Obblighi nLPD per hosting e cloud in Svizzera

Cosa significa nLPD per un fornitore di hosting o cloud in Svizzera

Con nLPD si indica la legge federale sulla protezione dei dati sottoposta a revisione totale, entrata in vigore il 1° settembre 2023 insieme alla nuova ordinanza sulla protezione dei dati (OPDa). Per un fornitore di hosting o cloud gli obblighi principali sono protezione dei dati fin dalla progettazione, registro delle attività, valutazione d’impatto, notifica delle violazioni e regole sui trasferimenti all’estero.

La LPD definisce dati personali tutte le informazioni che si riferiscono a una persona fisica identificata o identificabile. Definisce trattamento qualsiasi uso se ne faccia, indipendentemente dagli ausili e dalle procedure impiegati. Il trattamento comprende: consultazione, raffronto, adeguamento, archiviazione, conservazione, lettura, divulgazione, acquisizione, registrazione, raccolta, cancellazione, pubblicazione, strutturazione, organizzazione, salvataggio, modifica, diffusione, collegamento, distruzione e utilizzazione.

È la definizione che le aziende attive in Svizzera riprendono nelle proprie informative, dichiarando di conformarsi alla Legge federale sulla protezione dei dati (LPD) e all'Ordinanza sulla protezione dei dati (OPDa).

Per un provider di hosting o cloud la conseguenza è netta: non esiste un trattamento «puramente tecnico». La replica di un volume, il backup notturno, la lettura di un log, la cancellazione di un tenant sono operazioni giuridicamente rilevanti quanto la compilazione di un modulo da parte dell'utente finale.

Le categorie di dati che un fornitore di infrastruttura vede passare sono in genere queste: dati del browser e dei dispositivi, dati sul contenuto, dati di comunicazione, metadati, dati di utilizzo. Poi: dati anagrafici compresi i dati di inventario e di contatto, dati relativi all'ubicazione, dati sulle transazioni, dati contrattuali e dati di pagamento.

In hosting e cloud vi rientrano gli indirizzi IP e i metadati di connessione, i log di autenticazione, i dati di fatturazione e di contatto dei referenti del cliente. In molti casi rientrano anche i contenuti veri e propri: file, database, caselle di posta.

Una parte di questi dati è degna di particolare protezione: opinioni e attività sindacali, politiche, religiose o filosofiche; dati relativi alla salute, alla sfera intima, all'appartenenza a un'etnia o a una razza; dati genetici; dati biometrici che identificano chiaramente una persona; dati relativi a sanzioni o a procedimenti penali o amministrativi; dati relativi a misure di assistenza sociale.

Queste categorie alzano il livello richiesto su misure tecniche e organizzative, verbalizzazione e, nei casi previsti, regolamento per il trattamento.

Titolare, responsabile o responsabilità congiunta: chi risponde di cosa

La qualifica non è una proprietà dell'azienda, ma della singola operazione di trattamento. Le informative svizzere lo dicono esplicitamente: nel singolo caso il trattamento dei dati personali può essere gestito da terzi oppure può esistere una responsabilità congiunta con terzi.

In hosting e cloud lo stesso fornitore può quindi essere responsabile del trattamento per l'infrastruttura affidata dal cliente. Può essere titolare indipendente per i propri trattamenti e contitolare per operazioni condivise, per esempio quando partecipa alla definizione delle finalità di un servizio gestito.

Un caso documentato mostra come i ruoli convivano in un ecosistema. La piattaforma ePlix comprende vari fornitori — società di assistenza, banche, compagnie assicurative e imprese — che forniscono dati e servizi. Questi fornitori possono a loro volta utilizzare la piattaforma per i propri scopi.

Secondo l'informativa della piattaforma, «tali fornitori agiscono come titolari del trattamento indipendenti per quanto riguarda il trattamento dei dati personali e sono a loro volta responsabili dell'osservanza delle norme sulla protezione dei dati e del rispetto dei requisiti per il trasferimento autorizzato dei dati personali» ricevuti dagli interessati.

Il gestore della piattaforma dichiara di non essere responsabile della protezione dei dati né delle prassi di sicurezza di tali fornitori.

Per il fornitore la conseguenza è operativa prima che giuridica. Chi tratta per conto del cliente stipula e applica il contratto, segue le istruzioni ricevute, mette a disposizione le misure tecniche e organizzative e supporta il titolare nell'adempimento dei suoi obblighi.

Chi tratta per finalità proprie — sicurezza di rete, prevenzione degli abusi, fatturazione, analisi del prodotto, marketing — fornisce la propria informativa e risponde direttamente. Spostare dati dei clienti verso finalità non coperte dalle istruzioni significa cambiare ruolo, con gli obblighi informativi che ne derivano.

