Trasferire dati personali all'estero: verifica per Paese, nLPD e GDPR

Che cosa dice la legge

I dati personali possono andare all'estero se il Consiglio federale ha riconosciuto che lo Stato garantisce una protezione adeguata (art. 16 cpv. 1 LPD, allegato 1 OPDa); per il GDPR decide la Commissione europea (art. 45 GDPR). Verso gli altri Stati servono garanzie appropriate, come le clausole contrattuali tipo riconosciute dall'IFPDT (art. 16 cpv. 2 LPD, art. 46 GDPR).

In ogni caso gli Stati di destinazione vanno indicati nell'informativa (art. 19 cpv. 4 LPD) e, se lo tenete, nel registro; e un fornitore può trattare dati per voi solo se lo incaricate per contratto (art. 9 LPD).

Le eccezioni per il caso singolo

• il consenso esplicito della persona;
• un trattamento in relazione diretta con un contratto con la persona;
• l'accertamento o la difesa di un diritto in giudizio;
• altri casi elencati all'art. 17 LPD e all'art. 49 GDPR, che non bastano per un fornitore usato ogni giorno.

Domande collegate

• Posso usare fornitori con server negli Stati Uniti o nell'UE?
• Che cosa sono le clausole contrattuali tipo e quando servono?
• Si possono usare Microsoft 365 o Google Workspace con la nuova LPD?
• Si possono inserire dati personali in ChatGPT o in altri strumenti di IA?

Modelli utili

• Modello di valutazione di un trasferimento di dati all'estero (TIA)
• Modello di contratto con il responsabile del trattamento (art. 9 LPD, art. 28 GDPR)