Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

Le disposizioni del regolamento (UE) 2016/679 non sono vincolanti per la Svizzera. Tuttavia ciò non significa che nel nostro Paese non esplichino effetto nei settori in cui esso è considerato un Paese terzo. Il regolamento è importante soprattutto per il settore privato. Infatti, come osservato al n. Error! Reference source not found., la Commissione europea ha constatato mediante decisione⁵⁵ che la Svizzera garantisce un livello di protezione dei dati adeguato. Tale decisione può tuttavia essere revocata in qualsiasi momento. Se intende beneficiare anche in futuro di una decisione di adeguatezza dell’Unione europea, la Svizzera, in quanto Stato terzo, ha pertanto un interesse ad avvicinare la propria legislazione ai requisiti europei. I criteri definiti all’articolo 45 del regolamento (UE) 2016/679 saranno in futuro determinanti per giudicare l’adeguatezza della protezione dei dati prevista dalla legislazione svizzera. L’AP è teso a permettere di garantire un livello di protezione adeguato ai sensi del regolamento.

5 Confronto con legislazioni di Stati non europei che non hanno ratificato la Con-

venzione STE 108

Gli esempi illustrati qui di seguito dimostrano che i Paesi europei non sono gli unici ad aver adottato leggi sulla protezione dei dati⁵⁶.

5.1 Argentina

L’autorità di controllo dell’Argentina è la Direzione nazionale di protezione dei dati personali (Dirección Nacional de Protección de Datos Personales – DNPDP). I suoi compiti sono retti dall’articolo 29 della legge 25.326⁵⁷. L’autorità di controllo svolge un ruolo di sostegno, consulenza e sorveglianza. L’articolo 29 del decreto 1558/2001⁵⁸ le permette di emanare regole amministrative e procedure in relazione al registro delle banche di dati personali (qui appresso «registro»), il quale permette di identificare e controllare tali banche dati. Secondo lo stesso articolo 29 la DNPDP può trattare i ricorsi e i reclami presentati conformemente alla legge 25.326. La DNDPD deve inoltre approvare i codici di condotta delle organizzazioni di rappresentanza degli utenti o dei titolari della banche dati (art. 30 della legge 25.326).

L’articolo 14 della legge 25.326 sancisce un diritto d’accesso che conferisce alle persone interessate il diritto di ottenere informazioni sui loro dati personali contenuti in banche dati private o pubbliche. Una volta presentata la domanda, il titolare della banca dati ha dieci giorni di tempo per rispondere. Decorso tale termine, la persona interessata può adire la via del ricorso. L’articolo 16 consente alle persone fisiche di chiedere la rettifica, l’aggiornamento e la cancellazione dei dati che le riguardano. I titolari delle banche dati hanno un termine di cinque giorni per rispondere alla richiesta e possono rifiutarla soltanto se necessario per la protezione dello Stato, dell’ordine o della sicurezza pubblici oppure degli interessi di terzi. Una volta decorso il termine di cinque giorni o in caso di risposta negativa, la persona interessata può interporre ricorso.

I titolari del trattamento hanno in particolare il compito di iscrivere la banca dati nel registro, vegliare sulla sicurezza dei dati raccolti, garantire la confidenzialità dei dati e fornire i documenti e le informazioni richiesti dalla DNPDP.

La legislazione sulla protezione dei dati si applica anche alla raccolta di megadati nel caso in cui l’insieme dei dati permette di identificare una persona specifica. Quanto alla profilazione, l’articolo 27 del decreto 1558/2001 contiene una regola per il settore della pubblicità. Secondo tale articolo si possono raccogliere, trattare e trasmettere dati senza il consenso della persona interessata, se l’obiettivo è creare profili per categorizzare preferenze e comportamenti. Tale possibilità è tuttavia soggetta a due condizioni: le persone interessate devono