Contratto di elaborazione dei dati: obblighi minimi tra provider e cliente

Un contratto di elaborazione dei dati in uso in Svizzera si apre dichiarando lo scopo dello strumento. Deve regolare gli obblighi in materia di protezione dei dati nella relazione tra fornitore e cliente e garantire una protezione adeguata durante la trasmissione dei dati personali.

La clausola terminologica ancora i concetti alla LPD e precisa che l'accordo aiuta le parti a rispettare il Regolamento generale sulla protezione dei dati (RGPD) quando i dati riguardano clienti dell'UE. È il doppio ancoraggio da riprodurre: definizioni conformi alla LPD e, se serve, copertura RGPD.

Gli elementi da regolare sono ricorrenti. Primo, la descrizione del trattamento: contenuto e durata del rapporto contrattuale, natura e scopo del trattamento risultano dalle condizioni generali e da un allegato dedicato.

Secondo, le modalità dell'incarico: il cliente incarica formalmente il fornitore compilando il modulo d'ordine e creando l'account.

Terzo, modifica e revoca: i clienti possono aggiungere, modificare o revocare gli incarichi tramite il portale clienti o notificando il fornitore. Le richieste che modificano il servizio e non sono previste nelle condizioni generali vengono trattate come richieste speciali. Gli incarichi verbali devono essere confermati immediatamente per iscritto o registrati nel portale.

Quarto, gli obblighi del fornitore: organizzare internamente le attività per rispettare la normativa. Deve inoltre adottare misure tecniche e organizzative adeguate, elencate in un allegato, per supportare il cliente nell'adempimento dei propri obblighi ai sensi della LPD e del RGPD.

Due punti vanno curati prima della firma. La lingua e la versione di riferimento: nello stesso contratto svizzero esaminato, in caso di divergenza tra versione tedesca e inglese fa fede il tedesco.

La coerenza tra revoca e tecnica: se il cliente revoca un incarico via portale, il fornitore deve avere un processo che traduca la revoca in un'azione verificabile.

Misure tecniche e organizzative (TOM) per l'infrastruttura cloud

Il riferimento pratico è la guida dell'IFPDT ai provvedimenti tecnici e organizzativi concernenti la protezione dei dati, pubblicata in PDF il 23 gennaio 2024.

Illustra rischi e soluzioni degli attuali sistemi di informazione. Espone i temi principali della protezione dei dati nell'ottica dei provvedimenti possibili — per esempio cifratura, anonimizzazione, autenticazione — e vuole essere un ausilio all'implementazione di provvedimenti adeguati.

Destinatari dichiarati sono le persone responsabili dei sistemi di informazione, tecniche o meno, direttamente chiamate ad affrontare la gestione dei dati personali. È quindi utilizzabile anche da chi non è specialista di sicurezza.

Tradotta in controlli per l'infrastruttura, la guida porta a considerare, tra gli altri, provvedimenti come la cifratura, l'anonimizzazione e l'autenticazione. Per ciascun controllo va indicato chi lo esegue e come si dimostra che è attivo.

Nel cloud la ripartizione delle misure va scritta, non presupposta. Tipicamente al fornitore competono struttura, rete, ipervisore e cifratura dello storage.

Al cliente restano configurazione dei permessi, gestione delle identità, cifratura dei dati prima dell'invio e scelta delle sedi di archiviazione.

Documentare in allegato quali misure sono attive, con versione e data, serve al cliente per la propria documentazione di conformità e al fornitore quando deve rispondere a un questionario di sicurezza o a una verifica contrattuale.

Queste misure attuano anche l’articolo 7 LPD, che introduce la protezione dei dati sin dalla progettazione e per impostazione predefinita. Per un servizio cloud significa decidere già in fase di progettazione le misure tecniche e organizzative che rendono applicabili i principi della LPD.

L’articolo 12 LPD obbliga titolari e responsabili del trattamento, quindi anche il fornitore, a tenere un registro di tutte le attività di trattamento, sempre aggiornato. L’ordinanza prevede eccezioni per le imprese con meno di 250 collaboratori i cui trattamenti comportano soltanto un rischio esiguo per la personalità delle persone interessate.

Verbalizzazione e log: art. 4 OPDa per i trattamenti automatizzati

L'obbligo è formulato in modo ampio e coinvolge direttamente il fornitore. Secondo l'articolo 4 OPDa, nel caso di trattamento automatico dei dati personali il titolare privato del trattamento e il suo responsabile privato del trattamento devono verbalizzare alcune operazioni.

