Rapporto esplicativo

privati è invece per principio vietata. Il NAVS sarà tuttavia utilizzato sistematicamente nel quadro dello scambio automatico di informazioni per questioni fiscali quale numero d’identificazione fiscale nello scambio di dati internazionale. A partire dall’autunno del 2018 sarà pertanto trasmesso agli istituti finanziari di oltre 50 Stati e territori.

I servizi estranei alle assicurazioni sociali federali che intendono utilizzare il NAVS sistematicamente sono tenuti ad annunciarsi preventivamente all’UCC. Una volta autorizzati a utilizzare sistematicamente il NAVS, possono accedere alla banca dati degli identificatori personali gestita dall’UCC (Unique Personal Identification Database, UPI), in cui sono registrati in modo univoco tutti gli individui ai quali è stato assegnato un NAVS. Grazie al confronto regolare dei dati dell’UCC con quelli dei registri di persone della Confederazione (tra cui il registro federale dello stato civile Infostar e il sistema d’informazione centrale sulla migrazione SIMIC), l’UCC può garantire che i dati registrati siano sempre attuali, completi e univoci. A tutela della sicurezza e della qualità dei dati, i servizi e le istituzioni ai quali è accordato il diritto di accesso sono tenuti ad adottare misure tecniche e organizzative, disciplinate a livello di ordinanza9.

Nel sistema attuale la decisione relativa all’autorizzazione all’utilizzazione sistematica del NAVS al di fuori dell’AVS è delegata al legislatore. Questi decide in base a una valutazione generale della sicurezza delle informazioni in materia, che disciplina nella pertinente legge speciale.

La normativa proposta prevede che le autorità federali e cantonali e, nella misura prevista dal diritto cantonale, quelle comunali possano utilizzare sistematicamente il NAVS per l’adempimento dei compiti assegnati loro dalla legge senza doversi appoggiare su una base legale prevista in una legge speciale. L’autorizzazione all’utilizzazione sistematica dovrà risultare già dalla pertinente disposizione della LAVS, con la quale sarà così introdotta una norma permissiva generale per le autorità. In futuro non ci sarà dunque più bisogno di alcuna norma permissiva in una legge speciale per ogni singolo scopo di utilizzazione e utente. Tuttavia, il legislatore continuerà ad avere anche la facoltà di creare identificatori personali settoriali specifici e di vietare l’impiego sistematico del NAVS in un determinato settore.

Le istituzioni non aventi carattere di autorità e alle quali è stato affidato per legge l’adempimento di un compito pubblico necessiteranno invece, come finora, di un’autorizzazione mediante legge speciale per utilizzare il NAVS. L’autorizzazione all’utilizzazione sistematica da parte delle istituzioni preposte all’educazione rimarrà disciplinata – come già nel diritto vigente – a livello di legislazione AVS. La nuova normativa si applicherà però a tutte le istituzioni educative, dato che queste adempiono obblighi in materia di assicurazioni sociali o compiti nell’ambito delle statistiche federali. Le autorizzazioni di legge all’utilizzazione sistematica del NAVS già previste dal diritto vigente saranno adeguate. Come finora, l’utilizzazione sistematica per scopi prettamente privati rimarrà esclusa.

1.2.2 Misure di accompagnamento

Oggi le autorità lavorano con innumerevoli banche dati e fonti di dati, da cui traggono le loro informazioni. Il NAVS è un dato che o vi è già contenuto o, secondo la soluzione proposta, lo sarà in futuro. Le autorità hanno un chiaro interesse alla protezione dei loro dati e sono tenute ad adottare tutte le misure necessarie per garantire la sicurezza delle informazioni, tra cui quelle per la sicurezza informatica. Questo vale per tutte le autorità che utilizzano sistematicamente il NAVS.

Onde evitare utilizzazioni scorrette ed eventuali abusi, devono dunque essere previste barriere efficaci e prescrizioni tecnicoorganizzative. In particolare occorre proteggere le banche dati da consultazioni e manipolazioni non autorizzate. Le banche dati e le applicazioni tecniche gestite dalla Confederazione presentano nel complesso un livello di sicurezza relativamente elevato. Lo stesso vale per numerosi sistemi informatici di Cantoni e Comuni. Tuttavia, al di fuori dell’Amministrazione federale vi sono diversi sistemi che non soddisfano pienamente gli attuali standard di sicurezza. Questa situazione va risolta ricorrendo a misure di sicurezza organizzative, personali, infrastrutturali e tecniche, in modo da poter garantire un livello di sicurezza sufficiente. L’instaurazione della sicurezza informatica non è mai una singola misura, bensì un processo che richiede un’osservazione e un adeguamento costanti di diversi fattori.

Concretamente, questo significa in primo luogo che vanno regolamentate le responsabilità in materia. Per delimitare gli ambiti di competenza, evitando al contempo lacune, le responsabilità dovranno essere disciplinate chiaramente per tutti i compiti essenziali, in particolare nel processo di sicurezza delle informazioni. I collaboratori che impiegano strumenti informatici dovrebbero essere formati riguardo alla sicurezza dell’infrastruttura informatica. Direttive e istruzioni sulla sicurezza andranno documentate in forma scritta. Occorrerà inoltre valutare regolarmente i rischi nel settore della sicurezza delle informazioni e predisporre un piano di sicurezza dell’informazione e protezione dei dati (SIPD). Dal punto di vista dell’infrastruttura, si tratta in primo luogo di garantire fisicamente l’accesso ai mezzi informatici e ai supporti di memoria. Un’altra misura di sicurezza di tipo fisico consiste nel far sì che i mezzi informatici e i supporti di memoria non contengano più né NAVS né altri dati personali prima di essere riparati, smaltiti o distrutti e che questi non possano essere ripristinati.

Inoltre occorrerà ridurre al minimo i rischi tecnici di accesso, il che implica procedure di autenticazione e misure di sicurezza informatica adeguate (programmi antivirus, firewall). Il software dovrà essere conforme allo stato della tecnica ed essere regolarmente aggiornato tramite update di sicurezza e di correzione (patch). Nel caso delle reti mobili, i dati andranno cifrati con procedure di cifratura conformi allo stato della tecnica. Fondamentale per il riconoscimento di disfunzioni o incidenti è l’analisi dei dati di protocollo (log) dei computer, che permette di individuare irregolarità nel funzionamento dei sistemi informatici dovute alla mancanza di programmi o a errori nei medesimi oppure a falle di sicurezza. Sarà inoltre necessario definire e testare preliminarmente la gestione di incidenti di sicurezza. Per incidente di sicurezza s’intende un evento indesiderato che ha ripercussioni sulla sicurezza delle informazioni e può comportare gravi danni. Conseguenze tipiche di tali incidenti possono essere lo spionaggio, la manipolazione o la distruzione di dati. Per evitare o contenere i danni, gli incidenti di sicurezza vanno trattati in modo rapido ed efficiente. Con una procedura predefinita e collaudata si possono ridurre al minimo i tempi di reazione.