Dati nel cloud: obblighi delle PMI svizzere secondo la LPD

Campo di applicazione della LPD per una PMI che archivia i propri dati nel cloud

La legge federale sulla protezione dei dati (LPD) è in vigore dal 1° settembre 2023, insieme alla sua ordinanza di applicazione (OPDo). La base legale è costituita dalla LPD e dall’OPDo. Una PMI che tratta dati personali deve quindi rispettare la LPD, anche quando l’hosting è affidato a un fornitore di servizi cloud.

L’autorità di vigilanza è il Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Esso vigila affinché le imprese private non procedano a trattamenti illeciti di dati personali.

Un dato è personale se concerne una persona identificata o identificabile.

La persona interessata è la persona fisica i cui dati personali sono oggetto di trattamento. È verso di lei che fanno capo i diritti previsti dalla LPD, anche quando i dati sono ospitati presso un fornitore di cloud.

Il trattamento comprende qualsiasi operazione relativa a dati personali, indipendentemente dai mezzi e dalle procedure utilizzate: raccolta, registrazione, conservazione, utilizzo, modifica, comunicazione, archiviazione, cancellazione o distruzione. L’archiviazione presso un fornitore di cloud rientra in questa definizione.

Alcuni dati sono sensibili: opinioni o attività religiose, filosofiche, politiche o sindacali, dati sulla salute, sulla sfera intima, sull’origine razziale o etnica, dati genetici, dati biometrici che identificano una persona in modo univoco, procedimenti e sanzioni penali o amministrative, misure di assistenza sociale.

File clienti, dossier del personale o dati salariali designano persone e rientrano nel campo di applicazione della legge. Poco importa se siano memorizzati sui server dell’azienda o presso un fornitore.

La legge si applica a tutte le aziende in Svizzera, indipendentemente dalle loro dimensioni. Si basa sui principi di liceità, buona fede, finalità, trasparenza, proporzionalità, esattezza e sicurezza dei dati.

Concretamente, la PMI deve identificare il proprio ruolo, applicare i principi di liceità, buona fede, finalità, trasparenza, proporzionalità, esattezza e sicurezza, e documentare i flussi di dati.

Gli obblighi concreti includono anche la sicurezza dei dati affidati a un subappaltatore, la tracciabilità degli accessi e il rispetto dei diritti delle persone interessate.

Bisogna distinguere due ruoli. Il responsabile del trattamento determina le finalità e i mezzi del trattamento; il subappaltatore tratta i dati per suo conto. Un fornitore di servizi cloud agisce come subappaltatore della PMI che gli esternalizza funzioni informatiche.

Il Consiglio federale prevede eccezioni per le aziende che impiegano meno di 250 collaboratori e il cui trattamento dei dati presenta un rischio basso.

La messa in conformità inizia con l’identificazione dei ruoli. L’azienda determina se agisce come responsabile del trattamento o come subappaltatore per i dati dei suoi clienti, dei suoi collaboratori o dei suoi fornitori.

Obblighi LPD per una PMI che utilizza un fornitore cloud

Sovranità dei dati: una forte aspettativa delle imprese svizzere

In Svizzera, i settori bancario, assicurativo e industriale manipolano dati sensibili e devono garantire una tracciabilità assoluta. Privilegiano per natura la sovranità dei dati e il controllo dei costi.

Il controllo dei costi dipende anche dal dimensionamento. I grandi modelli linguistici richiedono GPU o TPU potenti per l’inferenza, con fatture cloud elevate e budget operativi difficili da anticipare; i piccoli modelli offrono fino al 90% di precisione con il 5% delle risorse.

L’inferenza dei piccoli modelli scende sotto i 50 millisecondi in periferia o in loco, riducendo la quantità di dati che devono uscire dall’azienda. Ogni trattamento evitato nel cloud significa un flusso in meno da documentare.

Prima di affidare i propri dati, la PMI deve sapere dove sono ospitati, su quale territorio e presso quali eventuali subappaltatori. Deve inoltre determinare chi può accedervi e a quali condizioni.

La documentazione dei flussi precisa quali dati partono, verso quale servizio, con quale frequenza e attraverso quale canale.

L’informazione dovuta alla persona interessata nomina i destinatari o le categorie di destinatari ai quali i dati sono stati comunicati.

Quando i dati personali vengono trasferiti all’estero, l’informazione dovuta alla persona interessata deve precisare lo Stato concerned e, se del caso, le garanzie previste o l’applicazione di un’eccezione.

Un hosting in Svizzera elimina in linea di principio la questione del trasferimento. La documentazione dei flussi e degli accessi rimane comunque dovuta in tutti i casi.

La sovranità dei dati non dispensa la PMI dai suoi obblighi LPD. Essa deve documentare i flussi, gli accessi e i destinatari, anche in caso di hosting in Svizzera.

Piccoli modelli vs grandi modelli di IA: dimensioni e costi per le PMI svizzere

Vantaggi e vincoli dell’hosting in Svizzera rispetto all’estero

Il contratto con il fornitore cloud: cosa deve essere regolamentato

Il contratto precisa la localizzazione dell’hosting, il perimetro degli accessi e le persone autorizzate a consultare i dati, anche presso il fornitore.

