Quali dati dei moduli possono lasciare legalmente la Svizzera?

La maggior parte dei dati raccolti con i moduli può lasciare legalmente la Svizzera. Nella legge federale sulla protezione dei dati riveduta (nLPD, RS 235.1) non esiste alcuna disposizione secondo cui i dati personali debbano essere conservati su suolo svizzero. Ciò che la legge disciplina non è la geografia, bensì le condizioni: prima che le risposte varchino il confine servono o uno Stato che il Consiglio federale ha riconosciuto come adeguato, o una garanzia su cui fondarsi, o una deroga che calzi al caso concreto — e in ogni configurazione occorre comunicare a chi risponde in quale Paese finiscono i suoi dati. Tre regimi settoriali scavalcano del tutto questa risposta, ed è proprio lì che le organizzazioni svizzere finiscono nei guai.

I dati dei moduli possono lasciare legalmente la Svizzera?

Sì, a determinate condizioni. L'art. 16 cpv. 1 nLPD stabilisce che i dati personali possono essere comunicati all'estero se il Consiglio federale ha constatato che la legislazione dello Stato interessato o l'organismo internazionale interessato garantisce una protezione adeguata. È la via principale. Conta come comunicazione tutto ciò che mette dati personali alla portata di un destinatario situato fuori dalla Svizzera — il caricamento delle risposte in una banca dati ospitata all'estero, un accesso in lettura concesso a un servizio di assistenza straniero, l'esportazione di una tabella verso un collega di Monaco di Baviera. Si noti l'unica riserva dell'art. 18 nLPD: rendere accessibili dati a un ampio pubblico mediante un servizio d'informazione e di comunicazione automatizzato non è trattato come comunicazione all'estero per il solo fatto che la pagina è consultabile da altri Paesi. Questo copre la pagina pubblica del modulo. Non copre le risposte. Questo articolo è il contraltare operativo del nostro pezzo di posizionamento sulla sovranità dei dati in Svizzera: quello spiega perché tenere i dati in Svizzera vale qualcosa, questo dice che cosa il diritto esige realmente quando i dati non restano nel Paese.

Il test in tre fasi: adeguatezza, garanzie, deroghe

1. Adeguatezza (art. 16 cpv. 1). Il Consiglio federale tiene nell'allegato 1 OPDa l'elenco degli Stati e degli organismi che offrono una protezione adeguata. Se la vostra destinazione vi figura, non serve alcuno strumento di trasferimento supplementare — restano però i doveri ordinari: un contratto di responsabile del trattamento ai sensi dell'art. 9, un registro delle attività di trattamento, misure di sicurezza e l'informazione prevista dall'art. 19 cpv. 4.
2. Garanzie appropriate (art. 16 cpv. 2). In mancanza di una constatazione del Consiglio federale, la comunicazione resta possibile se una protezione appropriata deriva da un trattato internazionale, da clausole di protezione dei dati convenute in un contratto e previamente comunicate all'IFPDT, da garanzie specifiche di un organo federale, da clausole tipo di protezione dei dati previamente approvate, stabilite o riconosciute dall'IFPDT, oppure da norme vincolanti d'impresa previamente approvate.
3. Deroghe (art. 17). Sei casi: il consenso esplicito; il nesso diretto con la conclusione o l'esecuzione di un contratto; un interesse pubblico preponderante o l'accertamento, l'esercizio o la difesa di pretese giuridiche dinanzi a un tribunale o a un'autorità estera; la protezione della vita o dell'integrità fisica; dati che la persona interessata ha reso accessibili a tutti; oppure dati provenienti da un registro previsto dalla legge. L'art. 17 cpv. 2 obbliga a informare l'IFPDT su richiesta in merito alle comunicazioni fondate su alcuni di questi motivi.

Le deroghe sono la più debole delle tre vie e quella che più spesso viene piegata a usi impropri. Sono pensate per il caso singolo — una comunicazione puntuale, un contratto determinato, un'emergenza determinata — e non come base giuridica permanente per uno strumento di sondaggio che utilizzate ogni settimana. Se vi ritrovate a scrivere «consenso esplicito» in uno schema di architettura di sistema, molto probabilmente avete scelto lo strumento sbagliato.

I miei rispondenti sono in Svizzera: posso archiviare i dati nell'UE?

