Software aziendale in Svizzera: requisiti, licenze e costi operativi

Cosa richiede la legge sulla protezione dei dati riveduta al software aziendale

La legge federale sulla protezione dei dati (LPD) riveduta, la nuova ordinanza sulla protezione dei dati (OPD) e la nuova ordinanza sulle certificazioni della protezione dei dati (OCPD) sono in vigore dal 1° settembre 2023. Non esistono termini transitori. Chi gestisce o introduce software aziendale deve essere conforme immediatamente.

La legge tutela la personalità e i diritti fondamentali delle persone fisiche con domicilio in Svizzera, i cui dati vengono trattati da privati o dallo Stato. I dati delle persone giuridiche non sono più protetti. Al centro vi sono una maggiore trasparenza per le persone interessate e il rafforzamento dei loro diritti sui propri dati (autodeterminazione informativa).

Vengono promossi la prevenzione e l'autoresponsabilità dei responsabili del trattamento, accompagnati da una più forte vigilanza sulla protezione dei dati e da disposizioni penali ampliate. Per le imprese sorgono nuovi obblighi, specialmente in caso di raccolta, perdita o abuso di dati personali.

Nella pratica software, il ruolo del responsabile del trattamento è decisivo: ai sensi dell'art. 5 lett. j LPD, un'organizzazione privata o statale decide sullo scopo e sui mezzi del trattamento dei dati. Il responsabile del trattamento va distinto dall'incaricato della protezione dei dati.

Tra i compiti centrali figurano la raccolta e l'elaborazione dei dati, la gestione di questi processi e un corretto trattamento conforme alla protezione dei dati delle informazioni raccolte ed elaborate. La LPD concede alle persone interessate diversi diritti; l'art. 19 LPD regola l'obbligo di informazione: i responsabili devono informare attivamente le persone interessate sul trattamento dei loro dati personali.

Gli strumenti includono il registro dei trattamenti e la valutazione d'impatto sulla protezione dei dati. Il software aziendale deve essere selezionato e configurato in modo tale che l'obbligo di informazione ai sensi dell'art. 19 LPD e la documentazione delle attività di trattamento possano essere rappresentati – come requisito della soluzione, non come ripensamento successivo.

L'ordinanza sulle certificazioni della protezione dei dati (OCPD) fa parte di questo pacchetto. Le certificazioni possono quindi essere inserite nell'elenco dei requisiti come punto di controllo, insieme all'obbligo di informazione ai sensi dell'art. 19 LPD.

Le disposizioni pertinenti sono quindi la LPD, l'OPD e l'OCPD. Gli strumenti rilevanti sono l'art. 19 LPD, il registro dei trattamenti, la valutazione d'impatto sulla protezione dei dati e le certificazioni ai sensi dell'OCPD.

Le aziende svizzere dovrebbero occuparsi della nuova legge al più tardi ora e apportare gli adattamenti necessari alla configurazione della protezione dei dati, in particolare alle dichiarazioni sulla protezione dei dati e ai contratti. Chi introduce software verifica i documenti contrattuali e le dichiarazioni congiuntamente al fornitore. L'obbligo di informazione ai sensi dell'art. 19 LPD, la tenuta del registro dei trattamenti, la valutazione d'impatto sulla protezione dei dati e le certificazioni ai sensi dell'OCPD devono rientrare nell'elenco dei requisiti prima della firma del contratto.

Sviluppo del diritto svizzero sulla protezione dei dati dal 2023

Sicurezza dei dati, vigilanza e ufficio di segnalazione: il funzionamento dopo l'entrata in vigore

Per garantire la sicurezza dei dati si applicano gli artt. 1–4 e 6 dell'ordinanza sulla protezione dei dati del 31 agosto 2022 nonché l'ordinanza sui rischi cibernetici. Il software aziendale non è quindi solo un'applicazione specialistica, ma parte dell'ambito di applicazione di prescrizioni di sicurezza vincolanti. In fase di acquisto queste prescrizioni vanno inserite nell'elenco dei requisiti come punti di controllo.

