Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

l’elenco del Consiglio federale diventa un criterio legale vincolante per i titolari del trattamento che intendono comunicare dati all’estero, mentre l’elenco dell’Incaricato previsto dal diritto vigente è inteso come mero strumento ausiliario messo a disposizione dei titolari.

Se il Consiglio federale constata che la legislazione di uno Stato garantisce una protezione adeguata, la libera comunicazione di dati personali a tale Stato è consentita sia ai titolari privati del trattamento sia agli organi federali.

Capoverso 3 Assenza di una decisione del Consiglio federale

In assenza di una decisione del Consiglio federale ai sensi del capoverso 2, il capoverso 3 lettere a-d prevede che possono essere comunicati dati all’estero se è garantita una protezione appropriata dei dati. L’AP-LPD segue l’esempio dell’Unione europea usando due termini differenti nei capoversi 2 e 3. Il termine «adeguata» è riservato alla qualifica della legislazione estera.

Secondo la lettera a, una protezione appropriata può essere garantita da un trattato internazionale. Per «trattato internazionale» non s’intende soltanto una convenzione internazionale sulla protezione dei dati di cui lo Stato destinatario sia parte, come ad esempio la Convenzione STE 108 e il suo Protocollo aggiuntivo, bensì anche qualsiasi altro trattato internazionale che preveda lo scambio di dati tra gli Stati contraenti e che rispetti le condizioni della Convenzione STE 108. Può anche trattarsi di un trattato internazionale che il Consiglio federale ha concluso in virtù dell’articolo 56 lettera b AP-LPD.

Il capoverso 3 lettere b e c corrisponde alle condizioni dell’articolo 12 paragrafo 3 lettera b del P-STE 108, secondo cui una protezione dei dati appropriata può essere assicurata mediante garanzie contrattuali specifiche o standardizzate, fissate da strumenti giuridici vincolanti e opponibili, concluse e attuate dalle persone coinvolte nel trasferimento e nel successivo trattamento dei dati. L’articolo 46 del regolamento (UE) 2016/679 prevede una regolamentazione analoga. Lo stesso vale per la direttiva (UE) 2016/680 (art. 37).

Capoverso 3 lettera b Garanzie specifiche

Secondo il capoverso 2 lettera b i dati possono essere trasferiti all’estero se sono previste garanzie specifiche di protezione e se queste sono state previamente comunicate

all’Incaricato. Se ha obiezioni nei confronti delle garanzie specifiche, l’Incaricato deve informarne il titolare o il responsabile del trattamento entro 30 giorni dalla ricezione delle garanzie (cpv. 4). L’articolo 6 capoverso 2 dell’OLDP prevede la stessa cosa. Se l’Incaricato non ha obiezioni o se scade il relativo termine, il titolare del trattamento è autorizzato a trasmettere i dati all’estero. Come nel diritto vigente, spetta al titolare del trattamento dimostrare che ha preso tutti i provvedimenti necessari affinché sia garantita una protezione appropriata e il destinatario rispetti le garanzie. Il titolare del trattamento resta anche responsabile dei pregiudizi che potrebbero risultare da una violazione delle garanzie.

Come si evince dalla terminologia usata, le «garanzie specifiche» riguardano un caso specifico di comunicazione di dati all’estero e non le comunicazioni effettuate in forma standardizzata. Nel settore privato tali garanzie possono essere clausole contrattuali convenute tra il titolare del trattamento e il destinatario. Nel settore pubblico l’organo federale che acconsente alla cooperazione può vincolare il suo consenso a condizioni inerenti alla protezione dei dati. Contrariamente alle garanzie standardizzate (cfr. lett. c), le garanzie specifiche che nel singolo caso garantiscono una protezione adeguata valgono solo per la comunicazione prevista nel relativo contratto. Se il titolare del trattamento intende comunicare altri dati deve in linea di principio fissare nuove garanzie.

Capoverso 3 lettera c Garanzie standardizzate

Secondo il capoverso 3 lettera c, i dati possono essere comunicati all’estero per mezzo di garanzie standardizzate. Tali garanzie possono essere elaborate dai privati o dalle cerchie interessate (n. 1) oppure stabilite o riconosciute dall’Incaricato (n. 2). Anche gli organi federali possono ricorrere a questo tipo di garanzie. Per «garanzie standardizzate» s’intendono ad esempio clausole contrattuali standardizzate inserite nel contratto tra il titolare del trattamen-