Trasferimento dati Svizzera-USA: serve ancora la valutazione?

Il nuovo nDSG e i trasferimenti verso gli USA

Dal 1° settembre 2023, la Svizzera ha il suo nuovo nDSG. E una delle domande più scottanti è: i trasferimenti di dati verso gli USA sono ancora sicuri? La risposta breve: non proprio. Il vecchio Privacy Shield è stato invalidato dalla Corte di Giustizia UE (CJEU) nel caso Schrems II, e la Svizzera segue la stessa linea.

Il nuovo nDSG richiede una valutazione caso per caso. Non basta più appoggiarsi a una decisione di adeguatezza. Devi verificare se il destinatario USA offre garanzie equivalenti. E no, le clausole contrattuali standard (SCC) da sole non bastano.

Featured Snippet Bait

Il trasferimento di dati dalla Svizzera agli USA richiede ancora una valutazione approfondita dopo il nuovo nDSG? Sì, perché il Privacy Shield non è più valido e le aziende devono implementare misure supplementari per garantire un livello di protezione adeguato.

Perché la valutazione è ancora necessaria

Immagina di spedire un pacco prezioso in un paese con leggi diverse. Non ti fideresti solo di una firma sul modulo. Lo stesso vale per i dati personali. Il nuovo nDSG richiede che tu valuti le leggi locali del destinatario (es. FISA 702 negli USA) e se queste possono vanificare le tue garanzie contrattuali.

Le aziende svizzere devono ora fare un'analisi dei rischi per ogni trasferimento. Se il rischio è alto, servono misure aggiuntive come la crittografia end-to-end o la pseudonimizzazione. Altrimenti, meglio non trasferire.

Cosa dice la legge

L'nDSG svizzero all'articolo 16 stabilisce che i trasferimenti verso paesi senza adeguatezza sono permessi solo con garanzie appropriate. E l'Incaricato federale della protezione dei dati (IFPDT) ha chiarito che gli USA non offrono un livello adeguato. Quindi, serve una valutazione.

Non è una novità: già con il vecchio nDSG c'erano obblighi simili, ma ora le sanzioni sono più severe. Multe fino a 250.000 franchi per le violazioni. Meglio non scherzare.

Come fare la valutazione

Ecco una checklist pratica:

• Identifica tutti i trasferimenti di dati verso gli USA.
• Verifica se il destinatario è certificato sotto il nuovo Data Privacy Framework (DPF) – ma attenzione: la Svizzera non lo ha ancora riconosciuto.
• Se non c'è DPF, usa le SCC aggiornate e fai un Transfer Impact Assessment (TIA).
• Implementa misure supplementari: crittografia, anonimizzazione, accesso limitato.

Se tutto questo ti sembra noioso quanto leggere i Termini e Condizioni con uno spazzolino da denti, beh, hai ragione. Ma è necessario per evitare multe.

FAQ