Legge federale sulla protezione dei dati e servizi cloud: obblighi per le aziende

Quando entra in gioco la LPD per i servizi cloud

Il cloud computing comprende applicazioni e software, capacità di archiviazione, strumenti di sviluppo, capacità di rete o potenza di calcolo forniti su richiesta tramite una rete, ad esempio Internet, da un fornitore di servizi cloud. Se durante questo processo i dati personali vengono trasferiti nel cloud, si applica il diritto alla protezione dei dati. L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) sottolinea: l’esternalizzazione dell’infrastruttura non cambia il fatto che la Legge federale sulla protezione dei dati (LPD) si applichi ai dati personali trattati.

L’IFPDT cita tipici campi di applicazione: gli strumenti di Office 365 per la collaborazione online tra collaboratori, gli strumenti di gestione online degli indirizzi e-mail per newsletter o assistenza clienti e i sistemi CRM online. A questi si aggiungono il caricamento di video su piattaforme di streaming e di file su un server remoto accessibile via Internet.

Tre aspetti richiedono particolare attenzione e costituiscono al contempo i tre ambiti di obbligo della LPD: l’impiego di incaricati del trattamento e sub-incaricati del trattamento, la sicurezza del trattamento dei dati e la trasmissione di dati personali verso paesi terzi. Come orientamento serve la scheda informativa aggiornata di privatim «Rischi specifici del cloud e misure» (2022). Questi obblighi restano validi anche se l’infrastruttura è esternalizzata.

Gli obblighi si applicano indipendentemente dal fatto che il cloud sia gestito in Svizzera o all’estero. Decisivo è che vengano trattati dati personali.

Ruoli nel rapporto cloud: responsabile del trattamento, incaricato del trattamento, sub-incaricato del trattamento

L’azienda che offre servizi cloud agisce generalmente come incaricata del trattamento del cliente (utente del cloud) ai sensi dell’art. 9 LPD. Il cliente può essere sia responsabile del trattamento dei dati sia egli stesso incaricato del trattamento. Dal ruolo derivano obblighi diversi.

Come incaricato del trattamento, il cliente deve soddisfare i requisiti stabiliti dal responsabile del trattamento per i suoi trattamenti di dati. Come responsabile del trattamento, deve assicurarsi che il fornitore cloud esegua i trattamenti per suo conto in conformità alla protezione dei dati e che i diritti delle persone interessate non siano limitati dall’esternalizzazione.

Il trattamento dei dati attraversa diversi livelli: responsabile del trattamento – utente cloud – fornitore cloud – suoi sub-incaricati del trattamento. Chi acquista servizi cloud e tratta dati personali di terzi deve prima chiarire in quale ruolo agisce.

La distinzione tra responsabilità propria e trattamento per conto terzi è spesso complessa nella pratica, specialmente con le piattaforme SaaS che memorizzano dati dei clienti, profili di utilizzo e dati di accesso. Se si applica una legge cantonale sull’informazione e la protezione dei dati (LIPD), l’utilizzo di servizi cloud esterni è qualificato come trattamento per conto terzi (§ 6 LIPD in combinato con § 25 OIPD).

La chiarificazione dei ruoli è il primo obbligo della LPD per l’utente cloud. Da essa dipendono il contratto di trattamento per conto terzi, il vincolo alle istruzioni e la gestione dei subappaltatori.

Obblighi dell’utente cloud: garantire contrattualmente e tecnicamente il trattamento per conto terzi

L’utente cloud, in qualità di responsabile del trattamento, deve garantire e assicurare contrattualmente di rispettare i requisiti per un trattamento per conto terzi secondo l’art. 9 LPD. Ciò include il contratto di trattamento per conto terzi, un chiaro vincolo alle istruzioni e una gestione regolamentata dei subappaltatori.

Se vengono coinvolti ulteriori prestatori di servizi, la catena contrattuale deve essere estesa fino ai sub-incaricati del trattamento. Altrimenti si crea una lacuna nella catena di istruzioni e controllo.

L’IFPDT segnala che i servizi cloud sono offerti come soluzioni standardizzate, il che genera particolari sfide di compliance. La strutturazione contrattuale segue le condizioni generali del fornitore e deve essere verificata di conseguenza.

