Microsoft Forms è conforme al diritto svizzero sulla protezione dei dati?

La domanda salta fuori in ogni organizzazione svizzera che paga Microsoft 365, di solito nella settimana in cui qualcuno costruisce un modulo HR in Forms perché era già lì. La risposta onesta è più utile delle due che si sentono di solito. Non è « Microsoft non è conforme » — è sbagliata e facile da confutare. Non è nemmeno « abbiamo il contratto di trattamento Microsoft, quindi siamo a posto », perché risponde a un'altra domanda. Microsoft Forms è lecito per la maggior parte dei trattamenti svizzeri, e quattro fatti precisi decidono quando smette di essere la scelta giusta.

Se la vostra domanda è se Forms sia cifrato, abbiamo risposto separatamente in Microsoft Forms è crittografato — in breve sì, in transito e a riposo, con Microsoft che detiene le chiavi. Questo articolo riguarda la liceità in Svizzera, che è un test diverso con una risposta diversa.

Che cosa la nLPD richiede davvero da voi

Partiamo dalla struttura, più semplice del dibattito che la circonda. Usare uno strumento di moduli in cloud fa di voi il titolare e di Microsoft un responsabile del trattamento ai sensi dell'art. 9 nLPD. La responsabilità resta vostra. Ciò che dovete sta in un elenco corto e verificabile.

1. Un contratto di trattamento con il responsabile. L'addendum sulla protezione dei dati di Microsoft, parte delle condizioni dei servizi online, è il documento: non lo negoziate, lo individuate e lo archiviate. Che cosa deve contenere e che cosa non compra è in il contratto di trattamento per gli strumenti di moduli.
2. Una base per la comunicazione all'estero. Gli Stati UE e SEE figurano nell'elenco svizzero di adeguatezza (allegato 1 dell'ordinanza), quindi l'archiviazione UE/AELS non richiede clausole tipo. Ma Microsoft Corporation è un gruppo statunitense, e i subincaricati e gli accessi dell'assistenza vanno guardati, non dati per scontati. Analisi completa in quali dati dei moduli possono legalmente lasciare la Svizzera.
3. La trasparenza dell'art. 19. I rispondenti devono sapere chi è il titolare, la finalità, i destinatari e i Paesi coinvolti. « Microsoft » va in quell'informativa, non solo nel vostro registro interno.
4. Proporzionalità e limitazione della finalità (art. 6). Il requisito più spesso mancato, e non ha nulla a che fare con Microsoft: riguarda quali campi mettete nel modulo.
5. Sicurezza proporzionata al rischio (art. 8) — è qui che la domanda « chi può leggerlo » passa dalla filosofia al test di conformità.
6. Una voce nel registro dei trattamenti, che indichi Microsoft come responsabile, la localizzazione UE/AELS e la categoria di dati.

Notate che cosa non c'è in questo elenco: alcun obbligo di archiviare i dati in Svizzera. Il diritto svizzero non impone nulla del genere ai titolari privati. L'ubicazione conta per altre ragioni — carico documentale, attrito procedurale, strati settoriali — che esponiamo in moduli con server in Svizzera.

I quattro fatti svizzeri che la maggior parte dei tenant sbaglia

1. Il confine dei dati dell'UE non è un confine svizzero

L'EU Data Boundary di Microsoft è un impegno ingegneristico reale che mantiene la maggior parte dei dati di servizio di Microsoft 365 all'interno delle regioni UE e AELS. La Svizzera è uno Stato AELS e i tenant svizzeri finiscono nella macroregione europea — ragione per cui l'impegno viene spesso riportato internamente come « i nostri dati restano in Europa » e poi arrotondato in sordina a « i nostri dati restano qui ». Sono affermazioni diverse. Archiviare i dati di rispondenti svizzeri in un centro dati UE è una comunicazione all'estero: lecita ai sensi dell'art. 16 grazie all'adeguatezza, e da saper indicare nel registro e nell'informativa.

2. Forms è fuori da Advanced Data Residency

È il fatto che coglie in fallo le organizzazioni più attente, e merita precisione anziché un'accusa. La Svizzera è una geografia Advanced Data Residency, quindi un tenant svizzero può mantenere in Svizzera i dati di Exchange Online, SharePoint, OneDrive e Teams. Forms, invece, figura fra i servizi aggiuntivi privi di impegni specifici di ubicazione. Conseguenza pratica: un Cantone, un ospedale o una scuola che ha acquisito la residenza svizzera e crede valga per tutto il tenant ha un'affermazione inesatta nella propria documentazione dal momento in cui qualcuno crea un modulo. Verificate l'elenco attuale dei servizi prima di farvi affidamento in un senso o nell'altro: la copertura di Microsoft cambia.