Di regola sì. L'allegato 1 OPDa — nella versione in vigore dal 15 settembre 2024 — elenca 44 destinazioni, fra cui tutti i 27 Stati membri dell'UE, oltre a Islanda, Liechtenstein e Norvegia. Per una PMI svizzera che gestisce l'iscrizione a un evento, l'abbonamento a una newsletter o un sondaggio di soddisfazione senza dati degni di particolare protezione, uno strumento per moduli ospitato nell'UE con un contratto di responsabile del trattamento in piena regola è conforme. Chi vi dice che i dati svizzeri non devono mai toccare un server europeo ha qualcosa da vendere oppure non ha letto l'art. 16 cpv. 1.

La trappola: un server europeo di proprietà di una società non europea

La frase «ospitiamo a Francoforte» smette di reggere esattamente là dove la società che gestisce quel centro di calcolo francofortese è essa stessa soggetta a un ordinamento giuridico terzo capace di imporre la consegna dei dati. L'IFPDT affronta il punto di petto nella sua guida per l'esame dell'ammissibilità delle comunicazioni di dati personali all'estero ai sensi dell'art. 16 cpv. 2 lett. b e d nLPD, pubblicata nel giugno 2021 e rielaborata nel maggio 2023 per la nuova legge.

Va rilevato che un responsabile del trattamento stabilito in uno Stato con un livello di protezione adeguato può, in determinate circostanze, essere assoggettato a una legge o ad altra prescrizione vincolante di uno Stato terzo che lo obbliga a comunicare i dati alle autorità di tale Stato terzo … (esempio: server situati in Svizzera, nell'UE o nello SEE appartenenti a un'impresa direttamente o indirettamente soggetta all'ordinamento giuridico di uno Stato senza un livello di protezione adeguato).

La conseguenza è esplicita nello stesso documento: in quella configurazione si procede come se non esistesse alcuna adeguatezza e si imbocca la via dell'art. 16 cpv. 2 con una valutazione d'impatto sui trasferimenti. La domanda di conformità rivolta al vostro strumento per moduli non è quindi soltanto «dove si trovano i server?», ma «a quale ordinamento giuridico risponde l'entità che li gestisce?». Sono due domande distinte e, quando divergono, decisiva è soltanto la seconda.

Quali Paesi figurano nell'elenco svizzero degli Stati adeguati?

L'allegato 1 OPDa fa fede ed è abbastanza breve da leggersi in un minuto. La tabella seguente raggruppa le destinazioni che contano per uno strumento di raccolta moduli e precisa che cosa ciascuna esige davvero da voi. Leggete con attenzione la colonna «Il trabocchetto»: diverse voci dell'elenco sono condizionate e una di esse dipende da una verifica da svolgere fornitore per fornitore.

Perché Giappone e Corea del Sud figurano nell'elenco dell'UE ma non in quello svizzero

È l'informazione più utile dell'articolo e quella più spesso sbagliata nella documentazione dei fornitori. La Commissione europea ha adottato una decisione di adeguatezza per il Giappone e, il 17 dicembre 2021, un'altra per la Repubblica di Corea. Nessuno dei due Stati figura nell'allegato 1 OPDa. La Svizzera conduce la propria valutazione secondo l'art. 8 OPDa — impegni internazionali, Stato di diritto e diritti umani, legislazione applicabile e sua esecuzione, diritti e rimedi giuridici effettivi delle persone interessate e un'autorità di vigilanza indipendente che funzioni — con l'IFPDT consultato ogni volta. I due elenchi si sovrappongono ampiamente, ma non sono lo stesso elenco. Un esportatore svizzero che trasferisce verso Tokyo ha bisogno di clausole contrattuali tipo e di una valutazione d'impatto sui trasferimenti, mentre un esportatore con sede a Monaco di Baviera che invia gli stessi dati non ne ha bisogno.

L'adeguatezza è una presunzione relativa, non un permesso

La guida dell'IFPDT è netta su che cosa comporta l'iscrizione nell'allegato 1: conferisce all'esportatore il beneficio della buona fede ai sensi dell'art. 3 cpv. 1 del Codice civile — e la buona fede è confutabile secondo l'art. 3 cpv. 2. Non potete invocarla se sapete che nel vostro caso concreto l'adeguatezza in realtà non sussiste. L'esportatore, precisa la guida, resta responsabile dell'esportazione in ogni caso e deve informarsi periodicamente sul permanere dell'adeguatezza. È un obbligo continuo che grava su di voi, non una casella da spuntare una volta sola al momento della scelta del fornitore.

