Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

stioni regolamentari la responsabilità compete alla «Personal Information Protection Commission». Il «Personal Information Dispute Mediation Committee» è invece incaricato della mediazione in caso di azioni individuali o collettive. In occasione di divergenze tra le persone interessate e l’istituzione che tratta i dati, tale comitato può presentare una proposta di conciliazione (art. 47 PIPA). Le azioni legate alle tecnologie dell’informazione sono trattate dalla «Korea Internet & Security Agency», che ha una hotline e ha inoltre elaborato una serie di guide e raccomandazioni per il settore privato. Il Ministero dell’interno svolge un ruolo importante nell’attuazione della legislazione sulla protezione dei dati. Gli spetta infatti l’elaborazione di un piano di base per la protezione dei dati («Data Protection Basic Plan»), valido per tre anni (art. 9 PIPA), e di direttive (art. 12 PIPA).

Secondo l’articolo 4 PIPA, i privati hanno il diritto di informarsi sul trattamento dei dati che li riguardano. Hanno anche il diritto di chiedere la cancellazione o la rettifica di determinati dati. La legge prevede altresì il diritto al rimborso dei danni.

Per trattare i dati, il titolare del trattamento deve ottenere il consenso della persona interessata (art. 22 PIPA). Il titolare ha inoltre l’obbligo di informare la persona interessata quando tratta dati ricevuti da terzi (art. 20 PIPA). Infine, deve distruggere i dati alla scadenza del termine convenuto o dopo aver adempito il suo compito (art. 21 PIPA). Il capitolo IV PIPA fissa le garanzie che il titolare del trattamento deve rispettare. In particolare, l’articolo 29 obbliga i responsabili ad adottare tutte le misure fisiche, tecniche e amministrative per prevenire la perdita, il furto, la diffusione, la falsificazione o la distruzione dei dati. I dati devono essere trattati in modo da ridurre al minimo i rischi di violazione della vita privata (art. 3 par. 6 PIPA) e anonimizzandoli (art. 3 par. 7 PIPA).

Il titolare del trattamento in un’impresa deve inoltre adottare e pubblicare una strategia di protezione dei dati (privacy policy; art. 30 PIPA). È inoltre richiesta la nomina di un consulente per la protezione dei dati (privacy officer; art. 31 PIPA). Le istituzioni pubbliche devono, da parte loro, registrare le proprie raccolte di dati (art. 32 PIPA) e procedere a un’analisi d’impatto del trattamento (art. 35 PIPA), anch’esso da registrare.

5.4 Giappone

Dal 2016 il Giappone dispone di un’autorità di controllo della protezione dei dati (Personal Information Protection Commission) che esercita funzioni di sorveglianza, regolamentazione e mediazione. Altre due istituzioni meritano di essere menzionate. Nel settore privato, la legge sulla protezione dei dati (Act on the Protection of Personal Information [APPI])⁶², adottata nel 2003, permette a organizzazioni private di protezione dei dati accreditate dal Governo di trattare i ricorsi contro le imprese e di fornire informazioni che contribuiscono a migliorare l’applicazione della protezione dei dati; esse hanno inoltre la possibilità di adottare i provvedimenti necessari all’attuazione dei principi della protezione dei dati (art. 37 APPO). Nel settore pubblico l’«Information Disclosure and Personal Information Protection Review Board» è l’autorità cui compete garantire la protezione dei dati nelle indagini in materia di trasparenza.

L’APPI conferisce ai privati il diritto di ottenere informazioni sull’esistenza e lo scopo di un trattamento di dati (art. 24 cpv. 2 e 25 APPI). Per il trattamento della richiesta può essere riscosso un emolumento (art. 30 APPI). Inoltre, le persone interessate possono chiedere la rettifica, l’integrazione o la soppressione di dati errati. In tale contesto il titolare del trattamento dei dati ha il compito di esaminare i reclami presentati e d’informare la persona interessata in caso di rifiuto della richiesta (art. 30 APPI). I privati possono anche ottenere la sospensione o il blocco del trattamento, se esso è contrario al suo scopo o se i dati sono stati ottenuti illecitamente. Una tale domanda non è tuttavia ammissibile quando potrebbe creare costi elevati o quando si rivela troppo complicata e il titolare del trattamento ha adottato altre misure per proteggere i dati e gli interessi della persona interessata (art. 27 APPI). Gli stessi principi si applicano al trasferimento di dati a terzi (art. 27 cpv. 2 APPI).

Il titolare del trattamento deve specificare lo scopo del trattamento nel modo più preciso possibile (art. 15 lett. f APPI). Inoltre, le informazioni relative allo scopo del trattamento e ai diritti