Fornitore cloud in Svizzera: criteri di sicurezza e residenza dati

Perché la scelta del fornitore cloud è una decisione di sicurezza e sovranità

Per cloud computing s'intende la possibilità di acquisire secondo necessità applicazioni e software, capacità di memoria, strumenti di sviluppo, capacità di rete o potenza di calcolo tramite una rete, per esempio Internet, presso un fornitore di servizi cloud. Rientrano nella definizione strumenti Office 365 per i collaboratori, un sistema CRM online, strumenti per gestire indirizzi di posta per newsletter o consulenza alla clientela, piattaforme di streaming video o il semplice caricamento di dati su un server remoto accessibile via Internet. Se vengono trasmessi dati personali, si applica il diritto sulla protezione dei dati (edoeb.admin.ch, «Trattamento di dati nel cloud»).

L'autorità federale di vigilanza indica tre aspetti critici da esaminare nell'uso di un servizio cloud: ricorso a responsabili e sub-responsabili, sicurezza del trattamento dei dati e trasmissione di dati personali in Paesi terzi (edoeb.admin.ch).

A questi si aggiunge la sovranità digitale. La crescente dipendenza da fornitori globali di servizi cloud e requisiti regolatori sempre più severi spingono autorità, organizzazioni e aziende a chiedersi dove vengano archiviati i dati sensibili. Molte optano per un'ubicazione in Europa, ma la sola ubicazione non basta a garantire una conservazione sicura dei dati (swisspost-digital.ch).

La scelta del fornitore va quindi impostata su più livelli: dove risiedono i dati, quale giurisdizione si applica al fornitore, chi controlla tecnicamente le chiavi, quali ruoli e tracce sono disponibili e cosa prevede il contratto. Le sezioni seguenti trattano ciascun livello separatamente.

Titolare, responsabile e dati personali: chi risponde di cosa nel cloud

L'impresa fornitrice di servizi cloud agisce di regola quale responsabile – o sub-responsabile – del trattamento dei dati del cliente (utente cloud) ai sensi dell'articolo 9 LPD. Il cliente può essere a sua volta responsabile del trattamento oppure titolare del trattamento. Quale titolare, il cliente è egli stesso responsabile affinché i trattamenti svolti su mandato da fornitori di servizi cloud siano conformi alla protezione dei dati.

Deve inoltre garantire che i diritti delle persone interessate non risultino pregiudicati dalla delocalizzazione. Deve assicurarsi e garantire mediante contratto il rispetto dei requisiti relativi al trattamento dei dati da parte del responsabile ai sensi dell'articolo 9 LPD (edoeb.admin.ch).

Un fornitore cloud può trovarsi contemporaneamente in entrambi i ruoli. Un provider svizzero descrive così la propria doppia responsabilità: quando tratta dati personali relativi alla propria attività (fatturazione, assistenza clienti) è titolare del trattamento; quando archivia i dati che gli vengono affidati è responsabile del trattamento (Infomaniak). In fase di valutazione conviene quindi distinguere le due relazioni. I dati dell'utente forniti per la fatturazione seguono regole diverse dai dati dei clienti finali conservati nell'infrastruttura.

Residenza dei dati e giurisdizione: due criteri da non confondere

Il luogo di archiviazione e la giurisdizione cui è soggetto il fornitore non devono necessariamente coincidere. Anche se i dati vengono archiviati in Svizzera o in un altro Paese europeo, un fornitore attivo a livello internazionale può essere soggetto a un ordinamento diverso. Quell'ordinamento riconosce alle autorità il diritto di accedere ai dati o di richiederne la consegna (swisspost-digital.ch).

Nel dibattito sulla sovranità dei dati viene spesso citato il CLOUD Act statunitense. Esso consente alle autorità di perseguimento penale degli Stati Uniti di richiedere la trasmissione dei dati dei fornitori di servizi cloud e di comunicazione soggetti alla giurisdizione degli Stati Uniti. La richiesta avviene sulla base di disposizioni emesse da un tribunale. Questo vale anche quando i dati sono archiviati al di fuori del Paese (swisspost-digital.ch).

Un'azienda svizzera che utilizza un fornitore cloud con sede negli Stati Uniti rischia pertanto che i suoi dati sensibili possano essere consultati dalle autorità statunitensi senza preavviso né ricorso (umb.ch).

