Rapporto OCPD

Dipartimento federale di giustizia e polizia DFGP

Ufficio federale di giustizia UFG

Divisione principale del diritto pubblico

Divisione Progetti e metodologia legislativi

Avamprogetto di ordinanza sulle procedure di certificazione della protezione dei dati: commento

L’avamprogetto concretizza l’articolo 11 capoverso 2 della modifica del 24 marzo 2006 della legge federale sulla protezione dei dati (LPDriv)¹, secondo cui il Consiglio federale emana disposizioni sul riconoscimento delle procedure di certificazione e sull’introduzione di un marchio di qualità inerente alla protezione dei dati. L’avamprogetto riprende il modello di certificazione abbozzato nel messaggio concernente la revisione della LPD (FF 2003 1885, in particolare pag. 1917 segg.). Sono sottoposti a certificazione l’organizzazione e la procedura della protezione dei dati (sistema di gestione della protezione dei dati; SGPD) nonché i prodotti (programmi e i sistemi). Il requisito fondamentale per gli organismi di certificazione consiste nell’accreditamento, che garantisce il controllo uniforme dei certificatori e permette di ridurre fortemente le necessità normative. L’ordinanza definisce inoltre alcuni requisiti minimi riguardanti gli organismi di certificazione e la procedura di certificazione.

In vista dell’introduzione del marchio di qualità inerente alla protezione dei dati sono state esaminate due opzioni:

• rinuncia a un marchio di qualità ufficiale: i privati (in particolare gli organismi di certificazione) sarebbero liberi di definire i loro marchi di qualità e di concederli in uso agli enti certificati – in genere incassando diritti di licenza. Nell’ordinanza vengono disciplinati unicamente i requisiti di certificazione comuni a tutti i marchi di qualità;

• definizione di un marchio di qualità ufficiale: nell’ordinanza verrebbe definito un marchio di qualità ufficiale a libera disposizione degli enti certificati. Tale opzione non comporta tuttavia la certificazione da parte di un ente statale. Il marchio di qualità ufficiale costituirebbe una specie di «servizio infrastrutturale» accessorio ad eventuali marchi di qualità privati.

In entrambi i casi è inoltre ipotizzabile l’istituzione di un organismo misto. Tale soluzione è però stata esclusa per mancanza di risorse.

La rinuncia a un marchio di qualità ufficiale s’imporrebbe soprattutto per un ragionamento di fondo: introducendo la certificazione della protezione dei dati, s’intende migliorare l’applicazione delle relative leggi nel settore privato. Un marchio privato rispecchierebbe in modo adeguato la parziale «privatizzazione» dei controlli. Un altro vantaggio di questa opzione consiste nella tutela dell’iniziativa privata in materia di marchi di qualità. Permetterebbe inoltre di ridurre la densità normativa dell’ordinanza. Un ipotetico svantaggio consiste nella proliferazione incontrollata di marchi di qualità inerenti alla protezione dei dati a scapito della trasparenza del mercato. Potrebbero inoltre sorgere difficoltà con i detentori di marchi che non adempiono (più) i requisiti legali.