Rapporto OLPD

2.5 Consulente per la protezione dei dati (sezione 5)

2.5.1 Designazione del consulente per la protezione dei dati e comunicazione all’Incaricato

(art. 12a AP-OLPD)

Giusta l’articolo 11a capoverso 5 lettera e della LPD rivista, il detentore della collezione non deve dichiarare la sua collezione se ha designato un responsabile della protezione dei dati che controlla autonomamente se le disposizioni interne in materia di protezione dei dati siano rispettate e tiene un inventario delle collezioni. Secondo il messaggio (FF 2003 1919) il Consiglio federale può in particolare prevedere che il detentore della collezione di dati è esentato dall’obbligo di notifica soltanto se ha comunicato all’Incaricato la nomina del responsabile della protezione dei dati.

L’espressione «responsabile della protezione dei dati» nella versione italiana - nonché «Datenschutzverantwortlicher» nella versione tedesca - dell’articolo 11a capoverso 5 lettera e della LPD rivista, non sta a significare che questa persona sia l’unica responsabile del rispetto della protezione dei dati. Come vedremo qui di seguito, il responsabile della protezione dei dati ha soltanto una funzione consultiva e di controllo. La responsabilità spetta in primo luogo agli enti, che devono essere considerati i detentori di una collezione di dati e quindi responsabili dei trattamenti effettuati con i dati personali in questione. L’espressione francese «conseiller à la protection des données» è quindi più corretta (art. 11 cpv. 5 lett. e LPD). Per questo motivo nella versione italiana figura l’espressione «consulente per la protezione dei dati» e in quella tedesca «betrieblicher Datenschutzberater».

Per attuare l’articolo 11a capoverso 5 lettera e LPD, l’articolo 12a capoverso 1 AP-OLPD prevede che se il detentore della collezione di dati vuole essere esonerato dall’obbligo di notifica, deve designare un consulente per la protezione dei dati che soddisfi le condizioni di cui agli articoli 12a e12b AP-OLPD e informarne l’Incaricato.

Giusta il capoverso 2 il detentore della collezione può assegnare la funzione di consulente per la protezione dei dati a un suo collaboratore. Il suo rango gerarchico è di principio irrilevante. Al fine di garantire la sua indipendenza, sarebbe tuttavia opportuno che la persona designata fosse direttamente subordinata all’organo direttivo del detentore della collezione di dati. Il consulente per la protezione dei dati può anche essere un terzo. Se questo è il caso, sarà possibile garantire in modo migliore il principio d’indipendenza previsto dalla LPD.

Il principio d’indipendenza del consulente per la protezione dei dati è sancito dall’articolo 12a capoverso 2 secondo periodo. Secondo questa disposizione, il detentore della collezione deve designare una persona che non eserciti attività inconciliabili con la sua funzione di consulente per la protezione dei dati. Vi è ad esempio inconciliabilità se il consulente è nel contempo un membro della direzione, se esercita funzioni negli ambiti riguardanti la gestione delle risorse umane, l’amministrazione dei sistemi d’informazione o le tecnologie dell’informazione oppure se fa parte di un ente che tratta dati sensibili. Per contro, non sono di principio inconciliabili le attività di consulente per la protezione dei dati e di incaricato della sicurezza informatica o del servizio giuridico.

Il principio d’indipendenza non deve essere osservato soltanto dal detentore della collezione di dati, ma anche dal consulente per la protezione dei dati. Il capoverso 2 obbliga infatti quest’ultimo a non esercitare attività suscettibili di entrare in conflitto con i compiti che esegue per conto del detentore della collezione.