Moduli per domande di borsa di studio e di contributo

Una domanda di borsa di studio o di contributo è, dal punto di vista della protezione dei dati, l'incarto più denso che un'organizzazione svizzera raccoglie regolarmente da una persona che non ha alcun potere di rifiutare. Un solo dossier può contenere la decisione di tassazione della persona richiedente e quella dei genitori, un'attestazione di assistenza sociale, un estratto del registro delle esecuzioni, un permesso di dimora, un certificato medico a sostegno di un caso di rigore, un documento di separazione o di curatela e una lettera motivazionale di due pagine in cui un diciannovenne spiega perché la situazione della sua famiglia è crollata. Poi tutto questo viene letto da una commissione — spesso composta da volontari, spesso su computer portatili privati, spesso attraverso una cartella condivisa.

Schweizerform è lo strato di raccolta cifrato end-to-end pensato esattamente per questo incarto. Ogni risposta e ogni documento caricato vengono cifrati nel browser della persona richiedente prima di lasciare il dispositivo, e solo chi possiede la chiave della cassaforte può decifrarli. Archiviamo gli invii crittografati in Svizzera presso Infomaniak, siamo una società svizzera e non possiamo leggere gli invii — né per l'assistenza, né per le statistiche, né nell'ambito di una procedura giudiziaria, semplicemente perché la chiave non è nelle nostre mani. I moduli e l'interfaccia rivolta alle persone richiedenti funzionano in tedesco, francese, italiano e inglese: per un bando aperto oltre i confini linguistici non è un dettaglio accessorio.

Perché le domande di borsa di studio e di contributo pesano sulla protezione dei dati più di quasi ogni altro modulo

In Svizzera le borse e i prestiti di studio sono concessi dai Cantoni, non dalla Confederazione. La legge federale sui contributi alla formazione (RS 416.0, in vigore dal 1° gennaio 2016) disciplina i sussidi federali alle spese cantonali a livello terziario e il mandato di armonizzazione che ne sta alla base; l'accordo intercantonale sull'armonizzazione delle borse di studio (Concordato sulle borse di studio) è entrato in vigore il 1° marzo 2013 e la maggioranza dei Cantoni vi ha aderito. Secondo la statistica STIP dell'Ufficio federale di statistica, nel 2024 i Cantoni hanno versato circa 369 milioni di franchi in contributi alla formazione, di cui circa il 95 per cento come borse a fondo perso. Accanto a questo sistema pubblico ne esiste uno privato molto ampio: lo Swiss Foundation Report 2025 (CEPS Basilea, SwissFoundations e Università di Zurigo, giugno 2025) stima il volume annuo erogato dalle fondazioni svizzere di pubblica utilità attorno ai 6 miliardi di franchi, all'incirca il doppio della cifra citata per anni.

Che cosa contiene davvero un incarto di domanda di borsa di studio

• Finanze del nucleo familiare — la decisione di tassazione della persona richiedente e, nella maggior parte dei regimi cantonali, quella dei genitori. A Ginevra il calcolo passa dal revenu déterminant unifié secondo l'art. 18 cpv. 2 della legge cantonale sulle borse di studio (rsGE C 1 20).
• Attestazioni di assistenza sociale — indicate espressamente come dati degni di particolare protezione dall'art. 5 lett. c n. 6 nLPD, che menziona i dati su misure d'assistenza sociale.
• Dati sanitari — certificati medici a sostegno di un'interruzione degli studi, di un supplemento per caso di rigore o di una proroga del termine. Degni di particolare protezione secondo l'art. 5 lett. c n. 2.
• Statuto migratorio e di soggiorno — categoria di permesso e cittadinanza, criteri legali di ammissibilità nella maggior parte delle leggi cantonali sulle borse, che possono rivelare l'origine etnica.
• Procedimenti ed esecuzioni — estratti del registro delle esecuzioni, convenzioni di separazione, misure di curatela, che toccano l'art. 5 lett. c n. 5.
• Dati di terzi che non appartengono alla persona richiedente — reddito dei genitori, dichiarazioni di referenti, fratelli e sorelle in formazione, il contratto di locazione della proprietaria.
• Un racconto personale — la lettera motivazionale, in cui chi presenta domanda rivela senza che gli venga chiesto malattie, violenza domestica, religione o impegno politico.

