La verifica di sicurezza delle persone (PSP) è lo strumento della Confederazione per verificare le persone con accesso a informazioni classificate o a sistemi critici della Confederazione. Dal 1° gennaio 2024 valgono la legge sulla sicurezza delle informazioni (ISG, RS 128) e la nuova ordinanza sulle verifiche di sicurezza delle persone (PSPV, RS 128.31): esistono due livelli di verifica — la verifica di sicurezza di base e la verifica di sicurezza estesa (art. 30 ISG) —, la verifica avviene solo con il consenso della persona interessata (art. 32 ISG) e viene eseguita dai servizi specializzati PSP del DDPS. Decisivo per l’economia: la PSP è uno strumento federale. I datori di lavoro privati senza riferimento federale non ottengono alcuna PSP — e per i ruoli sensibili per la sicurezza necessitano di uno screening proprio, conforme alla protezione dei dati.
Il nuovo quadro giuridico dal 2024
Con l’entrata in vigore dell’ISG la verifica di sicurezza delle persone è stata posta su una nuova base giuridica e ha sostituito il precedente panorama normativo. Gli art. 30–32 ISG definiscono livelli di verifica, esecuzione e requisito del consenso; la PSPV concretizza la procedura. Si verifica se dalla persona derivi un rischio per la sicurezza informativa o materiale della Confederazione — ad esempio prima dell’accesso a informazioni classificate, a mezzi informatici protetti o ad aree sensibili per la sicurezza.
Due livelli di verifica invece di tre
L’ISG ha semplificato la sistematica. Ai sensi dell’art. 30 ISG esistono due livelli:
- Verifica di sicurezza di base: il livello standard per funzioni con accesso a informazioni classificate come riservate o ad aree di analoga esigenza di protezione.
- Verifica di sicurezza estesa: il livello approfondito per funzioni con accesso più esteso, ad esempio a informazioni classificate come segrete — con una raccolta dati corrispondentemente più ampia.
Quale funzione sia soggetta a quale livello risulta dagli elenchi di funzioni delle autorità competenti; la profondità di verifica segue quindi la sensibilità della funzione, non della persona.
Procedura, consenso ed esito
La PSP viene eseguita dai servizi specializzati PSP del DDPS e presuppone obbligatoriamente il consenso della persona da verificare (art. 32 ISG) — senza consenso niente verifica. Il servizio specializzato raccoglie i dati previsti dalla legge, valuta il rischio ed emana una decisione. Per le organizzazioni richiedenti ciò significa: la PSP è una procedura amministrativa formale con il corrispondente tempo di anticipo, da includere nella pianificazione delle assunzioni. Come si comportino in linea di principio verifiche statali e screening del datore di lavoro l’uno rispetto all’altro è inquadrato — da una prospettiva tedesca, ma nella sistematica trasferibile — dal contributo Verifica di sicurezza statale vs. screening aziendale.
Chi non ottiene alcuna PSP — e cosa vale allora
La PSP è disponibile solo per funzioni con riferimento alla Confederazione: personale federale, membri dell’esercito, collaboratori di Cantoni e di terzi, nella misura in cui partecipano a progetti classificati o a mezzi informatici della Confederazione. Per i fornitori ciò significa una bipartizione: chi partecipa a un progetto federale classificato può rientrare, per le persone ivi impiegate, nell’ambito di applicazione della PSP — per tutti gli altri collaboratori e mandati ciò non vale. Un’impresa privata — la banca, il fornitore di energia, l’ospedale, il fornitore tecnologico senza commesse federali — non può richiedere alcuna PSP per i propri ruoli sensibili per la sicurezza. Ciò riguarda proprio anche i gestori di infrastrutture critiche in Svizzera, le cui funzioni di centrale operativa, rete e IT sono altamente sensibili, ma si collocano al di fuori della protezione del segreto federale. La verifica di integrità di questi ruoli è quindi interamente affare del datore di lavoro: strutturata, proporzionata e trasparente secondo le prescrizioni della legge riveduta sulla protezione dei dati (nLPD, RS 235.1). Parametro è la rilevanza per l’idoneità alla funzione concreta — una profondità di verifica graduata in base alla posizione invece di una ricerca massima forfettaria. Cosa valga a tale riguardo sul piano del diritto del lavoro e della protezione dei dati è approfondito dal contributo Background check in Svizzera.
Raccomandazione operativa
Chiarite innanzitutto se le vostre funzioni sensibili per la sicurezza hanno un riferimento federale — solo allora la via passa dai servizi specializzati PSP. Per tutti gli altri ruoli definite un vostro concetto di screening: classificare le funzioni per sensibilità, stabilire la profondità di verifica per livello, informare in modo trasparente le persone interessate e documentare ogni verifica. Indicium fornisce a tale scopo report software verificabili con fonti datate e controllo finale umano (art. 22 GDPR) — da 79 € per report. Come ciò si presenti per il vostro settore ve lo mostriamo volentieri in una Demo.
Questo articolo non costituisce una consulenza giuridica.