Oltre al contratto, vi è la sicurezza del trattamento dei dati attraverso misure tecniche e organizzative (MTO). Per le infrastrutture cloud, le architetture multi-tenant e i data center sono rilevanti la separazione dei dati, la crittografia e la documentazione delle misure tecniche.

La LPD esige la protezione dei dati attraverso la tecnologia e impostazioni predefinite favorevoli alla privacy. Il Privacy by Design deve essere ancorato già nel processo di sviluppo e non aggiunto successivamente.

I dati di logging e monitoring vengono spesso trascurati: i log di sistema, i log di accesso e i dati di monitoring contengono spesso dati personali. Anche per questi dati devono essere regolamentati i termini di conservazione e i diritti di accesso.

Le violazioni possono essere sanzionate dalla LPD con multe fino a CHF 250'000.

In caso di violazioni della sicurezza dei dati scatta l’obbligo di notifica. Questo riguarda anche i servizi cloud non appena vengono trattati dati personali.

Trasmissione di dati all’estero e rischi dei cloud USA

Se l’utilizzo di servizi cloud comporta una comunicazione di dati all’estero, prima della comunicazione deve essere verificato se essa soddisfa i requisiti legali. Per i servizi cloud statunitensi si aggiunge un rischio particolare.

La Corte di giustizia europea ha stabilito con la sentenza Schrems II che gli Stati Uniti non offrono un livello adeguato di protezione dei dati. Di conseguenza, le autorità europee per la protezione dei dati vietano già l’utilizzo di determinati servizi cloud USA come Mailchimp, se i dati personali vengono elaborati negli Stati Uniti. In Svizzera la situazione giuridica non è definitivamente chiarita; l’IFPDT raccomanda un’accurata analisi dei rischi.

Un punto decisivo è il CLOUD Act statunitense: secondo questa legge, le autorità statunitensi possono accedere ai dati anche se questi si trovano fisicamente nell’UE o in Svizzera, senza informare le persone interessate. Dal punto di vista europeo, ciò viola il GDPR. Esempi dagli Stati Uniti mostrano che le leggi sulla sorveglianza possono essere utilizzate anche politicamente, ad esempio per interrogare dati di giornalisti e oppositori politici.

Per la Svizzera questo significa: la localizzazione dei dati da sola non protegge se il fornitore è soggetto al diritto statunitense. Chi elabora un’analisi dei rischi deve quindi registrare non solo il luogo di archiviazione, ma anche la soggezione giuridica del fornitore e di eventuali sub-incaricati del trattamento.

La verifica della comunicazione all’estero è un obbligo autonomo della LPD e deve avvenire prima della comunicazione. Comprende il luogo di archiviazione, la soggezione giuridica del fornitore e i sub-incaricati del trattamento.

Quando si applica inoltre il GDPR

Il GDPR non si applica solo nell’UE, ma anche nello spazio SEE e quindi in Norvegia, Islanda e Liechtenstein. Per le aziende svizzere diventa rilevante non appena esse offrono servizi e beni a persone nello spazio UE/SEE.

Ciò vale anche se gestiscono un sito web o una newsletter accessibile ai cittadini dell’UE o che almeno non li esclude. Si applica altresì in caso di strumenti di tracciamento come Google Analytics, che raccolgono dati dei visitatori dell’UE.

Anche senza sede nell’UE/SEE un’azienda può essere soggetta al GDPR. È sufficiente che le offerte si rivolgano in modo mirato o anche solo di fatto a persone nello spazio UE/SEE.

Esempi sono un sito web redatto in tedesco, prezzi in euro, opzioni di consegna in paesi dell’UE o pubblicità mirata in queste regioni. Un contributo di fornitori di Convotis indica che circa il 20 % dei dati personali trattati in Svizzera proverrebbe da cittadine e cittadini dell’UE.

Per il principio fondamentale vale in Svizzera: consentito finché non esiste un divieto. Il trattamento dei dati personali è fondamentalmente lecito, purché non costituisca una violazione della personalità. Una giustificazione è necessaria solo se i diritti della persona interessata potrebbero essere compromessi.

