Software HR e protezione dei dati in Svizzera: cloud, LPD e RGPD

Software HR come servizio cloud: quando si applica la LPD

I software HR funzionano perlopiù come servizi cloud: applicazioni, software, capacità di archiviazione e potenza di calcolo vengono forniti da un provider in base alle esigenze tramite una rete, ad esempio Internet. Il diritto alla protezione dei dati entra in gioco non appena i dati personali finiscono nel cloud (IFPDP).

A essere determinante non è il prodotto software, bensì il trattamento dei dati reso possibile. Esempi dell’IFPDP: strumenti Office 365 per la collaborazione online, la gestione online degli indirizzi e-mail, i CRM online e il caricamento di file su un server accessibile via Internet.

Lo stesso vale per le soluzioni HR dedicate all’amministrazione del personale, alla gestione delle candidature e al rilevamento del tempo di lavoro. Se i dati di collaboratrici e collaboratori, di candidati o di ex dipendenti sono conservati nel cloud, si applica la LPD, indipendentemente dal fatto che la soluzione venga commercializzata come suite HR o piattaforma.

L’IFPDP menziona tre aspetti: il ricorso a responsabili del trattamento e sub-responsabili del trattamento su incarico, la sicurezza del trattamento dei dati e la comunicazione di dati personali verso paesi terzi. Essi costituiscono la griglia degli obblighi.

L’autorità competente è l’Incaricato federale della protezione dei dati (IFPDP). L’IFPDP pubblica le indicazioni sul cloud computing, dalle quali emergono questi tre aspetti, e rinvia, per questioni specifiche, ai suoi chiarimenti sull’outsourcing/trattamento su incarico e sulla comunicazione di dati all’estero.

Obblighi previsti dalla legge: art. 9 LPD per il trattamento su incarico, art. 13 della Costituzione federale per il diritto alla protezione. Il destinatario è il datore di lavoro in quanto utente del cloud, non il fornitore.

Per i software HR è possibile elencare gli obblighi derivanti dalla LPD. Tra questi figurano la protezione dei dati mediante la tecnica e impostazioni predefinite favorevoli alla protezione dei dati, la sicurezza dei dati, il trattamento su incarico, il consulente per la protezione dei dati e il registro dei trattamenti.

Vi rientrano altresì l’obbligo d’informazione, la valutazione d’impatto sulla protezione dei dati, la notifica delle violazioni della sicurezza dei dati all’IFPDP nonché il diritto d’accesso, la consegna dei dati e la portabilità. Questi obblighi gravano sul datore di lavoro per i dati relativi alle candidature, al personale e al rilevamento del tempo di lavoro.

L’art. 13 Cost. fonda un diritto alla protezione della sfera privata; non costituisce tuttavia un obbligo ai sensi della LPD. Gli obblighi nei confronti di candidati, collaboratori ed ex dipendenti sono disciplinati direttamente nella LPD.

I dati personali sono informazioni relative a una persona determinata o determinabile. Persona interessata è colui o colei sui cui dati viene effettuato un trattamento. Per trattamento si intende qualsiasi operazione: conservazione, comunicazione, reperimento, cancellazione, memorizzazione, modifica, distruzione, utilizzo.

Ai sensi dell’art. 13 Cost., ogni persona ha diritto alla protezione della propria sfera privata e all’uso abusivo dei propri dati personali. Candidati, collaboratori ed ex dipendenti sono persone interessate con diritti propri nei confronti del datore di lavoro.

Sfera degli obblighi nell’impiego di software HR nel cloud

Ruoli e trattamento su incarico: cosa garantire contrattualmente

Secondo l’IFPDP, il fornitore cloud agisce generalmente come responsabile del trattamento su incarico del cliente (art. 9 LPD). Il cliente – l’azienda che assume – può essere titolare del trattamento o agire esso stesso come responsabile del trattamento su incarico.

