Avamprogetto OCPD

Certificazione della protezione dei dati

Art. 2 Procedura di accreditamento

Il Servizio di accreditamento svizzero consulta l’Incaricato federale della protezione dei dati e della trasparenza (l’Incaricato) in merito alla procedura di accreditamento e ai controlli.

Art. 3 Organismi di certificazione esteri

¹ Previa consultazione del Servizio di accreditamento svizzero, l’Incaricato ammette gli organismi di certificazione esteri all’esercizio dell’attività sul territorio svizzero, se possono dimostrare di possedere una qualificazione equivalente a quella richiesta in Svizzera.

² Gli organismi di certificazione devono in particolare dimostrare di soddisfare i requisiti di cui all’articolo 1 capoversi 3 e 4 e di conoscere a sufficienza la legislazione svizzera in materia di protezione dei dati.

³ L’Incaricato può rilasciare riconoscimenti limitati nel tempo o vincolarli a condizioni od oneri. Revoca il riconoscimento se non sono adempiti oneri o condizioni determinanti.

Sezione 2: Oggetto e procedura

Art. 4 Certificazione dell’organizzazione e delle procedure

¹ È possibile certificare:

a. l’insieme delle procedure di trattamento dei dati di cui è responsabile un ente;

b. singole procedure di trattamento specifiche.

² Viene valutato il sistema di gestione della protezione dei dati. Tale sistema comprende segnatamente:

a. la politica di protezione dei dati;

b. la documentazione degli obiettivi e delle misure atte a garantire la protezione dei dati e la sicurezza dei dati;

c. i provvedimenti organizzativi e tecnici finalizzati a realizzare gli obiettivi e le misure fissate, in particolare i provvedimenti tesi a rimediare alle irregolarità riscontrate.

³ I requisiti minimi del sistema di gestione della protezione dei dati sono disciplinati dalle norme internazionali su come impostare, gestire, sorvegliare e ottimizzare i sistemi di gestione, segnatamente per quanto riguarda la sicurezza delle informazioni (standard ISO 27001:2005).

⁴ La deroga all’obbligo di notifica secondo l’articolo 11a capoverso 5 lettera f LPD si applica soltanto a condizione che siano state certificate tutte le procedure di trattamento dei dati cui è destinata una collezione di dati.