Valutare la protezione dei dati di un software gestionale svizzero

Che cosa si valuta davvero in un software gestionale

Un gestionale raccoglie almeno quattro famiglie di dati personali. La prima è quella dei collaboratori: anagrafica, contratti, assenze, salari e comunicazioni interne. La seconda riguarda clienti e fornitori: indirizzi, referenti, ordini, fatture e condizioni contrattuali.

La terza è costituita dalle candidature, che le informative svizzere trattano spesso in una sezione dedicata: curricula, referenze, esito della selezione. La quarta comprende dati importati da terzi, non raccolti direttamente dall'azienda. Le informative elvetiche citano fonti accessibili al pubblico: registri di commercio, registri fondiari, registri di recupero crediti, media e Internet, compresi i social media.

Sempre nella quarta famiglia rientrano dati ricevuti da autorità pubbliche, dal datore di lavoro o dal committente dell'interessato. Un gestionale con controllo di solvibilità o arricchimento anagrafico rientra in questa categoria.

Il titolare del trattamento è l'azienda che adotta il gestionale, non la software house. Nelle informative svizzere il titolare è indicato con ragione sociale, indirizzo e un contatto dedicato alla protezione dei dati. Il fornitore del software opera di norma come responsabile del trattamento per conto del cliente. Il ruolo va definito per iscritto.

La valutazione non riguarda solo il prodotto, ma i processi che vi si appoggiano. Quali campi sono obbligatori e quali facoltativi? Chi può inserirli e modificarli? Chi li esporta? Per quanto tempo restano nel sistema? Come si cancellano o si bloccano su richiesta?

Prima della firma, farsi consegnare l'elenco dei campi trattati per modulo e la descrizione delle procedure di esportazione e cancellazione. Sono questi documenti a dire se il gestionale sostiene davvero gli obblighi del titolare.

LPD, OPDa e GDPR: il quadro in cui si muove un fornitore svizzero

Le informative sulla privacy dei fornitori svizzeri richiamano di regola la Legge federale sulla protezione dei dati (LPD), l'Ordinanza sulla protezione dei dati (OPDa) e le altre disposizioni applicabili. Tra queste rientra il Regolamento generale sulla protezione dei dati (GDPR) dell'UE, quando il trattamento ricade nel suo ambito di applicazione.

Alcune informative precisano la tecnica redazionale. I concetti sono usati ai sensi della LPD e, nell'ambito del GDPR, interpretati secondo quest'ultimo. È un dettaglio utile nel confronto tra documenti: lo stesso termine, per esempio «trattamento», può essere definito diversamente nei due testi.

Per capire cosa deve saper fare il software serve la definizione operativa di trattamento. Secondo l'art. 5 lett. d LPD comprende, tra l'altro, memorizzazione, utilizzazione e cancellazione di dati. Un gestionale che non permette di cancellare o di limitare nel tempo un dato non copre quindi una parte della fattispecie. Questo vale indipendentemente da quanto il fornitore dichiara in materia di sicurezza.

Sui trasferimenti, la Commissione europea con decisione del 26 luglio 2000 ha riconosciuto che la legislazione svizzera in materia di protezione dei dati garantisce un livello adeguato di protezione. Nel rapporto del 15 gennaio 2024 la Commissione ha confermato tale decisione di adeguatezza.

Per un'azienda svizzera con clienti o sedi nell'UE il quadro elvetico non è quindi considerato automaticamente carente. Ciò non esonera dall'analisi. Se il GDPR si applica direttamente al vostro trattamento dipende dal caso concreto. Con il fornitore va verificato quali clausole contrattuali siano previste per i flussi di dati verso l'UE e verso Paesi terzi.

Confronto tra normative: LPD, OPDa e GDPR

IFPDT, autorità cantonali e canali di verifica

L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) è un'autorità indipendente. Ha compiti in materia di protezione dei dati e di principio di trasparenza.

Come autorità di controllo per la protezione dei dati vigila affinché gli organi federali e le aziende private non trattino i dati personali in modo illegale.

Come responsabile della trasparenza è il centro di arbitrato per l'accesso ai documenti ufficiali. Su richiesta media tra privati e autorità federali quando l'accesso è negato. Se non si raggiunge un accordo, emette raccomandazioni.

Ha sede in Feldeggweg 1, 3003 Berna. Per le domande sulla protezione dei dati è attiva una hotline dal lunedì al venerdì dalle 10 alle 11:30, al numero 058 462 43 95. C'è anche un modulo di contatto.

Tre strumenti pubblici sono direttamente utilizzabili per valutare un fornitore. Le raccomandazioni, comprese quelle secondo la legge sulla trasparenza; le comunicazioni di attualità; e il rapporto d'attività.

