Questo articolo è una checklist tecnica, non una consulenza legale. Le decisioni su basi giuridiche e contratti spettano al vostro legale e al responsabile della protezione dei dati.

Quale legge si applica?

  • La nLPD si applica al trattamento di dati personali di persone fisiche con effetti in Svizzera. Non riguarda più i dati delle persone giuridiche.
  • Il GDPR si applica alle aziende stabilite nell'UE e anche a quelle fuori dall'UE, comprese le svizzere, che offrono beni o servizi a persone nell'UE o ne monitorano il comportamento. In alcuni di questi casi va nominato un rappresentante nell'UE.

Un'azienda ticinese con clienti in Lombardia è il caso tipico in cui valgono entrambe. L'approccio pragmatico è progettare sul requisito più stringente, dove le due norme differiscono.

I principi che danno forma all'architettura

Sapere cosa si tratta: la mappa dei dati

Non si può proteggere ciò che non si è mappato. Per ogni sistema coinvolto nel progetto annotate quali categorie di dati personali contiene, per quale scopo, dove sono conservate, chi vi accede e per quanto tempo restano. La nLPD richiede un registro delle attività di trattamento, con un'esenzione per le aziende sotto i 250 dipendenti salvo che il trattamento comporti un rischio elevato; con il GDPR il registro è la regola. In ogni caso, la mappa è la base di tutte le altre decisioni.

Protezione dei dati fin dalla progettazione e per impostazione predefinita

Entrambe le leggi chiedono che la protezione dei dati sia parte del sistema, non un'aggiunta successiva. In termini di ingegneria significa:

  • raccogliere solo i campi che servono allo scopo;
  • limitare gli accessi per ruolo e registrarli;
  • pseudonimizzare o anonimizzare i dati usati per analisi e test;
  • definire tempi di conservazione e cancellare davvero i dati alla scadenza;
  • rendere predefinita l'impostazione più protettiva.

Responsabili del trattamento e catena di fornitura

Provider cloud, strumenti SaaS e servizi AI agiscono di solito come responsabili del trattamento per vostro conto. Entrambe le leggi richiedono un accordo scritto che li vincoli alle vostre istruzioni e a misure di sicurezza adeguate: il contratto di trattamento dei dati (DPA). Controllate l'intera catena: uno strumento SaaS può appoggiarsi a sua volta a sub-responsabili in altri Paesi, e gli stessi obblighi devono arrivare fino all'ultimo anello.

Trasferimenti all'estero

I trasferimenti all'estero sono ammessi verso i Paesi che il Consiglio federale (per la nLPD) o la Commissione europea (per il GDPR) riconoscono come adeguati. Altrove servono garanzie aggiuntive, di solito clausole contrattuali standard e una valutazione dei rischi nel Paese di destinazione. Per gli Stati Uniti, i trasferimenti verso aziende certificate nei Data Privacy Framework Svizzera-USA e UE-USA sono possibili su questa base.

La domanda da fare al fornitore è concreta: in quali Paesi i nostri dati vengono conservati, trattati e resi accessibili, anche per assistenza e amministrazione? È qui che un'impostazione di cloud sovrano con residenza dei dati esplicita semplifica l'analisi.

Sicurezza, violazioni e valutazioni d'impatto

  • Le misure di sicurezza devono essere adeguate al rischio: cifratura, autenticazione forte, segmentazione di rete, backup, aggiornamenti.
  • Le violazioni dei dati che possono comportare un rischio elevato vanno notificate all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) il prima possibile secondo la nLPD; il GDPR prevede 72 ore per la notifica all'autorità di controllo competente. Una procedura di gestione degli incidenti già provata è ciò che rende questi tempi rispettabili.
  • La valutazione d'impatto sulla protezione dei dati è necessaria quando un trattamento può comportare un rischio elevato: dati sensibili su larga scala, monitoraggio sistematico, alcuni usi dell'AI.

Le domande specifiche dei progetti AI

L'AI aggiunge alcune domande proprie:

  • Dove vengono trattati prompt e documenti? I servizi AI pubblici possono trattarli all'estero e, a seconda delle condizioni, conservarli. Fa fede il contratto, non la pagina di marketing.
  • I vostri dati vengono usati per addestrare i modelli del fornitore? Non dovrebbero, a meno che non lo abbiate deciso voi.
  • Le persone possono ottenere una spiegazione? La nLPD dà agli interessati diritti specifici sulle decisioni individuali automatizzate con effetti significativi. Mantenere una persona al controllo delle decisioni critiche è buona pratica e buona compliance.
  • E l'AI Act europeo? È entrato in vigore nel 2024 e si applica per fasi, con obblighi che dipendono dalla categoria di rischio del sistema. Può riguardare anche le aziende svizzere che immettono sistemi AI sul mercato UE o i cui risultati sono usati nell'UE.

Quando le risposte alle prime due domande non convincono, eseguire i modelli sulla propria infrastruttura elimina il problema alla radice.

Checklist per il prossimo progetto

  1. Mappare i dati personali che il progetto tocca.
  2. Decidere e documentare dove risiedono i dati e chi detiene le chiavi di cifratura.
  3. Elencare tutti i fornitori e i sub-responsabili; firmare DPA che portino gli stessi obblighi lungo la catena.
  4. Valutare i trasferimenti all'estero e documentare le garanzie.
  5. Applicare la protezione fin dalla progettazione: minimizzazione, accessi per ruolo, registrazione, conservazione.
  6. Svolgere una valutazione d'impatto quando il rischio è elevato.
  7. Scrivere e provare una procedura per gli incidenti, tenendo conto dei tempi di notifica.
  8. Tenere aggiornata la documentazione: è ciò che chiederanno un audit o il questionario di sicurezza di un cliente.

Il nostro servizio di cloud sovrano e cybersecurity produce proprio questa documentazione insieme al lavoro tecnico, così che la compliance sia una conseguenza dell'architettura e non un esercizio separato.