Verificare la sede dei dati presso i fornitori di cloud

Sede dei dati in Svizzera: cosa comprende

L’IFPDP indica tre ambiti di verifica in materia di protezione dei dati per i servizi cloud: incaricati del trattamento e sub-incaricati, sicurezza del trattamento dei dati nonché trasmissione di dati personali verso Paesi terzi. Per la sede sono quindi determinanti diversi livelli: archiviazione, elaborazione, accesso – anche per manutenzione e supporto – e i sub-incaricati coinvolti. Chi indica soltanto la sede di un server risponde a una sola di queste domande.

Sul piano dei ruoli, il fornitore di cloud agisce generalmente come incaricato del trattamento dei dati del cliente ai sensi dell’art. 9 LPD. Il cliente è il responsabile del trattamento o egli stesso un incaricato del trattamento; in qualità di incaricato deve adempiere alle prescrizioni del responsabile per i propri trattamenti di dati. Come responsabile, egli assume la responsabilità che il trattamento esternalizzato avvenga in conformità alla protezione dei dati e che i diritti delle persone interessate non vengano lesi dall’esternalizzazione.

L’utente del cloud, in quanto responsabile, deve accertarsi e garantire contrattualmente di rispettare i requisiti per un trattamento da parte di un incaricato conformemente all’art. 9 LPD. Le indicazioni sulla sede fornite dal fornitore costituiscono pertanto il punto di partenza della verifica, non il suo risultato.

Perché un server in Svizzera non garantisce ancora protezione

Un data center in Svizzera o nell’UE non impedisce gli accessi da parte delle autorità se il fornitore è soggetto al diritto straniero. Il US CLOUD Act consente alle autorità statunitensi di obbligare le aziende americane a consegnare dati – anche se archiviati all’estero. Secondo UMB, un’azienda svizzera che si affida a un fornitore statunitense rischia che dati confidenziali vengano consultati senza preavviso né mezzi di ricorso giuridico. Un data center europeo non cambia nulla, poiché l’accesso si basa sull’appartenenza del fornitore, non sulla sede dei dati.

Negli Stati Uniti manca una legge uniforme sulla protezione dei dati; vigono invece norme frammentate specifiche per settore. UMB segnala che la rimozione di alcuni membri del Privacy and Civil Liberties Oversight Board nel gennaio 2025 ha indebolito i meccanismi di controllo del quadro per la protezione dei dati UE-USA e ha accresciuto i dubbi sulla sua sostenibilità a lungo termine. Un accordo o un certificato da soli non costituiscono quindi una garanzia duratura.

Nel settore pubblico la questione è decisa: la risoluzione pubblicata nel novembre 2025 da privatim, la Conferenza svizzera delle responsabili e dei responsabili della protezione dei dati, può essere letta secondo Bär & Karrer come un divieto di fatto dell’utilizzo degli hyperscaler nella pubblica amministrazione. Il capitolato d’oneri dell’UFSP per l’infrastruttura SwissHDS (febbraio 2026) esige che tutte le componenti infrastrutturali non presentino dipendenze tecniche o giuridiche da giurisdizioni esterne come il US CLOUD Act.

Fatti sulla sovranità dei dati in Svizzera

Domande concrete da porre al fornitore

Controparte contrattuale e diritto: chi è la controparte contrattuale – non solo il marchio –, dove ha la sua sede legale e a quale diritto è soggetta? Appartiene a un gruppo con sede fuori dalla Svizzera? Determinante è il diritto applicabile alla controparte contrattuale, non la sede del data center.

Dati ed elaborazione: in quali sedi concrete si trovano i dati produttivi, i backup ed eventuali copie per scopi analitici o di test, e dove vengono elaborati? Queste sedi divergono a seconda del modello di servizio? La scheda informativa di privatim «Rischi specifici del cloud e misure» (2022) stabilisce che le sedi di elaborazione dei dati in Svizzera sono da preferire, ad esempio per la sicurezza infrastrutturale e la disponibilità.

Accesso: chi può accedere ai dati – anche per manutenzione, risoluzione degli errori e supporto? In quale Paese risiedono queste persone? L’accesso viene registrato e concesso solo su istruzione? Il fornitore può leggere i dati in chiaro, oppure la cifratura e la gestione delle chiavi sono organizzate in modo da impedirglielo?