Si tratta di registrazione, modificazione, lettura, comunicazione, cancellazione e distruzione dei dati. Non è quindi un adempimento del solo cliente. Il responsabile privato — cioè il fornitore che tratta per conto terzi — è destinatario dell'obbligo insieme al titolare.

Le raccomandazioni tecniche dell'IFPDT per la verbalizzazione secondo l'articolo 4 OPDa sono pubblicate in PDF il 20 dicembre 2023. Intendono fornire una visione d'insieme su ciò che comprende la verbalizzazione e sulle misure tecniche necessarie per adempiere all'articolo.

Se le tracce sono conservate per conto del cliente, il contratto deve dire come il cliente vi accede e per quanto tempo restano disponibili.

Regolamento per il trattamento: quando il cloud deve formalizzarlo

La condizione è indicata dall'IFPDT. Il titolare privato del trattamento e il suo responsabile privato (cfr. art. 5 OPDa) stabiliscono un regolamento per i trattamenti automatizzati se trattano su grande scala dati personali degni di particolare protezione.

Lo stesso vale se eseguono una profilazione a rischio elevato. Sono due vie alternative: qualità e volume dei dati da un lato, profilazione a rischio elevato dall'altro.

Per hosting e cloud scatta più spesso il primo criterio, perché il trattamento è per definizione automatizzato e la variabile decisiva diventa la scala combinata con la sensibilità.

Un fornitore che ospita per numerosi clienti dati sulla salute, dati biometrici o genetici, informazioni su procedimenti penali o amministrativi si avvicina alla soglia di «grande scala». Lo stesso vale se gestisce piattaforme di risorse umane per più organizzazioni.

Il secondo criterio riguarda i trattamenti propri del fornitore, per esempio profilazioni eseguite per finalità di sicurezza o per prodotti interni.

Lo strumento c'è: l'IFPDT pubblica le istruzioni per stabilire un regolamento per il trattamento dei dati per privati, con un modello in formato Word (versione del 5 dicembre 2023), e istruzioni separate per gli organi federali.

Poiché la disposizione menziona insieme titolare e responsabile, il regolamento va costruito con il cliente. Il titolare vi descrive anche il trattamento affidato al fornitore e le misure che lo accompagnano. Il fornitore che ha trattamenti propri riconducibili ai criteri allestisce un proprio regolamento.

Gli stessi trattamenti spesso richiedono una valutazione d’impatto sulla protezione dei dati: i titolari privati devono svolgerla quando un trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali, per esempio con un ampio trattamento di dati degni di particolare protezione. In caso di elevati rischi residui, la valutazione va sottoposta per parere all’IFPDT.

Il fornitore dovrebbe preparare un pacchetto di informazioni standard — sistemi, categorie di dati, misure, subfornitori — da consegnare ai clienti che devono redigere o aggiornare il regolamento.

Violazioni della sicurezza: notifica all'IFPDT e informazione agli interessati

Il riferimento è la guida dell'IFPDT sulla notifica di violazioni della sicurezza dei dati, pubblicata in PDF il 6 febbraio 2025.

Tratta i requisiti legali per la notifica all'IFPDT, in particolare il concetto di «rischio verosimilmente elevato» ai sensi dell'articolo 24 capoverso 1 LPD. Definisce anche i requisiti per l'informazione degli interessati in caso di violazione della sicurezza dei dati ai sensi dell'articolo 24 capoverso 4 LPD.

Lo standard è temporale: la notifica deve pervenire quanto prima all’IFPDT, dopo che il titolare ha previsto le possibili conseguenze, valutato i rischi e deciso se e come informare la persona interessata.

La valutazione del rischio spetta al titolare, ma i dati per valutarla li ha il fornitore. Servono: quali sistemi sono coinvolti, quali categorie di dati, quante persone interessate, quando è avvenuto l'evento, quando è stato rilevato, quali misure di contenimento sono state adottate, quale impatto residuo.

Il contratto dovrebbe fissare un canale di contatto utilizzabile in ogni momento, un termine di comunicazione al cliente e il divieto di comunicazioni pubbliche sull'incidente non coordinate con il titolare. Senza questi elementi il cliente non è in grado di rispettare il proprio termine di notifica.

Al fornitore compete anche la traccia documentale dell'evento: cronologia, analisi, misure, comunicazioni. Serve per la notifica e per l'informazione degli interessati, ma anche per la verbalizzazione richiesta dall'articolo 4 OPDa e per le contestazioni successive del cliente o di un'autorità.

Un registro degli incidenti, tenuto per tutti i casi e non solo per quelli notificati, permette di riconoscere i segnali ricorrenti e di correggere le configurazioni prima che l'evento assuma dimensioni rilevanti.