Al CLOUD Act si affianca il Foreign Intelligence Surveillance Act (FISA). Pur essendo rivolto principalmente alla raccolta di informazioni di intelligence estera, consente alle agenzie di intelligence statunitensi di accedere a dati relativi a cittadini stranieri per scopi di sicurezza nazionale. Non vi è obbligo di informare gli interessati né di offrire loro un ricorso legale. La Sezione 702 è stata ampiamente criticata per consentire programmi di sorveglianza di massa (deepcloud.swiss).

Negli Stati Uniti manca del resto una legge federale unica e completa sui dati personali. Esiste un mosaico di regolamentazioni settoriali: HIPAA per la salute, GLBA per la finanza e COPPA per la privacy dei minori. A questi si aggiungono i poteri di intervento della Federal Trade Commission (deepcloud.swiss).

Misure organizzative e contrattuali possono limitare questo rischio. Non possono però escludere un obbligo giuridico di consegna (swisspost-digital.ch).

Per contro la Svizzera ha codificato la protezione dei dati nella legislazione nazionale. La LPD è stata completamente revisionata nel 2023 per rispecchiare il Regolamento generale sulla protezione dei dati (GDPR) dell'Unione europea. La Svizzera applica regole severe sui trasferimenti transfrontalieri di dati (deepcloud.swiss).

Un'illustrazione pratica della differenza tra ubicazione e giurisdizione riguarda un fornitore svizzero di servizi di fatturazione. Esso archivia i dati in Svizzera presso due host: Tinext SA con sede a Morbio Inferiore e Google Cloud Platform, regione Zurigo (fatturadigitale.ch). La regione di archiviazione è quindi svizzera. La piattaforma sottostante è però riconducibile a un gruppo internazionale.

Trasferimenti all'estero e garanzie: quando un fornitore estero è compatibile

La trasmissione di dati personali in Paesi terzi è, secondo l'autorità federale di vigilanza, uno dei tre ambiti a cui prestare attenzione nell'utilizzo di servizi cloud. Gli altri due sono il ricorso a responsabili e sub-responsabili e la sicurezza del trattamento (edoeb.admin.ch). Se il fornitore è estero, la verifica del trasferimento è parte integrante della valutazione. Non è un allegato burocratico.

Per il contesto statunitense, i fornitori con certificazione DPF sono trattati diversamente dagli altri. Secondo l'analisi di un fornitore svizzero di servizi cloud, per le aziende svizzere il trasferimento di dati personali a fornitori statunitensi privi di certificazione DPF o di altre garanzie va considerato illegale (deepcloud.swiss).

Il Data Privacy Framework (DPF) è stato istituito nel 2023. L'obiettivo era affrontare alcune criticità sollevate nei confronti del suo predecessore, il Privacy Shield, invalidato dalla Corte di giustizia dell'Unione europea. Lo stesso DPF è però attualmente oggetto di scrutinio (deepcloud.swiss).

Nel gennaio 2025 il licenziamento di alcuni membri del Privacy and Civil Liberties Oversight Board ha indebolito meccanismi di controllo ritenuti cruciali per il quadro di protezione dei dati UE-USA. Restano dubbi sulla sua sostenibilità a lungo termine (umb.ch).

Sul piano documentale, l'allineamento tra LPD e GDPR permette di usare un unico impianto contrattuale per entrambi i regimi. Un accordo sul trattamento dei dati impostato sulla LPD aiuta le parti a rispettare il GDPR qualora i dati personali riguardino clienti dell'UE (pass-securium.ch).

Un fornitore svizzero può analogamente garantire la conformità alla legge federale per i dati dei clienti svizzeri e al GDPR per quelli dell'area UE (fatturadigitale.ch).

Il punto di attenzione resta il rischio residuo. Le garanzie contrattuali non neutralizzano un eventuale obbligo giuridico di consegna gravante su un fornitore soggetto a una giurisdizione straniera. La valutazione va quindi fatta combinando più elementi. Tra questi: Paese di archiviazione, sede e giurisdizione del fornitore, strumenti di trasferimento applicabili e possibilità tecnica concreta che il fornitore acceda ai dati in chiaro.

Cosa deve contenere il contratto con il fornitore cloud

Il titolare del trattamento deve assicurarsi e garantire mediante contratto il rispetto dei requisiti relativi al trattamento dei dati da parte del responsabile ai sensi dell'articolo 9 LPD (edoeb.admin.ch). Nel caso degli studi legali, il trattamento su mandato si basa su una convenzione, il contratto cloud, conclusa tra l'avvocata o lo studio e il fornitore di servizi (digital.sav-fsa.ch).

