Rapporto sui risultati

Swico propone di coinvolgere l’Incaricato non soltanto per la procedura di accreditamento e i controlli bensì esplicitamente anche per la sospensione e la revoca dell’accreditamento.

5.2.3 Organismi di certificazione esteri (art. 3)

L’Incaricato è del parere che la LDP non gli conferisce alcun potere di disposizione e non è possibile introdurre mediante ordinanza detto potere, neppure in modo limitato. La facoltà di decidere in merito al riconoscimento andrebbe dunque attribuita al SE-CO o all’Ufficio federale di giustizia; preliminarmente andrebbe consultato l’Incaricato.

La SGS ritiene incomprensibile il motivo per cui è stato previsto un articolo specifico riguardante gli organismi di certificazione esteri. Detta organizzazione è del parere che i requisiti inerenti all’accreditamento siano già disciplinati in modo sufficientemente chiaro.

5.3 Oggetto e procedura (Sezione 2)

5.3.1 Certificazione dell’organizzazione e delle procedure (art. 4)

L’Incaricato e cinque organizzazioni (Datenschutzforum, SGS, swico, FER, privatim) si sono pronunciati in merito al capoverso 3, che fissa i requisiti minimi della gestione della protezione dei dati (SGPD). Essi sono del parere che il rinvio alla norma ISO 27001: 2005 non sia sufficiente.

Innanzitutto è stato fatto notare che la certificazione della protezione dei dati non deve riguardare soltanto la sicurezza delle informazioni bensì anche l’attuazione corretta dei principi alla base della protezione dei dati (Datenschutzforum, SGS; cfr. parimenti supra n. 6.1.1). A tal proposito la norma ISO menzionata in precedenza non contiene requisiti concreti, inoltre i requisiti di un SGPD (sistema di gestione della protezione dei dati) elencati al capoverso 2 contribuiscono soltanto in minima parte ad attuare concretamente i principi della protezione dei dati (swico). L’Incaricato chiede che gli venga attribuita la facoltà di emanare direttive come nel caso della certificazione dei prodotti (cfr. art. 5 cpv. 3). Privatim condivide il parere espresso dall’Incaricato.

È stato inoltre rilevato che, nel caso della certificazione delle organizzazioni e delle procedure, rivestono un ruolo importante anche i sistemi di gestione della qualità, motivo per cui occorre rinviare anche alla norma ISO 9001 (privatim, Belser).

La FER considera la disposizione prevista dall’articolo 4 capoverso 3 non sufficientemente chiara. Un’impresa che auspica ottenere una certificazione può evincere i requisiti da adempiere soltanto procurandosi la norma ISO o consultando il commento relativo all’ordinanza. Inoltre i requisiti sono troppo restrittivi, motivo per cui la procedura di certificazione rischia di rimanere lettera morta.