Valutare i servizi cloud per la Svizzera: conservazione dei dati, diritto e verifica dei fornitori

Cosa caratterizza i servizi cloud svizzeri: conservazione dei dati, ambito giuridico e obblighi di verifica

Questa guida risponde a tre domande: come vengono conservati i dati in Svizzera, quale diritto si applica al fornitore e come viene verificato un fornitore. Le tre domande corrispondono alle priorità in materia di protezione dei dati del IFPDP (Incaricato federale della protezione dei dati e della trasparenza): l’elaborazione su mandato e sub-mandato, la sicurezza dell’elaborazione dei dati e la trasmissione di dati personali verso paesi terzi.

La guida è suddivisa in tre parti: conservazione dei dati, diritto e verifica dei fornitori. La parte giuridica comprende il quadro normativo, il trasferimento all’estero e la prassi di vigilanza. La parte sulla verifica dei fornitori introduce la griglia di verifica e la griglia decisionale.

L’IFPDP definisce il cloud computing come l’approvvigionamento di applicazioni, software, capacità di archiviazione, strumenti di sviluppo nonché potenza di rete e di calcolo. L’approvvigionamento avviene tramite una rete come Internet, su richiesta, da parte di un fornitore di cloud. Se in questo processo vengono trasferiti dati personali nel cloud, si applica la legge sulla protezione dei dati.

Per l’IFPDP, i casi d’uso tipici sono gli strumenti Office 365 per la collaborazione, i sistemi CRM online, la gestione degli indirizzi e-mail per newsletter o assistenza clienti, il caricamento di video su piattaforme di streaming e il salvataggio di file su un server accessibile via Internet.

In Svizzera, i servizi cloud internazionali discussi sono in particolare Amazon Web Services (AWS), Google, Microsoft 365 e Mailchimp. Appartengono a società statunitensi e non sono quindi soggetti al diritto svizzero.

L’IFPDP cita tre priorità in materia di protezione dei dati: l’impiego di elaboratori su mandato e sub-mandato, la sicurezza dell’elaborazione dei dati e la trasmissione di dati personali verso paesi terzi. Questi punti strutturano ogni verifica dei fornitori.

L’ambito giuridico del fornitore è un punto di verifica a sé stante. Lo U.S. CLOUD Act del 2018 consente alle autorità statunitensi, a determinate condizioni giuridiche, di accedere ai dati delle aziende americane, anche se questi sono archiviati all’estero. Una sede del server in Svizzera da sola non è quindi sufficiente se il fornitore è soggetto al diritto statunitense.

Un data center in Svizzera non rende automaticamente un servizio un servizio svizzero. Determinanti sono la sede legale e la struttura del gruppo del fornitore, non l’indirizzo dell’impianto. Chi cerca un servizio cloud svizzero chiarisce quindi innanzitutto a quale diritto è soggetto il fornitore.

Dal lato svizzero, due istanze definiscono il quadro: l’IFPDP come autorità federale indipendente e Privatim, la Conferenza degli incaricati svizzeri della protezione dei dati. Entrambe sono determinanti per la verifica dei fornitori e la prassi di vigilanza.

Un servizio cloud svizzero può essere valutato definitivamente solo quando il fornitore divulga la sede legale e la struttura del gruppo. In assenza di queste indicazioni, la verifica rimane incompleta.

Conservazione dei dati in Svizzera: luogo di archiviazione, elaborazione e crittografia

Nel caso di pura archiviazione («data at rest»), una crittografia dal mittente al destinatario protegge dall’accesso non autorizzato. Se i dati devono essere elaborati nel cloud, essi sono presenti in forma decrittografata e sono visibili. Per molti casi d’uso, una crittografia end-to-end è quindi poco pratica.

Un criterio centrale è l’accesso alle chiavi. La risoluzione Privatim richiede per gli organi pubblici che il fornitore cloud non possa visualizzare la chiave. Tuttavia, secondo le autorità di vigilanza, per molti servizi cloud tale accesso non può essere escluso, anche se una protezione end-to-end fosse tecnicamente possibile.

Una Public Cloud è un’infrastruttura potenzialmente disponibile a tutti gli utenti di Internet. Consente un’assegnazione dinamica della potenza di calcolo e di archiviazione in base alle esigenze dei clienti. Questo effetto di scala è tanto maggiore quanto più ampia e internazionale è l’infrastruttura del fornitore.