Il rapporto d'attività è presentato annualmente all'Assemblea federale, trasmesso al Consiglio federale e pubblicato ai sensi dell'art. 57 LPD. Il sito ne annuncia la pubblicazione del prossimo rapporto al 30 giugno 2026.

Per gli organi cantonali e comunali valgono anche le legislazioni cantonali. Sono richiamate insieme alla LPD nella descrizione dei servizi di consulenza sulla conformità presenti sul mercato elvetico, che menziona anche i comuni.

Che le decisioni dell'IFPDT tocchino anche la gestione quotidiana dei contatti lo mostra un caso di marketing diretto. Secondo Privacy Desk Suisse, con decisione del 17 aprile 2026, divenuta definitiva dopo la scadenza del termine di ricorso, l'IFPDT ha sanzionato Cream della Cream e Philipp Plein. La sanzione riguarda il marketing diretto e il diritto di opposizione.

Chi valuta un gestionale con modulo campagne o CRM dovrebbe verificare come il sistema registra consensi e opposizioni. Deve anche controllare se un rifiuto resta tracciato nel tempo.

Eventi chiave nell'evoluzione della protezione dei dati in Svizzera

Leggere le misure di sicurezza dichiarate dal fornitore

Le misure di sicurezza dei dati personali nella LPD sono oggetto di analisi specifiche da parte di studi legali e consulenti svizzeri. Nelle informative dei fornitori la materia compare di solito in una sezione «Sicurezza dei dati». È il primo documento da leggere: se manca o si limita a formule generiche, è già un criterio di scarto.

Le voci da pretendere riguardano la gestione degli accessi: profili e ruoli distinti per funzione, autenticazione a più fattori, revoca immediata delle credenziali quando un collaboratore lascia l'azienda.

Servono poi la cifratura dei dati in transito e a riposo, con indicazione di chi gestisce le chiavi, la registrazione degli accessi e delle modifiche, le procedure di backup e ripristino, la conservazione e la cancellazione.

La verifica utile non è l'elenco delle tecnologie, ma la configurabilità. Si può definire una durata di conservazione diversa per candidature, clienti e dati del personale? La cancellazione si propaga anche alle copie di backup e ai servizi di terzi collegati? È possibile sapere chi ha consultato o esportato un dossier e quando? Gli export verso file o fogli di calcolo sono limitabili e tracciabili?

Il fornitore dovrebbe rispondere con documentazione tecnica. Su richiesta, dovrebbe fornire un allegato contrattuale che fissa gli obblighi di sicurezza, non una pagina di marketing.

Indicatori chiave per valutare la conformità di un software gestionale

Dove finiscono i dati: hosting, trasferimenti e subfornitori

Le informative svizzere trattano di regola i dati personali all'estero in una sezione apposita. La collocazione di server e backup non è neutra.

Le domande da porre al fornitore sono concrete. In quale Paese si trovano i server di produzione e quelli di backup? Dove passa il traffico? Quali dati escono dal sistema verso servizi collegati, come posta elettronica, fatturazione, analytics e assistenza? Con quale base giuridica e con quali garanzie contrattuali avviene ogni trasferimento?

Un hosting dichiarato in Svizzera non esclude che un subfornitore di manutenzione o monitoraggio acceda ai dati da un altro Paese. Chiedete l'elenco nominativo dei subfornitori, con ubicazione e funzione. Chiedete anche la clausola che disciplina come vengono comunicati i cambiamenti.

Per i fornitori con clienti nell'UE compare spesso la nomina di un rappresentante nello Spazio economico europeo ai sensi dell'art. 27 del GDPR. È un punto di contatto aggiuntivo per autorità di controllo e interessati.

Le dichiarazioni precisano che l'ambito copre l'Unione europea, il Principato del Liechtenstein, l'Islanda e la Norvegia. Se la vostra azienda tratta dati di interessati nell'UE, chiedete se il fornitore ha effettuato questa nomina e con quali recapiti. È un elemento verificabile, non una dichiarazione di principio.

Un punto di responsabilità va tenuto distinto. I terzi che trasmettono a un fornitore dati relativi ad altre persone devono garantire autonomamente la protezione dei dati di tali interessati. Vale in entrambe le direzioni.

Se importate nel gestionale liste o anagrafiche ricevute da terzi, la responsabilità per la loro liceità resta vostra. Se il fornitore affida dati del vostro personale a un subfornitore, deve essere chiaro chi risponde di eventuali violazioni. Devono essere chiari anche i tempi con cui il fornitore è tenuto a informarvi.

