Microsoft 365 e la protezione dei dati svizzeri: i limiti di una conformità delegata

21 ottobre 2026Di David Papaux

Gli strumenti di office automation, la posta elettronica e l'archiviazione collaborativa sono passati, in pochi anni, a suite ospitate. Per uno studio legale o un'impresa svizzera, la questione non è più sapere se Microsoft 365 viene utilizzato, ma se tale uso resiste all'esame del diritto della protezione dei dati. L'analisi che segue è volutamente critica: non perché il cloud sarebbe illecito in sé, ma perché la conformità vi diventa una prestazione acquistata a catalogo, difficilmente verificabile e largamente dipendente da un diritto straniero. L'alternativa open source auto-ospitata non offre alcuna immunità, ma sposta il controllo là dove il titolare del trattamento può realmente esercitarlo.

Ciò che la LPD esige realmente

Dall'entrata in vigore della loi révisée sur la protection des données, il quadro è chiaro: principi di trattamento (art. 6), sicurezza adeguata tenuto conto del rischio (art. 9), informazione delle persone interessate (art. 19), analisi d'impatto in caso di rischio elevato (art. 22) e sanzioni penali che possono raggiungere 250 000 franchi, pronunciate nei confronti delle persone fisiche (art. 60 segg.). Nulla in questo dispositivo impone il cloud né lo vieta; tutto esige di poter dimostrare, documenti alla mano, che il trattamento è lecito, proporzionato e sicuro.

Trasferimenti all'estero e diritto statunitense: il punto di attrito

La difficoltà non è tecnica, è giuridica. Un hosting europeo di Microsoft 365 non esclude l'applicazione della legislazione statunitense ai dati trattati dalla società madre e dai suoi subresponsabili del trattamento, in particolare il CLOUD Act. La giurisprudenza dell'Unione sui trasferimenti, in particolare la sentenza Schrems II, ha reso questa analisi imprescindibile per qualsiasi titolare stabilito in Svizzera che esporta dati verso gli Stati Uniti.

Il riconoscimento, da parte del Consiglio federale, del Data Privacy Framework a decorrere dal 15 settembre 2024 ha attenuato la situazione per le imprese certificate. Esso non la risolve. La certificazione copre entità e categorie di dati determinate, è revocabile, resta contestata e non modifica né l'ambito delle misure di sorveglianza straniere né la posizione del fornitore di supporto situato fuori dal perimetro certificato. Per i dati sensibili ai sensi dell'art. 5 LPD — dati sanitari, procedimenti esecutivi, opinioni politiche in un fascicolo — l'esercizio rientra in una scommessa documentale.

Il ricorso a responsabili del trattamento non trasferisce la responsabilità

La LPD è meno formalista dell'art. 28 du RGPD, ma il risultato è identico: il titolare del trattamento resta responsabile del risultato. Ora, l'audit di un codice proprietario è impossibile; esso si riduce alla lettura di attestazioni ISO 27001 o di rapporti SOC 2 redatti dal fornitore o per esso. Per l'avvocato, vi si aggiunge il segreto professionale (art. 321 CP): affidare fascicoli a un'infrastruttura i cui accessi sfuggono al controllo effettivo dello studio non è neutro, e la legge federale impone per di più precauzioni proprie.

Sul piano interno, il datore di lavoro che implementa una suite collaborativa con telemetria, registrazione e strumenti di produttività deve rispettare la protezione della personalità del lavoratore (art. 321a CO); l'accesso non autorizzato o la sottrazione di dati da parte di un collaboratore o di un terzo rientra, invece, nell'art. 179novies CP. Questi rischi esistono indipendentemente dall'hosting, ma sono più difficili da gestire quando si ignora dove e da chi sono conservati i log.

L'analisi d'impatto: un esercizio spesso eluso

L'autorità federale lo ricorda regolarmente: l'analisi d'impatto dell'art. 22 LPD deve riguardare il trattamento concreto, compreso il suo contesto giuridico. Copiare il questionario di conformità del fornitore non è un'analisi d'impatto. Un'analisi seria presuppone l'identificazione dei flussi reali, dei subresponsabili del trattamento successivi, dei luoghi di archiviazione e di supporto, e poi la ponderazione del rischio residuo. È precisamente qui che i fascicoli sono spesso lacunosi.

L'opzione open source auto-ospitata: un vantaggio strutturale

Una suite come Nextcloud, associata a Collabora Online, installata su un'infrastruttura scelta e amministrata in Svizzera, cambia la natura del problema. Il codice è sottoponibile ad audit, i trasferimenti all'estero scompaiono, i log restano sotto controllo, la reversibilità è reale e i costi diventano prevedibili. Non è un argomento di simpatia tecnologica, ma di diritto: la dimostrazione di conformità diventa possibile perché il titolare del trattamento controlla i componenti.

Il vantaggio è tuttavia strutturale, non automatico. Un server auto-ospitato mal aggiornato, senza autenticazione forte, senza backup testati, senza segmentazione degli accessi né registrazione utilizzabile, espone maggiormente rispetto a una grande piattaforma correttamente configurata. La LPD è neutrale quanto alla tecnologia: essa esige una sicurezza adeguata e una governance effettiva. L'auto-hosting sposta l'onere della prova, non lo elimina, e presuppone competenze interne o un partner contrattualmente impegnato.

Un'esigenza di governance, non di fornitore

Il criterio decisivo non è dunque « cloud o server locale », ma la capacità di documentare la scelta, di giustificare la ponderazione, di sorvegliare il responsabile del trattamento e di rivalutare periodicamente la decisione. Uno studio che conserva Microsoft 365 senza analisi dei trasferimenti né misure compensative assume un rischio difficile da difendere; uno studio che migra verso l'open source senza politica di sicurezza né piano di ripristino non ha guadagnato nulla. La conformità si dimostra, non si acquista.