di prezzo, a loro volta determinate da decisioni politiche.

Tenuto conto dell’intenzionale esposizione a tali variazioni di prezzo da parte dell’azienda ticinese, si può ritenere che le misure politiche che vanno ad influenzare questo parametro siano incluse e considerate nella strategia della società e quindi anche nel normale rischio aziendale.

Ora, l’art. 33 della Legge sull’assicurazione contro la disoccupazione esclude le indennità per lavoro ridotto se il calo dell’operatività è dovuta a circostanze rientranti nella sfera normale del rischio aziendale del datore di lavoro.
Per queste ragioni le richieste dell’azienda ticinese sono state respinte.

(Sentenza C_216/2023)

INFORMAZIONE IMPORTANTE

Il salario minimo cantonale (salario orario minimo lordo per settore economico) ammonta al 55% della mediana salariale nazionale, differenziato per settore economico.

Scaricate il decreto con i livelli di salario orario minimo lordo per settore economico validi dal 1° dicembre 2023.

Altre informazioni utili su : https://www4.ti.ch/dfe/de/usml/salariominimo/salario-minimo-cantonale

La crescente dipendenza dalla tecnologia e la proliferazione dei dati digitali hanno reso la cybersecurity una delle questioni più urgenti e rilevanti nel mondo moderno. Le interconnessioni del mondo digitale hanno infatti portato ad una crescente consapevolezza della necessità di proteggere le informazioni da minacce virtuali sempre più sofisticate: sono a rischio dati sensibili, informazioni personali e la continuità delle operazioni aziendali.

L’importanza della sicurezza informatica è oggi indiscutibile, ma spesso si misconosce la complessità di questo settore e l’importanza di considerarla come un processo continuo piuttosto che un prodotto da installare una volta per tutte.

Il nuovo paradigma è combinare tecnologia e procedure per una protezione efficace.

La sicurezza informatica non è un destino da raggiungere, ma piuttosto un viaggio in continua evoluzione. Come detto, spesso, si cade nell’errore di considerarla un prodotto, ovvero un insieme di software, firewall o dispositivi hardware che proteggano da minacce. Tuttavia, questa visione è parziale e fuorviante. La sicurezza informatica è piuttosto un processo articolato che coinvolge persone, procedure e tecnologia. Gli esperti del settore sono consapevoli di questa realtà: non offrono solo soluzioni tecniche, ma aiutano le organizzazioni a sviluppare una cultura di sicurezza, implementando procedure robuste e promuovendo la consapevolezza tra i dipendenti. Questo approccio olistico è fondamentale perché, in un mondo digitale in costante cambiamento, la sicurezza deve essere sempre aggiornata e adattata alle nuove minacce.

La tecnologia gioca evidentemente un ruolo fondamentale nella protezione delle informazioni. Firewall, sistemi di rilevamento delle intrusioni, crittografia e altri strumenti tecnologici sono pilastri della sicurezza informatica. Tuttavia, è importante sottolineare che la tecnologia da sola non è sufficiente. È l’abilitatore che consente alle procedure e alle politiche di sicurezza di funzionare in modo efficiente. Per il tramite di queste tecnologie è possibile raggiungere, con strumenti automatici, da configurare correttamente, un buon grado di tranquillità. Le aziende sono chiamate sia ad implementare le soluzioni tecnologiche necessarie sia ad avere una spiccata competenza nella loro gestione e manutenzione. La tecnologia deve essere costantemente monitorata e aggiornata per rimanere efficace contro le minacce in evoluzione. Questo concetto vale sia nel caso in cui si abbia un’infrastruttura gestita internamente sia nel caso in cui questa sia gestita con aziende di supporto esterne.

Le procedure sono la spina dorsale di qualsiasi sistema di sicurezza. Devono essere chiare, accessibili e facili da seguire per essere efficaci. Le aziende devono sviluppare procedure che non solo proteggano le informazioni, ma che siano anche sostenibili nell’uso quotidiano.