Il punto di contatto centrale per le questioni di cybersicurezza in Svizzera è l'Ufficio federale per la cybersicurezza (UFCS). Esso raccoglie e diffonde informazioni sulle attuali minacce cibernetiche e pubblica regolarmente avvisi su malware e attacchi di phishing. Sul suo sito web si trovano le attuali situazioni di minaccia e raccomandazioni di azione per aziende e privati.

L'UFCS gestisce l'ufficio di segnalazione per gli incidenti cibernetici. Organizzazioni e cittadini possono segnalare lì attività sospette. Altri compiti includono avvisi e prevenzione con indicazioni di sicurezza e misure di protezione, l'analisi degli attacchi informatici con individuazione di modelli di attacco e sviluppo di controstrategie, nonché la consulenza a aziende e autorità. L'UFCS funge da interfaccia tra autorità, aziende e pubblico.

Per il funzionamento operativo, le vie di segnalazione e le competenze devono essere chiarite prima di un incidente. Chi sa quale ufficio in azienda riceve un sospetto e come avviene una segnalazione all'autorità competente, non perde tempo in caso di emergenza. Il software aziendale dovrebbe supportare tali processi – con registrazione, ruoli chiari e documentazione strutturata degli incidenti.

Pertanto, due disposizioni sono rilevanti: gli artt. 1–4 e 6 dell'ordinanza sulla protezione dei dati del 31 agosto 2022 nonché l'ordinanza sui rischi cibernetici. L'autorità competente per avvisi e segnalazioni è l'UFCS con il suo ufficio di segnalazione per gli incidenti cibernetici.

L'UFCS pubblica regolarmente avvisi su malware e phishing. Nel funzionamento quotidiano è quindi necessaria una procedura per recepire, valutare tali avvisi e documentare le misure adottate. Anche questo punto va inserito nell'elenco dei requisiti prima dell'acquisto.

Parallelamente, i diritti delle persone interessati ai sensi della LPD devono essere rappresentati nel sistema. Le lettere informative e i processi di accesso ai dati devono essere realizzabili nel software – non in una soluzione tabellare separata esterna al sistema.

Ne derivano funzioni specifiche che la soluzione deve fornire: registrazione, un concetto di ruoli e competenze, processi di informazione e accesso ai dati realizzabili e vie di segnalazione documentabili all'UFCS. Se manca una di queste funzioni, il requisito non è soddisfatto.

Punti di controllo per l'acquisto: rispetto degli artt. 1–4 e 6 OPD, osservanza dell'ordinanza sui rischi cibernetici, vie di segnalazione definite all'UFCS, registrazione nonché ruoli e competenze chiari. Questi punti vanno inseriti nell'elenco dei requisiti prima dell'acquisto.

Contratti di licenza: libertà di forma non significa assenza di regolamentazione

Invece di trasferire i diritti di proprietà intellettuale sul software, l'autore può concedere contractualmente a terzi licenze per determinate azioni. Il contratto di licenza non è regolamentato dalla legge e è considerato un contratto innominato. Il licenziante concede al licenziatario il diritto di utilizzare il software; il licenziatario corrisponde per questo il canone di licenza.

I contratti di licenza per il software possono essere concordati senza formalità specifiche. Poiché il contratto di licenza è un contratto innominato non regolamentato dalla legge, i diritti e gli obblighi contrattuali dovrebbero essere regolamentati in modo preciso e completo. Ciò che non è stabilito nel contratto non può essere dedotto successivamente dalla legge.

L'ambito di utilizzo deve essere regolamentato espressamente. Le condizioni d'uso dovrebbero stabilire se il software può essere utilizzato solo professionalmente o anche privatamente.

Il canone di licenza è la controprestazione del licenziatario e quindi il primo fattore di costo. Se il software possa essere utilizzato solo professionalmente o anche privatamente deve figurare espressamente nelle condizioni d'uso.

Lacune tipiche sorgono in caso di cessione, numero di utenti, modelli server e multi-tenant, nonché nella questione di cosa accade ai dati alla fine del contratto. Chi chiarisce questi punti prima della firma evita conflitti che non possono essere risolti dalla sola libertà di forma.