Sub-incaricati: quali sub-incaricati vengono impiegati per l’hosting, il supporto, il monitoraggio, il backup o servizi aggiuntivi, e dove sono domiciliati? Come e entro quale termine vengono comunicati nuovi sub-incaricati o cambi di sede, e il cliente può opporsi? In aggiunta: quali rapporti di audit e certificazioni sono disponibili, e come gestisce il fornitore le richieste di informazioni da parte delle autorità?

Tutela contrattuale e trasmissione all’estero

Devono essere regolati contrattualmente almeno: il trattamento da parte di un incaricato con vincolo di istruzioni, la riservatezza del personale impiegato, le misure tecniche e organizzative, i sub-incaricati ammessi con termini di comunicazione in caso di cambiamenti, i diritti di accesso e di audit del cliente, la segnalazione di incidenti di sicurezza, la procedura in caso di richieste di informazioni da parte delle autorità nonché la restituzione o cancellazione dei dati alla scadenza del contratto.

Se nei servizi cloud avviene una comunicazione di dati all’estero, secondo l’IFPDP occorre verificare prima della comunicazione se essa soddisfi i requisiti legali. La guida all’utilizzo di servizi cloud esterni esige che i diritti fondamentali delle persone interessate rimangano protetti in misura equivalente. Se questa protezione equivalente non può essere dimostrata, la comunicazione in questa forma non è ammissibile.

Le indicazioni sulla sede, l’elenco dei sub-incaricati e le regole di accesso devono quindi figurare nel contratto, non solo nei materiali di marketing. Se queste indicazioni cambiano, la verifica va ripetuta prima di trasmettere ulteriori dati.

Valutare la sovranità rispetto a funzionalità e oneri

Secondo l’analisi di Bär & Karrer non esistono soluzioni completamente prive di rischi. Ogni variante – un servizio cloud statunitense, un fornitore svizzero o europeo, una soluzione on-premises o open source – richiede valutazioni caso per caso tra funzionalità, sicurezza, sovranità e oneri operativi.

I compromessi sono diversi: gli hyperscaler USA offrono ampiezza funzionale e scalabilità, ma sono soggetti al CLOUD Act. I fornitori svizzeri o europei spostano il rischio giurisdizionale, ma non sono equivalenti per gamma di prestazioni e prezzo. Le soluzioni on-premises e open source restituiscono il controllo sui dati e sulle chiavi, ma richiedono personale operativo proprio nonché gestione di patch, backup e guasti.

I fornitori distinguono ormai tra luogo di archiviazione e sovranità operativa, che si misura in base alla sede del personale di assistenza. NorthC cita questo aspetto come caratteristica della sua «Swiss Sovereign Cloud».

In caso di esigenze di protezione elevate – ad esempio presso le autorità federali, cantonalie comunali – si aggiungono ulteriori prescrizioni: vanno rispettate la protezione dei dati, gli obblighi di segretezza come il segreto ufficiale e le norme sulla sicurezza delle informazioni, e va garantita la capacità di agire a lungo termine. In questo contesto, la sovranità digitale non significa autarchia né isolamento, bensì la capacità di dirigere e controllare in modo autonomo l’impiego di prestazioni digitali esterne.

Confronto dei fornitori di cloud per sede dei dati e sovranità giuridica

Ripetere la verifica e documentarla

Motivi per una nuova verifica sono il cambio di fornitore, nuovi sub-incaricati, indicazioni modificate sulla sede, servizi aggiuntivi richiesti nello stesso contratto nonché cambiamenti nella controparte contrattuale o nella struttura del gruppo. Poiché la comunicazione all’estero va verificata prima della trasmissione, la verifica è legata a questi eventi e non viene eseguita una tantum.

A fini probatori, per ogni verifica si annotano: data, controparte contrattuale e diritto applicabile, sedi per dati e backup, elenco dei sub-incaricati, regole di accesso, rapporti di audit utilizzati nonché risultati delle verifiche precedenti. La nLPD prescrive regole per trasparenza, sicurezza e responsabilità; la verifica documentata costituisce la base per adempiere a tale responsabilità e per dimostrare, in caso di richiesta da parte dell’autorità di vigilanza, quali indicazioni siano state verificate e quando.