Sì, ma due condizioni devono essere vere insieme, e la prima non parla di Stati Uniti.
La prima è l'articolo 9 capoverso 1 lettera b LPD: un trattamento si può affidare a un terzo solo se «nessun obbligo legale o contrattuale di serbare il segreto lo vieta». Questa domanda viene prima di qualunque considerazione sul Paese, e per molti mandati fiduciari la risposta sta scritta nel mandato stesso.
La seconda è l'articolo 16 LPD: dati personali si possono comunicare all'estero se il Consiglio federale ha constatato una protezione adeguata. Per gli Stati Uniti l'ha constatata — ma soltanto verso le imprese certificate nel quadro per la protezione dei dati fra Svizzera e Stati Uniti, dal 15 settembre 2024. Se il fornitore non è fra i certificati, quella base non c'è e serve una delle garanzie dell'art. 16 cpv. 2 o un'eccezione dell'art. 17.
La domanda che viene prima del Paese
Il riflesso è chiedersi dove stanno i server. L'ordine della legge svizzera è un altro. L'art. 9 cpv. 1 LPD (RS 235.1) dice, alla lettera:
«Il trattamento di dati personali può essere affidato a un responsabile del trattamento per contratto o per legge se: a. questi effettua soltanto i trattamenti che il titolare del trattamento avrebbe il diritto di effettuare; e b. nessun obbligo legale o contrattuale di serbare il segreto lo vieta.»
Due parole fanno il lavoro: legale o contrattuale. L'articolo non distingue. Un obbligo di riservatezza che nasce da una clausola del mandato ha, in questo passaggio, lo stesso peso di uno che nasce da una legge.
Se chi carica è un avvocato, un notaio o un revisore tenuto al segreto dal Codice delle obbligazioni, l'obbligo legale esiste e ha un nome: art. 321 del Codice penale (RS 311.0), che punisce — a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria — chi rivela segreti confidati «in virtù della loro professione o di cui hanno avuto notizia nell'esercizio della medesima». L'elenco dell'art. 321 n. 1 è chiuso e nominativo: ecclesiastici, avvocati, difensori, notai, consulenti in brevetti, revisori tenuti al segreto professionale in virtù del Codice delle obbligazioni, e le professioni sanitarie.
Se chi carica è una fiduciaria nel senso corrente — contabilità, dichiarazioni, consulenza fiscale, amministrazione — va detta una cosa che molti materiali commerciali evitano: l'art. 321 CP non la nomina. Chi le racconta che «il segreto professionale la obbliga all'on-premise» le attribuisce una norma penale che non le si applica.
Non è una scappatoia: è uno spostamento, e va verso di lei. Fuori dall'elenco penale, la fiduciaria resta titolare del trattamento ai sensi della LPD — chi «determina lo scopo e i mezzi del trattamento» (art. 5 lett. j) — e l'art. 9 cpv. 2 le chiede di «assicurare che il responsabile del trattamento sia in grado di garantire la sicurezza dei dati». Resta il suo mandato: se c'è una clausola di riservatezza, l'obbligo è contrattuale e l'art. 9 non gli fa sconti. E resta l'art. 162 CP, che punisce chi «rivela un segreto di fabbrica o commerciale, che aveva per legge o per contratto l'obbligo di custodire» — e i conti di un'impresa sono il luogo dove i segreti commerciali stanno.
Dove si legge la risposta, quindi. In due contratti: quello firmato con il cliente e quello firmato con il fornitore del servizio. La domanda da portare al prossimo incontro è una sola: la clausola di riservatezza di questo mandato permette di affidare il trattamento a un terzo? Se la risposta è no, o non c'è una risposta scritta, la questione degli Stati Uniti non si pone ancora.
Il Paese: l'art. 16, e perché gli Stati Uniti ci sono solo a metà
Superato il primo passaggio, viene il secondo. L'art. 16 cpv. 1 LPD:
«Dati personali possono essere comunicati all'estero soltanto se il Consiglio federale ha constatato che la legislazione dello Stato destinatario o l'organismo internazionale garantisce una protezione adeguata dei dati.»
Per gli Stati Uniti quella constatazione c'è, ed è qui che cambia la risposta. L'Incaricato federale della protezione dei dati e della trasparenza l'ha annunciata il 15 agosto 2024:
«From 15 September 2024, this will ensure adequate data protection in the exchange of personal data between Switzerland and certified US companies.»
