Cosa significa «dati in Svizzera» — e cosa non significa

«Dati in Svizzera» compare su molti siti. Anche sul nostro. La formula suona come una risposta completa, ed è esattamente ciò che non è: risponde a una fra più domande, e quale di solito non viene detto.

Uno studio di fisioterapia a Lugano che sceglie un software per gli appuntamenti sente la formula durante il colloquio di vendita. Una persona privata che apre un conto su un’app per gli appunti la legge sulla pagina iniziale. Entrambi ne ricavano che i dati non lasciano il Paese. Ciò che viene effettivamente promesso è più ristretto — e ciò che resta aperto si può nominare.

Quattro domande poste come se fossero una

Dietro «dati in Svizzera» si nascondono quattro domande a cui si può rispondere indipendentemente l’una dall’altra.

Domanda	Che cosa chiede
Memorizzazione	In quale Paese si trovano i server su cui risiedono i dati?
Diritto applicabile	Quale diritto regge il trattamento e dove ha sede il fornitore?
Accesso	Chi può vedere i dati, e per quale scopo?
Subappaltatori	Chi coinvolge a sua volta il fornitore, e dove lavorano questi servizi?

Un centro dati a Zurigo risponde alla prima domanda. Di per sé dice poco sulle altre tre.

Memorizzazione: che cosa risolve davvero un centro dati svizzero

Il luogo di memorizzazione è il più semplice dei quattro da verificare e da documentare. È anche per questo che ricorre più spesso come argomento.

Non è irrilevante. Dove i dati riposano concorre a determinare quali autorità siano fisicamente vicine, quali collegamenti attraversino durante l’esercizio e che cosa uno studio possa rispondere a una cliente che lo domanda. Ma è un luogo, non un impegno su chi vi possa guardare dentro.

Un’ulteriore distinzione passa spesso inosservata nella pratica: dati a riposo e dati in trattamento non sono la stessa cosa. Un backup può trovarsi in Svizzera mentre supporto, ricerca degli errori o una rete di distribuzione avvengono altrove.

Diritto applicabile e sede: non coincidono con il luogo di memorizzazione

La legge federale sulla protezione dei dati (LPD) non si aggancia alla collocazione di un server, bensì all’effetto: si applica alle fattispecie che esplicano effetti in Svizzera, anche se si verificano all’estero (art. 3 cpv. 1 LPD). Un fornitore estero che serve persone in Svizzera non esce quindi automaticamente dal campo d’applicazione della legge.

Per converso, un fornitore con sede in Svizzera non è automaticamente un fornitore che memorizza in Svizzera. Sede, luogo di memorizzazione e appartenenza a un gruppo sono tre indicazioni separate. Un’azienda svizzera può appoggiarsi a infrastrutture estere, e una filiale svizzera può appartenere a una casa madre estera.

Qui la LPD lascia una traccia visibile: i titolari del trattamento privati con sede o domicilio all’estero designano una rappresentanza in Svizzera quando trattano dati personali di persone in Svizzera in modo esteso, regolare e con un rischio elevato, e il trattamento è legato a un’offerta in Svizzera (art. 14 LPD). Il titolare pubblica nome e indirizzo di questa rappresentanza.

Accesso e subappalto: la catena dietro il fornitore

Chi impiega un software resta di regola il titolare del trattamento; il fornitore è responsabile del trattamento per conto altrui. La legge consente questa delega se i dati sono trattati come il titolare stesso potrebbe farlo e nessun obbligo di segretezza vi si oppone (art. 9 cpv. 1 LPD). Il titolare deve accertarsi che il responsabile sia in grado di garantire la sicurezza dei dati (art. 9 cpv. 2 LPD).