In fase di acquisto, il contratto di licenza è il documento centrale: poiché questo tipo di contratto non è regolamentato dalla legge, esso assume l'intero onere normativo. Da chiarire sono l'ambito di utilizzo, la cessione, il numero di utenti, i modelli server e multi-tenant, la gestione dei dati alla fine del contratto nonché l'importo del canone di licenza. Ciò che qui rimane aperto non può essere dedotto successivamente dalla legge.

Open Source: libertà, obblighi e copyleft

Il software open source consiste in programmi per computer distribuiti sotto una licenza open source. Open Source non significa solo libero accesso al codice sorgente, ma anche criteri per le condizioni sotto le quali il software può essere ridistribuito.

Solo se i programmi o le loro licenze soddisfano i criteri della Open Source Definition della Open Source Initiative (OSI), l'OSI include la licenza nella sua panoramica e ne conferma la conformità. Ad oggi, l'OSI ha accettato circa 60 licenze come conformi alla definizione.

In linea di principio, queste licenze consentono la libera ridistribuzione e riproduzione del software, il libero accesso al codice sorgente nonché la libera modifica ed elaborazione (opere derivate). Il libero accesso al codice sorgente è tecnicamente necessario affinché il software possa essere ulteriormente sviluppato. Le libertà di ridistribuzione, riproduzione, modifica ed elaborazione sono i presupposti del diritto d'autore affinché questo software possa essere ulteriormente sviluppato.

Nella pratica si è affermata una distinzione tra copyleft e non-copyleft, nonché compatibile o incompatibile con la GPL. La GPL serve come riferimento per la compatibilità. Per le aziende, queste categorie sono rilevanti soprattutto quando si combinano diversi componenti in un prodotto.

Sono quindi definite due coppie di categorie: copyleft o non-copyleft e compatibile o incompatibile con la GPL. La GPL è il riferimento rispetto al quale si misura la compatibilità.

A seconda della licenza possono sorgere obblighi che influenzano la gestione del proprio codice sorgente e la cessione del software. Chi utilizza componenti open source dovrebbe chiarire prima dell'integrazione sotto quale licenza essi siano distribuiti e quali obblighi ne derivino per il proprio prodotto.

Prima dell'integrazione si consiglia una verifica in tre fasi: determinare la licenza del componente, classificarla come copyleft o non-copyleft e verificare la compatibilità con la GPL, derivandone gli obblighi per il proprio codice sorgente e la cessione. La GPL funge da riferimento.

L'OSI descrive i suoi criteri di ammissione in modo dettagliato e include una licenza nella sua panoramica solo se soddisfa la Open Source Definition. L'indicazione della licenza di un componente non è quindi una formalità, ma un'informazione verificabile. Per ogni componente, tre indicazioni devono entrare nel dossier dei requisiti: il nome della licenza, la classificazione come copyleft o non-copyleft e la compatibilità con la GPL. Con la conferma dell'OSI, le quote open source diventano verificabili e le offerte comparabili.

Procedura per l'integrazione di software open source

Costi operativi e acquisti: fattori di costo, hosting e fornitori svizzeri

I costi del software aziendale non derivano da un singolo numero, ma dall'interazione di diversi fattori. In primo luogo, i canoni di licenza, al cui pagamento il licenziatario si impegna nel contratto di licenza. In secondo luogo, l'onere per contratti conformi alla protezione dei dati e dichiarazioni sulla protezione dei dati; vista l'assenza di termini transitori, non può essere rimandato.

In terzo luogo, criteri di acquisto come le certificazioni: nell'ambito di swiss made software si fa esplicito riferimento alle certificazioni ISO 9001 e ISO 27001 come standard riconosciuti internazionalmente. Tali prove non sono un fattore di costo in senso stretto, ma un criterio che rende le offerte comparabili.

Sulla piattaforma di swiss made software, gli utenti trovano software e servizi di oltre 1300 aziende svizzere e titolari del label. Dal 2007, oltre 1500 aziende si sono unite al label, premiate con i predicati «swiss made software», «swiss digital services» e/o «swiss hosting»; ciò corrisponde a oltre 40'000 dipendenti ICT nel settore principale.

