Protezione dei dati e segreto professionale per categoria professionale: cosa consente il diritto svizzero, cosa significano l'hosting standard e l'hosting UE, e cosa fa Lei stesso.
Per la maggior parte delle aziende svizzere: sì. La legge sulla protezione dei dati (LPD) non vieta né l'IA né i servizi cloud. Richiede un contratto di trattamento su mandato, trasparenza nei confronti delle persone interessate, una sicurezza adeguata e una base giuridica quando i dati lasciano la Svizzera — e Entumo fornisce la propria parte di ciascuno di questi elementi.
Ciò che cambia a seconda della professione è il segreto professionale. Medici, avvocati, notai, revisori e le altre professioni citate dal Codice penale (art. 321 CP) possono affidare i segreti dei loro clienti a un servizio solo con il consenso del cliente (art. 321 n. 2 CP), e un responsabile del trattamento può essere impiegato solo se nessun obbligo di segretezza lo vieta (art. 9 cpv. 1 lett. b LPD). Le sezioni seguenti indicano dove si colloca la Sua professione.
Standard utilizza tutti i modelli, compresi fornitori negli Stati Uniti. Ciò è lecito secondo l'art. 16 LPD quando il fornitore è certificato secondo lo Swiss-U.S. Data Privacy Framework o vincolato da clausole contrattuali standard riconosciute.
UE mantiene il trattamento da parte dell'IA in centri dati europei — le zone UE dei fornitori, che possono includere la Svizzera e la Norvegia. L'UE figura nell'elenco del Consiglio federale degli Stati con protezione adeguata (art. 16 cpv. 1 LPD): è quindi la base più semplice, e quella che raccomandiamo a chiunque detenga segreti dei clienti.
Due cose che l'hosting UE non cambia. I dati del Suo spazio di lavoro sono memorizzati a Francoforte in ogni caso. E la maggior parte dei fornitori coinvolti — AWS, Microsoft, OpenAI, Google e i nostri fornitori di hosting — sono aziende statunitensi, che il diritto statunitense (il CLOUD Act) può obbligare a consegnare dati anche quando questi sono memorizzati nell'UE. Mistral è l'eccezione di proprietà europea.
Risposta: Sì.
La LPD si applica e nessun diritto professionale vi si aggiunge. Entumo è il Suo responsabile del trattamento in base alle condizioni accettate alla registrazione; indichi il servizio di IA e i Paesi di trattamento nella Sua informativa sulla protezione dei dati (art. 19 LPD). I dati dei collaboratori possono essere trattati solo nella misura in cui riguardano il rapporto di lavoro (art. 328b CO) — la stessa regola che vale senza Entumo.
Risposta: Sì.
I mandati di contabilità, salari e fiscalità non rientrano nel segreto professionale penale dell'art. 321 CP, che cita i revisori, non le fiduciarie in quanto tali. L'art. 62 LPD va oltre — punisce con la multa fino a 250 000 franchi, su querela, chiunque riveli intenzionalmente dati personali segreti appresi in una professione che richiede la conoscenza di tali dati; sono vincolati anche gli ausiliari — e il testo non dice se i mandati di una fiduciaria vi rientrino: tratti quindi i dati dei Suoi clienti come segreti. Verso i Suoi clienti Lei deve una riservatezza contrattuale, e i segreti di fabbricazione o d'affari sono protetti dall'art. 162 CP — scelga quindi l'hosting UE, menzioni i servizi cloud e di IA nelle Sue lettere di mandato e valuti l'impostazione dei fornitori per i dati dei clienti che tratta come segreti. I libri restano nel Suo software di contabilità. Per i mandati di revisione legale: vedere gli uffici di revisione qui sotto.
Risposta: Sì — con il consenso del cliente sottoposto a revisione, oppure senza i documenti di revisione.
I revisori vincolati al segreto dal Codice delle obbligazioni sono citati nell'art. 321 CP, e l'ufficio di revisione deve mantenere segreti i propri accertamenti (art. 730b cpv. 2 CO). Un responsabile del trattamento può essere impiegato solo se nessun obbligo di segretezza lo vieta (art. 9 cpv. 1 lett. b LPD); la rivelazione con il consenso dell'avente diritto non è punibile (art. 321 n. 2 CP). Ottenga quindi il consenso scritto del cliente sottoposto a revisione prima che i documenti di revisione entrino in Entumo — oppure tenga fuori i mandati di revisione e usi Entumo per l'amministrazione del Suo studio.
Risposta: Sì — con il consenso del cliente per il contenuto del mandato, oppure senza tale contenuto.
Gli avvocati e i notai sono citati nell'art. 321 CP, e l'art. 9 cpv. 1 lett. b LPD si applica a ogni servizio di cui Lei si avvale. Scelga l'hosting UE, tenga fuori il contenuto dei mandati coperto dal segreto finché il cliente non ha acconsentito (art. 321 n. 2 CP), e segua le regole del Suo ordine degli avvocati sui servizi cloud. L'amministrazione dello studio senza segreti dei clienti — marketing, fatture dei fornitori, pianificazione del Suo team — non pone problemi.
Risposta: Sì per l'amministrazione — senza dati dei pazienti.
Queste professioni sono citate nell'art. 321 CP, i dati sulla salute sono dati personali degni di particolare protezione (art. 5 lett. c n. 2 LPD), il loro trattamento su larga scala richiede una valutazione d'impatto sulla protezione dei dati (art. 22 LPD), e il diritto cantonale in materia sanitaria aggiunge regole proprie. Tenga i dati dei pazienti — elenchi degli appuntamenti compresi — nel software del Suo studio e fuori da Entumo. Usi Entumo per l'amministrazione che non contiene dati dei pazienti: fatture dei fornitori, acquisti, marketing, personale. Un utilizzo con dati dei pazienti richiederebbe prima il consenso dei pazienti, una valutazione d'impatto e una verifica del diritto cantonale.
Risposta: Solo dopo l'approvazione della Sua funzione di compliance.
Per le banche, il segreto bancario è diritto penale (art. 47 LBCR); per ogni istituto sottoposto a vigilanza si applicano le regole della FINMA sull'esternalizzazione. Non inserisca dati dei clienti in Entumo finché la Sua compliance non ha valutato l'impiego come esternalizzazione. L'amministrazione senza dati dei clienti non ne è toccata.
Risposta: Solo dopo l'approvazione dell'autorità competente per la protezione dei dati.
Gli organi cantonali e comunali sottostanno al diritto cantonale sulla protezione dei dati — la LPD federale copre soltanto le persone private e gli organi federali (art. 2 cpv. 1 LPD) — e i Cantoni fissano condizioni proprie per i servizi cloud. Si rivolga all'autorità cantonale o comunale per la protezione dei dati prima di usare Entumo con dati personali.
Un orientamento basato sui testi federali (LPD, CP, CO, LBCR), letti nel settembre 2026. Non è una consulenza legale: la Sua associazione professionale, il Suo consulente per la protezione dei dati o un avvocato decide il caso concreto — soprattutto per i mandati coperti dal segreto professionale, i dati dei pazienti e gli istituti sottoposti a vigilanza. Il diritto cantonale e le regole della FINMA sono qui citati, non interpretati.