Rapporto OCPD

Vanno predisposte e gestite registrazioni (audit log, ecc.) che dimostrino il buon funzionamento e la conformità ai requisiti del SGPD.

Alla direzione incombono varie responsabilità: deve in particolare sviluppare la politica di protezione dei dati, definire i ruoli e le competenze in materia di protezione dei dati, decidere il livello di rischio accettabile per la sicurezza dei dati e procedere alle ottimizzazioni. Deve inoltre mettere a disposizione le risorse occorrenti per mantenere un’adeguata protezione dei dati attraverso la corretta applicazione di tutte le misure implementate e per potenziare, se necessario, l’efficacia del SGPD. La direzione provvede altresì a un’adeguata sensibilizzazione del personale e a una formazione valida in materia di protezione dei dati. Deve verificare e valutare il SGPD a intervalli massimi di un anno per assicurarne e migliorarne l’adeguatezza e l’efficacia; a tale scopo prende in considerazione tra l’altro i risultati degli audit interni del SGPD, l’esito delle misurazioni dell’efficacia e le modifiche interne ed esterne suscettibili di incidere sul SGPD. Tale revisione della direzione persegue vari obiettivi: aggiornare la valutazione dei rischi e del piano per gestire i rischi alla sicurezza dei dati, modificare le procedure a garanzia della protezione dei dati nel rispetto delle esigenze (se richiesto da eventi interni o esterni), individuare la necessità di risorse e ottimizzare i parametri per valutare l’efficacia delle misure.

5. Certificazione di prodotti (art. 5)

5.1 Cenni generali

Il capoverso 1 definisce i prodotti che possono essere certificati. Una certificazione della protezione dei dati non appare opportuna soltanto per prodotti di per sé finalizzati al trattamento dei dati, ma conviene anche per quelli il cui utilizzo genera dati personali, quali ad esempio i browser, i software per la gestione di server web, le applicazioni per la gestione di siti Internet o i sistemi logistici basati su tecnologie RFID o GPS.

Il capoverso 2 lettera a si riferisce alle misure tecniche risultanti segnatamente dall’articolo 8 OLPD. Uno standard internazionale in materia è costituito dai «Common Criteria» (CC 2.1/ISO 15408) e dai profili di protezione per specifiche categorie di prodotti che definiscono determinati requisiti di sicurezza. I requisiti concreti derivanti da tale disposizione dipendono dallo stato attuale della tecnica.

La lettera b formula il requisito della parsimonia e della non eccedenza dei dati, che concretizza il principio della proporzionalità stabilito dal diritto in materia di protezione dei dati (art. 4 cpv. 2 LPD).

La lettera c si riferisce alla trasparenza delle procedure di trattamento che il prodotto deve garantire. L’utente deve essere in grado di riconoscere i dati personali trattati, le modalità del trattamento e i destinatari delle trasmissioni. I requisiti dipenderanno dalla cerchia di utenti ai quali si indirizza il prodotto; saranno quindi più elevati per un prodotto destinato a un ampio pubblico, e più blandi per un prodotto utilizzato soltanto da specialisti. Vanno verificati i trattamenti automatizzati che un prodotto effettua nell’ambito delle funzionalità per le quali è stato concepito. Se si tratta di un prodotto o sistema aperto, che può essere utilizzato per finalità diverse o configurato in vari modi, occorre verificare che l’utente non possa semplicemente eludere o disattivare i meccanismi tesi a garantire la trasparenza.

5.2 Requisiti minimi per l’esame dei prodotti

Il capoverso 3 stabilisce che l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) emana direttive sui criteri minimi specifici per la protezione dei dati da verificare nell’ambito della certificazione di un prodotto. Contrariamente a quanto