Avamprogetto OCPD

Ordinanza

Art. 5 Certificazione di prodotti

¹ Possono essere certificati i prodotti software oppure i prodotti software abbinati a determinati prodotti hardware destinati in prevalenza al trattamento di dati personali oppure generanti dati personali, in particolare relativi all’utente.

² Viene segnatamente verificato che il prodotto o il sistema garantisca:

a. le misure tecniche indispensabili allo scopo d’utilizzo del prodotto finalizzate ad assicurare la riservatezza, l’integrità, la disponibilità e l’autenticità dei dati personali trattati;

b. la rinuncia a generare, memorizzare o altrimenti trattare dati personali, per quanto lo scopo d’utilizzo del prodotto non lo richieda;

c. la trasparenza e la riproducibilità dei trattamenti automatizzati dei dati personali nell’ambito delle funzionalità stabilite dal fabbricante di un prodotto.

³ L’Incaricato emana direttive sui criteri minimi specifici per la protezione dei dati da verificare nell’ambito della certificazione di un prodotto.

Art. 6 Rilascio e validità della certificazione della protezione dei dati

¹ La certificazione è rilasciata se dalla procedura risulta che, in base ai criteri applicati dall’organismo di certificazione per la valutazione o l’esame dei prodotti, sono soddisfatti i requisiti legali in materia di protezione dei dati e gli altri requisiti derivanti dagli allegati 1 e 2. La certificazione può essere vincolata a oneri o condizioni.

² La certificazione di un sistema di gestione della protezione dei dati è valida tre anni. L’organismo di certificazione verifica ogni anno, in via sommaria, se le condizioni determinanti per la certificazione continuano a essere adempite.

³ La certificazione di un prodotto è valida due anni. Un prodotto che subisce modifiche deve essere certificato di nuovo.

Art. 7 Riconoscimento di certificazioni estere della protezione dei dati

Dopo aver consultato il Servizio di accreditamento svizzero, l’Incaricato riconosce le certificazioni estere purché sia garantito l’adempimento dei requisiti della legislazione svizzera.

Art. 8 Comunicazione dell’esito della procedura di certificazione

¹ L’ente certificato che comunica all’Incaricato l’esito positivo della certificazione secondo l’articolo 4 per ottenere la deroga dall’obbligo di notifica della collezione di dati secondo l’articolo 11a capoverso 5 lettera f LPD deve presentare i seguenti documenti, se ne viene fatta richiesta:

a. rapporto di valutazione;

b. documenti di certificazione.