Una Private Cloud offre un’infrastruttura controllata e dedicata, spesso in un data center locale o nazionale. Consente l’archiviazione e l’elaborazione in Svizzera o nell’UE ed evita diritti di accesso extraterritoriali come quelli del CLOUD Act. Specifiche di sicurezza adattabili individualmente la distinguono dalle Public Cloud.

L’indicazione di un data center in Svizzera risponde solo a una parte della domanda. Non dice nulla sulla sede legale del fornitore né su chi possa visualizzare le chiavi. Entrambi i punti rientrano nella stessa chiarificazione.

Una Private Cloud con archiviazione ed elaborazione in Svizzera evita la comunicazione all’estero. Per i dati particolarmente sensibili, è quindi la via più semplice.

Per la conservazione dei dati in Svizzera, il luogo di archiviazione ed elaborazione e l’accesso alle chiavi devono essere documentati separatamente. Entrambi i punti rientrano nel contratto di elaborazione su mandato e in un verbale di verifica scritto.

I migliori fornitori di servizi IT a Lucerna

Ultimo aggiornamento: 2026-10-09. Fonte: Google Maps.

Ruoli nella protezione dei dati: Titolare del trattamento, elaboratore su mandato e IFPDP

La parte giuridica risponde alla domanda su quale diritto si applichi al fornitore e quali obblighi ne derivino. Comprende i ruoli secondo la LPD, il trasferimento all’estero e la prassi di vigilanza.

Ai sensi della protezione dei dati, il fornitore cloud agisce generalmente come elaboratore su mandato del cliente ai sensi dell’art. 9 LPD. Il cliente può essere egli stesso titolare del trattamento o agire come elaboratore su mandato nei confronti dei propri clienti.

Come titolare del trattamento, il cliente è responsabile del fatto che le elaborazioni effettuate dal fornitore cloud siano conformi alla protezione dei dati. I diritti delle persone interessate non devono essere ridotti dall’esternalizzazione. Deve assicurarsi e garantire contrattualmente che i requisiti per un’elaborazione su mandato ai sensi dell’art. 9 LPD siano rispettati.

La Legge federale sulla protezione dei dati (LPD) rivista è entrata in vigore nel 2023 e si orienta ampiamente al Regolamento generale sulla protezione dei dati (RGPD) dell’UE. Il rispetto è monitorato da un’autorità federale indipendente, l’IFPDP.

L’IFPDP è l’Incaricato federale della protezione dei dati e della trasparenza. Monitora il rispetto delle disposizioni legali sulla protezione dei dati, redige rapporti e consiglia privati, società e organi federali. Dal 1° settembre 2023 può ordinare misure autonomamente in caso di violazioni accertate; in precedenza poteva solo formulare raccomandazioni e sottoporle al Tribunale amministrativo federale per decisione.

Dal 2016 Adrian Lobsiger è l’Incaricato federale della protezione dei dati. L’IFPDP è organizzato come dipartimento indipendente dell’amministrazione federale; gli sono subordinati uffici di staff e team.

Se le aziende trattano dati personali di cittadini dell’UE, si applica anche il RGPD. Esso richiede un contratto di elaborazione dei dati con il fornitore cloud e la prova di misure tecniche e organizzative.

Ai sensi dell’art. 4 n. 1 RGPD, i dati personali sono tutte le informazioni relative a una persona fisica identificata o identificabile. Ciò include nomi, dati di contatto e informazioni sull’utilizzo. Il RGPD richiede inoltre un’informazione trasparente degli utenti sulla natura, l’entità e lo scopo dell’elaborazione nel cloud.

Le persone interessate hanno in qualsiasi momento il diritto di accesso, rettifica e cancellazione dei loro dati. In caso di violazione della protezione dei dati, sussiste l’obbligo di notifica all’autorità di vigilanza.

Si svolgono vivaci discussioni sui servizi cloud americani, in particolare quelli di Microsoft, utilizzati dalle autorità svizzere e dai governi cantonali. Il quadro giuridico è quindi anche oggetto della prassi di vigilanza in corso.

Per la verifica dei fornitori, tre basi giuridiche sono centrali: l’art. 9 LPD per l’elaborazione su mandato, l’art. 16 cpv. 1 LPD e l’art. 8 OPD per il trasferimento all’estero, nonché l’art. 10 cpv. 2 OPD per le clausole tipo di protezione dei dati.

