Trasferimenti transfrontalieri
Leggi l’edizione PDF (2 pagine)
La Transfer Limitation Obligation
Un'organizzazione può trasferire dati personali al di fuori di Singapore soltanto se adotta misure adeguate per garantire che il destinatario sia vincolato da obblighi giuridicamente azionabili a garantire un livello di protezione paragonabile a quello dell'Act. Le Personal Data Protection Regulations 2021 precisano che tali obblighi possono derivare dalla legge, da un contratto, da norme vincolanti d'impresa o da qualsiasi altro strumento giuridicamente vincolante. La Commission ha riconosciuto le ASEAN Model Contractual Clauses come base contrattuale idonea.1 I trasferimenti possono inoltre essere effettuati con il consenso della persona interessata, previa informazione sui rischi, oppure se necessari per l'esecuzione di un contratto con la persona interessata. Un exchange di Singapore che condivide dati dei clienti con una società del gruppo a Zug per una verifica di compliance, con un custode svizzero per l'onboarding o con un fornitore di servizi cloud in Europa deve disporre di una di queste basi.
Il versante svizzero
La revisione della legge federale sulla protezione dei dati svizzera (LPD; FADP, DSG) è in vigore dal 1º settembre 2023. Essa consente i trasferimenti all'estero soltanto verso paesi la cui legislazione è stata riconosciuta dal Consiglio federale come idonea a garantire una protezione adeguata, oppure se sono previste garanzie quali clausole contrattuali tipo o norme vincolanti d'impresa.2 Al 30 giugno 2026 Singapore non figura nell'elenco svizzero dei paesi con protezione adeguata. Un'entità di Zug che invia dati personali alla propria affiliata di Singapore deve pertanto avvalersi di clausole contrattuali tipo, il che in pratica significa le clausole contrattuali tipo dell'UE con gli adeguamenti svizzeri riconosciuti dall'Incaricato federale della protezione dei dati e della trasparenza. L'entità di Singapore che invia dati in Svizzera ha un compito più semplice, poiché il diritto svizzero offre una protezione paragonabile e basta un semplice accordo infragruppo che recepisca gli obblighi di Singapore. La Parte D, Capitolo X esamina le norme svizzere.
Lista di controllo
Un gruppo cripto svizzero-singaporiano dovrebbe disporre dei seguenti documenti in materia di protezione dei dati prima di condividere dati dei clienti oltre confine. - Una mappatura dei dati che individui quali dati personali detiene ciascuna entità, dove sono conservati e quali fornitori di servizi cloud e di analisi li trattano. - Un accordo infragruppo sul trasferimento dei dati che recepisca le clausole contrattuali tipo dell'UE con gli adeguamenti svizzeri per i trasferimenti dalla Svizzera e le ASEAN Model Contractual Clauses o clausole equivalenti per i trasferimenti da Singapore. - Informative sulla privacy in ciascuna giurisdizione che rendano noti i trasferimenti transfrontalieri, i fornitori di analisi blockchain e i periodi di conservazione imposti dalla normativa antiriciclaggio. - Un piano di risposta alle violazioni che rispetti la notifica alla PDPC entro tre giorni, la notifica svizzera all'Incaricato «il più rapidamente possibile» e la notifica degli incidenti alla MAS entro un'ora. - Un piano di conservazione dei dati che concili l'obbligo antiriciclaggio di conservazione quinquennale con l'obbligo di limitazione della conservazione. - Una policy sui dati on-chain che stabilisca che nessun dato personale viene scritto su una blockchain pubblica e che i collegamenti con gli indirizzi di wallet sono conservati off-chain con controllo degli accessi.
Note
- Personal Data Protection Act 2012, s 26, e Personal Data Protection Regulations 2021, regs 10–11 (trasferimento di dati personali al di fuori di Singapore). ↩
- Artt. 16–17 LPD (RS 235.1). L'elenco dei paesi con protezione adeguata figura nell'allegato 1 dell'ordinanza sulla protezione dei dati (RS 235.11). ↩
Solo a scopo informativo generale. Il presente articolo non costituisce consulenza legale o fiscale, non sostituisce la consulenza sul singolo caso e non instaura alcun rapporto tra avvocato e cliente. Riflette la situazione giuridica aggiornata a novembre 2026.