Un'azienda svizzera può ricorrere a un fornitore di sondaggi statunitense?

Sì, e la via non ha nulla di un aggiramento. Il 14 agosto 2024 il Consiglio federale ha deciso di aggiungere gli Stati Uniti all'allegato 1 OPDa, con effetto dal 15 settembre 2024. L'adeguatezza è stretta: copre i dati personali trattati da organizzazioni certificate secondo i principi dello Swiss-U.S. Data Privacy Framework. Poggia sull'Executive Order 14086 del 7 ottobre 2022, sul regolamento del procuratore generale che istituisce la Data Protection Review Court, sull'Intelligence Community Directive 126 e sulla designazione della Svizzera, il 7 giugno 2024, quale Stato qualificato per il meccanismo di ricorso a due livelli. Lo stesso IFPDT rileva che dal 15 settembre 2024 è così assicurata una protezione adeguata negli scambi fra la Svizzera e le imprese statunitensi certificate.

Come verificare che il vostro fornitore sia davvero certificato

• Cercate l'entità giuridica nella Data Privacy Framework List ufficiale, su dataprivacyframework.gov — non sulla pagina di marketing del fornitore e non su un blog comparativo.
• Verificate che l'iscrizione copra specificamente il quadro Swiss-U.S.. Moltissime organizzazioni sono certificate soltanto per il quadro EU-U.S. Quella certificazione non vi serve a nulla rispetto all'allegato 1 OPDa.
• Verificate che il nome dell'entità corrisponda a quello indicato nel vostro contratto. Le certificazioni sono legate a un'entità giuridica nominativamente designata; una filiale o un'entità di fatturazione con un altro nome non è coperta dall'iscrizione della casa madre.
• La certificazione è un'autocertificazione presso l'International Trade Administration statunitense e va rinnovata ogni anno. Le organizzazioni vengono radiate in caso di ritiro, mancata ricertificazione o inadempienze persistenti: fissate quindi un ricontrollo in agenda invece di limitarvi a una schermata salvata una volta sola.

Che cosa il Data Privacy Framework non copre

Non neutralizza il CLOUD Act statunitense, in vigore dalla primavera 2018, che raggiunge i dati detenuti da fornitori sotto controllo statunitense ovunque siano archiviati nel mondo. Un fornitore può contestare un ordine quando la persona interessata non è né cittadina né residente degli Stati Uniti e la consegna violerebbe un diritto straniero — gli art. 271 e 273 del Codice penale svizzero sono esattamente il tipo di conflitto ipotizzato — ma si tratta di una contestazione, non di un'immunità, e la Svizzera non ha concluso alcun accordo esecutivo ai sensi del CLOUD Act con gli Stati Uniti. L'Ufficio federale di giustizia ha pubblicato il 17 settembre 2021 un rapporto sul CLOUD Act statunitense, per chi voglia leggere la valutazione ufficiale svizzera. Sul versante europeo, l'art. 48 GDPR prevede che una decisione giudiziaria o amministrativa di uno Stato terzo che imponga una comunicazione sia riconoscibile solo sulla base di un accordo internazionale in vigore, come un trattato di assistenza giudiziaria, e le linee guida 02/2024 dell'EDPB, finalizzate nel giugno 2025, sottolineano che l'art. 48 non costituisce di per sé un fondamento di trasferimento. Il nostro articolo su provvedimenti, mandati e dati dei moduli descrive come si presenta un ordine nella pratica e che cosa un fornitore può e non può consegnare.

Quali garanzie contrattuali servono per i fornitori cloud statunitensi?

Quando il destinatario non è certificato DPF, lo strumento di lavoro restano le clausole contrattuali tipo dell'UE. Il 27 agosto 2021 l'IFPDT ha riconosciuto le clausole della decisione di esecuzione (UE) 2021/914 come fondamento delle comunicazioni verso Stati privi di protezione adeguata, a condizione di apportarvi gli adattamenti e i complementi necessari all'uso nel diritto svizzero. Gli strumenti precedenti (le clausole del 2010 per i responsabili del trattamento, il contratto svizzero del 2013 sui flussi transfrontalieri di dati, il contratto modello del Consiglio d'Europa) erano utilizzabili soltanto fino al 31 dicembre 2022. L'art. 9 OPDa elenca i dieci contenuti obbligatori delle clausole contrattuali di protezione dei dati, dalla limitazione della finalità e dalle categorie di dati e di persone interessate fino agli Stati destinatari, alla conservazione, ai destinatari, alle misure di sicurezza, alla notifica delle violazioni e ai diritti delle persone interessate. L'art. 10 cpv. 2 OPDa obbliga l'IFPDT a pubblicare le clausole che ha approvato, stabilito o riconosciuto e a comunicare l'esito di un esame entro 90 giorni.

