Rapporto esplicativo

re quelli in cui sono utilizzati dati personali degni di particolare protezione ai sensi dell’articolo 3 lettera c LPD. Si tratta dei dati concernenti opinioni o attività religiose, filosofiche, politiche o sindacali, la salute, la sfera intima o l’appartenenza a una razza, le misure d’assistenza sociale, i procedimenti o le sanzioni amministrative e penali.

Art. 153d Misure tecniche e organizzative

Le autorità, organizzazioni e persone autorizzate all’utilizzazione sistematica del numero AVS dovranno adottare le misure tecniche e organizzative necessarie per garantire la sicurezza delle informazioni e la protezione dei dati e prevenire così una loro utilizzazione abusiva. Questo articolo riunisce gli obblighi in parte previsti nella vigente ordinanza del DFI del 7 novembre 2007²¹ sugli standard minimi delle misure tecniche e organizzative per l’utilizzazione sistematica del numero d’assicurato AVS al di fuori dell’AVS. Con la presente revisione, essi vengono inseriti nella legge e aggiornati.

Gli obblighi di diligenza sono tesi alla protezione da un’utilizzazione abusiva del NAVS. Le autorità, organizzazioni e persone autorizzate all’utilizzazione sistematica del numero AVS dovranno costantemente provvedere a che gli standard di sicurezza applicabili siano rispettati. I sistemi dovranno quindi essere sempre conformi alle prescrizioni vigenti e, se del caso, andranno adeguati di conseguenza.

Lett. a: questa lettera stabilisce che i diritti di accesso alle banche dati contenenti il NAVS possono essere concessi solo ai collaboratori che ne necessitano per l’adempimento dei loro compiti. Le autorizzazioni necessarie vanno accordate in misura restrittiva.

Lett. b: va designata una persona responsabile per l’utilizzazione sistematica del NAVS. Essa dovrà firmare il piano SIPD di cui alla lettera d o prenderne atto in un altro modo comprovabile.

Lett. c: il NAVS non può essere utilizzato per scopi diversi da quelli previsti nell’ambito dello svolgimento dei compiti né trasmesso illecitamente a terzi. Le persone con diritto di accesso vanno informate, attraverso misure di formazione e perfezionamento adeguate, che il NAVS può essere utilizzato unicamente per lo svolgimento dei compiti ed essere comunicato a terzi solo se le prescrizioni legali lo consentono.

Lett. d: le autorità, organizzazioni e persone autorizzate all’utilizzazione sistematica del numero AVS devono provvedere a che i gestori dei loro mezzi informatici e supporti di memoria predispongano un piano di sicurezza dell’informazione e protezione dei dati (SIPD) che descriva le singole misure di sicurezza e protezione dei dati. Il piano SIPD menziona e analizza i fattori di rischio rilevanti in base ai criteri di disponibilità, confidenzialità, integrità e tracciabilità e specifica con quali misure concrete vanno adempiuti i requisiti in materia di sicurezza delle informazioni e protezione dei dati. Le misure d’implementazione concernono l’infrastruttura, l’organizzazione, la formazione del personale e l’adeguamento di hardware e software.

Da un lato, occorre garantire fisicamente la sicurezza dell’accesso ai mezzi informatici e ai supporti di memoria. Se sono impiegati mezzi informatici e supporti di memoria portatili si deve garantire, mediante procedure di cifratura conformi allo stato della tecnica, che le persone non autorizzate non possano accedere ai dati.

Dall’altro, l’accesso ai mezzi informatici e ai supporti di memoria deve essere protetto mediante misure di sicurezza informatiche supplementari, conformi allo stato della tecnica e al livello di rischio. Queste misure devono comprendere come minimo l’impiego di programmi usuali nel commercio, tenuti costantemente aggiornati, in grado di individuare ed eliminare programmi maligni (programmi antivirus) e di un sistema firewall (centrale o locale). Chi può accedere a mezzi informatici e supporti di memoria deve prima autenticarsi. Se a tal fine è prevista una password, questa deve rimanere segreta: non può essere trasmessa e va immediatamente modificata se si sospetta che persone non autorizzate ne siano venute a conoscenza. Nei mezzi informatici vanno inoltre installati il più rapidamente possibile i più recenti update di correzione (patch) del sistema operativo e delle applicazioni. Attività ed eventi importanti nei sistemi informatici vanno registrati e analizzati regolarmente. È inoltre necessario che i mezzi informatici e i supporti di memoria non contengano più né numeri d’assicurato né altri dati personali prima di essere riparati, smaltiti o distrutti e che questi non possano essere ripristinati.

Infine, quando si trasmettono dati attraverso reti pubbliche, si corre il rischio che i dati giungano a persone cui non sono destinati. Per «pubblica» s’intende ogni rete che non è riservata a una cerchia di utenti definita in modo esaustivo e soggetta a uno speciale controllo d’accesso (p. es. rete interna all’ufficio). Mediante una cifratura conforme allo stato della tecnica è possibile ovviare a questo rischio.

Lett. e: nel quadro di un piano d’emergenza, deve essere definita la procedura da seguire in caso di accesso abusivo a banche dati o di utilizzazione abusiva delle medesime. Questa regolamentazione delle misure eventualmente necessarie costituisce una componente del piano SIPD.

Art. 153e Analisi dei rischi

Cpv. 1: le analisi dei rischi periodiche servono a individuare i rischi di collegamenti illeciti di banche dati e, se del caso, coordinare la collaborazione delle amministrazioni in modo che le misure tecniche e organizzative siano adottate in base a una stima realistica e rappresentativa dei rischi sistemici globali.

Lett. a e b: per quanto riguarda la responsabilità dell’analisi dei rischi, queste lettere precisano quali unità a livello federale e cantonale vi sono tenute e per quali banche dati.

Cpv. 2: la tenuta di elenchi delle banche dati contenenti il NAVS permette un’azione mirata e coordinata. Per raggiungere questo obiettivo si possono anche sfruttare elenchi di banche dati già esistenti secondo il criterio dell’utilizzazione sistematica del NAVS.

21 RS 831.101.4