L’obiettivo è creare un ambiente in cui le procedure di sicurezza siano integrate nella routine lavorativa senza ostacolarne l’efficienza. Questo equilibrio tra sicurezza e praticità è fondamentale per garantire che le procedure vengano seguite in modo coerente da tutto il personale. Un errore comune è ritenere che un informatico possa occuparsi da solo della sicurezza informatica.

Questa è una visione limitata, poiché le competenze richieste per gestire la sicurezza sono diverse da quelle necessarie per gestire l’infrastruttura tecnologica. Un informatico è responsabile della gestione quotidiana dei sistemi e delle reti, ma un esperto di sicurezza ha una prospettiva differente. Si occupa di valutare le minacce, sviluppare politiche e procedure, monitorare l’efficacia delle misure di sicurezza e garantire la conformità alle normative. Queste responsabilità richiedono una profonda comprensione delle minacce digitali e delle migliori pratiche di sicurezza.

Le due figure non sono in contrasto ma sono chiamate a cooperare in modo attivo. La presenza di due figure è fondamentale per garantire un corretto bilanciamento nell’IT aziendale, oltre che perseguire il principio di separazione tra controllato e controllore. Grazie alle competenze di chi si occupa di sicurezza cibernetica, è possibile sviluppare il cosiddetto principio di security by design e security by default, ovvero fornire a chi si occupa di informatica pura tutte le informazioni per implementare i sistemi in modo tale che siano rispondenti ai requisiti di sicurezza che ciascuna azienda si pone. Per questo motivo non è possibile costruire un modello di sicurezza univoco per tutti, se non per questioni fondanti, di principio, ma ciascuno deve ritagliare in modo sartoriale le proprie politiche di gestione della cybersecurity.

L’introduzione, il 1° settembre 2023, della nuova legge federale sulla protezione dei dati (di cui si è anche discusso nell’evento “LPDomani!” tenutosi lo scorso 31 agosto presso il Casinò di Lugano, organizzato dalla Cc-Ti con Gruppo Sicurezza e Casinò di Lugano) sottolinea ulteriormente come la Confederazione ritenga centrale l’importanza della sicurezza informatica e della gestione delle informazioni. La legislazione impone infatti requisiti rigorosi per la protezione dei dati personali e richiede un approccio proattivo alla sicurezza delle informazioni.

A seguito dell’introduzione della nLPD, le aziende devono garantire che i sistemi e le procedure siano conformi alle leggi sulla protezione dei dati, proteggendo così la privacy degli individui. Anche in questo caso, se non per principi cardine, non è possibile creare una gestione della privacy “fotocopia”, uguale per tutte le aziende e le organizzazioni, ma, per garantire le specificità di ciascuno, si deve analizzare e redigere quanto necessario in modo circostanziato e puntuale.

Non si tratta però di un moloch: la chiave del successo è capire che si tratta di un’opportunità per affrontare un viaggio introspettivo nella vita aziendale e comprendere quali dati si trattino e quali procedure siano in essere, per garantirne la corretta protezione. I dati e tutte le informazioni sono la base fondamentale su cui le aziende e le organizzazioni vivono: diventa quindi mandatorio dedicare del tempo a rendere sicure le infrastrutture affinché non vengano modificati, trafugati, divulgati.

---

Articolo a cura di Ing. Pietro Vassalli, Cyber Security Manager, Gruppo Sicurezza

La nuova legge sulla protezione dei dati (nLPD) oltre ad avere introdotto tutta una serie di obblighi nei confronti del titolare del trattamento volti a migliorare la trasparenza dei trattamenti e ad aumentare il senso di responsabilizzazione ha, allo stesso tempo, rinforzato l’autodeterminazione delle persone interessate e più precisamente l’autodeterminazione informativa permettendo al singolo di controllare maggiormente i dati che lo riguardano e se necessario chiedere l’adozione di provvedimenti in caso di violazione.

In altre parole, le persone interessate hanno il diritto di essere informate su ogni attività di raccolta dei loro dati personali ma soprattutto il diritto di accedere a questi dati.