Un accordo sul trattamento dei dati ben strutturato contiene almeno l'oggetto e il rapporto con il contratto principale e le condizioni generali. Deve descrivere il trattamento con natura, scopo, durata e contenuto. Deve indicare le modalità di conferimento degli incarichi: gli incarichi verbali vanno confermati immediatamente per iscritto o registrati nel portale clienti.

Il fornitore si obbliga a organizzarsi internamente per rispettare la normativa e ad adottare misure tecniche e organizzative adeguate, descritte in un allegato dedicato. Deve inoltre supportare il responsabile del trattamento nell'adempimento dei propri obblighi ai sensi della LPD e del GDPR (pass-securium.ch). La gestione dei sub-responsabili è un elemento esplicito da disciplinare: l'autorità federale la indica tra gli aspetti centrali del cloud (edoeb.admin.ch).

Il ciclo di vita dei dati comprende raccolta, archiviazione (compresa la durata della conservazione), utilizzazione, trasferimento e cancellazione. Le clausole su restituzione e cancellazione vanno quindi lette alla luce di tutte queste fasi. Non vanno considerate solo alla fine del rapporto (Infomaniak).

Un aspetto spesso trascurato è la legge applicabile al contratto stesso e la lingua di riferimento. In un accordo esaminato, in caso di divergenze tra la versione tedesca e quella inglese fa sempre fede la versione tedesca. La lingua contrattuale è il tedesco (pass-securium.ch). Prima della firma conviene verificare quale versione linguistica prevale in caso di conflitto interpretativo e quale foro è competente.

Sicurezza tecnica e controllo delle chiavi: oltre la semplice ubicazione

Per raggiungere una reale sovranità dei dati non basta l'ubicazione. Occorre sapere se i contenuti sono leggibili dal punto di vista tecnico, chi controlla le chiavi e quali funzioni sono disponibili per gestire ruoli, autorizzazioni e tracciabilità (swisspost-digital.ch). Questi quattro elementi – leggibilità tecnica, controllo delle chiavi, gestione di ruoli e autorizzazioni, tracciabilità – vanno verificati singolarmente. Un fornitore può soddisfarne uno e fallire sugli altri.

La distinzione tra modelli di servizio è determinante anche sul piano giuridico. Nel modello IaaS i dati sono semplicemente salvati presso il fornitore. Se l'avvocata o l'avvocato li criptano prima di trasmetterli al provider, impedendo a quest'ultimo di accedere ai dati in chiaro, il provider non effettua alcun trattamento di dati personali. Le prescrizioni della LPD non si applicano a quel trattamento.

Diversa è la situazione con il modello SaaS, in cui l'utente procede al trattamento dei dati sull'infrastruttura del fornitore. In tal caso il provider può accedere direttamente ai dati. Poiché in un contesto SaaS non si può escludere che chi tratta i dati possa utilizzarli per identificare una persona specifica, l'utilizzo di tali servizi è qualificato come trattamento di dati soggetto alla LPD (digital.sav-fsa.ch).

Ne discende una conseguenza operativa. La domanda decisiva non è solo «dove sono i backup», ma «il fornitore può tecnicamente leggere i miei dati in chiaro». Se la risposta è sì, il fornitore è un responsabile del trattamento e vanno attivati tutti gli obblighi corrispondenti. Se la risposta è no, perché la cifratura avviene prima della trasmissione con chiavi detenute dal cliente, il perimetro del trattamento si riduce sensibilmente.

Sul versante della sicurezza contrattuale, il fornitore deve garantire un livello sufficiente di protezione dei dati trattati tenendo conto dello stato dell'arte, inclusa la riservatezza (pass-securium.ch). Le misure tecniche e organizzative concrete – cifratura, gestione delle chiavi, controllo degli accessi, registrazione delle attività, backup e ripristino – vanno richieste per iscritto e allegate al contratto. Così si possono verificare e aggiornare nel tempo.

Checklist pratica per valutare un fornitore cloud in Svizzera

Dove risiedono i dati e dove sono i backup. L'ubicazione è il primo criterio logico di valutazione. Nell'esempio di un'autorità cantonale con informazioni sensibili, i dati devono essere archiviati in Svizzera o in un altro Paese europeo, in base al fabbisogno di protezione e alle disposizioni vigenti per le autorità (swisspost-digital.ch). Da chiarire: sede dei data center primari e secondari, Paese di conservazione dei backup e dei log.