Cifre e fatti sulla protezione dei dati nel cloud svizzero

Comunicazione di dati all’estero: Adeguatezza, garanzie e rischi di accesso dagli USA

Il trasferimento all’estero fa parte della sezione giuridica ed è allo stesso tempo un punto di controllo della verifica dei fornitori. Deve essere chiarito prima di ogni trasferimento.

I dati personali possono fondamentalmente essere trasmessi all’estero solo se nel paese destinatario esiste un livello adeguato di protezione dei dati (art. 16 cpv. 1 LPD). Quali stati soddisfano questo requisito è stabilito dal Consiglio federale e pubblicato nell’Allegato 1 dell’Ordinanza sulla protezione dei dati (OPD). L’OPD stabilisce anche quali criteri valuta il Consiglio federale (art. 8 OPD).

In assenza di una decisione di adeguatezza, sono possibili garanzie contrattuali. Clausole specifiche di protezione dei dati in un singolo contratto devono essere comunicate all’IFPDP prima del trasferimento; la responsabilità della prova delle misure adottate rimane al titolare del trattamento.

Le clausole tipo di protezione dei dati devono essere approvate preliminarmente dall’IFPDP, che decide entro 90 giorni (art. 10 cpv. 2 OPD). Prima della decisione, nessun dato può essere comunicato, a meno che il trasferimento non si basi su un’altra base giuridica. Le clausole emesse o riconosciute dall’IFPDP stesso non devono essere notificate.

Le clausole specifiche di protezione dei dati in un singolo contratto valgono solo per la comunicazione prevista in quel contratto. Le clausole tipo di protezione dei dati emesse o riconosciute dall’IFPDP sono raccolte nella sua Infothek.

Per i trasferimenti a un’azienda estera dello stesso gruppo aziendale, le norme vincolanti d’impresa sulla protezione dei dati possono essere considerate come garanzia.

Gli USA non dispongono di una legge uniforme sulla protezione dei dati. Vale un mosaico di regole settoriali come HIPAA per i dati sanitari, GLBA per i dati finanziari o COPPA per i dati dei minori, integrate da limitati poteri di enforcement della Federal Trade Commission. Per le trasmissioni negli USA, la Svizzera richiede quindi una certificazione DPF del fornitore di servizi, garanzie aggiuntive o il consenso esplicito della persona interessata.

Lo U.S. CLOUD Act consente alle autorità statunitensi di accedere ai dati delle aziende americane indipendentemente dal luogo di archiviazione. Il Foreign Intelligence Surveillance Act (FISA) consente ai servizi di intelligence statunitensi di accedere ai dati di cittadini stranieri per motivi di sicurezza nazionale – senza la loro conoscenza e senza possibilità di ricorso legale; la Section 702 è particolarmente criticata.

Esempi dagli USA mostrano che le leggi sulla sorveglianza possono essere utilizzate anche politicamente. In passato, lì sono stati richiesti dati di giornalisti e oppositori politici. Ciò rafforza lo scetticismo dei garanti europei della privacy nei confronti dei fornitori statunitensi.

La Corte di giustizia europea ha dichiarato invalido l’accordo transatlantico sulla protezione dei dati Privacy Shield. Nel 2023 è stato introdotto l’EU-U.S. Data Privacy Framework (DPF), che a sua volta è sotto osservazione.

La Corte di giustizia europea ha deciso con la sentenza Schrems II: Gli USA non offrono un livello adeguato di protezione dei dati. In Svizzera, la situazione giuridica non è ancora definitivamente chiarita; l’IFPDP raccomanda un’attenta analisi dei rischi.

L’elenco degli stati nell’Allegato 1 dell’OPD è il primo punto di riferimento prima ancora di verificare un fornitore. Se un paese non vi figura, sono possibili solo garanzie o il consenso esplicito della persona interessata.

L’IFPDP gestisce l’elenco degli stati (Allegato 1 OPD) come categoria propria. Quali stati sono considerati adeguati si ricava da questo elenco; l’OPD cita all’art. 8 i criteri del Consiglio federale.