Nell’UE/SEE vale l’approccio inverso: vietato finché non esiste un’autorizzazione. Ogni trattamento deve basarsi su un fondamento riconosciuto. Esempi sono un obbligo legale, l’esecuzione di un contratto o un consenso esplicito.

Si aggiungono differenze negli obblighi di informazione: il GDPR richiede maggiore trasparenza. Per gli obblighi di prova, il GDPR inverte l’onere della prova.

Per i diritti degli interessati, più diritti significano più sforzo. L’obbligo di notifica per le violazioni della sicurezza dei dati diventa obbligatorio secondo il GDPR; anche per le sanzioni il GDPR interviene in modo più severo.

Per i servizi cloud questo significa: chi tratta dati di cittadine e cittadini dell’UE deve verificare parallelamente la LPD e il GDPR. Gli obblighi di entrambi i quadri normativi possono coesistere.

Vigilanza rafforzata: risoluzione Privatim e crittografia

Privatim, la conferenza degli incaricati svizzeri della protezione dei dati, stabilisce in una nuova risoluzione che le autorità fondamentalmente non possono utilizzare servizi cloud internazionali. La risoluzione è stata adottata il 18 novembre 2025 e pubblicata il 24 novembre 2025.

Per gli organi pubblici, l’utilizzo di soluzioni SaaS di fornitori internazionali è ammissibile solo se essi stessi crittografano i dati personali particolarmente sensibili o i dati soggetti a segreto d’ufficio per legge. Il fornitore cloud non deve avere accesso alla chiave.

Inoltre, le autorità devono soddisfare determinati prerequisiti prima di esternalizzare i dati personali nei servizi cloud, indipendentemente dalla sensibilità dei dati.

La maggior parte dei dati delle autorità è soggetta al segreto d’ufficio e quindi a un obbligo legale di riservatezza. Con i servizi cloud internazionali come Amazon Web Services (AWS), Google o Microsoft 365, agli organi pubblici rimane essenzialmente solo l’utilizzo come puro spazio di archiviazione online.

Prendendo alla lettera la risoluzione, le autorità svizzere di vigilanza sulla protezione dei dati vietano di fatto l’utilizzo di servizi cloud internazionali da parte delle autorità svizzere.

I destinatari sono gli organi pubblici, non le aziende private. Per le aziende private la risoluzione non ha effetto vincolante diretto.

Misure e alternative per le aziende

Per la crittografia va considerata la soglia di efficacia: la crittografia end-to-end può prevenire accessi non autorizzati. Non appena i dati devono essere elaborati nel cloud, essi sono presenti in forma decrittografata e sono visibili.

Solo in caso di pura archiviazione («data at rest») la crittografia rimane efficace – per molti casi d’uso questo è poco pratico. La crittografia protegge l’archiviazione, non l’elaborazione attiva nel cloud.

Come alternativa si offre una Private Cloud: un’infrastruttura controllata e dedicata, spesso in un data center locale o nazionale. Vengono citati la sicurezza giuridica grazie all’archiviazione e all’elaborazione in Svizzera o nell’UE nel rispetto delle leggi locali sulla protezione dei dati. Si aggiungono il pieno controllo dei dati senza diritti di accesso extraterritoriali come nel caso del CLOUD Act nonché requisiti di sicurezza adattabili individualmente.

Per le aziende non soggette alla risoluzione Privatim, la scelta dell’infrastruttura è una decisione di rischio. La localizzazione dei dati e la verifica delle infrastrutture svizzere o dell’UE riducono la superficie di attacco. Il controllo contrattuale e tecnico – vincolo alle istruzioni, gestione dei subappaltatori, MTO documentate e cancellazione regolamentata – aumentano la sicurezza giuridica anche per i flussi di dati legati all’utilizzo.

Per le aziende restano centrali la localizzazione dei dati in Svizzera o nell’UE, la verifica della soggezione giuridica e il controllo contrattuale. Queste misure mitigano il rischio senza escludere fondamentalmente l’utilizzo del cloud.

Checklist: punti di verifica prima dell’utilizzo di una soluzione cloud