Il diritto di accesso ai dati personali che le riguardano è l’elemento chiave per la protezione dei dati in quanto permette di esercitare efficacemente gli altri diritti sanciti dalla legge sulla protezione dei dati, sia nella versione attuale che in quella rivista, ed in particolare:

• il diritto di sapere a chi rivolgersi (art. 10 cpv3 lett. d) nLPD relativo al Consulente per la protezione dei dati e art. 14 cpv.3 nLPD in merito al Rappresentante in Svizzera), il diritto di sapere se una decisione presa si è basata esclusivamente su un trattamento automatizzato (art. 21 cpv.1 );
• il diritto di opporsi al trattamento (opt out ). Anche se non è un diritto previsto espressamente dalle normative (aLPD e nLPD), quest’ultimo deriva dell’autodeterminazione informativa;
• il diritto di rettificare i dati inesatti (art. 5 cpv. 2 aLPD, art. 32 cpv. 1 nLPD);
• il diritto di cancellazione (art. 12 cpv. 2 aLPD, art. 32 cpv. 2 lett. c) nLPD);
• il diritto di non essere sottoposto ad un processo decisionale automatizzato, diritto introdotto dalla nLPD. (art. 21 cpv. 2 nLPD);
• il diritto di farsi consegnare dati o di esigerne la trasmissione a terzi, il cosiddetto diritto di portabilità, introdotto dalla nLPD (art. 28 nLPD).

Tutti questi diritti non sono assoluti, il legislatore per ogni diritto concesso ha previsto, sia nell’attuale versione della legge sulla protezione dei dati che in quella nuova, casi di restrizioni.

Il diritto di accesso tra estensione e limitazione

Il diritto di accesso è in primis un diritto che legittima la persona interessata a sapere se i suoi dati sono oggetto di trattamento (art. 8 cpv. 1 aLPD – art. 25 cpv.1 nLPD), come viene eseguito il trattamento, e in un secondo tempo, farsi consegnare una copia delle informazioni che il titolare ha su di lei.

Questo diritto è un diritto strettamente personale al quale non si può rinunciare in anticipo (art. 8 cpv. 6 aLPD – art.25 cpv.5 nLPD). Pertanto, qualsiasi persona capace di discernimento può e deve esercitare lei stessa questo diritto senza necessità di richiedere il consenso del rappresentante legale (ad esempio i minori).

In entrambe le versioni, aLPD e nLPD, le informazioni dovranno essere fornite per iscritto ed in linea di principio gratuitamente. È previsto un termine di 30 giorni per la trasmissione delle informazioni, che può essere prorogato se la raccolta delle informazioni e i relativi dati richiedono più tempo o possono eventualmente essere forniti in modo scaglionato.

L’elenco delle informazioni da fornire in caso di richiesta di accesso delle persone interessate è previsto dalle due normative, sia quella attuale (art.8 cpv. 2 lett.a) e b) aLPD) che quella rivista (art. 25 cpv 2 lett. a) a g) nLPD). Con il nuovo il testo, l’elenco delle informazioni minime da comunicare è stato esteso in modo considerevole e corrisponde in grandi linee a quello previsto dal diritto europeo (art. 15 cpv. del GDPR). Il diritto di accesso, pur rappresentando l’elemento chiave per la protezione dei dati, così come per gli altri diritti, non è assoluto.
Delle restrizioni sono state previste dal legislatore sia nell’aLPD che nella nLPD (rispettivamente art. 9 aLPD e art. 26 nLPD), e sono state estese in particolar modo nel testo della nLPD per limitarne l’utilizzo abusivo riscontrato negli anni [il titolare del trattamento può rifiutare, limitare o differire l’informazione se la domanda d’accesso è manifestamente infondata, segnatamente se persegue uno scopo contrario alla protezione dei dati, o se è querelosa” (art. 26 cpv.1 lett.c) nLPD)].

