Segreto professionale e moduli online in Svizzera (art. 321 CP)
Il diritto della protezione dei dati dice come trattare i dati personali. L'art. 321 del Codice penale dice a medici, avvocati, dentisti, psicologi, farmacisti e ai loro ausiliari che rivelare ciò che hanno appreso è un reato punibile fino a tre anni. Vincola anche gli ausiliari — ed è qui che entra il vostro fornitore di software. Chi è coperto (e chi no, come i veterinari), che cosa deve contenere una valida levata del segreto, perché un contratto di trattamento firmato non chiude la questione, e l'unica architettura che tiene un fornitore del tutto fuori dal perimetro del segreto.
La maggior parte delle discussioni sugli strumenti per moduli in uno studio medico o legale si svolge interamente nel vocabolario della protezione dei dati: base giuridica, contratto di trattamento, comunicazione all'estero. È il vocabolario iniziale sbagliato. Prima che tutto ciò si applichi c'è una norma penale che dice che il professionista non può rivelare quanto gli è stato confidato — e, a differenza della nLPD, è sanzionata con una pena detentiva, non con una multa amministrativa.
In breve
L'art. 321 del Codice penale fa della violazione del segreto professionale un reato, punito a querela di parte con una pena detentiva fino a tre anni o una pena pecuniaria. Vincola gli ausiliari quanto il professionista — l'assistente di studio, il supplente, la segreteria e, verosimilmente, il fornitore informatico. La levata richiede il consenso della persona titolare del segreto o l'autorizzazione scritta dell'autorità superiore — nient'altro, e nessun contratto con un fornitore vi supplisce. La questione controversa è se consegnare dati leggibili a un fornitore cloud costituisca una rivelazione: l'opinione dominante vede nel fornitore un ausiliario, quindi no, fatti salvi veri doveri di diligenza; una seria opinione minoritaria ritiene inammissibile qualificare un fornitore come «ausiliario» al solo scopo di aggirare la tutela. L'uscita dal dibattito è fare in modo che il fornitore non detenga mai dati leggibili.
Chi è davvero vincolato — l'elenco è più lungo di quanto si creda, e più corto
L'art. 321 nomina espressamente le professioni, e l'elenco è cresciuto negli anni fino a coprire gran parte del settore sanitario: ecclesiastici, avvocati, difensori, notai, consulenti in brevetti, revisori tenuti al segreto dal Codice delle obbligazioni, medici, dentisti, chiropratici, farmacisti, levatrici, psicologi, infermieri, fisioterapisti, ergoterapisti, dietisti, optometristi e osteopati — nonché i loro ausiliari.
Due punti spesso fraintesi
Primo, «nonché i loro ausiliari» non è un ornamento. L'assistente di studio medico, la segretaria legale, il tirocinante e il supplente sono personalmente esposti alla stessa norma penale. Chiunque tocchi i dati di accettazione è dentro il perimetro. Secondo, l'elenco è tassativo, e alcune professioni che sembrerebbero appartenervi non ci sono — i veterinari, ad esempio, non sono nominati nell'art. 321, e nemmeno gli insegnanti nella maggior parte dei casi (il personale della scuola pubblica ricade di norma nel segreto d'ufficio). Il loro dovere di riservatezza è reale, ma discende dal mandato, dalle regole deontologiche e dal diritto della protezione dei dati, non da questo articolo. Sapere sotto quale dovere si è determina quanto costa una violazione e chi può scioglierne.
Tre regimi vicini contano nello stesso respiro. L'art. 320 CP copre il segreto d'ufficio nel settore pubblico. L'art. 47 LBCR il segreto bancario. E per gli avvocati l'art. 13 LLCA crea un distinto dovere di segreto professionale, illimitato nel tempo ed esteso agli ausiliari — un'area di segreto diversa dall'art. 321 e non una sua copia, il che conta quando uno studio decide che cosa può mettere in un sistema condiviso.
Che cosa vale come rivelazione
Il reato consiste nel rivelare un segreto confidato in ragione della professione o appreso nel suo esercizio. Ne discendono tre conseguenze rilevanti per un modulo:
- Il fatto stesso della relazione è segreto. Che qualcuno sia paziente di uno studio oncologico o cliente di uno studio penale è protetto prima di ogni contenuto. La sola esistenza di un modulo di accettazione in una data casella può portare con sé il segreto.
- La rivelazione non richiede la pubblicazione. Basta rendere l'informazione accessibile a una sola persona fuori dal perimetro. Proprio per questo la questione del fornitore è una questione di segreto e non solo di protezione dei dati.
- Si procede a querela. In pratica il rischio si materializza quando una relazione si guasta: una lite, una denuncia all'autorità cantonale di vigilanza, un ex dipendente scontento. Nessuno vi porta in un caso art. 321 con una verifica; ci arriva una persona.
