• 30.06.2026
• Patrick Pasquillo

Strumenti digitali americani e privacy: il rischio che le aziende ticinesi sottovalutano

Gmail, Google Drive, WhatsApp, iCloud, OneDrive per privati: strumenti che quasi ogni PMI ticinese usa ogni giorno. Quasi nessuna però sa dove finiscono i dati dei propri clienti.

Il problema che non si vede: la sede del fornitore conta più del prezzo

Quando un'azienda ticinese salva un preventivo su Google Drive, invia un documento contabile via Gmail o coordina un appuntamento su WhatsApp, non sta solo usando uno strumento. Sta trasferendo dati, spesso dati personali di clienti, collaboratori o fornitori, verso server controllati da società con sede legale negli Stati Uniti. Questo dettaglio, che sembra tecnico e distante dalla realtà operativa quotidiana, ha conseguenze giuridiche concrete sotto la nuova Legge federale sulla protezione dei dati svizzera.

La nLPD, in vigore dal settembre 2023, impone che i dati personali trasferiti verso Paesi terzi, cioè Paesi che non offrono un livello di protezione equivalente a quello svizzero, siano accompagnati da garanzie adeguate. Gli Stati Uniti non figurano nell'elenco dei Paesi riconosciuti come adeguati dall'Incaricato federale della protezione dei dati (IFPD). Questo significa che usare Google Workspace nella versione gratuita o consumer, OneDrive personale o WhatsApp in un contesto professionale espone l'azienda a un trasferimento internazionale di dati privo delle garanzie richieste dalla legge svizzera.

Lo scenario che si ripete nelle PMI ticinesi

Il titolare di una PMI ticinese usa Gmail da anni. Lo usa per comunicare con i clienti, inviare offerte, ricevere documenti firmati, gestire appuntamenti con Google Calendar. È comodo, è gratuito, funziona. Il suo responsabile amministrativo usa Google Drive per conservare e condividere fogli di calcolo, documenti, con dati di fornitori e collaboratori. La squadra commerciale coordina i clienti via WhatsApp perché "tutti ce l'hanno".

Nessuno ha mai firmato un contratto di trattamento dei dati con Google. Nessuno sa con certezza dove vengono archiviati i file. Nessuno ha informato i clienti che i loro dati vengono gestiti tramite piattaforme con sede negli Stati Uniti e usati per scopi pubblicitari e trattati con IA. E nessuno ha mai ricevuto una contestazione per questo, almeno finora.

Questo non significa che il rischio non esista. Significa che non si è ancora materializzato in modo visibile. La differenza tra i due è importante: una non conformità strutturale non sparisce perché nessuno la segnala. Resta lì, e il costo di gestirla cresce nel tempo invece di diminuire.

L'errore concettuale: confondere "sicuro" con "conforme"

Google, Apple e Microsoft sono aziende serie, con infrastrutture di sicurezza avanzate e certificazioni tecniche di alto livello. I loro strumenti sono sicuri nel senso tecnico del termine: proteggono i dati da accessi non autorizzati, usano crittografia, hanno piani di disaster recovery. Ma la sicurezza tecnica e la conformità alla nLPD svizzera sono due cose distinte.

La nLPD non chiede solo che i dati siano al sicuro. Chiede che il titolare del trattamento sappia dove si trovano i dati, chi può accedervi e con quali basi giuridiche, che esista un contratto che regoli il rapporto con il fornitore tecnologico, come vengono usati quei dati e che i trasferimenti verso Paesi terzi avvengano con garanzie documentate. Uno strumento può essere tecnicamente eccellente e giuridicamente problematico allo stesso tempo.

C’è poi una distinzione che molte PMI ignorano: la differenza tra la versione consumer e la versione business degli stessi strumenti. Gmail gratuito non è Google Workspace Business. OneDrive personale non è Microsoft 365 Business con tenant svizzero o europeo. iCloud non è un servizio Enterprise. Le versioni consumer non prevedono un contratto di trattamento dei dati firmato, non garantiscono la residenza geografica dei server e non offrono le garanzie di portabilità e cancellazione richieste dalla legge svizzera.

Cosa cambia concretamente passando a provider svizzeri o europei

La soluzione non è necessariamente abbandonare gli strumenti che si usano. È capire quale versione si sta usando, cosa prevede contrattualmente, e dove può essere necessario fare un passaggio a una versione conforme o a un'alternativa diversa. Le opzioni esistono, sono accessibili e in alcuni casi costano meno di quanto si pensi.