I numeri si riferiscono a grandezze diverse: la piattaforma elenca oltre 1300 aziende e titolari del label, mentre dal 2007 oltre 1500 aziende si sono unite al label. Nel 2025, swiss made software è cresciuta di quasi 200 aziende, portando il numero dei titolari del label a oltre 1500.

Attualmente si trovano più di 1000 prodotti e servizi sulla piattaforma. Un elenco delle aziende che soddisfano i requisiti del label è a disposizione delle aziende interessate.

La questione dell'hosting è un criterio di selezione autonomo. swiss made software si impegna per una Svizzera digitalmente sovrana: una nazione digitalmente sovrana può esercitare in qualsiasi momento il controllo sulle tecnologie e infrastrutture digitali utilizzate entro i suoi confini.

Secondo la valutazione di swiss made software, la Svizzera oggi non è digitalmente sovrana. Specialmente in settori critici, la Svizzera dovrebbe quindi poter provvedere digitalmente a sé stessa e garantire agli attori la sovranità sui propri dati. In settori critici, la questione di dove siano ubicati conservazione dei dati, esercizio e manutenzione è strategica e non va decisa solo in base al prezzo.

Il label conosce tre predicati: «swiss made software», «swiss digital services» e «swiss hosting». Per la questione di dove siano ubicati conservazione dei dati, esercizio e manutenzione, «swiss hosting» è l'etichetta pertinente. Questa indicazione può essere verificata insieme alle certificazioni ISO 9001 e ISO 27001.

Bisogna considerare i costi sull'intero ciclo di vita. Una tantum ci sono i canoni di licenza, l'introduzione e l'adattamento; ricorrenti sono l'esercizio e il supporto nonché l'onere per la protezione dei dati e la sicurezza. Questa separazione rende le offerte comparabili sull'intero ciclo di vita.

Per ogni offerta, quattro blocchi di costo devono quindi essere indicati separatamente: canone di licenza, introduzione e adattamento, esercizio e supporto nonché onere per la protezione dei dati e la sicurezza.

Corporazioni internazionali come Google e IBM gestiscono centri di ricerca e sviluppo in Svizzera. L'industria software svizzera cresce costantemente e offre soluzioni innovative per una vasta gamma di settori. Secondo Swiss IT Magazine, le aziende di software standard hanno molto più successo nell'offrire i loro prodotti e servizi sul mercato internazionale.

swiss made software sottolinea che difficilmente esiste ancora un bisogno digitale per il quale non si trovi una soluzione svizzera. Una mappa web interattiva di swiss made software offre la ricerca per nomi di aziende, prodotti e servizi e funge da strumento pratico e visivo per trovare il partner giusto nell'ambiente swiss made software.

Un'azienda nota per nome nell'ambiente del label è Adobe Research (Svizzera) SA, ex Day Software SA. Le aziende titolari si impegnano per la piazza software Svizzera. Accanto alla categoria, è quindi disponibile per la verifica anche un nome concreto.

Ai costi operativi correnti appartengono anche gli oneri derivanti dalla LPD: adattamento delle dichiarazioni sulla protezione dei dati e dei contratti, tenuta del registro dei trattamenti, valutazione d'impatto sulla protezione dei dati nonché il funzionamento delle vie di segnalazione. Queste voci ricorrono periodicamente, non una tantum.

Quattro blocchi di costo devono essere indicati separatamente per ogni offerta: canone di licenza, introduzione e adattamento, esercizio e supporto nonché onere per la protezione dei dati e la sicurezza. Solo questa suddivisione mostra quali costi sono una tantum e quali ricorrenti. A ciò si aggiungono le indicazioni dei label «swiss made software», «swiss digital services» e «swiss hosting» nonché le certificazioni ISO 9001 e ISO 27001. In questo modo le offerte possono essere confrontate lungo criteri definiti.

Cifre e fatti sul panorama software svizzero

Fornitori svizzeri vs. internazionali: criteri per la selezione