Trasferimenti all'estero, subfornitori e sovranità dei dati

Il trasferimento verso Stati terzi è una decisione da documentare. Un'informativa svizzera lo formula così: «Possiamo trasmettere i dati personali a Stati la cui legislazione non garantisce un'adeguata protezione dei dati, a condizione che…», subordinando quindi l'operazione al rispetto di condizioni.

La base giuridica è l’articolo 16 LPD: i dati possono essere comunicati all’estero se il Consiglio federale ha constatato che lo Stato destinatario garantisce una protezione adeguata. In mancanza, servono garanzie come le clausole standard della Commissione europea, riconosciute dall’IFPDT.

Nella geografia rilevante va tenuto conto che lo Spazio economico europeo comprende gli Stati membri dell'UE e il Principato del Liechtenstein. La Commissione europea riconosce alla legislazione svizzera sulla protezione dei dati il carattere di protezione adeguata.

Questo rende la Svizzera una destinazione compatibile per i clienti soggetti al RGPD, ma non elimina l'analisi dei flussi in uscita.

Il tema della sovranità viene posto con nettezza da alcuni fornitori. InvestGlass, che propone una piattaforma CRM ospitata in Svizzera o installabile on-premise, presenta la propria offerta come garanzia che i dati sensibili restino protetti dalle leggi svizzere.

Li vuole «al riparo da giurisdizioni straniere come il CLOUD Act statunitense», e indica tra i rischi i fornitori di cloud statunitensi.

È una dichiarazione commerciale di un singolo fornitore, non una valutazione di conformità. Il punto utile è che la residenza dei dati non è l'unico criterio: contano anche la giurisdizione del fornitore e dei suoi subfornitori e chi può ricevere richieste di accesso.

Da fare, in concreto: inventario dei subfornitori con sede, ruolo e categorie di dati trattate. Poi clausole di autorizzazione preventiva e di informazione in caso di cambiamento; verifica delle garanzie applicate ai trasferimenti verso Stati senza protezione adeguata; coerenza tra i flussi reali e quanto dichiarato nell'informativa fornita al cliente finale.

Documentare le giurisdizioni è ciò che permette di rispondere in tempi utili alle domande dei clienti regolamentati, che chiedono sempre più spesso dove risiedono i dati e chi vi può accedere.

Checklist per il fornitore: dalla mappatura alla risposta agli incidenti

Mappare prima di tutto. Elenco dei trattamenti con categorie di dati, finalità, sistemi coinvolti, ruolo assunto (titolare, responsabile, contitolare) e subfornitori con la relativa giurisdizione.

Da questa mappa discendono i contratti da rinegoziare, le informative da aggiornare e le soglie da verificare.

Contratti e informative. Confrontare i CED esistenti con gli elementi minimi: descrizione di contenuto, durata, natura e scopo del trattamento; modalità di incarico, modifica e revoca.

Poi allegato con le misure tecniche e organizzative; supporto al titolare; regime dei subfornitori; lingua e versione di riferimento. Aggiornare la propria informativa per i trattamenti svolti come titolare indipendente.

Misure tecniche e organizzative. Applicare la guida IFPDT: cifratura, anonimizzazione, autenticazione e gli altri provvedimenti elencati.

Serve una ripartizione scritta tra fornitore e cliente, con evidenza di quali misure sono attive e da quando.

Verbalizzazione. Attivare log su registrazione, modificazione, lettura, comunicazione, cancellazione e distruzione dei dati secondo l'articolo 4 OPDa.

Seguire le raccomandazioni tecniche IFPDT del 20 dicembre 2023 per la verbalizzazione secondo l'articolo 4 OPDa.

Regolamento. Verificare se ricorrono le condizioni: grande scala di dati degni di particolare protezione oppure profilazione a rischio elevato.

In caso affermativo usare le istruzioni IFPDT per privati, costruendo il documento insieme ai clienti titolari.

Incidenti. Predisporre una procedura basata sulle linee guida IFPDT del 6 febbraio 2025.

Deve prevedere: canale di segnalazione sempre attivo, termine contrattuale di comunicazione al cliente, raccolta immediata dei dati necessari alla valutazione del rischio verosimilmente elevato (articolo 24 capoversi 1 e 4 LPD), registro degli incidenti e conservazione della documentazione.

Priorità operative. Mappatura e ruoli per primi, perché determinano tutto il resto.

Poi CED e misure tecniche; quindi verbalizzazione e procedura di incidente. Infine il governo di trasferimenti e subfornitori, che va comunque avviato con l'inventario delle giurisdizioni.