In qualità di titolare del trattamento, egli risponde del fatto che i trattamenti effettuati dal fornitore siano conformi alla normativa sulla protezione dei dati e che i diritti delle persone interessate non vengano lesi. Deve accertarsi e garantire contrattualmente che il trattamento su incarico rispetti l’art. 9 LPD.

Il contratto di trattamento su incarico definisce chiaramente oggetto e scopo e vincola il fornitore alle istruzioni. I sub-responsabili del trattamento necessitano di una clausola di approv preventiva e devono trasmettere gli stessi obblighi.

Se il fornitore coinvolge sub-responsabili del trattamento, il datore di lavoro rimane responsabile del rispetto dell’art. 9 LPD. La clausola di approv preventiva e la trasmissione degli obblighi sono contenuti contrattuali obbligatori.

Da regolamentare sono inoltre le misure tecniche e organizzative di sicurezza, gli obblighi di notifica in caso di incidenti di sicurezza, gli accessi per supporto e manutenzione nonché la restituzione e la cancellazione alla scadenza del contratto. Va chiarito apertamente chi interviene quando una persona interessata richiede l’accesso o la cancellazione; l’IFPDP rinvia ai suoi chiarimenti sull’outsourcing.

Il contratto di trattamento su incarico non è una mera questione IT per il reparto risorse umane. Chi conferisce dati di candidatura, del personale e di rilevamento del tempo di lavoro a un cloud deve conoscere gli obblighi ai sensi dell’art. 9 LPD ed essere in grado di dimostrarne il rispetto.

L’IFPDP riassume gli obblighi dell’utente cloud: deve accertarsi e garantire contrattualmente che il trattamento su incarico rispetti le prescrizioni dell’art. 9 LPD. In caso di comunicazione di dati all’estero, occorre verificare preventivamente se essa sia ammessa dalla legge.

Il cliente può essere titolare del trattamento o agire esso stesso come responsabile del trattamento su incarico. In questo ruolo deve adempiere alle prescrizioni stabilite dal titolare del trattamento per i suoi trattamenti di dati. Nelle strutture di gruppo, il reparto HR può trovarsi esso stesso in questo ruolo.

Va tenuto un registro dei trattamenti. Chi impiega software HR deve registrarvi i trattamenti dei dati di candidatura, del personale e di rilevamento del tempo di lavoro.

La protezione dei dati mediante la tecnica e le impostazioni predefinite favorevoli alla protezione dei dati, nonché la sicurezza dei dati, rimangono obblighi del datore di lavoro, anche se il trattamento avviene tecnicamente presso il fornitore.

Comunicazione di dati all’estero: il punto più delicato per i cloud HR

L’IFPDP precisa: per i servizi cloud, prima di comunicare dati personali all’estero, occorre verificare se tale comunicazione soddisfi i requisiti legali.

Nella pratica HR sono rilevanti diverse configurazioni: data center fuori dalla Svizzera, accessi per supporto e manutenzione dall’estero nonché accessi da società capogruppo o controllate estere. Decisivo non è solo il luogo di archiviazione, ma anche chi può accedere da quale paese.

Convotis richiama la sentenza Schrems II della Corte di giustizia europea: secondo tale pronuncia, gli USA non offrono un livello adeguato di protezione dei dati. Le autorità europee per la protezione dei dati hanno pertanto vietato l’utilizzo di determinati servizi cloud statunitensi come Mailchimp, qualora vi vengano trattati dati personali negli USA.

In Svizzera, secondo Convotis, la situazione giuridica non è ancora definitivamente chiarita; l’IFPDP raccomanda un’accurata analisi dei rischi. Riguardo al CLOUD Act statunitense, Convotis sottolinea che le autorità USA possono accedere ai dati anche se questi si trovano fisicamente nell’UE o in Svizzera, senza informare le persone interessate.

Il trasferimento di dati personali verso paesi terzi costituisce per l’IFPDP un aspetto proprio del diritto alla protezione dei dati nei servizi cloud. Prima di ogni comunicazione all’estero occorre verificare se essa sia legalmente ammissibile; per i cloud HR ciò riguarda allo stesso modo i dati di candidatura e quelli del personale.