Strumenti Google in versione business

Google Workspace Business offre la possibilità di firmare un Data Processing Agreement, include garanzie contrattuali sul trattamento dei dati e permette, in alcuni piani, di scegliere la regione di archiviazione. Non è una soluzione con residenza dati garantita in Svizzera, ma potrebbe essere giuridicamente molto più difendibile rispetto all'uso gratuito. Per le PMI ticinesi che non vogliono o non possono cambiare ecosistema, il passaggio dalla versione gratuita a quella business è il primo passo realistico.

Microsoft 365 con tenant svizzero

Microsoft 365 Business, configurato con tenant in Svizzera o in Europa, offre residenza dati conforme, un DPA firmabile e un livello di conformità che copre sia il GDPR che, con le opportune verifiche, la nLPD svizzera. Per le PMI che usano già Windows e Office è spesso la transizione più naturale. OneDrive in versione business con tenant europeo o svizzero non ha nulla a che vedere con OneDrive personale: è un prodotto completamente diverso dal punto di vista contrattuale e normativo.

Alternative svizzere ed europee per e-mail e cloud

Per le aziende che cercano la massima certezza sulla residenza dati, esistono alternative con datacenter svizzeri. Infomaniak, con sede a Ginevra, offre servizi di e-mail, cloud storage e collaborazione con dati ospitati esclusivamente in Svizzera e un DPA disponibile. Proton, anch'essa svizzera, è un'opzione per la posta elettronica con crittografia end-to-end. Questi servizi non raggiungono la completezza funzionale di Google o Microsoft, ma offrono una certezza giuridica superiore per le aziende che trattano dati particolarmente sensibili.

WhatsApp: il caso più delicato

WhatsApp è di proprietà di Meta, società con sede negli Stati Uniti. Non esiste una versione business di WhatsApp che offra un DPA completo adeguato ai requisiti della nLPD. WhatsApp Business API, disponibile tramite provider certificati, si avvicina a una soluzione più strutturata, ma rimane complessa da implementare per una PMI. La valutazione più onesta è questa: usare WhatsApp per comunicazioni commerciali che coinvolgono dati personali di clienti, senza informativa adeguata e senza alternativa, è una scelta che un consulente legale svizzero difficilmente approverebbe. Per molte aziende ticinesi, Signal, con crittografia end-to-end e sede in Svizzera, potrebbe essere un'alternativa funzionalmente simile e giuridicamente più difendibile.

Cosa deve fare concretamente una PMI ticinese da domani mattina

Il punto di partenza non è un cambio immediato di tutti gli strumenti. È un inventario di tre cose: quali strumenti digitali usa l'azienda, quali di questi trattano dati personali di terzi, e se per ciascuno di essi esiste un contratto di trattamento dei dati firmato con il fornitore.

•       Se lo strumento ha una versione business con DPA disponibile e non si è ancora passati: il passaggio va pianificato nel breve termine.

•       Se lo strumento non ha un DPA adeguato e tratta dati sensibili: va valutata un'alternativa europea o svizzera.

•       Se lo strumento non tratta dati personali di terzi ma solo dati interni: il livello di urgenza è inferiore, ma la verifica resta obbligatoria.

Questo inventario richiede meno di due ore la prima volta. Fatto una volta in modo strutturato, diventa la base su cui costruire qualsiasi altra decisione di conformità digitale.

La domanda che rimane aperta

Sapere che il fornitore è americano e che questo ha implicazioni normative è il primo livello di consapevolezza. Ma la domanda successiva è più profonda: fino a che punto una PMI ticinese può e deve costruire la propria indipendenza dagli ecosistemi tecnologici dominati da pochi grandi operatori extra-europei? Qual è il confine tra praticità operativa e rischio giuridico accettabile? E come si costruisce un'architettura digitale che sia allo stesso tempo funzionale, economicamente sostenibile e conforme alla nLPD? Considerando anche che i termini e condizioni d’uso possono cambiare nel tempo?

Queste sono le domande a cui ho dedicato una guida specifica sul concetto di perché la sovranità digitale è oggi una scelta strategica per le PMI ticinesi: strumenti comparati, architetture concrete, criteri di valutazione per ciascun caso d'uso e una mappa delle alternative già disponibili nel mercato svizzero ed europeo. Potrebbe sembrare ideologia ma è una questione di mantenere il controllo: sapere dove sono i propri dati, chi può accedervi e cosa succede se il fornitore cambia le condizioni.

Usare strumenti americani potrebbe non essere un errore in sé, ma usarli senza sapere cosa si sta accettando, in un contesto normativo che richiede consapevolezza documentata lo è sicuramente.