Do we disclose personal data abroad?
Comunichiamo i dati personali all’estero?
As explained in sub-paragraph 6, other organizations also process your personal data in addition to us. For example, your data may be transferred abroad if personal data is transmitted to other companies in the Zurich Group or to service providers. These recipients are not only based in Switzerland. Your data may therefore be processed worldwide, including outside the EU or the European Economic Area (in so-called third countries such as the USA). Many third countries do not currently have laws that guarantee a level of data protection equivalent to that provided by Swiss law. We therefore take contractual preventative measures in order to balance out the weaker legal protection, provided the data protection legislation does not allow disclosure in individual cases for other reasons. For this purpose, we generally use the standard contractual clauses issued or recognized by the European Commission and the Swiss Data Protection and Information Commissioner (FDPIC) (for further details and a copy of these clauses, please see www.edoeb.admin.ch), unless the recipient is already subject to a legally recognized set of rules to ensure data protection and we cannot rely on an exemption clause. An exception may apply, in particular, in the case of legal proceedings abroad, but also in cases of overriding public interests or if the processing of a contract requires such disclosure, if you have granted your consent or if the data concerned is that which you have made generally accessible and whose processing you have not objected to.
Many countries outside Switzerland or the EU and EEA currently do not have laws that guarantee an adequate level of data protection from the perspective of the Swiss Federal Acton Data Protection or the GDPR. The contractual arrangements mentioned above may partially compensate for this weaker or missing statutory protection. However, contractual precautions cannot eliminate all risks (with particular regard to state intervention abroad). You should be aware of these residual risks, even though the risk may be low in individual cases and we have taken additional measures (such as pseudonymization or anonymization) to minimize it.
Please also note that data exchanged over the Internet is often routed via third countries. Your data may therefore be sent abroad even if the sender and recipient are in the same country.
Come illustrato al punto 6, non siamo solo noi a trattare i vostri dati personali, bensì anche altri soggetti. Quando, ad esempio, i dati personali sono trasferiti a società del Gruppo Zurich o a fornitori di servizi, i vostri dati possono giungere anche all’estero. Tali destinatari non sono ubicati soltanto in Svizzera. I vostri dati possono pertanto essere trattati in tutto il mondo, anche al di fuori dell’UE o dello Spazio economico europeo (cosiddetti Stati terzi come ad es. gli Stati Uniti). Molti Stati terzi non dispongono attualmente di leggi che garantiscono un livello di protezione dei dati equivalente a quello del diritto svizzero. Noi adottiamo pertanto misure preventive per compensare a livello contrattuale la minore protezione a livello giuridico, salvo che le norme sulla protezione dei dati non permettano la comunicazione in casi individuali per altri motivi. A tale scopo utilizziamo in genere le clausole contrattuali standard emesse e riconosciute dalla Commissione europea e dall’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) (trovate altre informazioni al riguardo e una copia di queste clausole su www.edoeb.admin.ch), se il destinatario non è già soggetto a un regolamento giuridicamente riconosciuto per la garanzia della protezione dei dati e noi non possiamo appoggiarci su una disposizione eccezionale. Un’eccezione può in particolare valere per procedimenti legali all’estero, ma anche in caso di interessi pubblici prevalenti oppure se l’elaborazione di un contratto richiede tale comunicazione, se voi avete espresso il vostro consenso o se si tratta di dati che voi avete reso pubblicamente accessibili e al cui trattamento non vi siete opposti.
Molti Stati al di fuori della Svizzera o dell’UE o dello SEE attualmente non dispongono di leggi che garantiscano un livello di protezione dei dati adeguato dal punto di vista della LPD o del regolamente generale sulla protezione dei dati (RGPD). Con le misure precauzionali contrattuali citate è possibile compensare parzialmente questa minore o assente protezione giuridica. Le misure precauzionali contrattuali non sono tuttavia in grado di eliminare tutti i rischi (e precisamente accessi di enti statali all’estero). Dovreste essere consapevoli di questi rischi residui, anche se nel singolo caso il rischio può essere inferiore e noi adottiamo ulteriori misure (ad es. pseudonimizzazione o anonimizzazione) per ridurlo al minimo.
Ricordate anche che i dati che vengono scambiati attraverso Internet spesso vengono inoltrati attraverso Stati terzi. I vostri dati possono quindi finire all’estero anche se mittente e destinatario si trovano nello stesso Paese.