Vantaggi e rischi dei fornitori cloud USA (es. Microsoft, AWS, Google)

Prassi di vigilanza per le autorità: La risoluzione Privatim e le sue conseguenze

La prassi di vigilanza fa parte della sezione giuridica. Mostra come l’IFPDP e Privatim fanno rispettare i loro requisiti.

Privatim, la Conferenza degli incaricati svizzeri della protezione dei dati, ha adottato il 18 novembre 2025 una risoluzione sull’esternalizzazione delle elaborazioni di dati nel cloud. È stata pubblicata il 24 novembre 2025. La risoluzione stabilisce: L’uso di soluzioni SaaS di fornitori internazionali è consentito agli organi pubblici solo se i dati personali particolarmente sensibili o soggetti a un obbligo legale di segreto sono crittografati dall’organo stesso e il fornitore cloud rimane escluso dall’accesso alla chiave.

La scheda informativa Privatim rivista «Rischi specifici del cloud e misure» risale al 2022. Fissa i rischi specifici del cloud e le misure derivate.

La maggior parte dei dati delle autorità è soggetta al segreto d’ufficio e quindi a un obbligo legale di segretezza. Allo stesso tempo, per la maggior parte dei servizi cloud non è possibile un utilizzo sensato con crittografia end-to-end; dove fosse possibile, spesso non si può escludere l’accesso del fornitore alle chiavi.

Per i servizi internazionali come Amazon Web Services, Google o Microsoft 365, alle autorità rimane essenzialmente solo l’uso come puro spazio di archiviazione online. Prendendo alla lettera la risoluzione, le autorità di vigilanza svizzere vietano di fatto alle autorità l’uso di servizi cloud internazionali.

La risoluzione chiama tali fornitori internazionali Hyperscaler, in particolare Microsoft, Google e Amazon. Stabilisce inoltre che i fornitori cercano sempre più di spingere i loro clienti nel cloud.

La risoluzione si rivolge agli organi pubblici, che hanno una particolare responsabilità nei confronti dei dati dei loro cittadini. Le aziende private sono soggette agli obblighi generali della LPD; possono utilizzare i requisiti della risoluzione come orientamento per le proprie decisioni di rischio.

L’IFPDP può avviare un procedimento d’ufficio o su denuncia. In un rapporto, ha raccomandato lo spegnimento temporaneo del registro nazionale delle donazioni di organi; la fondazione responsabile del progetto Swisstransplant ha interrotto le operazioni. Ha ordinato al Cantone di Berna di cancellare i dati sulla piattaforma meineimpfungen.ch dopo aver riscontrato gravi carenze nell’integrità dei dati.

Verifica dei fornitori: I punti di controllo decisivi prima della selezione

La terza parte della guida è la verifica dei fornitori. Combina le parti sulla conservazione dei dati e sul diritto e le introduce in una griglia di verifica.

Gli organi pubblici sono soggetti all’obbligo di verifica indipendentemente dalla sensibilità dei dati. Hanno una particolare responsabilità nei confronti dei dati dei loro cittadini.

Innanzitutto, va chiarito a quale sistema giuridico è soggetto il fornitore e dove si trova il foro competente. Un fornitore soggetto al diritto USA può essere soggetto al CLOUD Act, anche se i dati si trovano in Svizzera. Sede, struttura del gruppo e rapporti di proprietà rientrano quindi nella verifica.

La verifica può essere eseguita in ordine fisso: sede legale e struttura del gruppo, categoria di dati, archiviazione o elaborazione, accesso alle chiavi, contratto di elaborazione su mandato e trasferimento all’estero. Ogni livello ha una propria base giuridica.

L’art. 9 LPD regola l’elaborazione su mandato, l’art. 16 cpv. 1 LPD e l’art. 8 OPD il trasferimento all’estero, l’art. 10 cpv. 2 OPD le clausole tipo di protezione dei dati. Con questa griglia si può verificare ogni fornitore, abbia la sua sede in Svizzera o all’estero.

Per la località dei dati, bisogna distinguere tra archiviazione ed elaborazione. In caso di pura archiviazione, agisce una crittografia continua; per i dati elaborati, va chiarito chi può decrittografare e quando e se il fornitore ha accesso alle chiavi.

Contrattualmente vanno garantiti i requisiti per un’elaborazione su mandato ai sensi dell’art. 9 LPD. Ciò include un contratto di elaborazione su mandato, regolamentazioni sugli elaboratori su sub-mandato e sulle misure di sicurezza tecniche e organizzative nonché indicazioni sulla cancellazione dei dati e sulla procedura in caso di cambio di fornitore.

