La maggior parte delle PMI svizzere non è in grado di rispondere a una domanda in apparenza semplice: dove si trovano i propri dati, presso quali responsabili del trattamento per conto terzi, sotto quale diritto? CRM, posta elettronica, contabilità, backup – ogni strumento è un responsabile del trattamento per conto terzi, e ognuno di essi ha a sua volta i propri. È esattamente ciò che la LPD si aspetta da voi: sapere. Il registro delle attività di trattamento, la disciplina del trattamento per conto terzi e il controllo dei trasferimenti all'estero poggiano tutti su questa conoscenza. Un primo inventario serio richiede una mattinata.
Perché quasi nessuna PMI ha mai fatto questo inventario
Gli strumenti si accumulano una decisione alla volta. Un servizio di posta elettronica alla costituzione dell'azienda, un software di contabilità consigliato dalla fiduciaria, un CRM adottato con il primo commerciale, una piattaforma HR per i cedolini, backup automatici attivati una sera di prudenza. Ogni scelta, presa isolatamente, era ragionevole. Dieci anni dopo, nessuno detiene più la visione d'insieme – perché tenerla non è mai stato compito di nessuno.
Il punto di partenza più affidabile non è né la memoria dell'imprenditore né il fornitore informatico: sono i pagamenti. Ogni abbonamento lascia una traccia in contabilità o sulla carta aziendale, e l'elenco che ne risulta è quasi sempre più lungo di quello che si sarebbe scritto a memoria. Nel 2026 la vostra PMI usa il cloud – questo è ormai un dato acquisito. Resta da sapere presso chi, dove e sotto quale diritto. È diventata la mia prima domanda di inquadramento: prima di ogni progetto di automazione o IA, il flusso dei dati precede la scelta dello strumento.
Che cosa comprendono, concretamente, "i dati della vostra PMI"?
Quattro categorie coprono l'essenziale. I dati dei clienti: recapiti, storico, corrispondenza, talvolta elementi finanziari. I dati dei collaboratori: stipendi, certificati medici, valutazioni – la LPD classifica una parte di essi tra i dati personali degni di particolare protezione, che richiedono una tutela rafforzata. I dati finanziari e fiscali dell'azienda stessa. E i documenti contrattuali, che riguardano meno la protezione dei dati e più il segreto d'affari, ma che nessun imprenditore desidera veder circolare.
La distinzione è importante: la LPD protegge i dati personali, cioè quelli che riguardano persone fisiche identificabili. I vostri segreti commerciali non ne sono l'oggetto. Eppure condividono gli stessi dischi, presso gli stessi responsabili del trattamento – l'inventario serve entrambe le esigenze con un solo gesto.
Che cosa si aspetta da voi la LPD, detto semplicemente
La legge federale sulla protezione dei dati – la versione rivista, entrata in vigore il 1° settembre 2023, che molti chiamano ancora nLPD – si basa su una logica che riassumo così: rimanete responsabili dei dati che trattate, anche quando li affidate a terzi[1].
Tre meccanismi toccano direttamente la questione della localizzazione. Anzitutto il registro delle attività di trattamento. È la mappa documentale dei vostri dati: quali categorie, per quali finalità, presso quali responsabili del trattamento, in quali paesi, con quali misure di protezione. La legge prevede un'esenzione per le imprese con meno di 250 collaboratori i cui trattamenti presentano un rischio limitato – molte PMI vi rientrano. L'esercizio resta comunque la via più rapida per riprendere il controllo, esenzione o meno.
Poi il trattamento per conto terzi. Affidare dati a un fornitore è lecito, a condizione che un contratto lo disciplini, che il fornitore offra garanzie di sicurezza sufficienti e che non deleghi a sua volta senza la vostra autorizzazione. Quest'ultimo punto è il più trascurato: il vostro strumento di fatturazione ha un hosting provider, che a sua volta ha i propri fornitori. La catena esiste, che la conosciate o meno.
Infine i trasferimenti all'estero. Comunicare dati personali fuori dalla Svizzera presuppone che lo Stato di destinazione garantisca una protezione adeguata – il Consiglio federale ne tiene l'elenco – oppure che garanzie, il più delle volte contrattuali, compensino la differenza. È impossibile applicare questa regola senza sapere in quali paesi i vostri strumenti ospitano i dati: tutto riporta all'inventario. Per i casi particolari fa fede il testo di legge; qui descrivo la meccanica, non la vostra situazione specifica.
E se il fornitore è americano? La questione extraterritoriale, senza drammi
Una parte dei vostri responsabili del trattamento opera sotto un diritto straniero, e il caso più discusso è quello americano. Una legge federale del 2018, il CLOUD Act, permette alle autorità statunitensi di richiedere dati ai fornitori soggetti alla loro giurisdizione – indipendentemente dal paese in cui si trovano i server. La sua portata esatta rispetto al diritto svizzero è oggetto di dibattito tra i giuristi, e mi guardo bene dal decidere ciò che i tribunali non hanno ancora finito di chiarire.