Chi presenta domanda non può dire di no — e questo cambia l'analisi del consenso

Chi chiede una borsa di studio non è un cliente che sceglie un fornitore. Le leggi cantonali sulle borse impongono di fornire tutto il necessario — l'art. 21 ginevrino obbliga la persona richiedente a fornire tous les renseignements nécessaires e a segnalare immediatamente ogni cambiamento, mentre l'art. 27 prevede la restituzione delle prestazioni percepite indebitamente. Rifiutarsi di allegare la tassazione dei genitori significa non ricevere nulla. Questa asimmetria non elimina la vostra base giuridica, ma elimina l'argomento comodo secondo cui la persona richiedente avrebbe consegnato liberamente le finanze della propria famiglia. Se per i dati degni di particolare protezione vi fondate sul consenso esplicito dell'art. 6 cpv. 7 nLPD, siate onesti su quanto sia davvero libero — e compensate sul piano della sicurezza, non su quello della modulistica.

Ente cantonale o fondazione privata? Due regimi giuridici completamente diversi

Questa distinzione decide quasi tutto ciò che viene dopo e viene regolarmente confusa. Secondo l'art. 2 nLPD, la legge federale si applica al trattamento da parte di persone private e di organi federali. Un servizio cantonale o comunale delle borse di studio è retto dalla propria legge cantonale sulla protezione dei dati, è vincolato al segreto d'ufficio dall'art. 320 CP e ricade sotto una legge cantonale sull'archiviazione. Una fondazione privata è titolare privata ai sensi della nLPD, è vigilata quanto allo scopo secondo l'art. 84 cpv. 2 CC — dall'autorità federale di vigilanza sulle fondazioni se opera a livello nazionale o internazionale, altrimenti a livello cantonale — e non soggiace ad alcuna legge sull'archiviazione. Il versante del segreto d'ufficio è descritto nel caso d'uso della pubblica amministrazione.

Che cosa cambia con una raccolta a conoscenza zero per le domande di borsa e di contributo

Concretamente: la domanda viene cifrata sul dispositivo della persona richiedente con una chiave che non riceviamo mai. Sui nostri server arriva solo testo cifrato. Quando un membro della commissione apre l'incarto, la decifratura avviene nel suo browser con la chiave della cassaforte. Non esiste una copia leggibile sul server, non esiste una copia leggibile in uno strumento di assistenza e non esiste una copia leggibile che un fornitore possa essere costretto a consegnare.

• Il canale di raccolta smette di essere una collezione di allegati sparsi in caselle di posta personali più una cartella condivisa.
• L'obbligo di informare dell'art. 19 nLPD viene assolto una volta sola, sul modulo stesso, nella lingua della persona richiedente — compreso il fatto che verranno trattati dati dei genitori e dei referenti. L'art. 6 ginevrino impone di informare genitori e terzi au plus tard au moment de la collecte.
• La protezione dei dati fin dalla progettazione e per impostazione predefinita secondo l'art. 7 nLPD diventa qualcosa che potete mostrare invece che descrivere.
• La sicurezza adeguata al rischio secondo l'art. 8 nLPD deriva dall'architettura, non soltanto dal vostro regolamento degli accessi.
• La conservazione secondo l'art. 6 cpv. 4 nLPD viene applicata per singolo modulo, così un incarto respinto non sopravvive in silenzio in tre caselle di posta.

Lo stesso promemoria mette a fuoco il punto che quasi tutte le liste di controllo per gli acquisti trascurano: i dati cifrati a riposo regolarmente non sono cifrati mentre il servizio li elabora, per cui la cifratura a riposo in un SaaS classico protegge l'archiviazione, non il trattamento. È esattamente questa la lacuna che la cifratura end-to-end chiude, e vale la pena capire la differenza prima di confrontare fornitori — cifratura a riposo contro end-to-end la spiega in dettaglio.

Dove gli enti erogatori e le fondazioni usano Schweizerform

Domande di borsa di studio cantonali e comunali

Perlopiù come allegato e non come sostituzione — si vedano le riserve più avanti. Le parti di una procedura cantonale che si prestano sono quelle a più alta sensibilità, che il portale principale indirizza comunque a una persona: supplementi per casi di rigore, consegna di certificati medici, richieste di proroga dei termini e situazioni che il modulo standard non riesce a rappresentare.