— IFPDT, 15.08.2024 (il comunicato non ha una versione italiana)
Certificate. Non «statunitensi»: certificate nel quadro per la protezione dei dati fra Svizzera e Stati Uniti. La protezione adeguata non è una proprietà del Paese, è una proprietà dell'impresa che vi si è iscritta. La verifica è corta — l'elenco delle imprese certificate è pubblico, si cerca il nome del fornitore — con due avvertenze:
- la certificazione è per entità giuridica, e il nome sul contratto non sempre è quello che si cerca nell'elenco;
- la certificazione si può ritirare o far scadere: è uno stato, non un attestato.
Se il fornitore non è certificato, restano le garanzie dell'art. 16 cpv. 2: un trattato internazionale; clausole contrattuali di protezione dei dati previamente comunicate all'IFPDT; garanzie specifiche; clausole tipo previamente approvate, stabilite o riconosciute dall'IFPDT; norme interne d'impresa vincolanti previamente approvate. La parola che torna è previamente: sono strade da percorrere prima di caricare, non dopo.
Le eccezioni dell'art. 17, e perché il consenso è più stretto di quanto sembri
L'art. 17 cpv. 1 LPD elenca i casi in cui si può comunicare all'estero in deroga all'art. 16. Il primo è quello a cui si pensa subito: «a. la persona interessata ha dato il suo espresso consenso alla comunicazione». In uno studio, tre cose lo restringono.
Di chi è il consenso. In un bilancio non ci sono soltanto i dati del cliente: ci sono i suoi dipendenti, i fornitori, i debitori. Il consenso di chi firma il mandato è quello di una persona interessata, non di tutte.
«Espresso». Una riga in fondo alle condizioni generali è un terreno su cui non conviene costruire un processo che si ripeterà ogni giorno per anni.
Il consenso dell'art. 17 LPD non è il consenso dell'art. 321 CP. L'art. 321 n. 2 prevede che la rivelazione non sia punibile «quando sia fatta col consenso dell'interessato o con l'autorizzazione scritta data, a richiesta di chi detiene il segreto, dall'autorità superiore o dall'autorità di vigilanza». Per chi è nell'elenco, il consenso al trasferimento e il consenso alla rivelazione vanno trattati separatamente.
Le altre lettere dell'art. 17 cpv. 1 — contratto, interesse pubblico preponderante, diritto in giudizio, vita e integrità fisica, dati resi accessibili a chiunque, registri pubblici — sono scritte per situazioni specifiche. Nessuna è scritta per «usare un servizio informatico».
Che cosa non le possiamo promettere
Non le diciamo che il cloud è illegale. Non lo è: le due condizioni di questa pagina si possono soddisfare entrambe, e molti studi le soddisfano.
Non le diciamo che una macchina in ufficio la mette a posto da sola. Una macchina locale toglie di mezzo l'art. 16 — non c'è comunicazione all'estero — e semplifica l'art. 9, perché non c'è un responsabile del trattamento esterno. Non la esonera dagli altri obblighi della LPD: sicurezza dei dati, informazione, registro dei trattamenti, diritti delle persone interessate. Restano tutti, e restano suoi.
Non le diciamo che l'art. 321 CP la obbliga, se lei è una fiduciaria. Il suo obbligo, se c'è, è nel mandato.
Non siamo i suoi consulenti legali. Questa pagina cita gli articoli perché li possa aprire con il suo legale o il suo revisore. Non sostituisce una valutazione sul suo caso.
La domanda da fare oggi
Apra il mandato del suo cliente più grande e cerchi la clausola di riservatezza. Dice che il trattamento si può affidare a un terzo? Quella riga decide più di qualunque confronto fra fornitori.
Se la risposta è no, o se preferisce non doverla cercare a ogni nuovo mandato: con AG Core l'intelligenza artificiale lavora su una macchina nel suo ufficio, il trattamento non esce dallo studio e la domanda sugli Stati Uniti non si pone. Gliela mostriamo dal vivo, sui suoi tipi di documento.
Oppure ci scriva su WhatsApp +41 79 863 37 88 o ci chiami al +41 91 814 86 00.
Fonti
LPD (RS 235.1), art. 5, 9, 16, 17 — Fedlex, stato 1° settembre 2023 ·
Codice penale (RS 311.0), art. 162 e 321 — Fedlex, stato 1° gennaio 2026 ·
IFPDT — Nuovo quadro di protezione dei dati Svizzera-USA, 15.08.2024
Tutte le fonti riaperte il 31.10.2026.