Rapporto sui risultati

Rapporto sui risultati della consultazione sulla legge federale sui servizi d’identificazione elettronica (Legge sull’eID, LSIE)

Il PVL è favorevole al fatto che il titolare di un’eID designi i dati d’identificazione personale che l’IdP può trasmettere a un gestore di servizi che utilizzano l’eID e che, in occasione del primo trasferimento di dati d’identificazione personale, l’IdP debba richiedere imperativamente il consenso esplicito del titolare. Il PVL chiede di precisare che solo i dati attestati dallo Stato sono soggetti al divieto di trasmissione di cui al capoverso 3, e non quelli già in possesso dell’IdP senza alcun legame con il sistema di eID. Secondo il PVL, a questi ultimi dovrebbe applicarsi esclusivamente il diritto ordinario in materia di protezione dei dati.

L’ACS ritiene necessario chiarire diverse questioni, in particolare riguardo al divieto o alla possibilità di svolgere attività commerciali servendosi dei dati d’identificazione personale secondo l’articolo 7 capoversi 1 e 4. Specifica che il titolare dell’eID deve sempre essere consapevole dei dati trasmessi o no a terzi. Propone quindi di completare il capoverso 3 come segue: «Per quanto riguarda la comunicazione a terzi dei dati di cui all’articolo 7 capoversi 1 e 4, è necessario ottenere il consenso del titolare dell’eID.

La FER approva che si debba ottenere il consenso del titolare dell’eID per la trasmissione di dati e che si preveda di limitare il loro trattamento da parte dello Stato e degli IdP. L’UBCS chiede livelli di sicurezza congruenti tra i servizi che utilizzano eID e i dati personali trasmessi: i dati con determinati livelli di sicurezza devono poter essere trasmessi soltanto ai servizi che utilizzano eID (p. es. negozi online) che dimostrino di aver implementato livelli di sicurezza sufficienti. Per rafforzare la protezione dei dati, l’ASB e l’UBCS propongono di estendere il campo d’applicazione dell’articolo 10 capoverso 3 a tutti i tipi di dati d’identificazione personale iscritti all’articolo 7. L’UBCS trova troppo restrittiva l’attuale limitazione imposta al trattamento dei dati e propone di allentare la restrizione in vista di futuri sviluppi. L’ASB ritiene che le possibilità di trasmissione dei dati, proposte nell’avamprogetto, contrastino con i requisiti fondamentali di un’efficace protezione dei dati.

Secondo la KARTAC e la SPA, il divieto di trasmettere dati d’identificazione personale nella sua forma assoluta è eccessivo, non compatibile con la legislazione sul riciclaggio di denaro e non praticabile. Propongono di modificare l’articolo 10 capoverso 3, abbandonando il divieto assoluto imposto all’IdP e ai gestori di servizi che utilizzano l’eID di trasmettere dati

d’identificazione personale o profili di utilizzo su di essi fondati, a favore di un approccio che non intralci i (comprovati) meccanismi giuridici della lotta al riciclaggio di denaro e coinvolga i titolari delle eID nelle decisioni sull’utilizzo dei loro dati. L’ASUT parte dal presupposto che le disposizioni della legge sulla protezione dei dati (in revisione) saranno applicate nella loro totalità. Per la SPA il divieto di trasmissione dei dati non è praticabile all’interno di un gruppo aziendale. La SFTI giudica troppo limitante ridurre il trattamento dei dati da parte degli IdP ai due casi pratici dell’identificazione e dell’autenticazione, se possibile con un occhio di riguardo alle sfide e alle necessità della vita quotidiana, e raccomanda quindi una formulazione più aperta.

LA FSA è dell’opinione che lo scambio di dati dovrebbe essere limitato al minimo indispensabile e che la legge dovrebbe stabilire i dati da scambiare alla luce della parità di trattamento. L’ASSA propone di completare il capoverso 3 prevedendo una dichiarazione di assenso come requisito per comunicare a terzi i dati elencati all’articolo 7 capoversi 1 e 4.

Swisscom e l’UBS propongono di specificare nel testo di legge che deve essere possibile comunicare dati a patto di aver ottenuto in consenso del titolare. Nel caso di temi contemplati dalla legge sulla protezione dei dati, Swisscom ritiene superfluo inserire apposite disposizioni di protezione dei dati nella legge sull’eID. Per la Posta e le FFS non si capisce se un IdP può trasmettere ai gestori di servizi che utilizzano l’eID i tipi di dati elencati all’articolo 7 (cpv. 2) oppure se non ne ha il diritto (cpv. 3). I capoversi 1, 2, e 3 andrebbero armonizzati e precisati di più. La Posta e le FFS suggeriscono inoltre di tenere conto della revisione della LPD al momento di stilare la versione finale dell’articolo 10.