Serve un contratto sul trattamento dei dati per i vostri moduli?

« Esiste un contratto sul trattamento dei dati? » è una delle prime domande che ufficio acquisti o funzione privacy rivolgono a un fornitore di moduli, e merita una risposta migliore di « sì, ecco un PDF ». In breve: se uno strumento conserva o trasmette risposte per vostro conto, è il vostro responsabile del trattamento, voi siete il titolare, e quel rapporto richiede un contratto. In modo più esteso e più utile: l'esigenza svizzera è assai più snella di quella europea, la maggior parte delle organizzazioni svizzere ricade in entrambi i regimi, e un contratto firmato copre meno rischi reali di quanto creda chi fa girare la cartellina delle firme.

Questo articolo è il complemento pratico della nostra guida alla conformità nLPD dei moduli online. Là si copre l'intero insieme degli obblighi; qui si scende in profondità sull'unico documento che tutti chiedono, e sullo scarto tra ciò che dice e ciò che ottiene.

Che cos'è e come si chiama in Svizzera

È il contratto che disciplina il trattamento di dati personali da parte di un fornitore su vostre istruzioni. Le denominazioni cambiano con l'ordinamento e con la lingua, il che è già di per sé una fonte di errori negli acquisti svizzeri, dove un unico documento deve convincere revisori in quattro lingue:

• IT — contratto sul trattamento dei dati, talvolta accordo sul trattamento dei dati; la nLPD chiama il fornitore responsabile del trattamento e voi titolare del trattamento.
• EN — data processing agreement (DPA), talvolta data processing addendum, da cui l'abbreviazione comune a entrambi.
• DE (uso europeo) — Auftragsverarbeitungsvertrag, abbreviato ovunque in AVV: è il termine che cercano gli acquirenti di lingua tedesca.
• DE (testo svizzero) — la nLPD chiama la parte Auftragsbearbeiter e non Auftragsverarbeiter, per cui il termine svizzero rigoroso è Auftragsbearbeitungsvertrag.
• FR — contrat de sous-traitance: il fornitore è il sous-traitant e voi il responsable du traitement.

Serve davvero per il vostro strumento per moduli?

Quasi certamente sì. Il criterio non è la dimensione dell'organizzazione né la sensibilità dei dati, ma la struttura del rapporto. L'art. 5 lett. j nLPD definisce il titolare come la persona che decide sullo scopo e sui mezzi del trattamento; la lett. k definisce il responsabile come chi tratta dati personali per conto del titolare. Le domande le avete scelte voi, decidete voi a chi servono le risposte, decidete voi quando cancellarle. Siete quindi titolari del trattamento di ogni invio, anche nel piano gratuito.

Quando lo strumento non è affatto il vostro responsabile

Esiste un'eccezione importante, ed è la notizia peggiore, non quella migliore. Un fornitore che usa i dati per finalità proprie — profilazione dei partecipanti, addestramento di modelli sugli invii, arricchimento di un grafo pubblicitario, vendita di analisi aggregate — per quelle finalità non agisce soltanto su vostre istruzioni. In quella misura è titolare a sua volta, e ciò che fate non è una delega ma una comunicazione di dati personali a terzi: base giuridica diversa, voce diversa nell'informativa, conversazione diversa con chi risponde. È uno dei costi concreti dietro il nostro articolo sul costo nascosto degli strumenti per moduli gratuiti: spesso il servizio è gratuito proprio perché il trattamento non avviene puramente per vostro conto.

I responsabili nascosti dietro lo strumento

La piattaforma per moduli è raramente sola. Una catena tipica comprende anche un servizio di posta che invia la notifica con le risposte, un archivio oggetti per i file caricati, un foglio di calcolo o un CRM verso cui si esporta e, sempre più spesso, un fornitore di IA dietro una funzione di sintesi o di traduzione. Ognuno è subresponsabile del vostro fornitore oppure direttamente vostro responsabile del trattamento. La domanda non è « il fornitore mi ha mandato un PDF », ma « ogni soggetto che tocca questi dati è coperto da qualcosa ».

Che cosa esige davvero l'art. 9 nLPD

Meno di quanto ci si aspetti, e la sorpresa va di solito nella direzione del « tutto qui? ». L'art. 9 cpv. 1 nLPD consente di delegare il trattamento a un responsabile per contratto o per legge, purché i dati siano trattati soltanto come il titolare stesso potrebbe trattarli e purché nessun obbligo legale o contrattuale di segretezza lo vieti. L'art. 9 cpv. 2 impone al titolare di accertarsi in particolare che il responsabile sia in grado di garantire la sicurezza dei dati. L'art. 9 cpv. 3 richiede l'autorizzazione preliminare del titolare prima che il responsabile deleghi a un terzo. L'art. 9 cpv. 4 consente al responsabile di far valere gli stessi motivi giustificativi del titolare.