Bandi di fondazioni e tornate di contributi aperte

È l'ambito più naturale. Una fondazione erogatrice che pubblica un bando annuale con da 40 a 300 domande, valutate da un consiglio che si riunisce quattro volte l'anno, non ha alcuna integrazione con i registri da perdere e ha ogni ragione per mantenere gli incarti illeggibili a chiunque tranne al consiglio. Associazioni e ONG che gestiscono sostegni caso per caso hanno una struttura molto simile — si veda il caso d'uso della gestione dei casi per ONG e associazioni.

Fondi per casi di rigore, fondi d'emergenza e fondi di solidarietà

La categoria più sensibile che incontriamo, e spesso la peggio servita: un fondo per membri, collaboratori o genitori in difficoltà acuta, dove la domanda arriva per posta elettronica a una singola persona perché nessuno voleva metterla in un sistema. Un modulo cifrato con una chiave della cassaforte in mano a una sola persona è nettamente meglio di quel messaggio, e produce una traccia che potete davvero verificare.

Domande di condono fiscale e di esenzione dalle tasse

L'art. 167 LIFD consente il condono totale o parziale dell'imposta, degli interessi, delle multe e delle spese quando il contribuente si trova in una situazione di rigore, e l'ordinanza del Dipartimento federale delle finanze sul condono esige una domanda scritta, motivata e firmata con i documenti giustificativi necessari. In pratica significa un quadro completo di redditi, debiti e costi di mantenimento che arriva nella casella di posta di un ufficio comunale. Fiduciarie e consulenti fiscali che preparano questi incarti hanno lo stesso problema di raccolta — si veda il caso d'uso della fiduciaria e della consulenza fiscale.

Bandi di ricerca, sport e cultura

Finanziamenti interni di avvio, contributi di viaggio e bandi per apparecchiature dentro un'università o un ospedale, dove chi presenta domanda è anche dipendente e i valutatori sono colleghi — e la valutazione tra pari fa circolare gli incarti tra più persone e, nei panel internazionali, oltre frontiera, il che è una questione di comunicazione all'estero secondo gli art. 16–17 nLPD e non una formalità. Accanto a questi ci sono i fondi per la promozione dei talenti, i contributi a progetti culturali e i sussidi per i campi giovanili, con una quota elevata di richiedenti minorenni e incarti che accostano la dichiarazione di reddito di un genitore alle informazioni sanitarie di un figlio. È qui che l'esigenza delle quattro lingue morde di più, perché questi bandi sono spesso regionali e le persone richiedenti non sono filtrate per lingua.

Dichiarazioni di referenti, ricorsi e domande di riesame

Due flussi quasi sempre improvvisati. La dichiarazione di un referente è un dato di terzi trasmesso su un'altra persona, e di norma arriva come allegato di posta elettronica non cifrato; un modulo cifrato separato, con un proprio link, risolve la questione in modo pulito. I ricorsi sono l'altro caso: l'art. 28 ginevrino concede 30 giorni per una réclamation prima del ricorso alla corte amministrativa, e gli incarti di ricorso devono essere completi, datati e leggibili anche a distanza di anni.

Quali dati di una domanda di contributo sono dati degni di particolare protezione?

L'art. 5 lett. c nLPD elenca le categorie: opinioni e attività religiose, filosofiche, politiche o sindacali; salute, sfera intima e appartenenza a una razza o etnia; dati genetici; dati biometrici che identificano in modo univoco una persona; dati su procedimenti e sanzioni penali e amministrativi; dati su misure d'assistenza sociale. Le domande di contributo ne toccano abitualmente quattro su sei. La tabella seguente mappa un incarto tipo.

Che cosa vedono davvero i valutatori, le commissioni e gli organi di revisione

Nella maggior parte degli enti erogatori la regola implicita è che tutti i membri della commissione vedano tutto, perché l'incarto è stato fatto circolare come un unico PDF. Quasi nulla nel diritto lo impone. Chi calcola il diritto alla prestazione partendo dalla tassazione non ha bisogno del certificato medico; il consiglio che vota sul merito raramente ha bisogno dell'estratto delle esecuzioni. La proporzionalità dell'art. 6 nLPD non è soddisfatta dal fatto che tutti i lettori siano vincolati alla riservatezza: chiede se ciascun lettore avesse davvero bisogno di quel dato.