La valutazione d'impatto sui trasferimenti: le quattro garanzie dell'IFPDT

Firmare le clausole contrattuali tipo è la metà facile. La guida dell'IFPDT vi impone di valutare se quattro garanzie siano assicurate in modo analogo nello Stato di destinazione e precisa espressamente che l'esportatore deve condurre da sé questi accertamenti e non può fondarsi unicamente sulle dichiarazioni dell'importatore.

1. Legalità — l'accesso delle autorità deve poggiare su una base legale sufficiente (art. 5 e art. 164 della Costituzione federale come riferimento svizzero).
2. Proporzionalità — art. 5 cpv. 2 della Costituzione federale e art. 6 cpv. 2 nLPD.
3. Rimedi giuridici effettivi — art. 13 cpv. 2 della Costituzione federale, art. 32 nLPD nonché art. 8 e 13 CEDU.
4. Accesso a un tribunale indipendente — art. 29 segg. della Costituzione federale, art. 32 nLPD, art. 6 par. 1 CEDU.

Due punti operativi tratti dalla stessa guida. Primo, l'analisi verte sul diritto applicabile, sulla prassi amministrativa e giudiziaria e sulla giurisprudenza: i fattori soggettivi come la probabilità di una richiesta di accesso di regola non possono essere presi in considerazione. «Nessuno chiederebbe mai le iscrizioni alla nostra festa aziendale» non è un argomento che la valutazione riconosca. Secondo, la guida allega un questionario specifico per gli Stati Uniti, adattato per la Svizzera a partire dal questionario di noyb e con rinvio alla sentenza Schrems II; copre il 50 U.S.C. § 1881a (FISA 702), l'Executive Order 12333 e il controllo esercitato da una società madre o da azionisti statunitensi. Ogni domanda offre al fornitore l'opzione di rispondere che è giuridicamente tenuto a non rispondere — il che dice parecchio su come l'esercizio si svolga di solito. E se la valutazione rivela lacune che misure complementari non possono compensare, la guida è inequivocabile: la comunicazione va sospesa o cessata immediatamente. Tenete quella frase davanti agli occhi quando un fornitore propone di «aggiungere una clausola» per neutralizzare una competenza legale di accesso: un contratto fra due privati non vincola alcuna autorità estera, e l'IFPDT lo dice in questi termini.

La nostra società è svizzera ma ha personale nell'UE: quali regole si applicano?

Di regola entrambe le leggi, in parallelo. La nLPD si applica, secondo l'art. 3 cpv. 1, alle fattispecie che esplicano effetti in Svizzera anche se si verificano all'estero: un datore di lavoro svizzero che tratta dati del personale raccolti con moduli ricade quindi nella nLPD indipendentemente da dove si trovi il server. Il GDPR si applica secondo i propri criteri territoriali, non appena avete uno stabilimento nell'UE oppure vi offrite beni e servizi o vi monitorate comportamenti. I due regimi sono abbastanza vicini perché un processo di raccolta ben costruito soddisfi entrambi; la sovrapposizione pratica la percorriamo in GDPR e nLPD a confronto per i dati dei moduli.

Abbiamo clienti in Germania, Francia e Svizzera: quale diritto seguiamo?

Costruite tema per tema sul requisito più severo, invece di scegliere un unico regime. In pratica significa documentazione delle basi giuridiche e gestione delle richieste delle persone interessate a livello GDPR, più le specificità svizzere prive di equivalente europeo — l'obbligo dell'art. 19 cpv. 4 di nominare lo Stato destinatario e la garanzia ne è l'esempio più chiaro. Il confronto disposizione per disposizione si trova in nLPD e GDPR: le disposizioni chiave. Notate anche l'art. 14 nLPD: un titolare del trattamento privato con sede all'estero deve designare una rappresentanza in Svizzera soltanto se quattro condizioni sono cumulativamente adempiute — offrire beni o servizi in Svizzera o monitorarvi il comportamento di persone, su vasta scala, regolarmente e con un rischio elevato per la personalità delle persone interessate. Molti fornitori esteri credono di averne bisogno e non ne hanno bisogno; alcuni credono il contrario e sbagliano allo stesso modo.