Questa è l'intera disposizione. Nel diritto svizzero non esiste alcun elenco legale di clausole obbligatorie né alcun requisito espresso di forma scritta: in linea di principio la delega può poggiare su un contratto ordinario. Non leggetelo però come un permesso di rinunciare al documento. L'art. 61 lett. b nLPD punisce su querela, con la multa fino a 250 000 franchi a carico della persona fisica responsabile, chi affida il trattamento a un responsabile senza adempiere le condizioni dell'art. 9 cpv. 1 e 2. Quando un'autorità di vigilanza o una controparte chiede come vi siete accertati della sicurezza dei dati, un contratto scritto con un allegato sulla sicurezza è l'unica risposta che regge.

Che cosa aggiunge l'art. 28 GDPR — e perché di solito governa lui

Il GDPR è molto più prescrittivo. L'art. 28 par. 3 esige un contratto vincolante per il responsabile che stabilisca la materia e la durata del trattamento, la natura e la finalità, il tipo di dati personali e le categorie di interessati, nonché gli obblighi e i diritti del titolare — e che imponga al responsabile otto doveri specifici. L'art. 28 par. 9 esige la forma scritta, anche elettronica. L'art. 28 par. 2 disciplina i subresponsabili e l'art. 28 par. 4 rende il primo responsabile pienamente responsabile verso di voi per le loro inadempienze.

La maggior parte delle organizzazioni svizzere non può considerarlo un problema altrui. Se il vostro modulo si rivolge a persone situate nell'UE — un'iscrizione a un evento aperta oltre confine, una pagina lavora con noi, un'indagine presso clienti tedeschi o francesi — il GDPR può applicarsi direttamente accanto alla nLPD, per effetto del criterio di targeting. La conseguenza pratica è semplice: redigete secondo l'art. 28 e l'art. 9 è soddisfatto come sottoinsieme. Un documento, due regimi. Il nostro confronto tra GDPR e nLPD per i dati dei moduli tratta gli altri punti di divergenza.

Che cosa deve contenere il contratto? Una checklist

Passate al vaglio il documento del fornitore con questo elenco. I primi sei punti sono il nucleo dell'art. 28; gli altri decidono se il contratto vi servirà davvero al momento opportuno o se si limiterà a esistere nel raccoglitore.

1. Descrizione del perimetro. Materia, durata, natura e finalità del trattamento, categorie di dati personali e di interessati. Una formula generica come « dati dei clienti » segnala un allegato mai adattato a un prodotto per moduli: i file caricati e le risposte a testo libero meritano una menzione propria.
2. Trattamento solo su istruzioni documentate, anche per ogni trasferimento verso un Paese terzo, con l'obbligo di avvisarvi se il fornitore ritiene che un'istruzione violi la legge.
3. Riservatezza: chiunque il fornitore autorizzi a trattare i dati è vincolato alla riservatezza, per contratto o per legge.
4. Misure di sicurezza, descritte in modo abbastanza concreto da poter essere valutate — crittografia in transito e a riposo, gestione delle chiavi, controllo degli accessi, separazione dei clienti, backup e ripristino, cadenza dei test di penetrazione. « Misure conformi agli standard di settore » non è un allegato sulla sicurezza.
5. Subresponsabili: nominati o elencati, con un meccanismo di notifica delle modifiche e un diritto di opposizione.
6. Assistenza: richieste degli interessati, incidenti di sicurezza, valutazioni d'impatto — con tempi di reazione dichiarati.
7. Cancellazione o restituzione alla fine del contratto, a vostra scelta, con copertura dei backup e indicazione della loro durata di conservazione. Chiedete espressamente per quanto tempo le risposte cancellate sopravvivono nei backup.
8. Diritti di audit e di informazione, e che cosa il fornitore offre in pratica al posto di una verifica in loco — un rapporto aggiornato, un perimetro di certificazione, un questionario di sicurezza compilato.
9. Notifica delle violazioni a voi, con un termine che vi lasci rispettare il vostro. L'art. 24 cpv. 1 nLPD impone di annunciare all'IFPDT il più rapidamente possibile quando è probabile un rischio elevato; l'art. 33 GDPR vi concede 72 ore. Un fornitore che promette una notifica « senza ingiustificato ritardo » e nulla più ha spostato il suo problema sul vostro orologio.
10. Luoghi del trattamento e base giuridica di ogni comunicazione all'estero — questione distinta da questo contratto, che la nostra guida ai trasferimenti all'estero tratta per intero.
11. Diritto applicabile e foro. Per un titolare svizzero vale la pena negoziare il diritto svizzero e un foro svizzero: è proprio uno dei risultati concreti ottenuti dai contratti quadro svizzeri con i grandi fornitori.
12. Responsabilità ed esclusioni. Leggete che cosa accade al tetto di responsabilità quando l'inadempimento riguarda la protezione dei dati; un tetto pari a un mese di canone rende i diritti di audit di cui sopra l'unico rimedio reale.

