Trasferimento dati Svizzera-USA: serve ancora la valutazione?

Il nuovo nDSG e i trasferimenti verso gli USA

Dal 1° settembre 2023, la Svizzera ha il suo nuovo Data Protection Act (nDSG). Una delle domande più frequenti: i trasferimenti di dati personali verso gli USA richiedono ancora una valutazione d'impatto? La risposta breve: sì, ma con alcune novità.

Il nDSG richiede che i trasferimenti verso paesi senza una protezione adeguata siano coperti da garanzie appropriate. Gli USA non sono più considerati un paese sicuro dopo la sentenza Schrems II, ma il nuovo Data Privacy Framework (DPF) potrebbe cambiare le carte in tavola.

Cosa dice la legge svizzera

L'articolo 16 del nDSG stabilisce che i dati possono essere trasferiti all'estero solo se il Consiglio federale ha stabilito che il paese destinatario garantisce una protezione adeguata. In assenza, servono garanzie come le clausole contrattuali standard (SCC) o norme vincolanti d'impresa (BCR).

Il DPF USA-UE è stato riconosciuto come adeguato dalla Commissione europea, ma la Svizzera non ha ancora preso una decisione formale. Fino ad allora, le aziende svizzere devono continuare a valutare i rischi.

Serve ancora una valutazione d'impatto?

La valutazione d'impatto sulla protezione dei dati (DPIA) è obbligatoria per i trattamenti che presentano un rischio elevato per i diritti e le libertà delle persone. I trasferimenti verso gli USA, anche con SCC, possono richiedere una DPIA se il trattamento comporta rischi specifici.

In pratica, se trasferisci dati sensibili o su larga scala, la DPIA è consigliata. Ma attenzione: il nDSF non richiede una DPIA per ogni trasferimento, solo per quelli ad alto rischio.

Come muoversi concretamente

Prima di tutto, verifica se il tuo trasferimento rientra nel DPF. Se il destinatario è certificato DPF, puoi considerare il trasferimento sicuro. Altrimenti, usa le SCC e fai una valutazione caso per caso.

Non dimenticare di aggiornare la tua informativa privacy e di documentare le tue decisioni. Il principio di responsabilità (accountability) è centrale nel nDSG.

FAQ