Quale giurisdizione si applica al fornitore e al suo gruppo. Poiché ubicazione e giurisdizione possono divergere, va chiesto se il fornitore o la sua capogruppo siano soggetti a ordinamenti che riconoscono alle autorità il diritto di accedere ai dati o di richiederne la consegna (swisspost-digital.ch). Va verificato in particolare se ricadano nel campo di applicazione del CLOUD Act (swisspost-digital.ch; umb.ch). Se il fornitore è statunitense, va verificata l'eventuale certificazione DPF o altra garanzia (deepcloud.swiss).

Chi sono i sub-responsabili. L'autorità federale indica il ricorso a responsabili e sub-responsabili come uno degli aspetti centrali del trattamento in cloud (edoeb.admin.ch). Vanno richiesti elenco, ubicazione, giurisdizione e ruolo di ciascun sub-fornitore, insieme alla procedura di notifica in caso di cambiamenti.

Quali misure tecniche e organizzative sono adottate. Chiedere l'allegato sulle misure tecniche e organizzative e verificare il livello di sicurezza garantito, tenendo conto dello stato dell'arte e della riservatezza (pass-securium.ch). Domande utili: chi detiene le chiavi di cifratura, i dati sono leggibili dal fornitore in chiaro, come sono gestiti ruoli, autorizzazioni e tracciabilità (swisspost-digital.ch).

Il modello di servizio e l'accesso in chiaro. Stabilire se si tratta di IaaS, in cui i dati sono semplicemente salvati e possono essere criptati dal cliente prima della trasmissione. Oppure di SaaS, in cui il fornitore può accedere direttamente ai dati e il trattamento è quindi soggetto alla LPD (digital.sav-fsa.ch).

Come il fornitore gestisce le richieste delle autorità estere. Misure organizzative e contrattuali possono limitare ma non escludere un obbligo giuridico di consegna (swisspost-digital.ch). Va chiesto quali procedure interne esistano e quale impegno di notifica al cliente il fornitore sia disposto a sottoscrivere.

Portabilità e cancellazione. Il ciclo di vita dei dati comprende anche trasferimento e cancellazione (Infomaniak). Vanno definite modalità, formati e tempi per esportare i dati in caso di cambio di fornitore e per la cancellazione o restituzione alla fine del rapporto.

Ruoli e responsabilità. Verificare per iscritto chi è titolare e chi è responsabile del trattamento per ciascun insieme di dati. Il fornitore è di regola responsabile o sub-responsabile per i dati affidati. Può però essere titolare per i trattamenti legati alla propria attività, come fatturazione e assistenza clienti (edoeb.admin.ch; Infomaniak).

Conclusione: sovranità dei dati come combinazione di ubicazione, diritto e controllo tecnico

La residenza dei dati in Svizzera o in Europa è una base importante. Trasmette un senso di sicurezza e contribuisce a soddisfare requisiti regolatori e direttive interne. Non è però sufficiente a garantire una conservazione sicura: la sola ubicazione non garantisce di per sé il controllo (swisspost-digital.ch).

Una valutazione solida combina almeno sei verifiche. Prima: ubicazione di dati e backup. Seconda: giurisdizione del fornitore e del suo gruppo, inclusi CLOUD Act e FISA per i soggetti statunitensi. Terza: strumenti di trasferimento e certificazioni applicabili.

Quarta: controllo tecnico delle chiavi e leggibilità dei contenuti. Quinta: ruoli, autorizzazioni e tracciabilità. Sesta: clausole contrattuali su sub-responsabili, misure tecniche e organizzative, supporto al titolare, portabilità, cancellazione, lingua e foro.

Il quadro normativo di riferimento resta la LPD, revisionata nel 2023 in allineamento al GDPR (deepcloud.swiss). L'articolo 9 disciplina i ruoli di responsabile e sub-responsabile. L'articolo 10a fissa i limiti al trattamento su mandato, compreso il divieto quando il trattamento comporta l'inosservanza di obblighi di segretezza legali o contrattuali (edoeb.admin.ch; digital.sav-fsa.ch).

Indicatori chiave per la sicurezza del cloud in Svizzera