Fuga di dati delle casse pensioni: l'IFPDT apre un'indagine

Il 22 ottobre 2026 l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha aperto un'indagine formale contro PK Softech AG. Il comunicato è del 23 ottobre 2026. Nel cyberattacco presso questo fornitore di software sono stati sottratti dati di diverse casse pensioni del 2° pilastro. Publica, la cassa pensioni della Confederazione, è nominata. L'indagine non dice ancora quali persone sono interessate.

Che cosa è successo

Alla fine di settembre 2026, PK Softech AG è stata vittima di un attacco con un programma ricattatorio. Publica indica che l'attacco mirava al fornitore, e non ai propri sistemi.

L'8 ottobre 2026, PK Softech ha informato l'IFPDT di un cyberattacco e di possibili violazioni della sicurezza dei dati. Anche le casse interessate hanno comunicato l'incidente all'IFPDT.

Il 14 ottobre 2026, l'IFPDT ha aperto un'indagine informale presso Publica. Il 22 ottobre 2026 ha aperto un'indagine formale contro PK Softech AG.

Che cosa mira a chiarire l'indagine

L'IFPDT vuole tre cose. Vedere l'insieme dei dati personali che le casse hanno consegnato al fornitore. Chiarire il quadro giuridico di queste comunicazioni e il modo in cui è stato applicato. Misurare l'estensione dei dati fuoriusciti.

Il comunicato dice che non si possono dare altre informazioni sul procedimento in corso.

Che cosa ha indicato Publica

Publica scrive che i suoi sistemi non sono toccati. L'avere di previdenza è al sicuro. La rendita è versata come di consueto. L'ambiente di prova presso il fornitore è separato dal sistema che versa le rendite. Questo sistema resta sull'infrastruttura di Publica.

Publica non può ancora dire quali persone sono interessate, né quante. I dati che possono esserlo sono quelli degli assicurati, dei beneficiari di rendite e degli ex assicurati. Può trattarsi del nome, dell'indirizzo, della data di nascita, del numero AVS, del telefono, dell'indirizzo di posta elettronica e di dati di previdenza, come il salario, il salario assicurato e l'avere. Per i beneficiari di rendite può essere interessato anche l'IBAN.

Publica non ha alcun indizio che questi dati siano stati pubblicati nel dark web. Dice che informerà direttamente le persone non appena saprà chi è interessato. L'8 ottobre 2026 ha scritto agli assicurati di cui ha un indirizzo di posta elettronica. Gli altri, e i beneficiari di rendite, ricevono una lettera.

Il 15 ottobre 2026, Publica ha sporto denuncia penale presso il Ministero pubblico della Confederazione.

Publica chiede di non rispondere ai messaggi che reclamano dati personali o bancari.

Le altre casse citate

Il comunicato dell'IFPDT parla di diversi grandi istituti di previdenza. Nomina Publica.

Secondo l'agenzia di stampa del 15 ottobre 2026, la Cassa pensioni della Città di Zurigo e quella della Posta hanno indicato che dati personali erano stati sottratti presso un prestatore esterno. Gli averi e il versamento delle rendite non erano toccati. Anche la cassa zurighese ha sporto denuncia penale.

La stampa ha citato anche la Cassa pensioni bernese e la Cassa d'assicurazione del corpo insegnante bernese. Il 20 ottobre 2026, la Cassa pensioni bernese scriveva di non sapere ancora se i dati dei suoi assicurati fossero fuoriusciti. Ha sporto denuncia il 19 ottobre 2026. Invia i documenti di iscrizione al suo portale esclusivamente per posta.

Che cosa prevede la legge

La legge federale sulla protezione dei dati (LPD) distingue il titolare del trattamento e il responsabile del trattamento. Il responsabile tratta dati per conto del titolare.

L'art. 8 LPD obbliga il titolare e il responsabile a garantire, con provvedimenti tecnici e organizzativi appropriati, una sicurezza dei dati adeguata al rischio.

L'art. 9 LPD permette di affidare un trattamento a un responsabile del trattamento per contratto o per legge, se questi effettua soltanto i trattamenti che il titolare avrebbe il diritto di effettuare. Il titolare deve assicurarsi che il responsabile possa garantire la sicurezza dei dati. Un ulteriore affidamento a un terzo esige l'autorizzazione preventiva del titolare.

