Comunicazione di dati all’estero

Che si tratti di un negozio online, di uno spazio di archiviazione cloud o di un servizio di newsletter: molti fornitori salvano i dati su server all’estero. La LPD lo consente, ma solo a determinate condizioni.

Stati con una protezione adeguata (art. 16 cpv. 1)

Il Consiglio federale stabilisce quali Stati offrono una protezione dei dati adeguata. L’elenco figura nell’allegato 1 dell’ordinanza sulla protezione dei dati (OPDa) e comprende tra l’altro gli Stati dell’UE e del SEE nonché il Regno Unito. Verso questi Stati i dati possono essere comunicati senza garanzie supplementari.

Per gli Stati Uniti ciò vale solo in misura limitata: sono contemplate le imprese certificate secondo lo Swiss-US Data Privacy Framework. Per tutti gli altri destinatari statunitensi sono necessarie garanzie supplementari.

Stati senza una protezione adeguata (art. 16 cpv. 2)

In assenza di una decisione del Consiglio federale, una protezione dei dati adeguata deve essere garantita in altro modo, segnatamente mediante:

• clausole tipo di protezione dei dati approvate, emanate o riconosciute dall’IFPDT,
• norme interne vincolanti dell’impresa in materia di protezione dei dati,
• clausole contrattuali di protezione dei dati comunicate preventivamente all’IFPDT,
• un trattato internazionale.

Eccezioni (art. 17)

In singoli casi una comunicazione è ammessa anche senza queste garanzie, ad esempio se Lei vi ha acconsentito esplicitamente, se la comunicazione è direttamente connessa con un contratto – ad esempio una prenotazione alberghiera all’estero – o se è necessaria per far valere diritti in giudizio.

Pubblicazione su Internet (art. 18)

Se i dati vengono resi accessibili a chiunque per informare il pubblico, ad esempio su un sito web, ciò non è considerato una comunicazione all’estero, anche se la pagina è consultabile in tutto il mondo.

Il suo diritto alla trasparenza

Le imprese devono comunicarle in quali Stati finiscono i suoi dati e su quali garanzie o eccezioni si fondano (art. 19 cpv. 4). Queste indicazioni figurano perlopiù nell’informativa sulla protezione dei dati; può però anche richiederle con una domanda d’accesso (art. 25 cpv. 2 lett. g).

Chi comunica intenzionalmente dati all’estero senza che siano adempiute le condizioni necessarie può essere punito con la multa su querela (art. 61 lett. a).

E viceversa?

L’UE, dal canto suo, riconosce la Svizzera come Stato con un livello di protezione dei dati adeguato. Le imprese nell’UE possono quindi comunicare dati personali in Svizzera senza garanzie supplementari.

Al testo di legge: art. 16 LPD e art. 17 LPD. Indicazioni per le imprese: Per le imprese.