Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/01136.jsonl.gz/274

Una scuola universitaria non può esternalizzare a piacimento dati in una cloud.
Numerose norme legali limitano le operazioni con i dati. Le relative disposizioni si trovano tra l'altro nella legislazione sulla protezione dei dati e in leggi concernenti la sicurezza delle informazioni. Occorre tenere in considerazione anche il segreto d'ufficio. Le organizzazioni che sono certificate secondo la norma ISO 27001, ossia che dispongono di un sistema di gestione della sicurezza delle informazioni certificato, devono rispettare regole supplementari. Occorre tenere in considerazione tutte queste disposizioni, se si esternalizzano dei dati in una cloud.
Quando si trattano dei dati personali, occorre osservare in particolare i principi generali di legittimità, proporzionalità, vincolo di scopo, riconoscibilità e sicurezza dei dati. Per gli organi pubblici cantonali, così come per quelli federali, vale altresì che per il trattamento dei dati personali deve di principio esserci una base legale. Ciò significa, tra l'altro, che documenti contenenti dati personali possono essere trasmessi solo a determinate condizioni. Ciò non vale solo per la trasmissione a persone esterne, ma anche all'interno della scuola universitaria.
L'esternalizzazione di segreti d'ufficio in una cloud può essere punibile, se terzi ottengono l'accesso ai dati. Le scuole universitarie dovrebbero dunque identificare i dati che rientrano nell'ambito del segreto d'ufficio.
Il segreto d'ufficio è regolato dall'art. 320 del Codice penale svizzero (CP). Questo proibisce a funzionari o a membri di autorità di rivelare segreti. Valgono quali segreti nel senso di questa disposizione in primo luogo fatti che sono noti o accessibili solo a una ristretta cerchia di persone, secondariamente fatti che l'istituzione vuole mantenere segreti e, infine, fatti per i quali sussiste un interesse legittimo alla loro segretezza.
È tuttavia considerato segreto d'ufficio solo quello che può essere mantenuto segreto secondo la legge sulla trasparenza. Ciò è ad esempio il caso se, garantendo l'accesso alle relative informazioni, possono essere rivelati segreti d'affari. Tuttavia, i documenti dovrebbero sempre essere trattati come segreti d'ufficio non appena sussiste un interesse soggettivo alla loro segretezza, e ciò indipendentemente dal fatto che vi sia o meno un segreto d'ufficio in senso giuridico nel singolo caso. È pur vero che in questo modo non si può evitare che i relativi documenti debbano essere consegnati in un'eventuale procedura, ma si può evitare che le persone che trattano le informazioni le trasmettano di loro iniziativa.
Cosa può fare una scuola universitaria per essere in regola con tutte queste disposizioni? Non si può pretendere che ogni collaboratore della scuola universitaria sappia come sia la situazione legale per quanto attiene i dati che egli sta trattando. Sarebbe più facile se in una scuola universitaria fossero innanzitutto create delle categorie di dati, che prevedono regole vincolanti in merito al trattamento degli stessi. In seguito, a queste categorie dovrebbero essere attribuite determinate raccolte di dati.
Purtroppo, una classificazione di questo genere non è per niente facile, come dimostra l'esempio dei dati personali. Questi ultimi non possono essere registrati come raccolte di dati indipendenti poiché si trovano nei documenti più disparati. Tuttavia, possono perlomeno essere identificate delle raccolte di dati contenenti praticamente sempre dati personali, come ad esempio contratti, generalità degli studenti o e-mail. La scuola universitaria potrebbe dunque attribuire questi documenti a una categoria che limita la trasmissione e che prevede ulteriori condizioni per il loro trattamento.
Infine, l’utilità di una classificazione dei dati è data dalla sua effettiva applicazione all'interno dell'organizzazione. Il perfezionismo non può tuttavia essere l'obiettivo di una classificazione dei dati poiché una cosa è certa: senza una classificazione dei dati, la loro protezione non può essere affatto garantita, e una soluzione imperfetta è dunque spesso meglio di nessuna soluzione.