Rapporto OCPD

Lo stesso principio vale anche per la certificazione dei prodotti (cpv. 3): una volta certificati, vanno verificati a intervalli di due anni; se hanno subito modifiche atte a influire sul trattamento dei dati personali, la certificazione va ripetuta senza indugio (guida ISO/IEC 65, n. 13). Nel caso di modifiche di lieve entità è sufficiente una verifica sommaria.

Una volta scaduta la validità, è necessario ripercorrere l’intera procedura per riottenere la certificazione.

7. Riconoscimento di certificazioni estere della protezione dei dati (art. 7)

Pare opportuno prevedere un meccanismo che permetta di riconoscere le certificazioni estere della protezione dei dati. In tal modo, anche gli enti certificati all’estero potrebbero chiedere una deroga all’obbligo di notifica delle loro collezioni di dati. È ad esempio il caso di un’impresa che si sottopone alla certificazione in Germania, ma le cui sedi in Svizzera sono egualmente toccate dalla procedura di certificazione. L’IFPDT deve valutare se i criteri di certificazione corrispondono, sul piano materiale, ai requisiti della legislazione svizzera.

8. Comunicazione dell’esito della procedura di certificazione all’IFPDT (art. 8)

La disposizione cita l’articolo 11a capoverso 5 lettera f LPDriv ed elenca i documenti da inoltrare all’IFPDT per adempire ai requisiti richiesti. Le informazioni da inserire nel rapporto di valutazione e nei documenti di certificazione sono definite nella guida ISO/IEC 62, n. 3.4 e 3.5. Nei documenti di certificazione figurano l’organismo che ha effettuato la certificazione, il fondamento giuridico della certificazione, i processi o servizi certificati, come pure la validità e la scadenza della certificazione. Il rapporto di valutazione contiene inoltre informazioni particolareggiate sulla conformità del SGPD e i requisiti di certificazione; vanno in particolare specificate le non conformità. Vi possono essere riportati anche dati comparativi di audit precedenti, e vanno segnalate eventuali divergenze sorte tra l’organismo di certificazione e l’ente certificato.

A tale proposito va rilevato che se gli accertamenti lo richiedono, l’IFPDT può, nell’ambito della sua attività di sorveglianza secondo gli articoli 27 e 28 LPD, consultare altri documenti relativi alla certificazione, ad es. il rapporto di valutazione.

Dal rimando all’articolo 4 si evince che la deroga all’obbligo di notificare una collezione di dati è ammessa unicamente se ad essere certificato è il SGPD. Non basta infatti che il responsabile del trattamento o il detentore della collezione di dati impieghino prodotti certificati, perché ciò non è sufficiente a garantire il pieno rispetto della normativa in materia di protezione dei dati. La presente disposizione esplicita il contenuto dell’articolo 11a capoverso 5 lettera f LPDriv in relazione all’articolo 11 capoverso 1 LPDriv.

9. Sospensione e revoca della certificazione (art. 9)

L’organismo di certificazione può sospendere o revocare la certificazione della protezione dei dati se, nel corso delle verifiche periodiche o in occasione della ricertificazione, emergono gravi irregolarità. Una grave irregolarità è data in particolare quando vengono infranti requisiti essenziali per la certificazione dei dati. Sarebbe ad esempio il caso se si dovesse constatare a più riprese che non sono adempiti i requisiti della documentazione (cfr. n. 4.2.2) o che non vengono effettuate le valutazioni da parte della direzione (cfr. n. 4.2.2). Costituisce un’altra grave irregolarità l’uso abusivo di una certificazione, ad esempio quando sono stati certificati soltanto singoli trattamen-