L'art. 24 cpv. 1 LPD obbliga il titolare a notificare quanto prima all'IFPDT una violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata. La notifica indica almeno il tipo di violazione, le sue conseguenze e le misure disposte o previste.

L'art. 24 cpv. 3 LPD obbliga il responsabile a informare quanto prima il titolare su ogni violazione della sicurezza dei dati.

L'art. 24 cpv. 4 LPD obbliga il titolare a informare la persona interessata se ciò è necessario per proteggerla, oppure se lo esige l'IFPDT. Può limitare questa informazione, differirla o rinunciarvi. È il caso, in particolare, se l'informazione è garantita in modo equivalente con una comunicazione pubblica.

Una notifica effettuata in base all'art. 24 può essere usata in un procedimento penale contro la persona soggetta all'obbligo di notifica soltanto con il suo consenso.

L'IFPDT esamina il quadro di queste comunicazioni. Non lo ha ancora qualificato.

Che cosa l'indagine non decide

L'indagine formale non è un giudizio. Non constata ancora una violazione. Non fissa alcuna multa. Non dice quali persone sono interessate.

Non riguarda tutte le casse pensioni della Svizzera. Riguarda PK Softech AG, per dati di diversi istituti ai quali questa impresa forniva software.

Publica non ha alcun indizio di una pubblicazione nel dark web. Articoli di stampa del 20 ottobre 2026 hanno evocato dati di ex consiglieri federali e un ricatto. L'IFPDT non conferma questo racconto. Il procedimento è in corso.

Il numero AVS, il salario e l'IBAN sono dati personali. L'indagine non li colloca, da sola, tra i dati personali degni di particolare protezione della LPD. Questi dati riguardano in particolare la salute, le opinioni, la biometria o i procedimenti penali.

Le denunce penali riguardano il cyberattacco. Non sono la decisione dell'IFPDT.

Domande frequenti

• L'avere di previdenza è bloccato? Publica scrive di no. I suoi sistemi di produzione non sono toccati. La rendita continua a essere versata. La Cassa pensioni della Città di Zurigo ha detto che i suoi averi e il versamento delle rendite non erano toccati.
• Si può già sapere se si è interessati? Publica non lo sa ancora. Informerà direttamente le persone non appena potrà identificarle.
• Quali dati possono essere fuoriusciti presso Publica? Il nome, l'indirizzo, la data di nascita, il numero AVS, il telefono, l'indirizzo di posta elettronica e dati di previdenza possono esserlo. Per i beneficiari di rendite può esserlo anche l'IBAN. L'elenco delle persone non è stabilito.
• L'IFPDT ha già sanzionato PK Softech? No. L'indagine del 22 ottobre 2026 è aperta. Non fissa né una violazione né una multa.
• Tutte le casse svizzere sono toccate? No. L'IFPDT parla di diversi grandi istituti clienti di questo fornitore, tra cui Publica.
• I dati sono pubblicati nel dark web? Publica scrive di non averne alcun indizio.
• Bisogna rispondere a un messaggio che chiede un IBAN o una password? Publica chiede di non rispondere. La Cassa pensioni bernese invia i documenti del suo portale solo per posta.
• La notifica all'IFPDT vale come ammissione in un procedimento penale? No. Una notifica effettuata in base all'art. 24 LPD può essere usata in un procedimento penale contro la persona soggetta all'obbligo di notifica soltanto con il suo consenso.

Il piano Basic di Avocados AI costa CHF 4.99 al mese, il prezzo di un caffè. Serve a ordinare i messaggi della cassa pensioni, le comunicazioni ricevute e le domande da porre. Non sostituisce l'esame del caso da parte di un avvocato. La guida sulla protezione dei dati svizzera riprende il quadro della sicurezza dei dati e della notifica all'Incaricato.

Fonti

Incaricato federale della protezione dei dati e della trasparenza, comunicazione del 23 ottobre 2026. Cassa pensioni della Confederazione Publica, informazioni sul cyberattacco e denuncia penale del 15 ottobre 2026. Agenzia di stampa, 15 ottobre 2026. Cassa pensioni bernese, comunicato del 20 ottobre 2026. Legge federale sulla protezione dei dati, art. 8, 9 e 24. Fa fede solo la pubblicazione ufficiale.