Recupero dati in Svizzera: come verificare il vostro fornitore

Leggete le note legali, non la homepage

L'impressum identifica il gestore del sito. La controparte del vostro mandato è invece designata dalle condizioni generali o dal contratto: i due non coincidono sempre, verificate entrambi. Un sito .ch può essere gestito da una società iscritta in un altro Paese: è scritto, ma in fondo alla pagina.

Verificate l'azienda su Zefix.ch: gratuito e ufficiale

L'indice centrale delle ditte (zefix.ch) vi dice in dieci secondi se l'azienda è iscritta in Svizzera, con quale forma giuridica, da quando e chi la rappresenta. L'iscrizione non è obbligatoria per tutte le attività (una ditta individuale sotto una certa cifra d'affari può non figurarvi); ma senza iscrizione non potete verificare l'entità attraverso questa via ufficiale, e questo è già di per sé un'informazione.

Cercate il foro nelle condizioni generali

Il foro designa il tribunale competente in caso di controversia. Leggete la clausola corrispondente prima di inviare il vostro supporto: indica anche il diritto applicabile al contratto. La sua portata non è assoluta: dipende dalle norme imperative applicabili, in particolare in materia di contratti conclusi con i consumatori. Indica comunque dove e secondo quale diritto il fornitore intende far risolvere le controversie.

Cercate la clausola di trasferimento e di subappalto

È la clausola che autorizza l'invio del vostro supporto a laboratori partner o a subappaltatori, talvolta senza limiti geografici. Gli smartphone, i chip di memoria e le configurazioni RAID complesse sono i supporti più frequentemente interessati.

Distinguete ciò che è verificabile da ciò che è dichiarato

Una camera bianca con una classe ISO, una certificazione, un tasso di successo: chiedete il certificato, l'organismo emittente, il perimetro e la data di validità. Una garanzia «nessun dato, nessun costo» può essere accompagnata da eccezioni nelle condizioni generali (spese di analisi, formule express, alcuni tipi di casi): leggete le condizioni esatte.

Sanità: medici, ospedali, farmacie, laboratori

I dati dei pazienti sono dati personali degni di particolare protezione (art. 5 lett. c LPD) e rientrano nel segreto medico (art. 321 CP), che copre anche gli ausiliari del professionista.

I fornitori informatici possono, a seconda delle circostanze, essere qualificati come ausiliari ai sensi dell'art. 321 CP. Il ricorso a un fornitore o a una catena di subappalto all'estero non è automaticamente vietato, ma esige un'analisi rafforzata: segreto professionale, accessi ai dati, impegni contrattuali, diritto applicabile e norme della LPD sul trasferimento internazionale. Per i dati dei pazienti, l'IFPDT raccomanda in particolare, per prudenza, di evitare il ricorso a un fornitore cloud all'estero.

Banche e istituti assoggettati alla FINMA

Il segreto bancario (art. 47 LBCR) sanziona penalmente la rivelazione di dati dei clienti. A seconda della natura e dell'importanza del mandato, possono essere rilevanti anche le regole prudenziali della FINMA sulle esternalizzazioni (Circ. FINMA 2018/3): gli istituti interessati devono in particolare garantire una gestione adeguata dei rischi, diritti di controllo e di audit sufficienti e, in caso di trattamento all'estero, tenere conto dei rischi supplementari legati a tale localizzazione.

Avvocati e notai

L'art. 321 CP protegge il segreto professionale dell'avvocato e del notaio, e l'art. 13 LLCA impone all'avvocato di vigilare affinché i suoi ausiliari lo rispettino. Una catena di trattamento interamente svizzera, senza accessi dall'estero, evita in linea di principio la problematica del trasferimento internazionale di dati; la controparte contrattuale, il diritto applicabile e il foro devono tuttavia essere verificati separatamente, e il professionista resta tenuto a verificare gli impegni di riservatezza e di sicurezza del fornitore. Per le fiduciarie e le altre professioni contabili, gli obblighi possono derivare in particolare dalla LPD, dal contratto e, a seconda dell'attività esercitata, da altre norme settoriali.

Amministrazioni pubbliche, comuni, scuole

Il segreto d'ufficio (art. 320 CP) e le leggi cantonali sulla protezione dei dati si applicano agli organi pubblici. Il ricorso a un'entità estera può imporre esigenze supplementari o, a seconda della legislazione applicabile e della natura dei dati, limitare le soluzioni utilizzabili: la conformità va analizzata caso per caso (autorità interessata, legge cantonale, tipo di dati, garanzie contrattuali e di sicurezza, Paese di destinazione).

Mandati sensibili della Confederazione

Dal 1° gennaio 2024, la Legge sulla sicurezza delle informazioni (LSIn) disciplina il trattamento delle informazioni classificate della Confederazione. Quando un mandato implica un'attività sensibile, passa attraverso la procedura di sicurezza relativa alle aziende (PSA), che può sfociare in una dichiarazione di sicurezza relativa alle aziende (DSA).

Tesweb SA ha superato la procedura di sicurezza relativa alle aziende (PSA) e detiene una dichiarazione di sicurezza relativa alle aziende (DSA). I collaboratori che trattano questi mandati e accedono al laboratorio protetto beneficiano di un'abilitazione di livello «SEGRETO» rilasciata dalla Segreteria di Stato della politica di sicurezza (SEPOS). Il documento può essere presentato su richiesta nell'ambito di un mandato.

Tutte le aziende: la LPD

Dal 1° settembre 2023, la LPD riveduta disciplina la comunicazione di dati personali all'estero (art. 16-17). Essa può fondarsi in particolare sul riconoscimento di un livello di protezione adeguato o, in mancanza, sulle garanzie previste dalla legge; l'art. 17 prevede inoltre alcune eccezioni in situazioni determinate. Il titolare del trattamento deve inoltre padroneggiare la propria catena di subappalto (art. 9): un responsabile del trattamento può ricorrere a un altro responsabile solo con l'autorizzazione preliminare del titolare; questa autorizzazione può essere generale, nel qual caso il responsabile deve annunciare ogni cambiamento affinché il titolare possa opporsi.

Alcune violazioni intenzionali degli obblighi della LPD, in particolare dei doveri di diligenza relativi al subappalto, alla sicurezza o alla comunicazione di dati all'estero, sono penalmente sanzionate; la pena massima prevista dalla LPD è una multa di CHF 250'000 e riguarda in primo luogo la persona fisica responsabile (art. 60 segg. LPD).