Rapporto esplicativo

Rapporto esplicativo della legge federale concernente la piattaforma per la comunicazione elettronica nella giustizia

Capoverso 2

Secondo l’articolo 2 capoverso 4 LOGA³³, la legislazione federale può attribuire compiti amministrativi a organizzazioni e persone di diritto pubblico o privato al di fuori dell’Amministrazione federale. Secondo la definizione dell’articolo 3 LPD, sono organi federali le autorità e i servizi della Confederazione, come pure le persone nella misura in cui sono loro affidati compiti federali. Alla corporazione è affidato un compito amministrativo: deve realizzare una piattaforma per la comunicazione elettronica. Dal punto di vista della protezione dei dati, la corporazione è quindi considerata un organo federale.

Nella misura in cui la corporazione tratta dati personali, deve esservi una base legale (art. 17 cpv. 1 LPD). La LPD usa la nozione di trattamento in un’accezione ampia. L’attività con cui la piattaforma riceve e invia documenti, a prescindere dal loro contenuto, è considerata un trattamento di dati. La piattaforma riceve documenti relativi a controversie amministrative, civili e penali e, come precedentemente rilevato, li tratta. Tali controversie giuridiche possono riguardare qualsiasi settore della vita e quindi la piattaforma tratterà regolarmente dati personali e profili della personalità particolarmente degni di protezione. In considerazione delle molteplici e diverse procedure per cui è previsto lo scambio di documenti mediante la piattaforma, si rinuncia a elencare le categorie di dati personali trattati. La piattaforma tratterà tutte le categorie di dati personali.

Il presente capoverso istituisce la base legale per il trattamento di dati da parte della corporazione. Nel contempo viene sancito il principio di minimizzazione dei dati, secondo cui la corporazione può trattare soltanto i dati personali necessari all’adempimento dei suoi compiti. Non può trattare dati ad altri fini.

Tra i compiti della corporazione vi è anche la tutela della sicurezza dell’informazione (cfr. art. 27 AP-LPCEG). La corporazione deve quindi trattare i dati personali legati alla sicurezza dell’informazione come i dati di login, gli indirizzi IP, i diritti di accesso ecc. Tra i compiti necessari della piattaforma vi è anche la verifica dei documenti per accertare che non contengano malware e tutelare così la piattaforma e i suoi destinatari. Analisi più approfondite dei documenti trasmessi (valutazione dei nomi dei documenti, dei metadati e del contenuto) non rientrano tra i compiti e pertanto queste forme di trattamento non saranno autorizzate.

Capoverso 3

Le leggi processuali vigenti prevedono già normative relative alla protezione dei dati. L’avamprogetto non cambia questa situazione, ragion per cui sono fatte salve le disposizioni sulla protezione dei dati del diritto processuale applicabile. Le normative in materia di protezione dei dati dell’avamprogetto riguardano quindi soltanto la piattaforma e non il contenuto dei documenti nei procedimenti.

Capoversi 4 e 5

La legge sulla protezione dei dati non è applicabile ai procedimenti pendenti (art. 2 cpv. 2 lett. c LPD). La protezione dei dati dei procedimenti conclusi è retta dal diritto dell’autorità che si è occupata per ultima del procedimento (cpv. 4). Nei casi rimanenti è determinante la legislazione in materia di protezione dei dati dell’autorità che li tratta (cpv. 5).

Articolo 27 Sicurezza dell’informazione

Sulla piattaforma giudici, autorità e altre persone scambiano dati molto sensibili, il che richiede un elevato livello di sicurezza. A tal fine il comitato emana un regolamento sul trattamento in cui stabilisce i provvedimenti organizzativi e tecnici contro il trattamento non autorizzato dei

33 RS 172.010