La levata del segreto — e che cosa deve contenere la dichiarazione
Le vie sono esattamente due: il consenso della persona titolare del segreto o l'autorizzazione scritta dell'autorità superiore. Per questo esistono le dichiarazioni di levata — e per questo i modelli che circolano sono così spesso inutili: un generico «sciolgo il dott. X dal segreto professionale» non è consenso informato a nulla di preciso.
Una dichiarazione che regge a una contestazione è precisa su cinque punti:
- Chi viene sciolto — il professionista o lo studio nominati, non «l'équipe curante» in astratto.
- Nei confronti di chi — il destinatario nominato. Una levata verso un assicuratore non è una levata verso un datore di lavoro, e una verso uno specialista non è una verso un gruppo di cliniche.
- Che cosa esattamente — il referto, il periodo, i reperti specifici. «Tutte le informazioni mediche» invita a sostenere in seguito che il consenso non era informato.
- Per quale scopo e per quanto tempo — uno scopo che finisce e una data in cui la levata decade.
- La revocabilità — detta chiaramente, perché è revocabile e chi firma deve saperlo.
Dove le levate falliscono nella pratica
Una levata firmata sotto pressione — allo sportello, insieme alla prenotazione, come condizione del trattamento — è esattamente il consenso che cede quando conta. La posizione dell'IFPDT sul consenso in situazioni di squilibrio si applica qui in pieno. Separate la levata dall'accettazione: due documenti, due momenti, due decisioni. E non subordinate mai un trattamento a una levata non strettamente necessaria a quel trattamento.
Una nota pratica sulla raccolta digitale: una levata è un documento che deve essere attribuibile a una persona determinata, conservato inalterato e producibile anni dopo. Ciò depone per un record firmato con marca temporale anziché per una casella in un foglio di calcolo. Sulla raccolta del consenso vedi il consenso informato nell'era digitale; per i moduli di accettazione che queste dichiarazioni accompagnano vedi i nostri modelli — oggi non pubblichiamo un modello di levata del segreto, e una versione generica sarebbe peggio di nessuna.
La questione del fornitore — davvero controversa e degna di essere capita
Ecco la domanda che decide se il vostro modulo online è un problema: quando i dati di pazienti o clienti arrivano in forma leggibile su un server di terzi, il segreto è stato rivelato?
L'opinione dominante dice di no. Un fornitore informatico o cloud coinvolto a supporto dell'attività professionale è trattato come ausiliario ai sensi dell'art. 321 — e gli ausiliari stanno dentro il perimetro, non fuori; ne sono essi stessi vincolati. Secondo questa tesi, usare un servizio cloud non è di per sé una violazione. Comporta però doveri enunciati in modo costante nella letteratura professionale e cantonale: scegliere con cura il fornitore, garantire contrattualmente il segreto, assicurare che i dati servano solo all'esecuzione del contratto e sorvegliarne il rispetto in misura ragionevole.
Esiste una seria corrente dissenziente, da prendere sul serio anziché liquidare. Il suo argomento: comunicare un fatto protetto a un ausiliario può già essere una rivelazione, e definire un fornitore informatico «ausiliario» proprio per aggirare la tutela del segreto non è una mossa ammissibile. Secondo questa tesi la dottrina dell'ausiliario riguarda persone integrate nell'attività professionale — l'assistente, il supplente — e si estende a fatica se applicata a una piattaforma estera con migliaia di dipendenti e interessi commerciali propri.
Non dovete risolvere il dibattito
Dovete decidere che cosa fare finché resta aperto. Notate che entrambe le posizioni concordano su un punto: l'analisi morde solo dove il fornitore può effettivamente leggere i dati. Se detiene solo testo cifrato e mai una chiave, la questione della rivelazione non si pone secondo nessuna delle due tesi — non c'è nulla da rivelare. Non è un espediente argomentativo: è l'assenza del fatto di cui si discute.
È anche il ragionamento adottato dagli incaricati svizzeri della protezione dei dati per gli organi pubblici. Nel novembre 2025 privatim, la conferenza degli incaricati svizzeri della protezione dei dati, ha adottato una risoluzione sui servizi cloud internazionali che fa dell'accesso del fornitore il criterio decisivo, con un'eccezione stretta quando è l'organo a cifrare i dati e il fornitore non detiene alcuna chiave. Ospedali pubblici e istituzioni cantonali portano inoltre l'art. 320 CP e il diritto cantonale sulla protezione dei dati: quella risoluzione è quindi l'enunciato più netto disponibile su dove viene tracciata la linea. Il quadro completo dell'hosting è in quali strumenti per moduli sono ospitati in Svizzera.
