Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

un rischio elevato per la personalità e i diritti fondamentali della persona interessata e il modo in cui valutare tale rischio. Infine, la valutazione d’impatto deve illustrare le misure previste per ridurre i rischi indicati. A tale proposito sono determinanti soprattutto i principi di cui all’articolo 4 AP-LPD, ma possono essere di rilievo anche gli obblighi della protezione dei dati fin dalla progettazione e per impostazione predefinita (art. 18 AP-LPD). Nel decidere le misure si possono eventualmente ponderare gli interessi della persona interessata e quelli del titolare o del responsabile del trattamento. Tale ponderazione va anch’essa illustrata e giustificata nella valutazione d’impatto.

Capoverso 3 Comunicazione all’Incaricato

Secondo il capoverso 3, il titolare (o il responsabile) del trattamento deve comunicare

all’Incaricato il risultato della valutazione d’impatto nonché le misure previste per ridurre il rischio di ledere la personalità o i diritti fondamentali della persona interessata. Anche se il P-STE 108 non prescrive tale comunicazione, essa è prevista dalle regole europee (art. 28 della direttiva [UE] 2016/680 e art. 36 del regolamento [UE] 2016/679). La disposizione è inserita nell’AP-LPD in particolare perché permette all’Incaricato di intervenire a titolo preventivo e di consulenza. Questa procedura è più efficiente anche per il titolare del trattamento, poiché permette di risolvere eventuali problemi legati alla protezione dei dati in una fase precoce del trattamento.

Capoverso 4 Obiezioni dell’Incaricato

Secondo il capoverso 4, se ha obiezioni in merito alle misure previste, l’Incaricato ne informa il titolare del trattamento entro tre mesi dalla ricezione di tutte le informazioni necessarie.

Dopo essere stato informato della valutazione d’impatto sul trattamento dei dati, l’Incaricato si limita a verificare che le misure proposte siano sufficienti per tutelare la personalità e i diritti fondamentali della persona interessata. Non procede invece a un esame esaustivo

dell’intera procedura di trattamento, poiché tale esame è già oggetto della valutazione

d’impatto. Se entro tre mesi non riceve alcuna informazione, il titolare del trattamento può presumere che l’Incaricato non abbia obiezioni contro le misure proposte a tutela dei diritti fondamentali. L’Incaricato è tuttavia libero di avviare un’inchiesta in una fase successiva se sussistono le condizioni di cui all’articolo 41 AP-LPD, ad esempio se nella valutazione

d’impatto i rischi non sono stati valutati correttamente e di conseguenza le misure proposte si sono rivelate inadeguate allo scopo o insufficienti.

La violazione dell’obbligo di effettuare una valutazione d’impatto sulla protezione dei dati e di comunicarne il risultato è punita (cfr. art. 50 cpv. 1 lett. c, 51 cpv. 1 lett. d AP-LPD).

8.1.3.5 Art. 17 Notificazione di violazioni della protezione dei dati

L’articolo 17 AP-LPD introduce l’obbligo di notificare violazioni della protezione dei dati. La disposizione costituisce un adeguamento ai requisiti dell’articolo 7 paragrafo 2 del

P STE 108 e all’articolo 30 della direttiva (UE) 2016/680. L’articolo 33 del regolamento (UE) 2016/679 prevede un disciplinamento analogo.

Capoverso 1 Definizione e principio

Secondo il capoverso 1, il titolare del trattamento deve notificare all’Incaricato qualsiasi trattamento non autorizzato o perdita di dati, a meno che la violazione non presenti verosimilmente alcun rischio per la personalità e i diritti fondamentali della persona interessata. In tale contesto occorre basarsi sulla definizione di trattamento di cui all’articolo 3 lettera d AP-LPD. È pertanto considerato una violazione della protezione dei dati qualsiasi tipo di trattamento non autorizzato, compresa ad esempio la cancellazione non autorizzata. La violazione può essere commessa da terzi, ma anche da collaboratori del titolare del trattamento che usano in modo abusivo le loro competenze. In seguito a un trattamento non autorizzato, la persona interessata può perdere il controllo sui suoi dati o i suoi dati possono essere usati in modo abusivo. Inoltre, il trattamento non autorizzato può portare anche a una lesione della personalità dell’interessato, ad esempio rendendo note informazioni segrete. Secondo l’articolo 23 capoverso 2 lettera a si è ad esempio in presenza di una lesione della personalità se è violata la sicurezza dei dati.