«Una legislazione efficace deve coniugare tutela dei dati, fattibilità tecnica e sostenibilità economica»
Lugano, 10 novembre 2026 – ATED, associazione economica cantonale del settore ICT e Digital, ha presentato una petizione al Consiglio di Stato e al Gran Consiglio ticinese, chiedendo un approfondimento di alcune disposizioni della nuova Legge cantonale sulla protezione dei dati personali (LPDP), con particolare attenzione alle responsabilità delle imprese tecnologiche, ai poteri di vigilanza, alla fattibilità tecnica e alle conseguenze economiche della normativa.
La petizione richiama l'attenzione su un aspetto fondamentale: sebbene la LPDP disciplini principalmente il trattamento dei dati personali nell'ambito delle attività pubbliche, le sue conseguenze operative possono estendersi ben oltre l'amministrazione cantonale e comunale.
La normativa interessa infatti un articolato sistema di enti pubblici, istituti autonomi e soggetti privati incaricati di compiti pubblici. A questi si affiancano numerose imprese tecnologiche che, pur non essendo automaticamente assoggettate alla legge cantonale, forniscono infrastrutture e servizi indispensabili al trattamento e alla protezione dei dati personali.
L'iniziativa nasce dalla volontà di contribuire a una legislazione che, oltre a garantire la tutela dei dati personali, sia concretamente applicabile e tenga conto della realtà operativa delle imprese ICT e dei soggetti assoggettati alla normativa.
La protezione dei dati non è soltanto una questione giuridica
La nuova LPDP disciplina una materia fondamentale per la tutela dei cittadini e per il funzionamento delle istituzioni. Tuttavia, secondo ATED, l'efficacia di una legge non può essere valutata esclusivamente sulla base della sua correttezza giuridica.
Le infrastrutture digitali dei soggetti assoggettati alla LPDP sono infatti gestite, in misura significativa, attraverso il contributo di imprese tecnologiche esterne, che garantiscono quotidianamente servizi essenziali quali cybersecurity, gestione dei server, backup, manutenzione dei sistemi e continuità operativa.
«Una norma può essere giuridicamente corretta, ma risultare tecnicamente difficile da applicare o economicamente sproporzionata. Per questo è indispensabile che le competenze tecnologiche vengano coinvolte nei processi legislativi che incidono direttamente sul settore», sottolinea Luca Mauriello, presidente di ATED.
Responsabilità chiare tra soggetti assoggettati alla LPDP e fornitori ICT
Uno dei principali temi sollevati dalla petizione riguarda la ripartizione delle responsabilità tra soggetti assoggettati alla LPDP e fornitori tecnologici.
Un'impresa ICT può essere incaricata di gestire infrastrutture, implementare misure di sicurezza e segnalare vulnerabilità, senza tuttavia disporre del potere di decidere autonomamente investimenti, sostituzioni di sistemi o accettazione dei rischi.
ATED chiede pertanto che gli obblighi siano attribuiti in modo coerente con i ruoli, le competenze decisionali e le effettive possibilità di intervento dei soggetti coinvolti, senza pregiudicare le responsabilità professionali dei fornitori.
La petizione solleva inoltre la necessità di chiarire i limiti dei poteri di vigilanza cantonali nei confronti delle imprese private e di definire procedure operative precise per la gestione degli incidenti informatici e delle violazioni dei dati personali.
Chi è stato coinvolto nell'elaborazione della legge?
Un altro punto centrale riguarda il processo legislativo.
ATED chiede di conoscere quali competenze tecniche siano state consultate durante l'elaborazione della nuova LPDP e se siano state effettuate valutazioni specifiche della fattibilità tecnologica e delle conseguenze economiche delle disposizioni introdotte.
L'associazione non mette in discussione le competenze istituzionali del Consiglio di Stato e del Gran Consiglio, ma sottolinea l'importanza di integrare l'analisi giuridica con il contributo dei professionisti che progettano, amministrano e proteggono quotidianamente le infrastrutture digitali.
«Non chiediamo di sostituirci al legislatore. Chiediamo che, quando si introducono norme che incidono direttamente sulle infrastrutture tecnologiche e sulle imprese che le gestiscono, venga ascoltato anche chi conosce concretamente le implicazioni tecniche, organizzative ed economiche di quelle decisioni», prosegue Mauriello.
La proposta: un gruppo tecnico consultivo
Oltre alle richieste di chiarimento, ATED propone l'istituzione di un gruppo tecnico consultivo che coinvolga istituzioni, autorità competenti e rappresentanti del settore ICT.
L'obiettivo sarebbe quello di analizzare eventuali criticità applicative, contribuire alla definizione di linee guida operative e formulare proposte per garantire un'applicazione efficace e proporzionata della normativa.
L'associazione manifesta fin d'ora la propria disponibilità a mettere a disposizione le competenze delle imprese e dei professionisti che rappresenta.
«Non chiediamo meno protezione dei dati. Chiediamo regole migliori»
ATED ribadisce il proprio sostegno alla tutela dei dati personali, considerata un elemento fondamentale per la fiducia dei cittadini e per la sicurezza dei servizi digitali.
La petizione non intende ottenere privilegi o esenzioni per le imprese tecnologiche, ma promuovere una maggiore chiarezza normativa e una corretta attribuzione delle responsabilità.
«La protezione dei dati è un diritto fondamentale. Ma per garantirla davvero servono norme chiare, responsabilità definite e soluzioni tecnicamente realizzabili. Non chiediamo meno protezione dei dati: chiediamo una protezione migliore», conclude Mauriello.
Con questa iniziativa, ATED conferma la propria volontà di contribuire attivamente al dialogo istituzionale sui temi che riguardano la trasformazione digitale del Cantone Ticino.
Perché chi definisce le regole del digitale deve confrontarsi anche con chi il digitale lo costruisce, lo gestisce e lo protegge ogni giorno.
ATED – Associazione economica cantonale del settore ICT e Digital
Contatto stampa
Segreteria ATED
www.ated.ch
media@ated.ch