Perché un contratto di trattamento firmato non chiude la questione
Un contratto di trattamento è uno strumento di protezione dei dati. Distribuisce i ruoli, impone obblighi di sicurezza e riservatezza ed elenca i subincaricati. È necessario — ma opera in un sistema giuridico diverso dall'art. 321 e fa due cose regolarmente sopravvalutate:
| Che cosa fa un contratto di trattamento | Che cosa non fa |
|---|---|
| Vincola contrattualmente il fornitore alla riservatezza e al trattamento solo su vostra istruzione | Scioglievi dal segreto professionale — possono farlo solo la persona titolare o l'autorità di vigilanza |
| Documenta la vostra posizione di protezione dei dati verso un'autorità | Cambiare se il personale del fornitore può tecnicamente leggere il contenuto |
| Vi dà una pretesa verso il fornitore in caso di inadempienza | Impedire l'inadempienza, o annullare la rivelazione una volta avvenuta |
| Nomina i subincaricati così che conosciate la catena | Vincolare quei subincaricati al diritto penale svizzero in modo praticamente utile |
Detto senza giri: un contratto di trattamento è una promessa più un rimedio. Il segreto professionale non è un campo in cui un rimedio consoli molto — la paziente il cui fascicolo è stato letto non vuole un risarcimento, e la norma penale non è soddisfatta dal fatto che aveste un buon contratto con chi lo ha letto. A che cosa serva davvero un contratto è descritto in serve un contratto di trattamento dei dati per il vostro strumento di moduli; questo articolo parla del dovere che sta sopra.
Uno standard praticabile per uno studio
Mettete per iscritto sotto quale dovere di segreto siete davvero
Art. 321 CP, art. 320 CP, art. 13 LLCA, segreto bancario o un dovere contrattuale di riservatezza. Differiscono su chi può scioglievi e su quanto costa una violazione. Un paragrafo nella documentazione dello studio.
Elencate tutti dentro il perimetro, ausiliari compresi
Assistenti, supplenti, la contabilità esterna, il fornitore IT con accesso remoto. Sono personalmente vincolati; deve risultare per iscritto nell'inserimento, non essere tradizione orale.
Chiedete di ogni strumento: il fornitore può leggere questo?
Non «è cifrato» — tutto lo è in qualche senso. Ma: il suo personale, i suoi strumenti di assistenza o i suoi subincaricati vedono il contenuto? Questa sola domanda ordina i vostri strumenti meglio di qualunque logo di certificazione.
Togliete prima i contenuti dalla posta elettronica
L'esposizione maggiore, nella maggior parte degli studi, non è lo strumento per moduli ma le risposte che arrivano via e-mail in più caselle e si sincronizzano su più telefoni. Notificare senza contenuto, leggere nel sistema.
Separate la levata dall'accettazione
Una dichiarazione di levata specifica, revocabile e a termine, firmata come atto proprio — mai inserita nel modulo di appuntamento e mai posta come condizione del trattamento.
Limitate l'accesso dentro la vostra squadra
Il segreto viene violato più spesso dall'interno che dall'esterno. Chi nello studio può aprire quale accettazione — ed è imposto tecnicamente o per consuetudine?
Preferite l'architettura alla carta dove potete
Per i moduli dal contenuto più delicato scegliete uno strumento in cui il fornitore non possa affatto leggere gli invii. Allora la questione dottrinale controversa vista sopra semplicemente non si pone per quei dati.
La protezione dei dati chiede se potevate trattare. Il segreto professionale chiede chi altro ha potuto vedere. La seconda domanda ha un elenco di risposte accettabili molto più corto.
In sintesi
Se siete medico, dentista, farmacista, psicologo, fisioterapista, avvocato, notaio o membro di un'altra professione nominata all'art. 321 — o lavorate per uno di loro — il vostro obbligo di riservatezza è diritto penale, vi vincola personalmente come ausiliari, e solo il paziente o il cliente, oppure l'autorità di vigilanza, possono sciogliervi.
Se depositare dati leggibili di clienti su una piattaforma di terzi costituisca una rivelazione resta davvero controverso. Potete seguire quel dibattito per anni, oppure renderlo irrilevante per i vostri moduli più delicati scegliendo uno strumento che non detiene mai dati leggibili. La seconda via costa meno, è difendibile oggi e ha la proprietà utile di restare corretta comunque si assesti la dottrina.
Schweizerform cifra le risposte nel browser di chi risponde prima dell'invio; noi deteniamo testo cifrato e nessuna chiave — dalla nostra parte non esiste alcuna copia leggibile da rivelare. Gli invii cifrati sono archiviati in Svizzera. Vedi i casi d'uso accettazione clienti legali, sanità, psicoterapia e studio dentistico, e che cosa succede quando lo Stato chiede per il lato dei provvedimenti.
Avvertenza: questo articolo è informazione generale e contenuto di marketing, non consulenza legale, e non instaura alcun mandato. I riferimenti agli art. 320 e 321 CP, all'art. 47 LBCR, all'art. 13 LLCA, alla nLPD e alla risoluzione privatim del novembre 2025 sono sintesi semplificate di una situazione verificata a luglio 2026. Il trattamento dei fornitori informatici come ausiliari è una questione dottrinale controversa, qui presentata come tale — chiedete una consulenza legale svizzera sulle vostre disposizioni prima di affidarvi all'una o all'altra tesi. La prassi cantonale di vigilanza varia.