Il capoverso decisivo per questo articolo è il terzo: il responsabile può affidare il trattamento a un terzo soltanto previa autorizzazione del titolare (art. 9 cpv. 3 LPD). Tale autorizzazione può essere specifica o generale. Se è generale, il responsabile informa il titolare di ogni modifica prevista in merito all’aggiunta o alla sostituzione di altri terzi, e il titolare può opporsi (art. 7 OPDa).

È lì che nasce la catena. Dietro un software stanno spesso un fornitore di hosting, una rete di distribuzione, un invio di e-mail, un registro degli errori e uno strumento di supporto. Ciascuno è un luogo a sé e una risposta a sé alla domanda sull’accesso.

Se qualcosa lascia la Svizzera, valgono le regole sulla comunicazione all’estero. È ammessa se il Consiglio federale ha constatato che lo Stato in questione garantisce una protezione adeguata (art. 16 cpv. 1 LPD); questi Stati, territori e organismi sono elencati uno per uno nell’allegato 1 OPDa. In assenza di una simile decisione entrano in considerazione garanzie come le clausole tipo di protezione dei dati o norme vincolanti d’impresa (art. 16 cpv. 2 LPD), accanto alle eccezioni dell’art. 17 LPD. L’Incaricato federale della protezione dei dati e della trasparenza descrive queste vie sulla sua pagina dedicata alla comunicazione all’estero.

Dove stanno le risposte

Le quattro domande si lasciano consultare, in luoghi che esistono comunque.

Presso il fornitore. Molti fornitori pubblicano l’elenco dei propri subappaltatori. Cloudflare, ad esempio, tiene pubblico un elenco di questo tipo e scrive di ricorrere a subappaltatori per erogare i propri servizi. Anche la documentazione tecnica è istruttiva: nella documentazione su Regional Services, Cloudflare descrive che il traffico viene accettato in qualsiasi suo centro dati nel mondo e che questa funzione limita la decifratura a una regione configurata. Pagine simili dicono di più su memorizzazione e trattamento di una frase sulla pagina iniziale.

Nell’informativa sulla protezione dei dati. Chi raccoglie dati personali informa sullo scopo, sull’identità del titolare e, se del caso, sui destinatari o sulle categorie di destinatari (art. 19 cpv. 2 LPD). In caso di comunicazione all’estero vi si aggiungono lo Stato e, se del caso, la garanzia secondo l’art. 16 cpv. 2 LPD o l’eccezione secondo l’art. 17 LPD (art. 19 cpv. 4 LPD).

Tramite il diritto d’accesso. Ogni persona può chiedere se dati che la riguardano vengono trattati e riceve fra l’altro i destinatari e le indicazioni di cui all’art. 19 cpv. 4 LPD (art. 25 LPD). L’informazione è in linea di principio gratuita e viene di regola fornita entro 30 giorni.

Nel proprio registro. Titolari e responsabili tengono ciascuno un registro delle proprie attività di trattamento, che in caso di comunicazione all’estero contiene lo Stato e le garanzie (art. 12 LPD). Le imprese con meno di 250 collaboratori al 1° gennaio ne sono esentate, salvo trattamento di dati degni di particolare protezione su vasta scala o profilazione a rischio elevato (art. 24 OPDa). Molte piccole realtà tengono comunque un breve elenco dei propri fornitori di servizi, perché la risposta alla domanda di una cliente ne discende da sé.

La distinzione vale anche per noi

Scriviamo «dati in Svizzera» a proposito delle nostre app, e con ciò intendiamo il luogo in cui risiedono i dati che un’app memorizza per Lei: infrastruttura in Svizzera. Questo sito è un caso diverso. Viene distribuito tramite Cloudflare, un fornitore internazionale — esattamente la distinzione di cui tratta questo articolo. Ci pare più onesto che estendere la formula a tutto ciò che gestiamo.

Le quattro domande non sono un esame che un fornitore supera o non supera. Sono quattro indicazioni che si trovano una alla volta — e una frase che sembra rispondere a tutte e quattro insieme risponde il più delle volte alla prima.