Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

punibilità secondo l’articolo 61 lettera c nLPD sussiste soltanto in caso di commissione intenzionale e ciò presuppone che il responsabile del trattamento violi consapevolmente e intenzionalmente i requisiti minimi della sicurezza dei dati. Sarebbe quindi ad esempio punibile chi omette di installare un’applicazione antivirus, sebbene sappia (o almeno prenda in considerazione) che in tal modo prende provvedimenti insufficienti per rispettare i requisiti minimi di sicurezza dei dati.

Poiché la legge segue già l’approccio della sicurezza dei dati basata sul rischio e non

stabilisce requisiti generali minimi per tutti i settori, il P-OLPD non introduce requisiti minimi rigidi. L’approccio del progetto di ordinanza si fonda piuttosto sul fatto che spetta in primo luogo al titolare del trattamento definire e adottare le misure necessarie nel singolo caso. Tali misure vanno prese caso per caso e definite a seconda del rischio. Un ospedale ad esempio, in cui sono trattati periodicamente dati personali particolarmente degni di protezione, dovrà soddisfare requisiti più elevati rispetto a una panetteria o una macelleria che tratta dati di clienti o fornitori. Il P-OLPD contiene pertanto in particolare le linee guida per determinare i provvedimenti da adottare (art. 1 e 2 P-OLPD). In tal modo è possibile garantire la flessibilità necessaria per coprire tutti i possibili casi ed evitare un’eccessiva regolamentazione

soprattutto per le aziende per le quali i trattamenti di dati sono rari e presentano rischi esigui.

I provvedimenti di sicurezza dei dati specificamente previsti dal diritto vigente sono rispettati: si tratta di una verbalizzazione (art. 3) e del regolamento sul trattamento (art. 4, 5). Il

Consiglio federale persegue anche in questo ambito un approccio basato sul rischio:

maggiore il pericolo per i diritti della personalità e i diritti fondamentali del singolo più elevati i requisiti.

Nel diritto vigente i requisiti minimi in materia di sicurezza dei dati sono disciplinati negli articoli 8–12 e 20–21 OLPD. Il Consiglio federale ha deciso di basarsi sull’attuale standard di sicurezza dei dati. In linea di massima, quindi, le prescrizioni di diritto materiale sono riprese immutate. Gli adeguamenti sono stati effettuati soltanto laddove apparivano opportuni a causa della digitalizzazione o del progresso tecnico, delle regole della legge riveduta o della direttiva (UE) 216/680 determinante per la Svizzera, segnatamente dell’articolo 29. Inoltre, il Consiglio federale si è ispirato all’ordinanza (UE) 2016/679 affinché le imprese svizzere che sono attive nell’UE e garantiscono una protezione dei dati conforme al RGPD, possano partire dal presupposto di rispettare i requisiti minimi anche in Svizzera.

Sotto il profilo sistematico la sicurezza dei dati è ora disciplinata in una sezione

appositamente prevista a tal fine. Nell’attuale OLPD la sicurezza dei dati è disciplinata separatamente per i privati e per gli organi federali. Ai fini di una maggiore trasparenza e comprensibilità, tali disposizioni sono state riunite. Nei casi in cui per privati e organi federali vigono regole diverse, esse sono enunciate in articoli e capoversi separati.

Art. 1 Principi

L’articolo 1 P-OLPD disciplina i principi da rispettare per la determinazione dei provvedimenti. Rispetto alla normativa vigente dell’articolo 8 OLPD, la densità normativa dell’articolo 1 P-OLPD è stata ridotta. L’articolo 1 capoversi 1 e 2 P-OLPD corrisponde sostanzialmente all’articolo 8 capoversi 2 e 3 OLPD. L’articolo 8 capoverso 1 OLPD è invece soppresso perché gli obiettivi volti a garantire la sicurezza dei dati sono ora sanciti a livello di legge.

L’articolo 8 capoverso 2 nLPD stabilisce segnatamente che i provvedimenti devono

permettere di evitare violazioni della sicurezza dei dati. Secondo l’articolo 5 lettera h nLPD, vi è una violazione della sicurezza dei dati se, in modo accidentale o illecito, dati personali vengono persi, cancellati, distrutti, modificati oppure divulgati o resi accessibili. Da ciò si