Questa verifica è un obbligo del datore di lavoro in quanto utente del cloud, non del fornitore. Per la valutazione, l’IFPDP rinvia ai suoi chiarimenti sulla comunicazione di dati all’estero.

Cifratura: mezzo efficace con limiti chiari

La cifratura protegge in modo affidabile fintanto che i dati vengono soltanto archiviati. Convotis segnala che la cifratura end-to-end può impedire accessi non autorizzati, ma rimane efficace solo in caso di pura archiviazione («data at rest»).

Non appena i dati vengono elaborati, valutati o aggregati per analisi nel cloud, essi sono presenti in forma decifrata e consultabili. In molti casi d’uso HR questa è la norma: analisi, reporting, aggregazione di dati di candidatura e del personale.

La cifratura non è quindi un antidoto contro i diritti di accesso extraterritoriali, ma piuttosto un elemento costitutivo. Diventa efficace grazie alla scelta del luogo di archiviazione e di trattamento, alla strutturazione contrattuale con il fornitore e a un concetto di autorizzazioni che limita gli accessi alle funzioni effettivamente necessarie.

L’IFPDP indica la sicurezza del trattamento dei dati come aspetto proprio dei servizi cloud. La sola cifratura non lo esaurisce; esso comprende anche quali trattamenti il fornitore effettua per suo conto.

La cifratura serve alla sicurezza dei dati. Secondo Convotis, essa rimane efficace solo in caso di pura archiviazione e costituisce quindi una misura tra molte altre.

Hosting in Svizzera: sovranità dei dati come riduzione del rischio

Secondo Convotis, un cloud privato offre un’infrastruttura controllata e dedicata, spesso in un data center locale o nazionale.

Come vantaggi, il fornitore cita la certezza del diritto grazie all’archiviazione e al trattamento in Svizzera o nell’UE secondo le leggi locali sulla protezione dei dati, il pieno controllo dei dati senza diritti di accesso extraterritoriali come nel caso del CLOUD Act, nonché precauzioni di sicurezza adattabili individualmente. InvestGlass argomenta allo stesso modo: la sovranità dei dati svizzera e l’hosting in loco o in un cloud svizzero possono dissipare le preoccupazioni legate al trasferimento transfrontaliero di dati.

L’hosting svizzero da solo non rende una soluzione HR conforme alla LPD. È una delle varie misure e deve essere combinato con il trattamento su incarico secondo l’art. 9 LPD, un concetto di autorizzazioni e un concetto di cancellazione. Se rimane possibile un accesso per supporto o manutenzione dall’estero, la sede del data center rappresenta solo una parte della risposta alla questione della comunicazione di dati all’estero.

L’hosting svizzero copre il luogo di archiviazione, non l’accesso. L’IFPDP indica il trattamento su incarico, la sicurezza del trattamento dei dati e la comunicazione di dati all’estero come i tre aspetti decisivi: un data center in Svizzera risponde solo a una parte della questione.

Vantaggi e rischi dell’hosting svizzero per i software HR

Quando si applica anche il RGPD: doppi obblighi

Le aziende svizzere con collaboratori nell’UE o con candidature provenienti da Stati UE devono rispettare anche il Regolamento generale sulla protezione dei dati (RGPD). Convotis segnala che circa il 20 percento dei dati personali trattati in Svizzera proviene da cittadini UE; chi tratta tali dati deve attenersi alle prescrizioni europee.

La differenza centrale risiede nelle basi giuridiche. Diversamente dal RGPD, la LPD svizzera non prevede in linea di principio che per il trattamento di dati personali venga indicata una base giuridica. Il RGPD la esige – usualmente si tratta di consenso, esecuzione contrattuale, obbligo legale o interessi vitali.

Per la pratica HR ne consegue: chi tratta candidature provenienti dall’UE o impiega collaboratori nell’UE deve rispettare la norma più rigorosa. Le informative sulla protezione dei dati dei fornitori svizzeri indicano singolarmente le basi giuridiche ai sensi dell’art. 6 cpv. 1 RGPD: consenso, esecuzione contrattuale, obbligo legale e interessi vitali.