Quando le regole settoriali scavalcano la risposta dell'adeguatezza

È la parte che quasi tutte le liste di controllo sui trasferimenti all'estero saltano. L'art. 9 cpv. 1 lett. b nLPD consente di affidare un trattamento a un responsabile soltanto se nessun obbligo legale o contrattuale di serbare il segreto lo vieta — e l'art. 9 cpv. 3 esige l'autorizzazione preliminare del titolare del trattamento per i subresponsabili. Quella disposizione è il gancio con cui un segreto professionale, una circolare prudenziale o una legge sulla ricerca possono annientare del tutto una constatazione di adeguatezza. L'allegato 1 dice sì; la regola settoriale dice comunque no.

Art. 321 CP — il segreto professionale

Avvocate e avvocati, medici, dentisti, psicologi, farmacisti e i loro ausiliari sono vincolati dall'art. 321 del Codice penale svizzero. Secondo la dottrina dominante un fornitore cloud è un ausiliario ai sensi dell'art. 321 n. 1 cpv. 1, sicché l'esternalizzazione non costituisce di per sé una violazione — ma il ricorso deve essere necessario alla fornitura della prestazione e prevedibile per la clientela, con diritto di impartire istruzioni, sicurezza dei dati e controllo sui subresponsabili. Che l'ausiliario sia stabilito in Svizzera o all'estero non è, secondo questa lettura, decisivo di per sé. Trattatelo come una posizione dottrinale difendibile e non come un porto sicuro previsto dalla legge, e fatevi consigliare prima di farvi affidamento. Accanto a ciò, l'art. 62 nLPD crea una propria norma penale — una multa fino a CHF 250 000, anch'essa perseguita a querela di parte — per la rivelazione intenzionale di dati personali segreti di cui si è avuta conoscenza nell'esercizio di una professione che richiede tali conoscenze.

Istituti vigilati dalla FINMA ed esternalizzazione all'estero

La circolare FINMA 2018/3 sull'outsourcing per banche e assicurazioni, nella versione del 1° gennaio 2021, fissa un'asticella che nulla ha a che vedere con l'adeguatezza. La sezione G, dedicata all'esternalizzazione all'estero, esige che l'istituto possa assicurare espressamente che esso stesso, la sua società di audit e la FINMA possano esercitare e far valere i propri diritti di esame e di controllo e che un risanamento o una liquidazione in Svizzera resti possibile, con le informazioni necessarie disponibili in Svizzera in ogni momento. La sezione F esige un diritto contrattuale di consultazione e di controllo illimitato, completo e disponibile in ogni momento. Un fornitore di moduli con un centro di calcolo svizzero vi aiuta a soddisfarla; non ve ne libera, perché l'obbligo è di natura contrattuale e organizzativa, non geografica.

Dati della ricerca e documenti contabili

Per la ricerca sull'essere umano, la legge sulla ricerca umana (LRUm, RS 810.30) aggiunge uno strato di consenso e di etica sopra tutto quanto precede: l'art. 32 esige, per la riutilizzazione in forma identificante di dati genetici e di materiale biologico, un consenso esplicito riferito al progetto concreto, mentre l'art. 33 ammette un consenso generale a scopo di ricerca per gli altri dati sanitari identificanti — e in aggiunta è richiesta l'autorizzazione della commissione d'etica. Ciò che la LRUm non fa è creare una propria regola sullo Stato destinatario: la questione transfrontaliera resta retta dagli art. 16 e 17 nLPD, e la qualifica di dati degni di particolare protezione riconosciuta dall'art. 5 lett. c ai dati sanitari, genetici e biometrici alza la posta della valutazione senza cambiare il test. I documenti contabili sono il caso speculare, e vale la pena dirlo chiaramente perché il folclore va nella direzione opposta. L'art. 958f CO e l'ordinanza sulla tenuta e la conservazione dei libri di commercio (Olc, RS 221.431) esigono che i libri e i documenti contabili siano conservati per dieci anni dalla fine dell'esercizio, che la conservazione elettronica renda riconoscibili le modifiche e che i documenti restino leggibili in ogni momento. Sono doveri di disponibilità e di integrità, non una regola di localizzazione: l'Olc non dice che i vostri libri debbano stare su suolo svizzero. Se il vostro modulo raccoglie note spese o dati di fatturazione, è l'orologio della conservazione a dover essere pianificato, e il nostro articolo su quanto conservare i dati dei moduli percorre i termini che si sovrappongono.

