A quali condizioni si possono trasferire dati personali all'estero?
I dati personali possono essere comunicati all’estero se il Consiglio federale ha constatato che lo Stato destinatario o l’organismo internazionale garantisce una protezione adeguata dei dati. In assenza di tale decisione, la protezione appropriata deve essere garantita con uno degli strumenti previsti dalla Legge federale sulla protezione dei dati (LPD).
La Legge federale sulla protezione dei dati (LPD) prevede come regola che i dati personali possono essere comunicati all’estero soltanto se il Consiglio federale ha constatato che la legislazione dello Stato destinatario o l’organismo internazionale garantisce una protezione adeguata dei dati. Occorre quindi verificare se esiste una constatazione del Consiglio federale riferita al Paese di destinazione o all’organismo internazionale interessato. Se tale constatazione esiste, la comunicazione all’estero è ammessa sulla base di questa adeguatezza riconosciuta.[1]
- Se manca una decisione del Consiglio federale sull’adeguatezza, i dati personali possono essere comunicati all’estero soltanto se una protezione dei dati appropriata è garantita da un trattato internazionale.
- La comunicazione è possibile anche mediante clausole contrattuali di protezione dei dati tra il titolare o il responsabile del trattamento e l’altro contraente, previamente comunicate all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT).
- Per gli organi federali, la protezione appropriata può essere garantita da garanzie specifiche stabilite dall’organo federale competente, previamente comunicate all’IFPDT.
- Sono inoltre ammessi clausole tipo di protezione dei dati previamente approvate, stabilite o riconosciute dall’IFPDT.
- Sono ammessi anche norme interne dell’impresa vincolanti sulla protezione dei dati, previamente approvate dall’IFPDT o da un’autorità incaricata della protezione dei dati appartenente a uno Stato che garantisce una protezione adeguata.
- Il Consiglio federale può prevedere altre garanzie appropriate.
Prima di comunicare dati personali all’estero, occorre quindi controllare quale base sia disponibile nel caso concreto: una constatazione di adeguatezza del Consiglio federale oppure, in sua assenza, uno strumento che garantisca una protezione dei dati appropriata tra quelli previsti dalla LPD. Quando la legge richiede una comunicazione preventiva o un’approvazione dell’IFPDT, questa condizione deve essere verificata per lo strumento scelto.[1]
Questa risposta riassume il testo legale citato come pubblicato su Fedlex. Prima di agire, occorre verificare la disposizione attualmente in vigore e ogni modifica successiva.[1]