Se avviene una comunicazione di dati all’estero, prima del trasferimento va verificato se esiste una decisione di adeguatezza o se si applicano garanzie idonee. Sono possibili clausole specifiche di protezione dei dati con notifica all’IFPDP, clausole tipo di protezione dei dati approvate o norme vincolanti d’impresa sulla protezione dei dati. Per un fornitore USA, va inoltre chiarito se esiste una certificazione DPF.

Un verbale di verifica scritto registra per ogni punto cosa è soddisfatto e cosa no. Se l’accesso alle chiavi rimane aperto o manca una base per il trasferimento all’estero, ciò parla a favore di un cloud svizzero o di una Private Cloud.

Secondo l’IFPDP, i servizi cloud sono forniti come soluzioni standardizzate. La verifica riguarda quindi un prodotto standard e il suo corpus contrattuale, non una soluzione singola.

Una Private Cloud controllata con infrastruttura dedicata e archiviazione in Svizzera o nell’UE riduce il numero di punti di controllo: nessun diritto di accesso extraterritoriale, pieno controllo dei dati e specifiche di sicurezza adattabili.

La griglia di verifica può essere applicata a ogni fornitore, con sede in Svizzera o all’estero. Per un fornitore svizzero, vanno documentati la sede legale e la struttura del gruppo in Svizzera, la conservazione dei dati in Svizzera e un contratto di elaborazione su mandato ai sensi dell’art. 9 LPD.

Un fornitore mostra quali indicazioni registra la griglia. Swisscom indica per myCloud la conservazione dei dati in Svizzera (Swisscom). Così esiste un’indicazione sul luogo di archiviazione; mancano affermazioni sull’accesso alle chiavi e sul contratto di elaborazione su mandato, che vanno verificate prima della decisione.

Quando cloud svizzero, quando cloud internazionale con condizioni?

La griglia decisionale riassume le tre parti: conservazione dei dati, diritto e verifica dei fornitori. Mostra quando un cloud svizzero è indicato e quando un cloud internazionale con condizioni è giustificabile.

Il primo criterio è la sensibilità dei dati. Per gli organi pubblici vale: I dati personali particolarmente sensibili o soggetti a un obbligo legale di segretezza possono essere utilizzati solo se l’organo stesso crittografa e il fornitore non può visualizzare le chiavi.

Dove vale il segreto d’ufficio, lo spazio di manovra è ridotto: la maggior parte dei servizi cloud non può essere utilizzata in modo sensato con crittografia continua. Con AWS, Google o Microsoft 365 rimane essenzialmente l’uso come puro spazio di archiviazione online.

Se le aziende trattano dati personali di cittadini dell’UE, si applica anche il RGPD. Secondo una stima del 2021, circa il 20% dei dati personali trattati in Svizzera proviene da cittadini dell’UE. La Corte di giustizia europea ha deciso che gli USA non offrono un livello adeguato di protezione dei dati; i garanti europei della privacy hanno vietato l’uso di determinati servizi USA, ad esempio Mailchimp, se i dati personali vengono trattati negli USA.

Chi utilizza un cloud internazionale deve poter assumere i rischi residui. L’IFPDP raccomanda un’attenta analisi dei rischi. Un cloud svizzero o privato è indicato se i dati sono particolarmente sensibili o non esistono garanzie efficaci; un cloud internazionale è giustificabile con garanzie aggiuntive e un’analisi dei rischi chiara, se i dati sono meno sensibili e la base giuridica è chiarita.

Per i trasferimenti negli USA, è necessaria una certificazione DPF del fornitore, garanzie aggiuntive o il consenso esplicito della persona interessata.

Gli USA appartengono ai paesi con protezione adeguata solo se il fornitore di servizi USA è certificato DPF. Senza certificazione DPF o garanzie aggiuntive oppure senza il consenso esplicito della persona interessata, una trasmissione non è consentita.

Per i trasferimenti USA, tre vie vanno verificate separatamente: certificazione DPF, garanzie aggiuntive o consenso esplicito della persona interessata. Se manca tutto, una trasmissione non è consentita.

Cloud svizzero vs. Cloud internazionale: Criteri decisionali