La vigilanza sulle fondazioni secondo l'art. 84 cpv. 2 CC verifica che il patrimonio sia impiegato conformemente allo scopo; l'autorità federale di vigilanza conduce la propria vigilanza digitale attraverso il sistema eESA da maggio 2022. Gli organi di revisione controllano che il denaro sia andato dove dicono i verbali. Entrambi hanno bisogno della decisione, dell'importo e della motivazione — nessuno dei due ha bisogno del certificato medico di una persona respinta quattro tornate fa. Strutturare i moduli in modo che la traccia verificabile e gli allegati sensibili restino separabili è tutta la partita.

Come dare accesso a una commissione di volontari senza diffondere l'intero incarto?

È la domanda operativa che decide se la protezione dei dati di un ente erogatore è reale o soltanto teorica, e ha una risposta noiosa: dividete la raccolta, non dividete la cifratura.

• Usate più di un modulo per tornata. Un modulo di ammissibilità che raccoglie gli allegati finanziari, con una chiave della cassaforte in mano a uno o due amministratori, e un modulo di merito che raccoglie la descrizione del progetto e la lettera motivazionale, cioè ciò che la commissione legge davvero. Due link, due chiavi, un solo percorso per chi presenta domanda.
• Tenete gli allegati sensibili fuori dal dossier che circola. Le commissioni dovrebbero ricevere la valutazione, non i certificati grezzi. Se il dossier deve spostarsi, deve spostarsi come sintesi e non come incarto completo.
• Designate per iscritto i custodi della chiave. Due persone, una copia offline in cassaforte, un passaggio di consegne alla rotazione della commissione. Secondo gli art. 5–6 OPDa un titolare privato che tratta dati degni di particolare protezione su larga scala ha comunque bisogno di un regolamento del trattamento — la custodia delle chiavi va scritta lì dentro.
• Verbalizzate chi ha letto che cosa. L'art. 4 OPDa impone di verbalizzare registrazione, modifica, lettura, comunicazione, cancellazione e distruzione per i privati che trattano dati degni di particolare protezione su larga scala, con conservazione di almeno un anno. La lettura è in quell'elenco ed è la voce che quasi tutti i sistemi omettono.
• Revocate gli accessi alla fine del mandato. I membri della commissione ruotano; il loro accesso dovrebbe finire con il mandato, non con la revisione successiva.

Come gestire il caricamento dei documenti senza creare una seconda copia ovunque?

I caricamenti sono il punto in cui la raccolta delle domande di solito perde colpi. La persona richiedente fotografa una decisione di tassazione con il telefono, la invia per posta elettronica, poi invia una versione corretta, poi l'ufficio inoltra entrambe a due valutatori — e a quel punto esistono sei copie delle finanze di una famiglia su quattro server di posta. Schweizerform cifra gli allegati nel browser di chi compila, insieme alle risposte, così il documento e il suo contesto restano in un unico record cifrato invece di moltiplicarsi come allegati. Il servizio vodese delle borse consente esplicitamente di inviare prima il modulo e aggiungere i documenti in seguito; un modulo che accetta un caricamento tardivo sullo stesso record cifrato offre la stessa comodità senza la scia di messaggi. I meccanismi sono descritti in caricamenti di file sicuri nei moduli online.

Per quanto tempo va conservata una domanda di borsa di studio respinta?

Se siete un ente cantonale o comunale

Non potete semplicemente eliminare le domande respinte, per quanto ordinato sarebbe. La legge ginevrina sugli archivi (rsGE B 2 15) vieta alle istituzioni pubbliche di distruggere documenti amministrativi di potenziale valore archivistico senza l'autorizzazione degli Archivi di Stato, impone di offrire i documenti di cui non hanno più bisogno in permanenza e prevede che i documenti classificati per nome contenenti dati degni di particolare protezione non siano consultabili prima di dieci anni dal decesso della persona interessata. La distruzione stessa deve avvenire sotto controllo archivistico, in modo che la riservatezza sia preservata. L'istinto dell'art. 6 cpv. 4 nLPD — distruggere quando non è più necessario — è subordinato a tutto questo.

