Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

trattati conformemente alle regole della protezione dei dati. A tal fine gli accorgimenti tecnici sono d’importanza fondamentale. In generale, la protezione dei dati fin dalla progettazione non è legata a una determinata tecnologia. Si tratta piuttosto di progettare, sotto il profilo tecnico e organizzativo, i sistemi per il trattamento dei dati in modo tale da conformarli in particolare ai principi di cui all’articolo 4 AP-LPD. È ad esempio possibile impostare un sistema di modo che i dati siano cancellati a intervalli regolari o anonimizzati in maniera standardizzata. Per la protezione fin dalla progettazione è d’importanza particolare ridurre al minimo indispensabile i dati da raccogliere, il che si evince anche dai principi generali di cui

all’articolo 4 AP-LPD: sin dall’inizio il trattamento deve essere progettato in modo tale da raccogliere e trattare il minor numero possibile di dati o perlomeno da doverli conservare meno tempo possibile.

L’obbligo della protezione dei dati fin dalla progettazione del trattamento dovrebbe avere poche ripercussioni per gli organi federali, poiché anche il diritto vigente prevede che essi annuncino senza indugio al responsabile della protezione dei dati da loro designato o, in sua assenza, all’Incaricato tutti i progetti di trattamento automatizzato di dati personali, al fine di garantire che i requisiti della protezione dei dati siano rispettati fin dalla progettazione (art. 20 cpv. 2 OLPD).

Capoverso 2 Protezione dei dati per impostazione predefinita

Secondo il capoverso 2, il titolare e il responsabile del trattamento sono tenuti ad adottare le misure appropriate per garantire che, per impostazione predefinita, siano trattati soltanto i dati necessari per lo scopo del trattamento. La disposizione introduce l’obbligo della protezione dei dati per impostazione predefinita (privacy by default). Le impostazioni predefinite sono impostazioni standard, in particolare di software, che sono applicate se l’utente non procede a impostazioni diverse. Le impostazioni predefinite possono essere previste dal prodotto oppure programmate, ad esempio quando una determinata stampante è definita come stampante standard. Nel contesto del trattamento dei dati questo significa che il pertinente sistema è impostato in modo da favorire la protezione dei dati, a meno che la persona interessata modifichi tali impostazioni. È ad esempio ipotizzabile che una pagina web permetta acquisti chiedendo ai clienti di fornire soltanto indicazioni basilari, quali nome e indirizzo, senza che sia necessario allestire un profilo di utente. Se invece desiderano usufruire di ulteriori servizi della pagina web, ad esempio accedere a tutti i loro acquisti del passato o allestire elenchi di beni da acquistare, i clienti devono allestire un profilo di utente, il che comporta anche un ampio trattamento dei loro dati personali. Anche nel caso delle impostazioni predefinite è evidente lo stretto nesso con le tecnologie che favoriscono la protezione dei dati. Le impostazioni predefinite fanno parte della struttura favorevole alla protezione dei dati di un intero sistema informatico. Una particolarità delle impostazioni predefinite favorevoli alla protezione dei dati è costituita dalla possibilità della persona interessata di intervenire. Anche se non può modificare il sistema in sé, la persona interessata ha la possibilità di modificare le impostazioni predefinite. Queste ultime sono pertanto strettamente connesse al consenso della persona interessata (cfr. art. 4 cpv. 6 AP-LPD). Le impostazioni predefinite che favoriscono la protezione dei dati permettono pertanto alla persona interessata di acconsentire a un determinato trattamento dei dati.

Nel settore pubblico, il principio della protezione dei dati per impostazione predefinita svolge un ruolo secondario, poiché in tale settore il trattamento dei dati si fonda piuttosto su obblighi legali che sul consenso della persona interessata.

Il titolare e il responsabile del trattamento possono dimostrare, in particolare attraverso la certificazione o la valutazione d’impatto sulla protezione dei dati, di rispettare gli obblighi di cui ai capoversi 1 e 2 del presente articolo.

La violazione degli obblighi di cui all’articolo 18 è punita (cfr. art. 51 cpv. 1 lett. e AP-LPD).

8.1.3.7 Art. 19 Altri obblighi

L’articolo 19 AP-LPD prevede vari altri obblighi del titolare o del responsabile del trattamento.

Lettera a Obbligo di documentazione