Rapporto sui risultati

4.5 Regolamento per il trattamento (art. 11)

Un’organizzazione (Datenschutzforum) accoglie favorevolmente il fatto che il contenuto del regolamento sia descritto in modo più preciso.

Bär&Karrer propone non soltanto un rinvio al capoverso 3 bensì anche al capoverso 5 dell’articolo 11a LPD. Ritiene inoltre che il detentore di una collezione di dati dovrebbe avere l’obbligo di stendere un regolamento soltanto se il principio della trasparenza lo esige. Propone dunque la formulazione seguente : « Nella misura in cui il principio della trasparenza lo richiede, il detentore di una collezione di dati automatizzata sottoposta a notifica (art. 11a cpv. 3 e 5 LPD) elabora un regolamento che descrive in particolare (…)». Propone infine di sostituire «collezione di dati automatizzata» con «collezione di dati».

Per privatim occorre allestire un regolamento per il trattamento per tutte le collezioni di dati conformemente all’articolo 11a capoverso 3 LPD. Il criterio dell’obbligo di notifica non è decisivo dal punto di vista della protezione dei dati. Se un’impresa dovesse disporre di un responsabile della protezione dei dati, sarebbe esonerata dall’obbligo di notifica, motivo per il quale non sarebbe neppure necessario metterle a disposizione un regolamento per il trattamento.

Per poter tenere conto meglio della struttura delle PMI, un’organizzazione (SDV) propone di precisare al capoverso 1 che il regolamento deve in particolare garantire l’indipendenza a livello di funzione del responsabile della protezione dei dati.

Belser è del parere che il capoverso 2, secondo periodo, può essere stralciato poiché lo si ritrova all’articolo 12b capoverso 2 lettera c dell’avamprogetto di revisione dell’OLDP.

4.6 Responsabile della protezione dei dati (Sezione 5)

4.6.1 Designazione del responsabile della protezione dei dati e comunicazione

all’Incaricato (art. 12a)

Cinque organizzazioni e un privato non sono soddisfatti della terminologia della versione in lingua tedesca per quanto concerne la nozione di «Datenschutzverantwortlicher / Datenschutzberater» (SGS, Datenschutzforum, privatim, RVK, ASA, Belser). Un’unica organizzazione di dichiara espressamente favorevole al termine « Datenschutzberater » (swico).

Il gruppo Mutuel propone di precisare che il responsabile della protezione dei dati deve soddisfare le condizioni di cui all’articolo 12a capoverso 2 e 12b.

Un’organizzazione (SGS) si chiede « in che misura sia data l’indipendenza del responsabile della protezione dei dati se non è richiesta alcuna notifica all’Incaricato federale della protezione dei dati e della trasparenza».

Due organizzazioni (RVK, FER) approvano il fatto che come responsabile della protezione dei dati può essere designato un dipendente del detentore della collezione dei dati o un terzo (art. 12a cpv. 2). La COAI giudica positivamente che il responsabile della protezione dei dati sia definito in quanto funzione.

SDV è del parere che il requisito dell’indipendenza totale a livello organizzativo del responsabile della protezione dei dati può costituire un problema per le PMI. Il fatto che tale funzione possa essere attribuita a più persone è dunque positivo. Tale possibilità andrebbe tuttavia prevista espressamente dall’ordinanza e non soltanto nel