Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

delle persone interessate devono essere a disposizione del pubblico (art. 24 APPI). Il titolare del trattamento deve altresì ottenere il consenso, anche solo implicito, della persona interessata. Il titolare non può procurarsi dati con mezzi fraudolenti o illeciti (art. 17 APPI) e deve sforzarsi a garantire la correttezza dei dati. Il trasferimento di dati a terzi è consentito soltanto in determinati casi specifici (per esempio per proteggere la vita e l’integrità fisica di una persona o la salute pubblica o nell’ambito della cooperazione con le autorità; art. 23 APPI). In generale, devono essere adottate misure di sicurezza per evitare la perdita o il danneggiamento dei dati (art. 20 APPI) e le persone incaricate del trattamento di dati devono sottostare a una sorveglianza (art. 21 lett. f APPI). Per contro, la legge non prevede alcun obbligo d’informazione in caso di perdita dei dati.

A parte l’articolo 20 APPI già menzionato, non sembrano esserci misure specifiche tese a promuovere il principio della protezione dei dati fin dalla progettazione e per impostazione predefinita. È tuttavia probabile che l’autorità di sorveglianza adotti prossimamente provvedimenti in tal senso.

5.5 Singapore

L’autorità di controllo è la «Personal data protection commission (PDPC)». È stata istituita nel 2013 in attuazione del «Personal Data Protection Act (PDPA)»⁶³, entrato in vigore nel 2012. La PDPC esercita, tra le altre cose, una funzione di sorveglianza e di regolamentazione del trattamento di dati da parte di organi privati (il PDPA non si applica al settore pubblico). Può emanare direttive o decisioni per garantire il rispetto del PDPA e in caso di violazione della legge può pronunciare multe fino a un milione di dollari (art. 28 e 29 PDPA). La PDPC dispone di importanti strumenti d’indagine, dal diritto di penetrare in proprietà private a quello di esigere informazioni e documenti che possono essere sequestrati (allegato 9 PDPA). Può anche cercare di risolvere le controversie mediante una mediazione (art. 27 PDPA). Inoltre, ha il compito di elaborare e attuare politiche ufficiali (p. es. tramite l’adozione di direttive) tese a sensibilizzare le varie organizzazioni e i privati al rispetto della protezione dei dati. Infine, la PDPC rappresenta il governo di Singapore su scala internazionale in tutte le questioni inerenti alla protezione dei dati (art. 6 PDPA).

Le persone interessate possono chiedere accesso ai loro dati personali raccolti o controllati da un organismo. Hanno anche il diritto di ottenere informazioni sul modo in cui i loro dati personali sono stati utilizzati o diffusi nell’anno precedente la loro domanda, a condizione che non vi si opponga un interesse pubblico o privato preponderante (art. 21 PDPA). Le persone interessate possono infine esigere la correzione di un errore o di un’omissione nei loro dati personali (art. 22 PDPA).

I titolari del trattamento sono in linea di massima tenuti a ottenere il consenso esplicito o tacito delle persone interessate dal momento in cui raccolgono, utilizzano o diffondono dati personali. La condizione del consenso della persona interessata è tuttavia meno severa che negli altri ordinamenti giuridici analizzati. Infatti, il diritto di Singapore prevede numerose eccezioni in cui il consenso non è necessario o può essere presupposto (art. 13-15 PDPA). Il trattamento dei dati deve essere effettuato per uno scopo noto alla persona interessata o che appaia ragionevole a qualsiasi persona che si trovi nelle stesse circostanze (art. 18 PDPA). Il titolare del trattamento deve provvedere a garantire la correttezza dei dati (art. 23 PDPA) e ad adottare i provvedimenti cautelari per evitare la fuga, la copia o l’accesso non autorizzato ai dati personali in suo possesso (art. 24 PDPA). Deve inoltre distruggere o rendere anonimi i dati personali non appena la loro conservazione non corrisponde più allo scopo per cui sono stati raccolti e alcun motivo giuridico o economico permette di giustificarne la conservazione (art. 25 PDPA). Infine, la comunicazione di dati personali all’estero è autorizzata soltanto se lo Stato destinatario garantisce un livello di protezione equivalente a quello di Singapore (art. 26 PDPA).