Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

Una decisione individuale automatizzata può fondarsi anche su una profilazione ai sensi dell’articolo 3 lettera f AP-LPD. Per essere in presenza di una decisione individuale

automatizzata non è tuttavia per forza necessaria una profilazione; i due termini non

coincidono. Il criterio determinante è il processo automatico. La profilazione non è per forza il risultato di un processo automatico, mentre la decisione individuale automatizzata sì. Un altro criterio sono le ripercussioni per la persona interessata. Nel caso della decisione

individuale automatizzata, in seguito al trattamento viene presa una determinata decisione. Nel caso della profilazione i dati sono analizzati per un determinato scopo senza che l’analisi debba obbligatoriamente avere ripercussioni dirette sulla persona interessata.

Capoverso 2 Diritto di essere sentiti

Secondo il capoverso 2 il titolare del trattamento deve dare alla persona interessata la possibilità di esprimersi in merito alla decisione individuale automatizzata e ai dati trattati. Il diritto di essere sentita intende garantire, insieme all’obbligo di informare, che la persona interessata non sia oggetto di decisioni prese senza intervento umano. La persona interessata deve in particolare avere la possibilità di esprimere il suo punto di vista sul risultato della decisione e sui dati su cui si fonda la decisione. S’intende così impedire che essa subisca un danno giuridico o di fatto perché il trattamento si fonda su dati incompleti, non aggiornati o errati. Ciò è anche nell’interesse del titolare del trattamento, poiché decisioni individuali automatizzate non corrette hanno conseguenze negative anche per quest’ultimo, ad esempio nel caso della mancata conclusione di un contratto perché una persona è stata erroneamente giudicata indegna di credito. L’obbligo di informare e sentire la persona interessata non intacca tuttavia la libertà contrattuale. Se il titolare del trattamento non rispetta l’obbligo di sentire la persona interessata, questa può far valere il suo diritto con una domanda d’accesso ai sensi

dell’articolo 20.

La legge non fissa il momento dell’informazione o quello in cui la persona interessata deve essere sentita. Quest’ultima può quindi essere informata e sentita prima o dopo la decisione, anche inviandole, ad esempio, la decisione individuale automatizzata contraddistinta come tale e dandole successivamente la possibilità di esprimersi nell’ambito del diritto di essere sentita o di ricorrere a un rimedio giuridico, a condizione che ciò non comporti per lei ulteriori costi (p. es. spese procedurali).

Capoverso 3 Eccezioni

Secondo il capoverso 3, l’obbligo di informare e sentire la persona interessata non si applica se la decisione individuale automatizzata è prevista da una legge. Per gli organi federali è necessaria una legge ai sensi dell’articolo 27 AP-LPD.

La violazione dell’obbligo di informare è punita (cfr. art. 50 cpv. 1 lett. a e b n. 1 e 2 AP-LPD).

8.1.3.4 Art. 16 Valutazione d’impatto sulla protezione dei dati

Il nuovo articolo 16 AP-LPD introduce l’obbligo di effettuare una valutazione d’impatto. La disposizione soddisfa le condizioni dell’articolo 8^bisparagrafo 2 P-STE 108 e degli articoli 27 e seguente della direttiva (UE) 2016/680. Gli articoli 35 e seguente del regolamento (UE)

2016/679 contengono disposizioni analoghe.

La definizione e la funzione della valutazione d’impatto sulla protezione dei dati si evincono dal capoverso 2 dell’articolo 16. La valutazione d’impatto sulla protezione dei dati è uno strumento per riconoscere e valutare i rischi che un determinato trattamento di dati può comportare per la persona interessata. Sulla base di tale valutazione vanno, se del caso, presi i provvedimenti necessari per ridurre tali rischi. La valutazione è pertanto vantaggiosa anche per il titolare del trattamento, poiché gli permette di affrontare preventivamente eventuali problemi relativi alla protezione dei dati e di evitare costi successivi.

La valutazione d’impatto sulla protezione dei dati non costituisce una novità, in particolare per gli organi federali, e da questo punto di vista non ha quasi nessuna conseguenza pratica. Infatti gli organi federali sono già tenuti ad annunciare al responsabile della protezione dei dati o all’Incaricato ogni progetto di trattamento automatizzato di dati personali (art. 20 cpv. 2