I doveri che il diritto svizzero impone direttamente al fornitore

Qui sta la vera particolarità svizzera, che di regola nessuna delle due parti menziona in trattativa: diversi doveri vincolano il responsabile del trattamento per forza di legge, che il vostro contratto li ripeta o meno. Secondo l'art. 8 nLPD il titolare e il responsabile garantiscono una sicurezza adeguata al rischio mediante misure tecniche e organizzative. L'ordinanza rende poi la cosa concreta per entrambi:

• Art. 1 OPDa — titolare e responsabile devono determinare il bisogno di protezione dei dati e definire le misure adeguate al rischio, valutato secondo criteri espressamente indicati.
• Art. 2 OPDa — le misure devono assicurare riservatezza, disponibilità, integrità e tracciabilità.
• Art. 3 OPDa — sono nominati controlli precisi: controllo dell'accesso ai dati, controllo dell'accesso ai locali, controllo degli utenti, oltre ad altre misure per disponibilità e integrità.
• Art. 4 OPDa — la registrazione di memorizzazione, modifica, lettura, comunicazione, cancellazione e distruzione è richiesta quando dati degni di particolare protezione sono trattati automaticamente su vasta scala oppure si effettua una profilazione a rischio elevato e le misure preventive non bastano.
• Art. 5 OPDa — il titolare privato e il suo responsabile privato devono redigere un regolamento per i trattamenti automatizzati se trattano su vasta scala dati degni di particolare protezione o effettuano una profilazione a rischio elevato.
• Art. 12 cpv. 3 nLPD — il responsabile tiene un proprio registro delle attività di trattamento, con l'identità propria e vostra, le categorie di trattamenti svolti per vostro conto, le misure di sicurezza e le comunicazioni all'estero.
• Art. 24 cpv. 3 nLPD — il responsabile annuncia al titolare il più rapidamente possibile ogni violazione della sicurezza dei dati. Questo dovere è legale, non solo contrattuale.

Subresponsabili: l'allegato che tutti accettano senza leggerlo

L'art. 9 cpv. 3 nLPD richiede l'autorizzazione preliminare del titolare prima che un responsabile passi il lavoro ad altri. L'art. 28 par. 2 GDPR ammette che tale autorizzazione sia specifica o generale; quando è generale, il fornitore deve informarvi delle aggiunte o sostituzioni previste affinché possiate opporvi. In pratica gli strumenti per moduli ospitati sono assemblati con i servizi di altri, quindi l'elenco non è mai vuoto: infrastruttura cloud, archiviazione a oggetti, posta transazionale, monitoraggio degli errori, ticketing di supporto e — ultimo arrivato — un fornitore di modelli dietro qualsiasi funzione di IA.

Lo schema conforme non ha nulla di spettacolare: accettare l'autorizzazione generale, scaricare l'elenco dei subresponsabili il giorno della firma, archiviarlo insieme al contratto e iscriversi alle notifiche di modifica. Conservare la copia serve a fissare che cosa avete approvato; senza di essa « abbiamo autorizzato l'elenco » rinvia a un documento nel frattempo cambiato. Lo schema fallimentare è altrettanto costante: nessuno legge l'elenco, diciotto mesi dopo arriva una funzione di IA, gli invii cominciano a raggiungere un fornitore di modelli in un'altra giurisdizione e in nessun documento risulta che qualcuno vi abbia acconsentito.

Che cosa un contratto firmato non compra

È la sezione più importante, perché questo contratto è l'artefatto di conformità che più facilmente viene scambiato per una soluzione. Ripartisce le responsabilità tra due imprese. Non cambia ciò che è tecnicamente possibile, e quattro lacune in particolare sopravvivono a ogni firma:

• Non impedisce al fornitore di leggere i vostri invii. Se le risposte sono conservate in una forma che il fornitore può decifrare, il personale di supporto, gli amministratori, i sistemi automatici e chiunque li comprometta possono leggerne il contenuto. Il contratto ne fa un inadempimento contrattuale, non un'impossibilità. La crittografia a riposo non cambia nulla, perché le chiavi le detiene il fornitore.
• Non libera da un obbligo di segretezza. L'art. 9 cpv. 1 lett. b vieta già la delega quando il diritto del segreto vi si oppone, e l'art. 321 CP vi vincola personalmente, qualunque cosa abbia firmato il vostro fornitore.
• Non rende lecita una comunicazione all'estero. La questione della committenza e quella del trasferimento sono due test distinti. Un contratto art. 28 impeccabile con un fornitore in uno Stato privo di protezione adeguata richiede comunque clausole tipo riconosciute dall'IFPDT e una valutazione del trasferimento.
• Non sposta la vostra responsabilità agli occhi dell'interessato. Restate titolari del trattamento. Una clausola di manleva può aiutarvi nel regresso verso il fornitore; non risponde né alla persona i cui dati sono stati esposti, né all'autorità di vigilanza.

