Rapporto sui risultati

o legale, equivale a un controllo dell’attività dei giudici e degli avvocati, che non è compatibile con la loro indipendenza. TribApp GL chiede che il progetto preveda il divieto di analizzare i dati marginali. Si suggerisce il divieto di qualsiasi trattamento di analisi da parte delle autorità quando vengono consultati gli atti (HDC). La CCCPS è di altro parere: suggerisce infatti che la valutazione dei dati marginali a fini di controllo sia esplicitamente prevista per dimostrare il rispetto dei termini. Secondo LU, la corporazione dovrebbe anche poter effettuare o disporre valutazioni statistiche.

AL BE, Bär&Karrer e bav fanno notare che non è disciplinato chi ha il controllo sui dati trattati dalla piattaforma. Inoltre, la disposizione andrebbe integrata prevedendo che i dati debbano sempre essere conservati in forma criptata e possono essere consultati solo dalle parti autorizzate (AL BE). Il controllo dei documenti per individuare malware può anche inficiarne l’integrità e l’autenticità (AG).

PEp osserva che, nell’era di Internet, l’ubicazione dei dati e delle persone coinvolte non è un criterio sufficiente per garantire la protezione dei dati. Si dovrebbe invece applicare il principio di minimizzazione dei dati. Anche l’autorità di standardizzazione statunitense NIST suggerisce di ricorrere all’architettura zero trust. Inoltre, i dati trattati sulla piattaforma dovrebbero essere soggetti al segreto d’ufficio e l’accesso a questi dati dovrebbe essere disciplinato nel modo più rigoroso possibile (UNIL). Il messaggio dovrebbe specificare se le misure tecniche, come la crittografia dei dati, consentono un trattamento all’estero o da parte di imprese straniere. Non è nemmeno chiaro quando la corporazione agisca come responsabile del trattamento dei dati e quando come esecutore dei compiti (HDC e UNIL) o cosa si intenda esattamente per dati della piattaforma (TribCant VD).

Swimag fa notare che il GDPR, in virtù della sua natura di regolamento, permea tutte le disposizioni e le norme nazionali.

Cpv. 1

BL, HDC e privatim fanno notare che non è chiaro chi siano le terze parti coinvolte. Potrebbero anche essere dipendenti dell’autorità. Si dovrebbe chiarire che si tratta in particolare di fornitori di servizi per l’allestimento e l’esercizio della piattaforma. Questo andrebbe specificato nel messaggio (ZH). Il TAF fa rilevare che la disposizione non dice nulla sulla misura in cui è possibile o ammissibile l’accesso alla banca dati dall’estero. Inoltre, va disciplinato se e in che misura la corporazione può divulgare alle autorità in Svizzera e all’estero i dati personali che elabora secondo il capoverso 2 (bav).

GE e PJ GE ritengono che la versione francese di questa disposizione sia poco chiara e difficile da capire. La seconda frase del primo capoverso non è comprensibile.

Cpv. 2

BL e TAF accolgono con favore la restrizione nel capoverso 2 per quanto riguarda il trattamento dei dati da parte della corporazione, ma ritengono che la formulazione sia ancora troppo permissiva. Inoltre, con l’entrata in vigore della legge sulla protezione dei dati totalmente rivista, il termine dati personali riguarderà solo le persone fisiche e non più le persone giuridiche (GL e HDC). Anche il concetto di profili della personalità dovrebbe essere cancellato (HDC), così come quello di procedimenti pendenti (DB LU).

Cpv. 4

BE, GE, GL, PJ GE e CPS criticano che questo capoverso non è chiaro e anche il rapporto esplicativo non aiuta. Inoltre, deve essere allineato con la nuova legge sulla protezione dei dati (LU).

SO e VWK ZH fanno rilevare che, in caso di procedimenti conclusi, non dovrebbe essere applicabile il diritto dell’autorità che si è occupata per ultima del procedimento, ma piuttosto il