Deve inoltre coprire la registrazione degli accessi, il diritto di audit, la procedura in caso di incidente, nonché la restituzione dei dati e le condizioni di uscita al termine del rapporto.

Quando la gestione delle paghe è esternalizzata, il fornitore gestisce i calcoli, i contributi sociali, l’imposta alla fonte e il certificato di salario svizzero. Il contratto deve garantire la documentazione adeguata e l’assistenza in materia di audit.

Se il fornitore ricorre a subappaltatori, la PMI deve conoscere la catena e ottenere impegni equivalenti a quelli negoziati con il suo interlocutore diretto.

Il responsabile del trattamento deve assicurarsi che il suo subappaltatore sia in grado di garantire la sicurezza dei dati. Questi obblighi derivano dalla LPD e dalla sua ordinanza di applicazione (OPDo).

Il subappaltatore è la persona privata che tratta dati personali per conto del responsabile del trattamento. Il fornitore di servizi cloud agisce a questo titolo quando la PMI gli esternalizza funzioni informatiche.

Il contratto deve permettere alla PMI di dimostrare che il subappaltatore garantisce la sicurezza dei dati.

Fasi chiave per la conformità LPD durante l’esternalizzazione del trattamento dei dati

Tracciabilità, registri di accesso e audit: preparare la prova prima dell’incidente

La conformità alla LPD richiede tracciature dettagliate, registri di accesso e audit regolari.

Concretamente, bisogna poter dire chi ha consultato quali dati e in quale momento. Queste tracce devono essere conservate abbastanza a lungo da coprire un controllo o una richiesta di informazione.

I registri di accesso e i rapporti di audit si preparano prima dell’incidente. Ricostruirli a posteriori è raramente possibile, soprattutto quando gli accessi passano attraverso un servizio cloud.

Questi registri e rapporti di audit costituiscono i meccanismi di prova della conformità LPD.

I settori bancario, assicurativo e industriale esigono una tracciabilità assoluta. Questa esigenza si sovrappone agli obblighi di documentazione e di prova che già gravano sulla PMI.

La responsabilità resta presso la PMI, anche quando un fornitore esegue

L’esternalizzazione della gestione dei salari illustra questa ripartizione: il fornitore si occupa dei calcoli e delle dichiarazioni, ma voi rimanete il datore di lavoro dei vostri dipendenti. La responsabilità legale non viene trasferita.

Il fornitore iscrive e dichiara presso l’AVS, l’IPG e l’ACD, affilia alla LPP, gestisce l’assicurazione contro gli infortuni LAINF (SUVA o assicuratore privato), l’imposta alla fonte e il certificato di salario svizzero. Queste operazioni riguardano dati dei collaboratori e restano soggette alla LPD.

Il leasing di personale è un caso distinto: la società di leasing diventa il datore di lavoro legale. Questo modello richiede una licenza di messa a disposizione di manodopera rilasciata dalla SECO. Nel cloud vale lo stesso principio: il fornitore ospita i dati per conto della PMI, che rimane responsabile del trattamento. Essa deve poterlo dimostrare, con tracce e documentazione a supporto.

Qualsiasi persona può chiedere al responsabile del trattamento se vengono trattati dati che la concernono e può farli cancellare o rettificare. La persona interessata deve agire personalmente per esercitare questo diritto. L’informazione è in principio gratuita e fornita entro trenta giorni. Sforzi sproporzionati possono essere fatturati, fino a un massimo di 300 franchi.

L’informazione riguarda l’identità e le coordinate del responsabile del trattamento, i dati trattati, la finalità del trattamento, la durata di conservazione o i criteri per fissarla, nonché l’origine dei dati.

Indica inoltre i destinatari o le categorie di destinatari e, se del caso, l’esistenza di una decisione individuale automatizzata nonché la logica su cui si basa.

Il diritto di accesso può essere rifiutato, limitato o differito quando vi si oppongono interessi preponderanti privati o pubblici. Il responsabile del trattamento indica allora il motivo del suo rifiuto. La motivazione deve permettere di verificare se la limitazione è giustificata.

La persona che esercita il suo diritto non deve motivare la sua domanda. La LPD prevede inoltre la soppressione delle spese giudiziarie in procedura civile, per facilitare l’accesso alla giustizia.

L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) è l’autorità indipendente di vigilanza. È incaricato di vigilare sulla corretta applicazione delle disposizioni federali sulla protezione dei dati. Vigila affinché le imprese private non procedano a trattamenti illeciti di dati personali. Il suo indirizzo è Feldeggweg 1, 3003 Berna.

L’IFPDT ricorda che il diritto svizzero sulla protezione dei dati è direttamente applicabile ai trattamenti che ricorrono all’intelligenza artificiale.

L’IFPDT mette a disposizione un modulo di contatto e una hotline, raggiungibile dal lunedì al venerdì dalle 10:00 alle 11:30 al numero 058 462 43 95. Presenta ogni anno una relazione di attività all’Assemblea federale.

In quanto Incaricato della trasparenza, l’IFPDT è l’organo di mediazione per l’accesso ai documenti ufficiali. Emette raccomandazioni quando non è stato possibile trovare un accordo.