Rapporto OCPD

2. Coinvolgimento dell’IFPDT nella procedura di accreditamento (art. 2)

La disposizione concretizza l’articolo 11 capoversi 1 e 2 OAccD.

3. Riconoscimento di organismi di certificazione esteri (art. 3)

I requisiti e le procedure internazionali per l’accreditamento nell’ambito della protezione dei dati non sono (ancora) stati uniformati. Il riconoscimento di organismi di certificazione esteri va pertanto disciplinato in questa sede. La disposizione rispecchia l’articolo 29 dell’ordinanza sull’agricoltura biologica.

4. Certificazione di sistemi di gestione della protezione dei dati (art. 4)

4.1 Cenni generali

Il capoverso 1 opera una chiara distinzione tra i vari oggetti di audit o di certificazione.

Il capoverso 2 contiene una descrizione generale dell’oggetto valutato nell’ambito della procedura di audit. Viene definito il contenuto del SGDP, prima tra tutte la politica di protezione dei dati, un documento di base che traccia a grandi linee i principi della protezione dei dati nell’ente in questione e attesta l’impegno assunto in questo ambito; descrive l’impostazione delle misure organizzative finalizzate a garantire il rispetto delle norme legali e di eventuali altre disposizioni applicabili in materia. Tale politica fornisce gli elementi per attuare nel dettaglio le disposizioni in materia di protezione dei dati e di eventuali standard internazionali di «buona pratica» nell’ambito della protezione e della sicurezza dei dati. Sono inoltre oggetto della procedura di audit i provvedimenti adottati dal responsabile del trattamento dei dati per realizzare gli obiettivi e le misure fissate in tale ambito. L’accento è posto sull’istituzione di procedure per porre rimedio ai problemi e alle irregolarità riscontrate.

Il capoverso 4 precisa quanto enunciato all’articolo 11a capoverso 5 LPDriv, specificando che la deroga all’obbligo di notifica di una collezione di dati è ammessa unicamente se sono stati certificati tutti i trattamenti effettuati nell’ambito della sua finalità e per mezzo dei dati in essa contenuti.

4.2 Requisiti minimi del sistema di gestione della protezione dei dati (SGPD)

4.2.1 Il SGPD come sistema organizzativo

Il capoverso 3 rinvia ai requisiti minimi che il SGPD deve adempire e cita lo standard ISO 27001 per la sicurezza informatica². Evidentemente la protezione dei dati e la sicurezza informatica sono strettamente correlate; inoltre il SGPD funziona allo stesso modo dei sistemi standardizzati impiegati in altri settori. L’integrazione in un sistema esistente (ad es. in un sistema di gestione della qualità) non pone quindi particolari problemi.

Alla stregua di altri sistemi di gestione dello stesso tipo, il SGPD si basa sul modello PDCA (Plan – Do – Check – Act = pianificare – attuare – verificare – agire oppure impostare – gestire – sorvegliare – ottimizzare). Lo scopo è la continua ottimizzazione della protezione dei dati nell’ente in questione.