Per i software HR queste basi vanno indicate separatamente per ciascuna finalità di trattamento, quindi distintamente per candidatura, amministrazione del personale e rilevamento del tempo di lavoro.

Diversamente dal RGPD, la LPD svizzera non prevede in linea di principio l’indicazione di una base giuridica. Al suo posto subentrano gli obblighi previsti dalla LPD. Il datore di lavoro deve rispettarli per ogni trattamento.

LPD svizzera vs. RGPD UE: differenze nel trattamento dei dati HR

Cifre sul trattamento dei dati in Svizzera e nello spazio UE

Accesso, rettifica, cancellazione e sicurezza nella quotidianità HR

L’IFPDP sottolinea espressamente che i diritti delle persone interessate non devono essere lesi dall’esternalizzazione a un fornitore cloud. I responsabili HR devono tutelare questi diritti; a tal fine, HR e fornitore devono sapere dove si trovano quali dati.

Le informative sulla protezione dei dati precisano che i fornitori cercano di proteggere i database da accessi esterni, perdite, abusi o falsificazioni. Una protezione totale dai terzi non è possibile. Le promesse di sicurezza nei progetti HR dovrebbero quindi essere formulate con cautela – nei confronti della direzione aziendale e dei collaboratori.

Le informative sulla protezione dei dati contengono sezioni proprie sulle misure di sicurezza, sui trasferimenti internazionali di dati, sulla cancellazione dei dati e sui diritti delle persone interessate. Questi quattro temi appartengono a ogni progetto di software HR che tratta dati personali di candidati e collaboratori.

La trasparenza inizia dalla domanda su quali dati vengano trattati, per quali finalità e in quale misura. Le categorie tipiche nei software HR sono i dati dei candidati, i dati dei dipendenti, i dati di contatto, i dati di contenuto, i dati contrattuali e i dati di utilizzo.

L’accesso, la consegna e la portabilità dei dati sono diritti delle persone interessate. Il datore di lavoro deve adempiere a questi diritti nei confronti di candidati, collaboratori ed ex dipendenti.

L’obbligo d’informazione impone che le persone interessate siano informate sul trattamento dei loro dati nel software HR.

La notifica delle violazioni della sicurezza dei dati all’IFPDP grava sul datore di lavoro in quanto utente del cloud, non sul fornitore.

Domande di verifica per la scelta e l’esercizio di una soluzione HR

Sede e accesso: dove vengono archiviati i dati e da quali paesi vi si può accedere – anche per supporto e manutenzione?

Contratto: esiste un contratto di trattamento su incarico che rispecchi l’art. 9 LPD, inclusa la regolamentazione dei sub-responsabili del trattamento? Estero: avviene una comunicazione all’estero e come è stata valutata?

Tecnica e organizzazione: come sono regolamentate cifratura, autorizzazioni, registrazione dei log e cancellazione? Documentazione: chi ha effettuato l’analisi dei rischi, dove è documentata e con quale frequenza viene rivista?

Come basi sono disponibili la scheda informativa aggiornata di privatim «Rischi e misure specifici del cloud» (2022) nonché i chiarimenti dell’IFPDP sul cloud computing, sul trattamento su incarico e sulla comunicazione di dati all’estero.

Le domande di verifica possono essere attribuite ai tre aspetti dell’IFPDP: trattamento su incarico e sub-trattamento, sicurezza del trattamento dei dati e comunicazione di dati all’estero. Contratto ed estero riguardano il primo e il terzo aspetto, tecnica e documentazione il secondo.

Responsabile della verifica rimane l’utente del cloud, ossia il datore di lavoro: deve accertarsi e garantire contrattualmente che il trattamento su incarico corrisponda all’art. 9 LPD. L’IFPDP menziona esplicitamente questo obbligo.

Una valutazione d’impatto sulla protezione dei dati e il ruolo del consulente per la protezione dei dati vanno chiariti prima dell’introduzione di una soluzione HR.