3. Gli amministratori del tenant possono leggere le risposte — per progettazione

Microsoft 365 include strumenti di eDiscovery, conservazione e audit proprio perché un'organizzazione possa cercare, bloccare e produrre contenuti per finalità legali e di governance. È una capacità legittima e spesso richiesta dalla legge. Significa anche che la risposta onesta a « chi può leggere questo invio » comprende il titolare del modulo, i coautori, i membri del gruppo, i vostri amministratori del tenant e Microsoft come responsabile sottostante. Per un sondaggio sul pranzo quell'elenco va bene. Per un modulo di reclamo è esattamente l'elenco che preoccupa i vostri rispondenti — e nessuna impostazione lo elimina, perché non è una configurazione errata.

4. Il segreto professionale arriva più lontano del diritto sulla protezione dei dati

L'art. 321 CP vincola medici, dentisti, farmacisti, psicologi, avvocati — e i loro ausiliari. È quest'ultimo termine a contare per il software: chi può accedere alle informazioni protette nell'ambito dell'attività del professionista si trova dentro il perimetro del segreto. Un contratto di trattamento non vi libera dall'art. 321: è uno strumento di protezione dei dati, non di diritto penale. Per uno studio, il modo più pulito di tenere un fornitore fuori dal perimetro è usare uno strumento in cui non possa decifrare nulla, argomento sviluppato in raccogliere dati sanitari nei moduli.

Dove Microsoft Forms è una risposta perfettamente valida

Vale la pena dirlo chiaramente, perché una cultura della conformità che tratta ogni strumento come una minaccia perde la discussione proprio quando conta. Se il dato è ordinario e il pubblico è interno, Forms è comodo, già pagato, integrato con il vostro sistema di identità e cifrato in transito e a riposo. Usare altro significherebbe pagare per una protezione che il dato non giustifica.

Amministrazioni cantonali, ospedali e scuole

Gli organi pubblici sono il gruppo che con maggiore probabilità ha già una risposta formale — e con maggiore probabilità ne ha una che non copre Forms. A seconda dell'ente si applica il diritto cantonale sulla protezione dei dati al posto della nLPD federale o accanto a essa, e molti Cantoni e istituzioni hanno svolto proprie valutazioni su Microsoft 365 con condizioni annesse: categorie di dati non trattabili, requisiti di configurazione o limitazione a servizi determinati.

Il riferimento esterno più netto è qui la risoluzione di privatim del novembre 2025 sui servizi cloud internazionali. Considera ammissibile l'uso di fornitori esposti ad accessi esteri solo in casi stretti — con la notevole eccezione in cui l'organo pubblico cifra da sé i dati e il fornitore non detiene alcuna chiave. Vale la pena leggere quell'eccezione con attenzione, perché descrive esattamente l'architettura che consente a un ente di usare un servizio cloud per contenuti che altrimenti non potrebbe collocarvi.

Se restate su Forms, fate queste sei cose

Quando usare altro, e che cosa cambia

L'innesco non è la sensibilità in astratto, ma se la leggibilità dei dati da parte dei vostri amministratori e del fornitore sia un problema. Quando lo è, la soluzione è architetturale e non contrattuale: la crittografia end-to-end, in cui la risposta è cifrata nel browser del rispondente e solo chi detiene la chiave può decifrarla. Un amministratore del tenant vede testo cifrato. L'eDiscovery trova testo cifrato. Un ordine al fornitore produce testo cifrato. È una proprietà davvero diversa da « cifrato a riposo con chiavi del fornitore », ed è l'unica che cambia l'elenco dei lettori.

Ha anche un costo, e va detto: nessuna ricerca lato server nelle risposte, nessuna analisi del contenuto lato fornitore e nessun recupero se perdete la chiave. La maggior parte delle organizzazioni arriva a una divisione sensata — Forms per la raccolta interna a basso rischio nel tenant che già pagano, e uno strumento cifrato per l'insieme ristretto di moduli il cui contenuto causerebbe un danno reale in mani sbagliate. Usare due strumenti è delimitazione, non un fallimento del consolidamento. Il confronto funzionale è in Schweizerform vs Microsoft Forms.

In conclusione

Microsoft Forms è conforme al diritto svizzero sulla protezione dei dati? Per dati interni ordinari sì — con il contratto di trattamento archiviato, l'ubicazione UE/AELS documentata, Microsoft nominato nell'informativa e un elenco di campi proporzionato. Le trappole specificamente svizzere sono che il confine dei dati dell'UE non è svizzero, che Advanced Data Residency non si estende a Forms e che la leggibilità delle risposte da parte degli amministratori è una proprietà di progetto e non un'impostazione.

Per la raccolta riservata — reclami HR, segnalazioni, dati di pazienti e clienti sotto segreto professionale — la risposta cambia, e cambia per una ragione che nessun contratto può affrontare: qualcuno diverso dal destinatario previsto può leggere l'invio. È tutto il test, e vale la pena applicarlo a ogni strumento che valutate, incluso il nostro.