Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

ché possa inoltrare le relative indicazioni ai clienti interessati, consentendo loro così di adottare misure per impedire ulteriori abusi e, in presenza di reati, di denunciarli.

Nel capoverso 2 viene accordata la competenza per il trattamento dei dati per dati personali connessi con procedimenti e sanzioni di carattere amministrativo o penale. Conformemente all’articolo 3 lettera c numero 4 LPD, simili dati personali sono considerati dati personali degni di particolare protezione e, in virtù dell’articolo 17 capoverso 2 LPD, gli organi federali necessitano di una base legale formale per poterli trattare. Lo scambio di informazioni su infrastrutture criminali e abusi di elementi d’indirizzo può essere necessario per sventare pericoli o individuare incidenti. Anche se non viene comunicato il fatto che è stata avviata una procedura riguardante un elemento d’indirizzo o che è stata inflitta una sanzione, dall’indicazione che un elemento d’indirizzo è stato utilizzato per scopi criminali la persona che riceve l’informazione può dedurre che è in corso un procedimento in tal senso. Con la competenza stabilita in questo capoverso si intende impedire che questo scambio non possa più avere luogo appena viene avviata un’inchiesta penale o una sanzione amministrativa riguardo a un elemento d’indirizzo.

Il capoverso 3 concede a gestori di mezzi TIC e fornitori di servizi TIC la possibilità di comunicare volontariamente ai servizi competenti di cui all’articolo 81 informazioni connesse con pericoli e incidenti nell’ambito della sicurezza tecnica delle informazioni. In virtù di questa disposizione, per sventare pericoli e di conseguenza per impedire danni essi possono dare indicazioni in merito alle prestazioni di servizi, alle trasmissioni e ad altre operazioni effettuate. Essa consente loro anche il trattamento conforme al diritto di corrispondenti dati personali. Poiché, mediante una simile comunicazione di dati, in un eventuale procedimento può essere pregiudicata la tutela di diritti di difesa, i dati così acquisiti non sono utilizzabili a fini giudiziari. Ai procedimenti giudiziari continuano ad applicarsi le rispettive norme per l’assunzione delle prove.

Art. 83

Il Consiglio federale deve disciplinare a livello di ordinanza la ripartizione dei compiti e la collaborazione tra i servizi che assumono i compiti di cui all’articolo 81. Essi devono presentarsi compatti nei confronti dei gestori di infrastrutture critiche. Viceversa, il Consiglio federale è libero di organizzare come vuole al loro interno questi servizi, affinché possano assumere i compiti della Confederazione nel modo più efficiente possibile. Nella futura legge federale sulle attività informative sono previste competenze di quest’ultimo nel campo della protezione delle infrastrutture critiche. Il Consiglio federale deve potere stabilire nel dettaglio la ripartizione dei compiti e la collaborazione pertinenti. In ragione delle particolarità che comporta il trattamento di informazioni di intelligence, il Consiglio federale deve disciplinare nello specifico il loro scambio tra servizi federali e la loro comunicazione ai gestori di infrastrutture critiche. I servizi competenti non vanno necessariamente collocati nel medesimo dipartimento. Per creare trasparenza e garantire certezza del diritto, il Consiglio federale disciplina il trattamento di dati e lo scambio di dati tra questi servizi nonché la sicurezza dei dati da considerare in proposito.

2.1.6 Organizzazione ed esecuzione

Art. 84

In merito al ruolo degli incaricati della sicurezza delle informazioni, si veda il numero 1.3.2.1.

Capoverso 1: in ragione della necessità preponderante di una direzione integrale dell’attuazione della presente legge, la legge interviene nell’autonomia organizzativa delle autorità. Chiede che, per il proprio ambito di competenza, le autorità assoggettate nonché i dipartimenti e la Cancelleria federale provvedano a designare un incaricato della sicurezza delle informazioni (a livello internazionale: Chief Information Security Officer, CISO) e un’adeguata supplenza. Poiché, da un lato, un’efficace direzione integrale della sicurezza delle informazioni presuppone conoscenze politiche, giuridiche, organizzative e anche tecniche e, dall’altro, gli incaricati della sicurezza delle informazioni devono assumere moltissimi compiti, l’attuazione pratica esige che almeno due persone per autorità assumano questi compiti. Non viene tuttavia richiesto che entrambe le persone siano impiegate a tempo pieno per tale scopo.

Il Consiglio federale stesso deve, parimenti, designare i propri incaricati della sicurezza delle informazioni. Per contro, a motivo del suo limitato effettivo di personale, l’autorità di vigilanza sul Ministero pubblico della Confederazione non va obbligata in tal senso. I tribunali della Confederazione non vengono indicati singolarmente perché sarebbe sproporzionato esigere simili servizi dai tribunali con un effettivo di personale relativamente esiguo (p. es. Tribunale federale dei brevetti e Tribunale militare di cassazione). La legge ammette dunque che, ad esempio, i tribunali della Confederazione possano designare un organo e un relativo sostituto unici per tutti i tribunali oppure scelgano un approccio diverso che preservi l’autonomia delle autorità. Anche gli Uffici federali e l’Amministrazione federale decentralizzata non vengono obbligati dalla legge a designare un incaricato della sicurezza delle informazioni. Nell’ambito dell’adempimento del suo obbligo