Rapporto sui risultati

drebbe introdotto un elenco perlomeno esemplificativo, specialmente nell’ottica delle conseguenze penali³³⁹. Singoli partecipanti chiedono anche di autorizzare modelli di valutazioni d’impatto sulla protezione dei dati, ad esempio per software standard, o che tali valutazioni siano sostituite da codici di condotta³⁴⁰. Inoltre vengono auspicate agevolazioni per le PMI³⁴¹ o le organizzazioni di utilità pubblica³⁴². Un partecipante approva il criterio del rischio elevato³⁴³. Un partecipante ritiene addirittura che la valutazione d’impatto sulla protezione dei dati vada ripetuta periodicamente o in caso di modifica del rischio ed effettuata per ogni legge³⁴⁴. Tre Cantoni reputano troppo vaga l’espressione «rischio elevato»³⁴⁵. Un partecipante³⁴⁶ auspica che il Consiglio federale la definisca. Un altro partecipante³⁴⁷ ritiene che una valutazione d’impatto debba essere effettuata prima di ogni trattamento.

Capoversi 3 e 4

Secondo alcuni pareri³⁴⁸, la consultazione preventiva così come prevista dall’articolo 8bis della Convenzione STE 108 e dall’articolo 28 della direttiva (UE) 2016/680 non è attuata in misura sufficiente. Diversi partecipanti³⁴⁹ ritengono che questi due capoversi si spingano troppo oltre, specialmente per quanto riguarda la comunicazione all’IFPDT, prevista né dalla Convenzione né dal diritto europeo. Anche in questo caso si chiede quindi di non introdurre norme più restrittive di quelle europee. Un partecipante teme un numero eccessivo di comunicazioni all’IFPDT, il che sarebbe controproducente. La comunicazione dovrebbe limitarsi ai casi in cui il rischio è elevato anche dopo l’adozione delle misure appropriate³⁵⁰. Alcuni propongono di esentare del tutto dall’obbligo di comunicazione previsto al capoverso 3 le imprese che hanno designato un consulente per la protezione dei dati³⁵¹. Il termine di tre mesi è infine considerato troppo lungo da un numero considerevole di partecipanti³⁵², che chiedono di ridurlo uniformandolo al diritto europeo. Un partito politico³⁵³ dubita d’altro canto che l’IFPDT sia in grado di rispettare il termine di tre mesi.

Articolo 17 Notificazione di violazioni della protezione dei dati

Alcuni partecipanti³⁵⁴ approvano questa disposizione. Un Cantone³⁵⁵, per contro, esprime un certo scetticismo, mentre un altro partecipante³⁵⁶ ne chiede la soppressione.

Capoverso 1

Secondo un numero notevole di pareri, la nozione di «violazione della protezione dei dati» va definita nella legge³⁵⁷. Circa la metà dei partecipanti che si sono espressi al riguardo ritiene che la disposizione non dovrebbe andare oltre il diritto europeo: in particolare si auspica di innalzare la soglia dell’obbligo di notifica, da effettuarsi peraltro non «senza indugio» ma