Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

to e il destinatario o anche un codice di condotta elaborato da privati al quale le persone private possono aderire volontariamente.

Nel caso previsto al capoverso 3 lettera c numero 1, le garanzie devono essere previamente approvate dall’Incaricato. Questa condizione è più rigida rispetto al diritto in vigore, il quale prevede soltanto l’obbligo di informare l’Incaricato (art. 6 cpv. 3 LPD). Corrisponde inoltre a quella prevista dall’articolo 12^bisparagrafo 2 lettera b del P-STE 108. L’Incaricato dispone di un termine di 6 mesi per comunicare al titolare del trattamento se approva le garanzie (cpv. 5 primo periodo). Il periodo decorre dal momento in cui l’Incaricato riceve la documentazione completa, ossia tutte le informazioni necessarie per giudicare l’adeguatezza delle garanzie standardizzate. Si tratta di un termine ordinatorio e quindi, in caso di mancato rispetto, si applicano le prescrizioni della denegata giustizia. Il titolare del trattamento non può comunicare dati all’estero prima di aver ricevuto una pertinente decisione impugnabile dell’Incaricato (art. 5 PA).

In virtù del capoverso 3 lettera c numero 2, il titolare del trattamento può anche ricorrere alle garanzie stabilite o riconosciute dall’Incaricato, ad esempio contratti modello o clausole standard. In tal caso deve informare l’Incaricato (cpv. 6). Una volta espletato il suo obbligo d’informazione ha il diritto di comunicare i dati all’estero. Se il titolare del trattamento comunica dati all’estero ricorrendo alle garanzie standardizzate ai sensi del capoverso 2 lettera c, si può presumere che egli abbia preso tutti i provvedimenti necessari per garantire una protezione dei dati appropriata. Tuttavia, questa presunzione non lo libera dalla responsabilità per eventuali pregiudizi risultanti dalla violazione di tali garanzie, in particolare da parte del destinatario dei dati. Sarà pertanto opportuno prevedere nell’ordinanza l’obbligo

dell’Incaricato di pubblicare un elenco di garanzie standardizzate consolidate o riconosciute dalla legge, come d’altronde previsto dal diritto in vigore (art. 6 cpv. 3 OLPD).

Capoverso 3 lettera d Norme vincolanti d’impresa inerenti alla protezione dei dati

Secondo il capoverso 3 lettera d, i dati possono essere comunicati all’estero se la loro protezione è garantita da norme vincolanti d’impresa previamente approvate dall’Incaricato (n. 1) o da un’autorità incaricata della protezione dei dati all’estero (n. 2). Questa disposizione sostituisce l’articolo 6 capoverso 2 lettera g LPD e si adegua al diritto dell’Unione europea, che prevede che i membri di un gruppo imprenditoriale possono comunicarsi dati se la loro protezione è garantita da norme vincolanti d’impresa previamente approvate dall’autorità di controllo della protezione dei dati (art. 47 del regolamento (UE) 2016/679). L’approvazione di norme vincolanti d’impresa è disciplinata dall’articolo 57 paragrafo 1 lettera s del regolamento (UE) 2016/679. Il capoverso 3 lettera d costituisce un inasprimento del diritto in vigore poiché le norme vincolanti d’impresa devono essere approvate dall’Incaricato. Quest’ultimo ha a disposizione un termine di sei mesi per comunicare all’impresa l’approvazione o meno delle norme vincolanti sottopostegli (cpv. 5). Prima dell’approvazione i dati non possono essere trasmessi all’estero. La decisione dell’Incaricato è impugnabile.

Se le norme vincolanti d’impresa sono state approvate da un’autorità estera incaricata della protezione dei dati (cpv. 3 lett. d n. 2), l’impresa con sede in Svizzera deve comunicarlo all’Incaricato affinché questi possa esercitare i suoi compiti di sorveglianza (cpv. 6). Questa disposizione risponde alle necessità dei gruppi imprenditoriali con sedi in vari Paesi.

Le norme di cui al capoverso 3 lettera d devono essere «vincolanti» nel senso che tutte le società che fanno parte di uno stesso gruppo imprenditoriale sono tenute a rispettarle e applicarle. Le norme devono precisare almeno la comunicazione di dati in questione, le categorie dei dati comunicati, le finalità, le categorie di persone interessate e i Paesi destinatari.

Inoltre, devono disciplinare i diritti delle persone interessate e precisare i meccanismi del gruppo imprenditoriale volti a garantire il controllo delle regole normative. Se necessario,

nell’ordinanza d’esecuzione il Consiglio federale può definire i criteri che devono soddisfare le norme vincolanti d’impresa.

Capoverso 7 Pubblicazione dell’elenco

L’elenco del Consiglio federale è pubblicato (cpv. 7). Va osservato che la futura ordinanza d’esecuzione andrà regolarmente aggiornata. In altre parole, il Consiglio federale dovrà veri-