Quando ospitare i dati all'estero va benissimo

Vendiamo moduli crittografati end-to-end i cui invii sono archiviati in Svizzera, quindi prendete questa sezione come il passaggio in cui argomentiamo contro il nostro stesso imbuto di vendita. Esiste un'ampia categoria di dati svizzeri raccolti con moduli per i quali uno strumento ospitato all'estero è la risposta corretta, conforme e meno cara, e sostenere il contrario renderebbe meno credibile tutto quanto precede.

• Dati ordinari verso una destinazione UE/SEE. Iscrizioni a eventi, abbonamenti a una newsletter, sondaggi di soddisfazione, moduli di contatto con un nome e un indirizzo e-mail. L'allegato 1 copre la destinazione; un contratto di responsabile del trattamento e un'informativa corretta coprono il resto. Non esiste alcuna regola «i dati devono restare in Svizzera» che possiate violare.
• Un fornitore statunitense certificato DPF per la stessa classe di dati. Un'iscrizione Swiss-U.S. aggiornata è una base giuridica ai sensi dell'art. 16 cpv. 1, non una scappatoia. Verificatela, fissate il ricontrollo in agenda e proseguite.
• Un'organizzazione già standardizzata su una grande piattaforma. L'EU Data Boundary di Microsoft è un impegno ingegneristico reale e non una pagina di marketing, e include esplicitamente la Svizzera in quanto Stato dell'AELS, con centri di calcolo in Svizzera fra quelli utilizzati o annunciati. La documentazione di Microsoft è altrettanto onesta sui limiti — «circostanze limitate» in cui i dati escono comunque dal perimetro, registri generati dal sistema che vengono pseudonimizzati anziché eliminati, accesso DevOps da remoto, un perimetro la cui estensione dipende dal Paese di registrazione del tenant e una clientela Multi-Geo che ne resta fuori. Quali servizi rientrino singolarmente è fissato dalle condizioni di prodotto: verificate quindi le vostre invece di darlo per scontato. Il versante crittografico di questo stack lo percorriamo in Microsoft Forms è crittografato?

Dove Schweizerform non è la risposta giusta

• Non eliminiamo la burocrazia. Anche quando le risposte possono essere decifrate soltanto da chi detiene la chiave della cassaforte, restano dovuti l'informazione dell'art. 19 cpv. 4, un registro delle attività di trattamento, un contratto di responsabile del trattamento e una decisione sulla conservazione. La crittografia end-to-end elimina un rischio di riservatezza; non elimina alcun obbligo.
• Se il vostro processo esige che il fornitore agisca sul testo in chiaro, la nostra forma non va bene. Valutazione automatica lato server, generazione lato server verso una gestione documentale estera, instradamento in base al contenuto delle risposte oppure un servizio di assistenza gestito dal fornitore che legge gli invii: la raccolta a conoscenza zero si oppone a tutto questo. Uno strumento con un solido contratto di responsabile del trattamento e una valutazione d'impatto sui trasferimenti documentata è più adatto.
• Gli istituti vigilati dalla FINMA non dovrebbero considerarci da soli la risposta in materia di esternalizzazione. La circolare 2018/3 esige diritti di controllo opponibili per l'istituto, la sua società di audit e la FINMA, oltre a un accesso svizzero garantito ai fini della liquidazione. L'hosting svizzero aiuta; il resto è un esercizio contrattuale e di governance.
• Siamo uno strato di raccolta. La conformità transfrontaliera di uno studio clinico, di un sistema del personale a livello di gruppo o di un dossier KYC si gioca soprattutto a valle del modulo. Crittografare la raccolta non ripara un'esportazione che avviene più tardi nel vostro CRM.

