Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

Ai suddetti rischi la persona interessata può reagire soltanto se è a conoscenza della violazione, ragion per cui il titolare del trattamento deve in linea di principio notificare un trattamento non autorizzato innanzitutto all’Incaricato e, se sono soddisfatte le condizioni di cui al capoverso 2, anche alla persona interessata. Il trattamento non autorizzato deve essere notificato senza indugio. In linea di massima il titolare del trattamento deve agire rapidamente, ma la disposizione lascia un certo margine di apprezzamento. È determinante, tra le altre cose, la probabilità del rischio di ledere la persona interessata: quanto più tale rischio è elevato e quanto più elevato è il numero di persone interessate, tanto più rapidamente dovrà reagire il titolare del trattamento.

Il titolare del trattamento può rinunciare alla notificazione soltanto se la violazione della protezione dei dati non rischia di ledere la personalità e i diritti fondamentali della persona interessata. Questa regola intende evitare la notificazione di violazioni insignificanti. L’eccezione va tuttavia interpretata in senso stretto: il titolare del trattamento deve valutare le possibili ripercussioni della violazione per la persona interessata e può rinunciare alla notificazione soltanto se il trattamento non autorizzato dei dati non implica verosimilmente alcun rischio.

Capoverso 2 Informazione della persona interessata

Anche se in linea di massima la persona interessata non deve essere informata, secondo il capoverso 2 il titolare del trattamento le comunica la violazione della protezione dei dati qualora sia necessario per proteggerla o l’Incaricato lo esiga. Il titolare ha a disposizione un certo margine di apprezzamento e deve valutare soprattutto se l’informazione permette di ridurre i rischi per la personalità e i diritti fondamentali della persona interessata, ad esempio consentendole di prendere provvedimenti per proteggersi, quali la modifica dei suoi dati d’accesso o delle sue parole chiave.

Capoversi 3 e 4

Secondo il capoverso 3 il titolare del trattamento può limitare o differire la notificazione alla persona interessata oppure rinunciarvi in presenza di uno dei motivi di cui all’articolo 14 capoversi 3 e 4 AP-LPD (cfr. n. 8.1.3.2).

Un trattamento non autorizzato può verificarsi anche presso il responsabile del trattamento. Per questo motivo il capoverso 4 prevede l’obbligo del responsabile di informare il titolare di qualsiasi trattamento non autorizzato. Spetta successivamente al titolare valutare i rischi e decidere se sussista un obbligo di notificazione all’Incaricato e alla persona interessata.

La violazione dell’obbligo di notificazione di un trattamento non autorizzato è punita (cfr.

art. 50 cpv. 2 lett. d AP-LPD).

8.1.3.6 Art. 18 Protezione dei dati fin dalla progettazione e per impostazione predefini-

ta

L’articolo 18 AP-LPD introduce l’obbligo della protezione dei dati fin dalla progettazione e per impostazione predefinita. La disposizione attua i requisiti dell’articolo 8 numero 3 P-STE 108 e dell’articolo 20 paragrafo 1 della direttiva (UE) 2016/680. L’articolo 25 del regolamento (UE) 2016/679 prevede un disciplinamento analogo.

Capoverso 1 Protezione dei dati fin dalla progettazione

Secondo il capoverso 1 il titolare e il responsabile del trattamento sono tenuti ad adottare, fin dalla progettazione del trattamento, le misure appropriate per prevenire e ridurre al minimo il rischio di ledere la personalità e i diritti fondamentali delle persone interessate. L’AP-LPD introduce pertanto il principio della protezione dei dati fin dalla progettazione (privacy by design). L’idea alla base della protezione fin dalla progettazione è che la tecnica e il diritto si completino a vicenda. Una tecnica favorevole alla protezione dei dati permette di ridurre la necessità di regole giuridiche (o di raccomandazioni di buona prassi), nella misura in cui accorgimenti tecnici rendono impossibile una violazione della protezione dei dati o perlomeno ne riducono notevolmente il rischio. Nel contempo le tecnologie che favoriscono la protezione dei dati sono imprescindibili per l’applicazione delle disposizioni sulla protezione dei dati. Infatti, il trattamento di dati è un fenomeno onnipresente e tenderà ancora ad aumentare (ubiquitous computing). Ne consegue un’innumerevole quantità di dati che devono essere