Un contratto sul trattamento dei dati registra chi risponde di che cosa. Non può registrare chi è in grado di fare che cosa: quello lo decide l'architettura, molto prima che qualcuno prenda in mano una penna.

La crittografia end-to-end elimina la necessità del contratto?

No — e qualsiasi fornitore che sostenga il contrario sta esagerando, noi compresi. Anche con la crittografia a conoscenza zero il fornitore tratta dati personali per vostro conto: dati dell'account, metadati del modulo, marche temporali degli invii, registri a livello di indirizzo IP e il testo cifrato stesso, che resta dato personale finché qualcuno ne detiene una chiave. Voi restate titolari, il fornitore resta responsabile del trattamento, l'art. 9 nLPD e l'art. 28 GDPR continuano ad applicarsi, e continuate a dovere il registro dell'art. 12 e l'informativa dell'art. 19.

Ciò che la crittografia end-to-end cambia non è l'esistenza del contratto, ma la dimensione del rischio che gli si chiede di reggere. Quando il fornitore non detiene una chiave utilizzabile, la riservatezza delle risposte non dipende più dalla disciplina del suo personale, dai suoi controlli d'accesso o dal comportamento dei suoi subresponsabili. L'ostacolo dell'art. 9 cpv. 1 lett. b — un obbligo di segretezza che vieta la delega — trova risposta architetturale, perché non c'è alcun segreto da rivelare. E l'analisi delle violazioni si sposta: un incidente presso il fornitore espone testo cifrato, il che rende assai diversa la discussione sulla notifica ai sensi dell'art. 24 nLPD, come illustra il nostro articolo su notifica delle violazioni e crittografia.

Come ottenerlo e come mantenerlo utile

Ottenere il documento è la metà facile. Mantenerlo utile — reperibile, aggiornato e coerente con ciò che avete davvero attivato — è quello che fallisce a un controllo due anni dopo.

Segnali d'allarme nel contratto di un fornitore

• Nessun contratto nel piano gratuito o di ingresso. Frequente, e squalificante se lì raccogliete dati personali altrui.
• L'allegato sulla sicurezza è un paragrafo di aggettivi. « Allo stato dell'arte », « di livello bancario », « crittografia militare »: nessuna di queste è una misura.
• Nessun elenco di subresponsabili, oppure un elenco senza impegno a notificare le modifiche.
• Silenzio sulla cancellazione, oppure cancellazione promessa per il sistema di produzione senza una parola sui backup.
• Notifica delle violazioni « appena ragionevolmente possibile » senza termine massimo, mentre il vostro orologio ai sensi dell'art. 24 nLPD e dell'art. 33 GDPR parte subito.
• Diritti di modifica unilaterale sull'intero contratto, allegato sulla sicurezza compreso, senza preavviso.
• Un prodotto commercializzato in Svizzera il cui contratto menziona solo il GDPR. Non è fatale — la formulazione dell'art. 28 copre l'art. 9 — ma indica che la revisione svizzera non è mai avvenuta, e l'art. 61 nLPD è una norma svizzera.

In sintesi: serve un contratto sul trattamento dei dati per i vostri moduli?

Sì. Ogni strumento per moduli ospitato tratta dati personali per vostro conto: è quindi il vostro responsabile del trattamento e il contratto è un obbligo di legge — ai sensi dell'art. 9 nLPD, con una multa fino a 250 000 franchi in caso di errore, e ai sensi dell'art. 28 GDPR, con un elenco di clausole obbligatorie non appena il regime europeo vi raggiunge. Redigete secondo l'art. 28, conservate l'elenco dei subresponsabili, archiviate il contratto insieme al registro dei trattamenti e rivedetelo quando cambiano le funzionalità.

Poi siate lucidi su che cosa avete comprato. Il contratto stabilisce chi risponde quando qualcosa va storto. Non stabilisce chi può leggere i vostri invii: quello lo decide il modello crittografico, e nessuna formulazione contrattuale lo cambia. Per dati di modulo ordinari, un contratto solido con un fornitore competente è una risposta proporzionata. Per invii coperti da segreto professionale, o ovunque l'esigenza onesta sia che nessuno fuori dalla vostra organizzazione possa mai leggerne il contenuto, il contratto è la seconda domanda e l'architettura la prima.