Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

9.3 Ripercussioni informatiche

L’avamprogetto ha un certo numero di ripercussioni sui trattamenti automatizzati dei dati. Il titolare del trattamento deve in particolare garantire che la persona interessata sia informata su tutte le raccolte di dati in Internet che la concernono o su una decisione individuale automatizzata nei suoi confronti. Inoltre, se intende eseguire dei trattamenti che presentano certi rischi deve effettuare una valutazione dell’impatto sulla protezione dei dati e comunicare all’Incaricato i rischi e le misure prese in considerazione. Inoltre, il titolare del trattamento deve di norma adottare le misure adeguate per attuare il principio della protezione fin dalla progettazione e documentare i suoi trattamenti. Deve infine notificare all’Incaricato e, se del caso, anche alla persona interessata determinati casi di violazione della protezione dei dati.

Le ripercussioni informatiche per gli organi federali sono più limitate sotto diversi aspetti.

L’obbligo d’informare la persona interessata, ad esempio, non si applicherà nei casi in cui la decisione automatizzata è prevista dalla legge. Gli obblighi di allestire una valutazione d’impatto e di rispettare di norma il principio della protezione dei dati fin dalla progettazione hanno poche ripercussioni pratiche poiché l’organo federale è già oggi tenuto ad annunciare senza indugio al responsabile della protezione dei dati da esso designato o, in mancanza di tale responsabile, all’Incaricato ogni progetto di trattamento automatizzato di dati personali, affinché le esigenze della protezione dei dati siano immediatamente prese in considerazione (art. 20 cpv. 2 OLPD). La trasposizione dell’articolo 25 della direttiva (UE) 2016/680, che obbliga gli Stati Schengen a disporre che determinati trattamenti siano registrati in sistemi di trattamento automatizzato, ha ripercussioni sui sistemi di trattamento automatizzato di dati tenuti dagli organi federali. L’obbligo di verbalizzazione previsto dall’articolo 10 OLPD deve dunque essere adeguato poiché nel suo tenore attuale si applica unicamente ai trattamenti di dati degni di particolare protezione o di profili della personalità se le misure preventive non sono sufficienti a garantire la protezione dei dati. Al riguardo occorre prevedere una disposizione transitoria, come del resto autorizzato dall’articolo 63 paragrafo 2 della direttiva

(UE) 2016/680. L’obbligo per gli organi federali di annunciare le loro attività di trattamento all’Incaricato non ha ripercussioni pratiche poiché corrisponde in sostanza al vigente obbligo di notificare le collezioni di dati previsto dall’articolo 11a capoverso 2 LPD.

Il registro delle collezioni di dati tenuto dall’Incaricato deve essere adeguato poiché, una volta entrata in vigore la nuova legge, non vi saranno più registrate le attività di trattamento dei privati ma solo quelle degli organi federali.

9.4 Ripercussioni per l’economia

L’avamprogetto mira a rafforzare la protezione dei dati, in particolare migliorando la trasparenza dei trattamenti e il controllo delle persone interessate sui loro dati. Con il continuo sviluppo di nuove tecnologie è in effetti sempre più difficile sapere chi raccoglie dati su una persona, a quale scopo e chi ne è il destinatario. L’avamprogetto intende inoltre migliorare la sorveglianza dell’applicazione e del rispetto delle disposizioni federali sulla protezione dei dati, conferendo poteri decisionali all’Incaricato e garantendo in tal modo una migliore tutela della sfera privata delle persone interessate.

L’avamprogetto punta inoltre a facilitare i flussi transfrontalieri di dati garantendo la possibilità di scambiare dati tra un Paese e l’altro. Nell’ambito dello scambio di dati nel settore privato gli Stati membri dell’UE considerano infatti la Svizzera un Paese terzo. Attualmente, la Svizzera beneficia di una decisione d’adeguatezza della Commissione¹⁵⁴, secondo la quale il diritto elvetico offre un livello di protezione dei dati adeguato. In virtù di questa decisione, una comunicazione di dati tra un’impresa privata ubicata sul territorio di uno Stato membro e un privato in Svizzera è equiparata a una comunicazione di dati all’interno dell’UE. La decisione della Commissione può tuttavia essere revocata in qualsiasi momento, come previsto

dall’articolo 46 paragrafi 4 e 5 del regolamento (UE) 2016/679. L’avamprogetto ha dunque anche l’obiettivo di adeguare il diritto federale alle esigenze europee in modo tale che la Svizzera possa continuare a beneficiare di una decisione d’adeguatezza dell’UE. La ratifica del protocollo d’emendamento della Convenzione STE 108 riveduta dovrebbe facilitare glo-