Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

8.1.8.1 Art. 50 Violazione degli obblighi di informare, notificare e collaborare

L’articolo 50 AP-LPD riprende fondamentalmente l’articolo 34 LPD, completandolo in modo da tenere conto dei nuovi obblighi del titolare e del responsabile del trattamento.

Ammontare della multa

La disposizione prevede di aumentare l’importo massimo della multa – attualmente di 10 000 franchi in virtù dell’articolo 106 capoverso 1 CP – a 500 000 franchi. Il Consiglio federale ritiene infatti che, in considerazione dell’assenza di controllo da parte delle persone interessate sui propri dati, della mancante trasparenza dei trattamenti e del crescente potere degli operatori economici, sia necessario infliggere multe efficaci. Multe simili si trovano anche in altre leggi federali, quali la legge federale del 18 dicembre 1998¹¹² sulle case da gioco (LCG; art. 56) o la legge dell’8 novembre 1934¹¹³ sulle banche (LBCR; art. 49). Va inoltre osservato che il regolamento (UE) 2016/679 (art. 83) prevede la possibilità di infliggere sanzioni amministrative fino a 10 milioni di euro o, nel caso di un’impresa, pari al 2 per cento della cifra d’affari annuale, o addirittura fino a 20 milioni di euro o al 4 per cento della cifra d’affari annuale. Anche questo è un argomento a favore dell’aumento della multa, che sarà certamente un criterio determinante per valutare se la legislazione svizzera garantisce una protezione adeguata ai sensi dell’articolo 45 del regolamento (UE) 2016/679. Si potrebbe anche pensare di trasformare le contravvenzioni in delitti, il che permetterebbe di punirli con una pena pecuniaria o con una pena detentiva di almeno tre anni. Il Consiglio federale intende tuttavia rinunciarvi in considerazione della minore gravità di questi comportamenti rispetto a quelli contemplati dall’articolo 52 AP-LPD (cfr. il commento all’art. 52).

È pertanto giustificato continuare a considerare come contravvenzioni le violazioni degli obblighi di informare, notificare e collaborare, aumentando tuttavia notevolmente le sanzioni. Va osservato che l’ammontare previsto costituisce un valore massimo e che spetta al giudice fissare la multa concreta tenendo conto della situazione economica dell’autore della contravvenzione (art. 106 cpv. 3 in combinazione con l’art. 47 CP). Inoltre, conformemente

all’articolo 52 CP, occorre prescindere dal perseguimento penale o dalla punizione in casi di lieve entità.

Capoverso 1

Il capoverso 1 contempla le violazioni dell’obbligo di informare. La lettera a punisce le persone private che forniscono intenzionalmente informazioni inesatte o incomplete nell’ambito del loro obbligo d’informare (art. 13 e 15 AP-LPD) e del diritto d’accesso (art. 20 AP-LPD). La disposizione riprende sostanzialmente il contenuto del diritto vigente (art. 34 cpv. 1 lett. a LPD) adeguando i rinvii alle nuove disposizioni.

Il capoverso 1 lettera b punisce le persone private che omettono intenzionalmente, da una parte, di informare la persona interessata conformemente agli articoli 13 capoversi 1 e 5, 15 e 17 capoverso 2 AP-LPD, o, dall’altra, di fornirle le informazioni di cui all’articolo 13 capoversi 2-4 AP-LPD. L’AP-LPD riprende in linea di massima il diritto vigente (art. 34 cpv. 1 lett. b LPD), adeguandolo al nuovo contenuto dell’obbligo di informare.

Il capoverso 1 lettera c punisce le persone private che omettono intenzionalmente di comunicare all’Incaricato il risultato della valutazione d’impatto sulla protezione dei dati conformemente all’articolo 16 capoverso 3. La valutazione d’impatto è uno strumento importante che permette all’Incaricato di esercitare la sua funzione di sorveglianza. È pertanto giustificato sanzionare la violazione di tale obbligo. Anche il regolamento (UE) 2016/679 prevede

sanzioni (art. 83 cpv. 4 lett. a).

Capoverso 2

L’articolo 49 capoverso 2 lettera a punisce le persone private che omettono di comunicare all’Incaricato le garanzie specifiche, segnatamente contrattuali (art. 5 cpv. 3 lett. b AP-LPD), o le norme vincolanti d’impresa (art. 5 cpv. 3 lett. c n. 2 e cpv. 6 AP-LPD) oppure non gli comunicano che intendono ricorrere a garanzie standardizzate (art. 5 cpv. 3 lettera d n. 2 e