Se siete una fondazione privata o un'associazione

Nessuna legge sull'archiviazione vi sovrasta. Restano l'obbligo di distruggere o anonimizzare quando lo scopo è esaurito e l'art. 958f CO, che impone di conservare i libri di commercio e i documenti contabili per dieci anni dalla fine dell'esercizio — il che riguarda il versamento e la decisione di concessione, non il certificato medico di una persona respinta. Il calendario pratico su cui atterra la maggior parte delle fondazioni: dieci anni per la decisione e la traccia contabile, cancellazione degli allegati sensibili delle domande non accolte alla scadenza del termine di ricorso. La nostra guida alla conservazione dei dati dei moduli spiega come impostarlo per singolo modulo.

Termini, incarti tardivi e domande incomplete

Le tornate di finanziamento sono scandite dai termini come pochi altri casi d'uso della modulistica. I regimi cantonali fissano finestre legali — Ginevra esige la domanda entro sei mesi dall'inizio dell'anno accademico; il Vallese pubblica date fisse per semestre per il suo portale online eBourse. Un modulo che si chiude in modo netto alla scadenza, che marca temporalmente ogni invio e che permette di completare in seguito un incarto documentato solo in parte senza ricominciare da capo svolge un lavoro reale: elimina la discussione su quando qualcosa è arrivato e previene il classico incidente in cui una persona sotto pressione manda l'attestazione mancante a un indirizzo privato dopo la chiusura del portale.

Come iniziare con i moduli per borse di studio e contributi

Gestire una tornata di finanziamento dall'inizio alla fine

Obiezioni frequenti — e risposte realistiche

Il Cantone ha già un portale collegato all'autorità fiscale — perché dovremmo aggiungere questo?

Se il vostro Cantone è in quella posizione, probabilmente non ne avete bisogno, e preferiamo dirlo. La legge ginevrina sulle borse dà al servizio competente un accesso legale diretto alle banche dati degli istituti di formazione, dell'ufficio della popolazione e delle migrazioni e dell'amministrazione fiscale cantonale; Vaud e Vallese gestiscono portali online integrati. Quell'integrazione è tutto il valore: toglie di mezzo documenti che altrimenti un diciannovenne sotto pressione dovrebbe rincorrere. Un modulo a conoscenza zero non può interrogare il registro fiscale cantonale — per costruzione, non per dimenticanza. Dove abbiamo senso dentro un dispositivo cantonale è l'allegato stretto: supplementi per casi di rigore, certificati medici, incarti di ricorso e i casi che il portale principale indirizza comunque a una persona.

La nostra commissione è fatta di volontari. Qualcuno perderà la chiave della cassaforte.

È l'obiezione più legittima di questa pagina e non la addolciremo. Se la chiave va persa, i dati sono perduti — è la stessa proprietà che tiene noi fuori da quei dati. La mitigazione è organizzativa, non tecnica: due custodi designati, una copia offline in cassaforte, un passaggio di consegne scritto nel regolamento interno della commissione e una prova di recupero fatta prima della prima tornata reale. Se il vostro ente non può impegnarsi su questo, la cifratura end-to-end è l'architettura sbagliata per voi e una piattaforma convenzionale con un solido contratto di responsabile del trattamento è l'alternativa onesta.

Dobbiamo calcolare l'ammissibilità rispetto a soglie di reddito. La cifratura non lo impedisce?

Impedisce la versione lato server, sì. Non possiamo attribuire punteggi alle domande, non possiamo far girare un motore di regole sulle soglie di reddito, non possiamo estrarre automaticamente un importo da una tassazione caricata, non possiamo deduplicare le persone richiedenti tra una tornata e l'altra sul server e non possiamo precompilare dall'incarto dell'anno scorso. Tutto avviene dopo la decifratura, in un browser, davanti a una persona. Per un ente che gestisce duemila domande all'anno guidate da formule, un sistema convenzionale di gestione dei contributi con un buon contratto di responsabile del trattamento farà meno male. Per una fondazione con da quaranta a trecento domande che comunque vengono lette da esseri umani, lo scambio conviene senza esitazione.