Vantaggi e rischi di un hosting estero per un software gestionale svizzero

Moduli automatizzati e intelligenza artificiale nel gestionale

La posizione dell'IFPDT è esplicita. In un contributo del 24 settembre 2025 l'Incaricato sottolinea che la legge svizzera sulla protezione dei dati si applica direttamente al trattamento dei dati basato sull'intelligenza artificiale. Non esiste quindi una zona franca per le funzioni «smart» di un gestionale.

Parallelamente, le informative dei fornitori svizzeri hanno iniziato a includere sezioni dedicate all'automazione e all'intelligenza artificiale. Compaiono accanto a quelle su comunicazione, candidature e sicurezza dei dati.

Tradotto in domande sul prodotto: quali moduli usano l'IA? Previsione degli incassi, scoring di clienti o fornitori, classificazione automatica delle candidature, smistamento dei ticket, assistenti integrati nell'interfaccia? Quali dati entrano nel modello e dove vengono trattati? I dati del vostro gestionale vengono usati per addestrare modelli del fornitore o di terzi?

Il sistema produce decisioni automatizzate che incidono su dipendenti o clienti? In quel caso è possibile ottenere una revisione umana? Il modulo è disattivabile senza perdere altre funzioni? La disattivazione è documentata?

Se il fornitore non risponde in modo puntuale su input, luogo di trattamento e riutilizzo dei dati, la funzione va considerata non valutabile.

Informativa sulla privacy e diritti degli interessati: cosa pretendere

L'informativa del fornitore va letta come una lista di voci obbligatorie. Le dichiarazioni svizzere complete indicano l'indirizzo di contatto del titolare e l'eventuale rappresentanza nello SEE. Indicano anche i termini usati e le basi giuridiche del trattamento, tipo, portata e scopo del trattamento.

Seguono la comunicazione dei dati a terzi, la sicurezza dei dati, i dati personali all'estero, i diritti degli interessati con le relative pretese e le vie di ricorso.

Se una di queste voci manca, o è sostituita da un rimando generico alle condizioni generali di contratto, il fornitore non offre la documentazione necessaria per valutarlo.

Dal lato del software, i diritti degli interessati si traducono in funzioni verificabili. Produrre in tempi ragionevoli tutti i dati riconducibili a una persona — dipendente, cliente, candidato — in un formato leggibile. Correggere un dato errato senza riscriverlo manualmente in ogni modulo. Cancellare o bloccare i dati non più necessari, compresi allegati e documenti scansionati. Gestire e conservare le opposizioni, per esempio al marketing diretto.

Quest'ultimo punto ha un riscontro concreto. La decisione dell'IFPDT del 17 aprile 2026, resa definitiva dopo la scadenza del termine di ricorso, riguarda Cream della Cream e Philipp Plein. Riguarda proprio il marketing diretto e il diritto di opposizione. Un gestionale che non consente di registrare in modo duraturo il rifiuto di un contatto non è adeguato a questo profilo.

Domande da portare al tavolo con il fornitore

Raccolte in una lista unica, le verifiche che contano sono: elenco dei campi trattati per modulo, con indicazione di quelli obbligatori; definizione contrattuale dei ruoli tra la vostra azienda come titolare e il fornitore come responsabile del trattamento; gestione degli accessi con profili distinti, autenticazione a più fattori e revoca immediata.

Servono ancora: cifratura in transito e a riposo con chiara indicazione di chi detiene le chiavi; registrazioni degli accessi e delle modifiche; durate di conservazione configurabili per categoria di dati; cancellazione che raggiunga anche backup e servizi collegati.

Chiedete l'elenco nominativo dei subfornitori con ubicazione e funzione; l'ubicazione di server e backup e la descrizione dei trasferimenti all'estero; la nomina di un rappresentante nello SEE ai sensi dell'art. 27 del GDPR, se avete interessati nell'UE.

Verificate l'elenco dei moduli che usano IA, con dati in input, luogo di trattamento e possibilità di disattivazione. Verificate le funzioni di esportazione, rettifica, cancellazione e gestione delle opposizioni.

A queste si aggiungono due verifiche sul fornitore stesso. Come documenta le proprie misure di sicurezza, con allegati tecnici e non con pagine promozionali? Come vi informa in caso di violazione dei dati, con tempi e canali definiti prima della firma?

Un ultimo passaggio di controllo è pubblico e gratuito. Le comunicazioni, le raccomandazioni e il rapporto d'attività dell'IFPDT, oltre alle pubblicazioni di studi legali e consulenti svizzeri che commentano decisioni e misure di sicurezza, forniscono elementi indipendenti. Vanno confrontati con quanto dichiarato dal fornitore in sede di trattativa.

Verifiche chiave da portare al tavolo con il fornitore