Rapporto esplicativo

Per eliminare sostanzialmente i timori relativi alla protezione dei dati, il perito raccomanda di reimpostare l’intero sistema delle banche dati, salvando in banche dati separate i dati personali e quelli fattuali. I primi dovrebbero inoltre essere preservati da ridondanze. Si parla di ridondanza delle informazioni quando dati dal medesimo contenuto sono registrati più volte. Attributi quali cognome, nome o NAVS di una persona dovrebbero dunque essere salvati in un’unica banca dati. Il collegamento dei dati personali con quelli fattuali dovrebbe essere possibile esclusivamente sulla base di speciali tabelle di collegamento, che andrebbero mantenute segrete (le cosiddette “linkage tables”).

Una tale reimpostazione delle banche dati non comprometterebbe per principio lo scambio dei dati, ma gli attributi non potrebbero più essere memorizzati a livello decentralizzato e per accedere ai dati si dovrebbe sempre passare per la banca dati centralizzata che contiene questi attributi. In questo modo il traffico di rete e gli accessi alle banche dati aumenterebbero, il che accrescerebbe le probabilità di errori. Secondo la perizia le banche dati sono “colli di bottiglia” e sistemi critici che vanno tenuti costantemente disponibili. L’impostazione e l’applicazione di un tale sistema sarebbero inoltre onerose e genererebbero spese molto elevate per la Confederazione, i Cantoni e i Comuni. Le esperienze fatte con il millennium bug hanno dimostrato che anche solo piccoli cambiamenti nei formati dei dati e nella maniera di salvare ed elaborare i dati possono avere ripercussioni notevoli sul fronte delle spese. Inoltre, l’eliminazione delle ridondanze comporterebbe anche difficoltà nella gestione operativa delle banche dati interessate: senza ridondanze sarebbe infatti più difficile individuare e correggere eventuali errori di registrazione o elaborazione dei dati da parte degli utenti. In caso di perdita dei dati, inoltre, non si potrebbe più ricorrere a copie ridondanti, il che renderebbe necessari ancora più backup del solito. Inoltre, l’assenza di ridondanze renderebbe difficili le prove di coerenza, poiché non sarebbe possibile alcun confronto con altre banche dati (ridondanti). L’applicazione vincolante su larga scala della proposta del perito comporterebbe pertanto numerosi svantaggi e spese elevate. Se è vero che in alcuni casi, in campi d’applicazione chiusi (p. es. nel settore sanitario), al momento dell’allestimento di nuove banche dati sarebbe ragionevole prevedere un’architettura con una gestione dei dati minima, è anche vero che ciò sarebbe ragionevole solo se una tale struttura potesse essere introdotta completamente da zero per un campo d’applicazione ampio. In tutti gli altri casi, si tratterebbe soltanto di creare singole banche dati o di aggiungere nuovi attributi a quelle già esistenti. Per questi motivi (difficoltà operative e scarso valore aggiunto, da un lato, e spese elevate, dall’altro) si rinuncia a esigere dagli utenti sistematici del NAVS la completa reimpostazione dell’architettura delle loro banche dati. Nonostante la rinuncia a una prescrizione legale generale, resta comunque la possibilità per i singoli utenti sistematici di adeguare la loro architettura secondo la proposta del perito.

1.3.2.2 Procedura di autorizzazione

È stata vagliata anche la possibilità di introdurre una procedura di autorizzazione per gli utenti sistematici del NAVS. In un tale sistema, l’autorizzazione sarebbe rilasciata, mediante decisione, da un’autorità preposta, che dovrebbe verificare in ogni caso specifico se il richiedente sia in grado di garantire la protezione dei dati e la sicurezza delle informazioni nel quadro dell’utilizzazione sistematica del NAVS. L’autorità richiedente dovrebbe dimostrare in particolare di essere in grado di applicare le necessarie misure tecniche e organizzative. L’autorità preposta al rilascio dell’autorizzazione dovrebbe inoltre verificare, tramite controlli a campione periodici presso i titolari dell’autorizzazione, se questi continuino a soddisfare le condizioni richieste e adempiano gli obblighi di diligenza e collaborazione. L’instaurazione di un tale sistema comporterebbe maggiori oneri amministrativi e spese elevate, che non sarebbero adeguatamente compensati da benefici supplementari, tanto più che i sistemi informatici sono per loro natura soggetti a costanti cambiamenti e che un’autorizzazione potrebbe essere rilasciata solo in base alla situazione specifica del momento. Considerato inoltre l’elevato grado di conformità alla legge delle autorità federali, cantonali e comunali, appare opportuno rinunciare a onerosi meccanismi di controllo e sorveglianza, puntando invece sul principio dell’autocontrollo.

1.3.2.3 Numeri settoriali

In un sistema con identificatori personali settoriali coordinati, a ogni persona fisica da registrare vengono assegnati più identificatori, i quali vengono utilizzati esclusivamente per l’attività amministrativa nei rispettivi settori, ad esempio in quello fiscale o in quello delle assicurazioni sociali. Per consentire una comunicazione elettronica efficiente tra due organi amministrativi di diversi settori, occorre però un server centrale per l’identificazione e la comunicazione. L’attuale struttura amministrativa non prevede tali settori, che andrebbero dunque innanzitutto creati. In occasione della procedura di consultazione sull’avamprogetto della legge SPIN, nel 2004, la maggior parte dei Cantoni e delle organizzazioni attive nel governo elettronico e nell’amministrazione elettronica si è infatti detta contraria alla settorializzazione, considerandola come troppo complessa e costosa nonché soggetta a errori e, dunque, difficilmente attuabile. Attualmente un obbligo generalizzato di introdurre identificatori settoriali o altri identificatori personali alternativi sarebbe un passo indietro per numerose autorità federali, cantonali e comunali, tanto più che esse hanno già adottato disposizioni ed effettuato investimenti confidando nel mantenimento della normativa vigente (con il NAVS quale identificatore personale univoco per le autorità). Considerate queste circostanze, l’introduzione di un sistema globale con identificatori personali settoriali non è auspicabile. Se in un determinato settore si auspicasse l’impiego di un identificatore personale specifico, questo resterebbe possibile anche con il presente avamprogetto.

1.4 Pareri espressi durante la procedura di consultazione e loro valutazione

Il/L’xx ottobre 2018 il Consiglio federale ha incaricato il DFI di svolgere una procedura di consultazione sull’avamprogetto di modifica della LAVS. In una lettera della stessa data, il DFI ha quindi invitato i Cantoni, i partiti politici rappresentati nell’Assemblea federale, le associazioni mantello dell’economia e altre associazioni e organizzazioni a esprimersi