Perché la crittografia end-to-end cambia l'analisi del trasferimento

Dove la crittografia end-to-end lavora davvero è al centro del test in tre fasi: cambia ciò che una parte stabilita all'estero detiene effettivamente. Schweizerform cifra le risposte nel browser di chi risponde; il testo cifrato è archiviato in Svizzera presso Infomaniak, che dichiara pubblicamente di ospitare e trattare i dati esclusivamente in Svizzera, di essere un'impresa svizzera indipendente, di gestire un'assistenza con sede in Svizzera e di possedere fra le altre la certificazione ISO/IEC 27001:2022. Soltanto chi detiene la chiave della cassaforte può decifrare un invio. Noi non possiamo leggerli, il che significa che non abbiamo nulla di leggibile da consegnare — a chiunque. La differenza rispetto a una crittografia gestita dal fornitore è l'intero argomento di crittografia a riposo e crittografia end-to-end.

Che cosa dice l'IFPDT su BYOK e BYOE

La guida dell'IFPDT afferma espressamente che i complementi contrattuali valgono poco di fronte agli accessi statali, perché non possono vincolare le autorità di uno Stato terzo, e che le misure tecniche e organizzative devono essere concepite in modo da impedire di fatto un accesso delle autorità. Nomina poi la forma che tali misure assumono: per la semplice archiviazione di dati presso un fornitore situato in uno Stato senza protezione adeguata è ipotizzabile una crittografia attuata secondo i principi «bring your own key» e, in aggiunta, «bring your own encryption», così che nella nuvola non esista alcun testo in chiaro e non vi avvenga alcuna cifratura o decifratura. È la descrizione di un'architettura a conoscenza zero. L'EDPB giunge a una conclusione compatibile nelle raccomandazioni 01/2020 sulle misure supplementari, versione 2.0 del 18 giugno 2021: la crittografia è una misura supplementare efficace per un'archiviazione senza accesso in chiaro, purché corrisponda allo stato dell'arte, sia attuata senza difetti e le chiavi restino esclusivamente sotto il controllo dell'esportatore o di un'entità situata nello SEE o in uno Stato adeguato.

Da che cosa la crittografia non vi esonera

Tre limiti onesti. Lo stesso IFPDT aggiunge che tali misure tecniche diventano esigenti non appena la prestazione fornita nello Stato di destinazione va oltre la semplice archiviazione dei dati — lo stesso vincolo descritto sopra. Secondo, l'argomento secondo cui un testo cifrato detenuto da una parte che non possiede la chiave è cosa diversa dal testo in chiaro trova appoggio nell'approccio relativo della Svizzera in materia di determinabilità, esposto dal Tribunale federale nella sentenza Logistep (DTF 136 II 508 dell'8 settembre 2010): la determinabilità si apprezza secondo le circostanze concrete del caso singolo e non in astratto. È un argomento a vostro favore, non un precedente secondo cui i dati cifrati non sarebbero dati personali — il Tribunale non l'ha mai detto e non dovreste scriverlo così in una valutazione d'impatto sulla protezione dei dati. Terzo, ed è il punto più pratico: nulla di tutto ciò tocca il dovere di informare.

Come documentare un trasferimento all'estero in sei passi

In sintesi: quali dati dei moduli possono lasciare legalmente la Svizzera?

I dati ordinari raccolti con i moduli possono raggiungere qualunque delle 44 destinazioni dell'allegato 1 OPDa con un contratto di responsabile del trattamento e un'informativa esatta — compresi tutta l'UE e lo SEE, il Regno Unito e le organizzazioni statunitensi certificate DPF. I dati diretti altrove esigono clausole contrattuali tipo con gli adattamenti svizzeri più una valutazione d'impatto sui trasferimenti, e le deroghe dell'art. 17 valgono per casi isolati, non per architetture. I dati toccati dal segreto professionale, dalle regole FINMA sull'esternalizzazione o dal diritto della ricerca umana subiscono un secondo test che l'adeguatezza non risolve. E un centro di calcolo europeo gestito da una società soggetta a un ordinamento giuridico terzo non vi procura affatto il beneficio dell'allegato 1. In concreto: «dove sono i server?» è la seconda domanda, non la prima. La prima è chi controlla l'entità, e la terza è se qualcuno nella catena detenga una copia leggibile. Tenere i dati in Svizzera e la chiave di decifratura presso di sé accorcia tutte e tre le risposte in un colpo solo — ma non accorcia la documentazione, e qualunque fornitore vi prometta il contrario vi sta vendendo la cosa sbagliata. Se ora state scegliendo un fornitore su queste basi, la nostra panoramica degli strumenti per moduli e sondaggi ospitati in Svizzera esamina l'effettiva collocazione dei dati di ogni fornitore, uno per uno.