Ciò che ne traggo per una PMI si riassume in una parola: classificare. Non si tratta di evitare ogni fornitore americano – probabilmente ne usate già di eccellenti –, ma di individuare i dati che sopporterebbero male un accesso da parte di un'autorità straniera: stipendi, dati sanitari, alcuni fascicoli clienti, un contenzioso in corso. Per questa categoria, il luogo di hosting e il diritto applicabile al fornitore tornano a essere criteri di primo piano. Ho approfondito che cosa cambia davvero la localizzazione – e che cosa non risolve – in Ospitare in Svizzera: che cosa cambia davvero.
Da dove cominciare, in una mattinata?
L'esercizio non richiede alcun software. Prendete gli estratti dei pagamenti degli ultimi dodici mesi, evidenziate ogni abbonamento software o servizio online, quindi rispondete a quattro domande per ogni strumento:
- Quali dati vi risiedono – clienti, collaboratori, finanze, contratti?
- Dove sono ospitati, e sotto quale diritto opera il fornitore? La risposta si trova generalmente nelle condizioni generali o nell'informativa sulla privacy.
- Chi vi ha accesso in azienda, e le uscite di collaboratori sono state seguite dalla revoca degli account?
- Come ne uscireste – esiste un'esportazione completa, e in quale formato?
Il risultato sta in un foglio di calcolo di una pagina. È l'embrione di un registro delle attività di trattamento, e soprattutto uno strumento decisionale: che cosa resta dove si trova, che cosa merita di essere spostato, che cosa richiede un contratto corretto. L'ultima colonna – l'uscita – prepara un tema che ho trattato separatamente in Come migrare i dati fuori da un SaaS senza rompere nulla; la questione di fondo, quella della proprietà, viene affrontata in A chi appartengono il vostro strumento, il vostro codice, i vostri dati?.
È anche da questo lavoro che comincio ogni inquadramento di una soluzione su misura: collegare un'automazione a flussi che nessuno mappa significa costruire su un terreno di cui si ignora il proprietario. E per collocare l'inventario tra gli altri cantieri digitali di una PMI, il quadro d'insieme è tracciato in Che cosa deve fare una PMI svizzera di fronte all'IA nel 2026?.
Da ricordare
— Ogni strumento online è un responsabile del trattamento per conto terzi, e voi restate responsabili dei dati personali che gli affidate. — Registro delle attività di trattamento, contratti di trattamento per conto terzi, trasferimenti all'estero: i tre meccanismi della LPD presuppongono di sapere dove si trovano i vostri dati. — Una mattinata e un foglio di calcolo bastano per il primo inventario: estratti dei pagamenti alla mano, quattro domande per ogni strumento.
FAQ
La mia PMI di dieci persone deve tenere un registro delle attività di trattamento? La LPD prevede che le imprese con meno di 250 collaboratori possano essere esentate dal registro quando i loro trattamenti presentano un rischio limitato, e molte PMI rientrano in questo quadro. L'esenzione decade in particolare quando dati personali degni di particolare protezione sono trattati su larga scala. Il mio consiglio pratico: fate comunque l'inventario – costa una mattinata e serve ben oltre la conformità. Per la qualificazione precisa della vostra situazione, fa fede il testo di legge.
Un hosting provider svizzero mi mette automaticamente in regola? No. L'hosting in Svizzera semplifica la questione dei trasferimenti all'estero per questo specifico livello, ma la conformità dipende anzitutto dai vostri processi: informazione degli interessati, proporzionalità della raccolta, contratti di trattamento per conto terzi, gestione degli accessi. Un ottimo hosting provider non rimedia a una password condivisa da anni.
Che cos'è un trasferimento all'estero ai sensi della LPD? Qualsiasi comunicazione di dati personali fuori dalla Svizzera – compreso il semplice hosting su server situati all'estero. Il trasferimento è ammesso verso gli Stati il cui livello di protezione è riconosciuto dal Consiglio federale; verso gli altri, sono richieste garanzie supplementari, il più delle volte contrattuali. In caso di dubbio su un paese o uno strumento, fate riferimento al testo di legge e all'elenco ufficiale.
Che cosa rischia concretamente una PMI che non fa nulla? La LPD prevede multe fino a 250'000 CHF per determinate violazioni intenzionali, dirette contro le persone fisiche responsabili piuttosto che contro l'azienda. Il rischio più probabile resta tuttavia operativo: non essere in grado di rispondere a una richiesta di accesso, di documentare un trattamento per conto terzi, o di uscire correttamente da uno strumento nel momento in cui serve.
Oggi non sapreste dire dove dormono i vostri dati? La Diagnosi d'Uso IA: sessanta minuti per mettere a fuoco i vostri flussi reali, individuare ciò che merita una soluzione su misura, ciò che resta in SaaS e ciò che non ha affatto bisogno di IA. Prenotare una diagnosi
Fonti
[1] Legge federale sulla protezione dei dati (LPD), revisione del 25 settembre 2020, entrata in vigore il 1° settembre 2023. www.fedlex.admin.ch/eli/cc/2022/491/fr [↩]
Jérôme Deshaie è CEO e fondatore di MCVA Consulting SA, agenzia aumentata con sede in Vallese. Quindici anni al servizio di grandi marchi internazionali, oggi in prima linea per le PMI svizzere. Percorso.