Rapporto OCPD

ti di dati (art. 4 cpv. 1 lett. b), ma viene comunque utilizzato un marchio di qualità indicante una certificazione completa.

Tale sanzione è altresì prevista nella guida ISO/IEC 62, determinante per l’accreditamento (in futuro ISO/IEC 17021⁴; n. 3.7.3, nota 6). Si tratta quindi di una norma dichiarativa che per motivi di chiarezza andrebbe sancita nell’ordinanza. La sospensione e la revoca non vanno pertanto disciplinate nei particolari in questa sede. Da notare inoltre che la presente disposizione non delega ai certificatori la competenza di emanare decisioni. Il capoverso 2 specifica infine che nei casi di controversia sia la procedura sia il giudizio materiale si basano sulle pertinenti disposizioni del diritto contrattuale.

10. Procedura applicabile alle misure di sorveglianza dell’IFPDT (art. 10)

La certificazione della protezione dei dati riguarda in primo luogo i rapporti giuridici tra privati, per principio retti dal diritto privato. Ciò riflette il concetto di autoregolazione: la certificazione si affida ai meccanismi del mercato per ottimizzare l’attuazione del diritto in materia di protezione dei dati.

L’IFPDT non potrà quindi intervenire direttamente in questo rapporto giuridico di diritto privato, ma se riscontra gravi irregolarità mentre svolge i suoi compiti di sorveglianza, deve avere la facoltà di imporre il rispetto delle disposizioni legali. L’articolo 10 descrive la procedura da seguire in questi casi. L’IFPDT non è comunque autorizzato a sospendere o revocare la certificazione.

Se rileva un inadempimento delle condizioni essenziali per la certificazione della protezione dei dati oppure l’utilizzo ingannevole o abusivo della certificazione, l’IFPDT dovrà dapprima rivolgersi all’organismo di certificazione competente, informandolo delle irregolarità riscontrate (cpv. 1). Compete quindi all’organismo di certificazione di intervenire presso l’ente certificato e di provvedere a che vengano adottate le misure necessarie. Se l’ente certificato non pone rimedio alla situazione entro 30 giorni, l’organismo di certificazione sospende la certificazione. La certificazione va revocata se, scaduto anche questo termine, appare improbabile che venga a crearsi o venga ripristinata in tempo utile una situazione conforme alla legge (cpv. 3). Per tempo utile si intende un periodo massimo di tre mesi.

Se i problemi persistano nonostante l’intervento dell’organismo di certificazione e se questo non procede alla sospensione o alla revoca, l’IFPDT deve formulare una raccomandazione secondo l’articolo 27 capoverso 4 o l’articolo 29 capoverso 3 LPD. Può rivolgere la raccomandazione all’ente certificato oppure all’organismo di certificazione, in funzione della loro responsabilità nelle irregolarità. Se indirizza la raccomandazione all’organismo di certificazione, deve informarne il Servizio di accreditamento svizzero in qualità di autorità di sorveglianza. Se la raccomandazione è respinta o non le è dato seguito, l’IFPDT può adire le vie legali⁵ deferendo la pratica per decisione al Tribunale amministrativo federale e ricorrendo, se del caso, al Tribunale federale.

Se le irregolarità sono particolarmente gravi (ad es. l’organismo di certificazione è stato indotto con l’inganno a concedere una certificazione o vengono utilizzati certificati falsi), andrebbe accertato se nel caso specifico sussiste una fattispecie penale (truffa, inganno, ecc.).