Non possiamo semplicemente usare un modulo Google e una cartella condivisa?

Potete, ed è giusto riconoscere perché tanti enti lo facciano: quegli strumenti sono cifrati in transito e a riposo, sono gratuiti o già pagati e non creano attrito operativo. L'obiezione è puntuale, non un attacco generico. Primo, la cifratura a riposo lascia i dati scoperti mentre il servizio li elabora. Secondo, privatim avverte che i fornitori soggetti al CLOUD Act statunitense devono dare alle autorità statunitensi accesso ai dati archiviati anche quando l'archiviazione avviene nell'Unione europea o in Svizzera, e considera un simile accesso una comunicazione illecita a terzi perché priva di una base giuridica riconosciuta in Svizzera. Per un ente pubblico vincolato all'art. 320 CP è un problema serio. Abbiamo trattato entrambi i lati in Google Forms è sicuro? e nella sovranità dei dati svizzera.

Distribuiamo 40 000 franchi all'anno. Tutto questo è proporzionato?

Gli obblighi degli art. 5 e 6 nLPD si attaccano ai dati, non alla dimensione del contributo. Un piccolo fondo associativo che tratta venti domande sta comunque trattando attestazioni di assistenza sociale e certificati medici. Ciò che deve essere proporzionato è lo sforzo: per un fondo di quelle dimensioni si tratta di un modulo, una chiave della cassaforte, due custodi e una regola di cancellazione scritta — un pomeriggio, non un progetto. La valutazione d'impatto sulla protezione dei dati dell'art. 22 nLPD è una questione distinta e dipende dal fatto che il trattamento comporti un rischio elevato; a quella scala di norma non è il caso, ma la risposta spetta a voi documentarla.

Dove Schweizerform non è la risposta giusta

• Un Cantone con un portale integrato dovrebbe tenerselo. L'integrazione con i registri è ciò che le persone richiedenti apprezzano di più, e noi non possiamo fornirla. Usateci per l'allegato sensibile, non per il flusso principale.
• Nessuna automazione lato server. Nessun punteggio, nessun motore di ammissibilità, nessuna deduplicazione tra tornate, nessuna precompilazione dall'anno precedente. Se il vostro processo dipende da queste funzioni, scegliete una piattaforma convenzionale di gestione dei contributi con un contratto di responsabile del trattamento in piena regola.
• La perdita della chiave è irreversibile e, per gli enti pubblici vincolati alla legge sull'archiviazione, è un rischio di conformità e non solo operativo. Gli accordi di custodia sono un presupposto, non una nota a piè di pagina.
• Siamo lo strato di raccolta, non una suite di gestione dei contributi. Nessun flusso di voto della commissione, nessun controllo di budget, nessuna erogazione, nessuna esecuzione dei pagamenti, nessuna contabilità. Il movimento di denaro resta esattamente dove si trova oggi.

In sintesi: moduli per domande di borsa di studio e di contributo

Una domanda di contributo concentra in un unico incarto le finanze del nucleo familiare, attestazioni di assistenza sociale, dati sulla salute e statuto migratorio, presentata da una persona che non può rifiutarsi di fornirli e letta da persone che di solito sono volontarie. L'art. 5 lett. c nLPD rende degne di particolare protezione almeno quattro di quelle categorie; gli art. 6, 7 e 8 fissano lo standard di trattamento; gli art. 4–6 OPDa aggiungono la verbalizzazione e un regolamento del trattamento non appena la scala cresce; e per un ente pubblico l'art. 320 CP e la legge cantonale sugli archivi tirano in direzioni opposte su ciò che si può conservare e ciò che si può cancellare.

Lo strato di raccolta è la parte di questa catena più facile da sistemare. Cifrate nel browser di chi presenta domanda, tenete voi la chiave della cassaforte, separate gli allegati sensibili dal dossier di merito e fissate una data di cancellazione per ogni modulo. A luglio 2026 il centro fiducia di Infomaniak indica che tutti i suoi centri di calcolo e i suoi software si trovano in Svizzera, ed è lì che stanno i vostri invii. Quello che non facciamo — punteggi, erogazione, interrogazione dei registri — preferiamo che lo sappiate prima di registrarvi e non dopo.