Comunicazione dei dati ad autorità estere

Può succedere che autorità estere si rivolgano a imprese con sede in Svizzera per ottenere dati personali. In questo caso è importante distinguere se per ottenere queste informazioni lo Stato estero si rivolge direttamente all’impresa o se lo fa tramite una procedura di assistenza giudiziaria.

È possibile comunicare delle informazioni ad autorità estere nell’ambito di una procedura di assistenza giudiziaria?

No. In linea di principio in Svizzera solo le autorità svizzere possono agire sovranamente. L'intervento sovrano di un'autorità estera verrebbe visto come un'intromissione nelle questioni interne e non è conciliabile con la sovranità della Svizzera. Per questo motivo le autorità estere non possono, per esempio, richiedere atti all'interno della Svizzera. Per poter indagare in Svizzera, un'autorità estera deve rivolgersi alle autorità giudiziarie svizzere, le quali indagheranno per suo conto. Ai fini di un determinato processo penale, la Svizzera presta assistenza giudiziaria compiendo, sul suo territorio, gli atti d'ufficio richiesti e comunicando il risultato al Paese richiedente.

In questo caso l'impresa non verrà quindi direttamente in contatto con l'autorità estera, bensì solo indirettamente attraverso l'autorità svizzera che effettua gli atti d'ufficio per conto del Paese estero, nell'ambito dell'assistenza giudiziaria e che comunicherà autonomamente le informazioni e le prove all'autorità in questione. Trattandosi di una procedura di assistenza giudiziaria, conformemente all'art. 2 cpv. 2 lett. c LPD, non è possibile applicare la legge federale sulla protezione dei dati e, in linea di principio, bisogna dare seguito alle richieste delle autorità svizzere.

È possibile comunicare informazioni ad autorità estere al di fuori di una procedura di assistenza giudiziaria?

Se un'autorità estera si rivolge direttamente ad un'impresa svizzera, questo accade al di fuori di un procedimento pendente. Per questo motivo la LPD è applicabile e l'autorità estera è classificata come "terzo". Di conseguenza, l'impresa svizzera può comunicare dati personali ad un'autorità estera soltanto se non viola alcuna disposizione in materia di protezione dei dati. Indipendentemente dai mezzi e dalle procedure impiegate, qualsiasi operazione relativa a dati personali deve rispettare i principi del trattamento dei dati personali, specialmente durante la raccolta, la conservazione, l'utilizzazione, la modificazione, la comunicazione, l'archiviazione o la distruzione dei dati (definizione legale del trattamento di dati secondo l'art. 3 lett. e LPD).

Questo significa che, prima di trasferire dati personali ad autorità estere, l'impresa svizzera deve verificare se sono rispettate le condizioni della LPD e se, ai sensi del diritto svizzero, il trasferimento di dati non viola illecitamente la personalità della persona interessata. In caso contrario il trasferimento di dati ad un'autorità estera non è permesso e l'impresa e/o il suo mandante potrebbero risponderne civilmente o, in certi casi, anche penalmente. Per giudicare se ai sensi della LPD il trasferimento di dati all'estero è ammesso, bisogna esaminare l'intera fattispecie.

Di che cosa deve tenere conto il partner di outsourcing, se il mandante lo incarica di comunicare dati personali ad autorità estere?

Poiché per l'impresa mandataria è spesso difficile valutare se un trasferimento di dati all'estero è permesso dalla legge sulla protezione dei dati, essa dovrebbe richiedere al mandante la conferma che tutte le condizioni relative alla protezione dei dati sono soddisfatte. Nel caso sussistano ancora dubbi sull'ammissibilità di un trasferimento è possibile rifiutare la collaborazione.

https://www.edoeb.admin.ch/content/edoeb/it/home/protezione-dei-dati/handel-und-wirtschaft/faq/comunicazione-dei-dati-ad-autorita-estere.html