Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

dei dati conforme al GDPR possano partire dal presupposto che soddisfano i requisiti minimi anche in Svizzera.

Come previsto dall’articolo 8 capoverso 1 nLPD che parla di una sicurezza dei dati personali adeguata al rischio, l’ordinanza non prescrive requisiti minimi rigidi validi per tutti, perché una tale normativa non sarebbe praticabile. Segue invece anche qui un approccio basato sul rischio: il titolare del trattamento deve determinare i provvedimenti adeguati in base al rischio che di volta in volta si presenta. L’ordinanza illustra i criteri alla base di questa valutazione e fornisce direttive volte a definire i provvedimenti stilando un elenco di scopi di protezione (art. 1 e 2 P-OLPD).

È inoltre stato consolidato e concretizzato l’obbligo di verbalizzazione (art. 3 P-OLPD) e quindi i titolari privati del trattamento dovranno verbalizzare tutti i trattamenti automatizzati di dati personali nel cui ambito sussiste un rischio elevato per la personalità o i diritti

fondamentali delle persone interessate. Gli organi federali devono verbalizzare tutti i

trattamenti automatizzati di dati personali. Inoltre, il termine di conservazione è stato

prolungato a due anni.

Inoltre, in alcuni casi i titolari privati del trattamento e gli organi federali continuano a essere obbligati a dotarsi di un regolamento sul trattamento (art. 4 seg. P-OLPD).

2.2 Comunicazione di dati personali all’estero

La sezione sulla comunicazione di dati personali all’estero è stata interamente modificata, poiché secondo la nLPD spetta al Consiglio federale stabilire quali Stati od organi

internazionali garantiscono una protezione dei dati adeguata. Pertanto l’ordinanza disciplina ora i criteri di cui deve tenere conto il Consiglio federale per prendere tale decisione (art. 8 P-OLPD). Nell’allegato 1 sono elencati in una tabella gli Stati e gli organi internazionali che dispongono di una protezione adeguata. Attualmente tale elenco non è ancora definitivo perché si attendono le decisioni della Commissione europea in materia di adeguatezza e gli sviluppi riguardo alle ratifiche della convenzione STE 108. Questi fattori sono particolarmente importanti nell’ottica di uno spazio di protezione uniforme e quindi ne va tenuto conto

nell’ambito degli esami dell’adeguatezza del Consiglio federale. L’elenco degli Stati e organi internazionali adeguati e il livello di protezione degli Stati o degli organismi internazionali sarà inoltre periodicamente verificato anche dopo l’entrata in vigore dell’ordinanza (art. 8 cpv. 3 P-OLPD).

Inoltre, l’ordinanza concretizza il contenuto delle ulteriori possibilità di garantire una

protezione adeguata dei dati menzionate nell’articolo 16 capoverso 2 nLPD (p. es. clausole di standard di protezione dei dati) (art. 9 segg. P-OLPD).

Infine viene utilizzata la delega dell’articolo 16 capoverso 3 nLPD secondo cui possono essere previste altre garanzie idonee. Possono così anche essere comunicati dati personali se il livello adeguato di protezione dei dati è garantito da un codice di comportamento o da una certificazione (art. 12 P-OLPD).

2.3 Diritto d’accesso

Come nel diritto vigente, la richiesta di informazioni deve in linea di massima essere

presentata per scritto. In futuro, per il richiedente, le condizioni del diritto d’accesso saranno un po’ meno severe perché, con il consenso del titolare del trattamento, la richiesta di

informazioni potrà essere presentata anche in forma orale.