In effetti, nella sua giurisprudenza, il Tribunale federale (TF) ha sottolineato che una richiesta di accesso (art. 8 aLPD) dovrebbe essere considerata abusiva quando è intesa esclusivamente a raccogliere prove in vista di un’azione civile (cf. due decisioni del TF: ATF 138111 425 e ATF 141 III 119 – il testo della sentenza ATF 138 III 425 può essere consultato al seguente link: https://bit.ly/3qU3Xwl).

In queste due sentenze il TF aveva negato il carattere abusivo della richiesta di accesso. È solo con la sentenza 4A_277/2020 del 18.11.2020 (il testo della sentenza può essere consultato al seguente link: https://bit.ly/43XPez6) che per la prima volta il TF ha ritenuto il carattere abusivo di una particolare richiesta legata ad un contenzioso commerciale facendo riferimento anche al testo della nLPD, ed in particolare al fatto che alla persona interessata debbano essere fornite le informazioni necessarie affinché possa far valere i suoi diritti secondo la LPD e sia garantito un trattamento trasparente dei dati (art. 25 cpv. 2 nLPD).

Anche a livello europeo l’esercizio del diritto di accesso è stato oggetto di discussione. A tale riguardo viene citata la recente sentenza della Corte di giustizia dell’Unione Europea (CGUE) del 12 gennaio 2023 (il testo della sentenza della CGUE può essere consultato al seguenti link: https://bit.ly/3pos2Ld), la quale ha ritenuto che il diritto di accesso permette alle persone interessate di richiedere al titolare del trattamento le informazioni riguardanti l’identità dei destinatari ai quali i dati sono o sono stati comunicati.

Con questa sentenza la CGUE ricorda che il diritto di accesso è un diritto necessario per permettere alle persone interessate di far valere gli altri suoi diritti di cui alla LPD in quanto permette di verificare non solo che i dati personali che la riguardano sono corretti ma anche che sono trattati in modo lecito. Anche se questa sentenza non è vincolante per la Svizzera, ad eccezione dell’applicazione extraterritoriale del GDPR (teoria degli effetti), l’Incaricato federale della protezione dei dati e della trasparenza potrebbe adottare la stessa interpretazione in quanto l’obiettivo della nLPD è volto a migliorare la trasparenza del trattamento dei dati personali e l’autodeterminazione delle persone interessate. A tale riguardo sarà interessante capire se la sanzione penale prevista all’art. 60 cpv.1 lett.a) nLPD verrà applicata al titolare del trattamento che non fornisce, su richiesta della persona interessata, l’identità dei destinatari dei dati in quanto potrà essere considerata come fornitura intenzionale d’informazione incompleta.

Conclusione

Per quanto riguarda i diritti delle persone interessate, le disposizioni previste, sia dalla normativa attuale che da quella rivista, sono equiparabili. L’elemento determinante del testo della nLPD è l’autodeterminazione delle persone interessate ed in particolare l’autodeterminazione informativa.

Ogni attività di trattamento deve essere preceduta da un’informativa che deve contenere un minimo di informazioni predefinite dalla legge e alla quale non si può derogare. Chi tratta i dati personali lo deve fare in modo trasparente e deve essere in grado, su richiesta delle persone interessate, di fornirle tutte le informazioni necessarie a controllare che il trattamento venga eseguito in conformità ai principi di trattamento sanciti dalla legge sulla protezione dei dati. In caso di violazione la persona interessata potrà richiedere l’adozione dei provvedimenti previsti dalla legge sulla protezione dei dati che prevedono sia sanzioni penali (art. 34 cpv. 1 lett. a) e b) aLPD – art. 60 cpv. 1 lett. a) e b) nLPD) e amministrative (art. 51 nLPD) sia la possibilità di ricorrere alle azioni civili previste dagli art. 28 ss CC (art.15 aLPD – art. 32 cpv. 2 nLPD).

---

Fonte: articolo a cura di Isabel Costa, Vicedirettore di Fidinam & Partners, pubblicato su Fidinam News – giugno 2023.
LINK UTILI: https://www.fidinam.com/it/blog/svizzera-diritto-accesso-elemento-chiave-protezione-dati