Rapporto esplicativo

06. IDP 20161124-14 Beilage 02 Rapport explicatif_IT

Riferimento: COO.2180.109.7.206561 / 212.9/2015/00001

cpv. 6 AP-LPD). La disposizione corrisponde in parte al vigente articolo 34 capoverso 2 LPD adeguandolo ai nuovi obblighi in caso di comunicazione transfrontaliera.

Il capoverso 2 lettera b punisce le persone private che omettono di comunicare all’Incaricato, per approvazione, le garanzie standardizzate (art. 5 cpv. 3 lett. c numero 1) o le regole vincolanti d’impresa (art. 5 cpv. 3 lett. d n. 1). Si tratta di una novità, poiché tali obblighi non sono previsti dal diritto vigente. Il regolamento (UE) 2016/679 prevede in questi casi la possibilità di infliggere una multa fino a 10 milioni di euro o, se si tratta di un’impresa, fino al 2 per cento della cifra d’affari dell’anno d’esercizio precedente (art. 83 par. 5 lett. c).

La lettera c corrisponde al vigente articolo 34 capoverso 2 lettera b LPD. L’espressione «accertamento dei fatti» è tuttavia sostituita da «inchiesta».

La lettera d punisce la violazione del nuovo obbligo di comunicare all’Incaricato le violazioni della protezione dei dati (art. 17 cpv. 1 AP-LPD). Il Consiglio federale ritiene che si tratti di informazioni indispensabili all’Incaricato per esercitare la sorveglianza e che pertanto

l’omissione debba essere punita. Anche il regolamento (UE) 2016/679 prevede la punizione della violazione di tali obblighi (art.83 par. 4 lett. a).

La lettera e punisce le persone private che non ottemperano a una decisione dell’Incaricato. La disposizione intende garantire che i provvedimenti presi dall’Incaricato esplichino effetto. Secondo il Consiglio federale non è sufficiente rinviare all’articolo 292 CP in quanto la multa prevista da tale disposizione è troppo esigua. Il regolamento (UE) 2016/679 prevede

anch’esso la punizione di questo comportamento (art. 83 par. 4 lett. e).

Capoverso 3

Il capoverso 3 lettera a punisce la violazione dell’obbligo di informare i destinatari a cui sono stati comunicati dati di qualsiasi rettifica, cancellazione o distruzione di dati o di qualsiasi violazione della protezione dei dati nonché limitazione di trattamento (art. 19 lett. b AP-LPD). Secondo la lettera b è punibile anche la violazione dell’obbligo di informare il titolare del trattamento di qualsiasi trattamento non autorizzato di dati (art. 17 cpv. 4 AP-LPD). Il regolamento (UE) 2016/679 prevede la possibilità di infliggere una multa fino a 10 milioni di euro o, nel caso di un’impresa, fino al 2 per cento della cifra d’affari dell’anno d’esercizio precedente (art. 83 par. 4 lett. a).

I suddetti comportamenti sono punibili anche se l’autore agisce per negligenza. In tal caso la multa è di al massimo 250 000 franchi. Anche il regolamento (UE) 2016/679 prevede questa figura di reato (art. 83 cpv. 2 lett. b).

8.1.8.2 Art. 51 Violazione degli obblighi di diligenza

Questa disposizione è nuova poiché l’AP-LPD prevede una serie di obblighi che non sono contemplati dalle disposizioni penali vigenti. Il Consiglio federale ritiene possibile proteggere in modo efficace la personalità e i diritti fondamentali delle persone interessate soltanto se i titolari e i responsabili del trattamento rispettano tutti i loro obblighi. Di conseguenza, e per incitare questi ultimi a rispettare globalmente la legge, il Consiglio federale propone di completare l’elenco delle violazioni penali della legge. Occorre inoltre sottolineare che il regolamento (UE) 2016/679 prevede la possibilità di punire questi comportamenti (art. 83 par. 4 lett. a e 5 lett. c) anche in caso di negligenza. La disposizione non si applica agli organi federali, visto che per loro sono già previsti provvedimenti disciplinari.

Secondo l’articolo 51 capoverso 1 sono punite con la multa fino a 500 000 franchi le persone private che intenzionalmente violano determinati obblighi. I motivi per tale pena sono quelli illustrati nel commento all’articolo 50.

La lettera a punisce la comunicazione di dati all’estero in violazione dell’articolo 5 capoversi 1 e 2 senza che siano soddisfatte le condizioni di cui all’articolo 6 AP-LPD.

La lettera b punisce il conferimento del trattamento di dati a un responsabile in violazione dell’articolo 7 capoversi 1 e 2 AP-LPD.

La lettera c punisce chi non prende i provvedimenti necessari per proteggere i dati contro il trattamento non autorizzato e la perdita (art. 11 AP-LPD).