Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

deducono i tradizionali obiettivi di protezione nell’ambito informatico, ovvero la confidenzialità, l’integrità, la disponibilità e la tracciabilità.

Secondo l’articolo 8 capoverso 1 nLPD, il titolare e il responsabile del trattamento

garantiscono che la sicurezza dei dati personali sia adeguata. L’articolo 1 capoverso 1 P-OLPD riprende questo principio e stabilisce i criteri da prendere in considerazione per la valutazione dell’adeguatezza dei provvedimenti tecnici e organizzativi. L’elenco dei criteri corrisponde ampiamente al diritto vigente, sono però state adeguate singole formulazioni:

– lo scopo, il tipo, la portata e le circostanze del trattamento di dati (lett. a): la lettera a riguarda in particolare il livello di protezione da garantire in considerazione del

pericolo per i diritti della personalità e i diritti fondamentali della persona interessata. Infatti, quanto più elevato è il livello di protezione tanto più elevati sono i requisiti dei provvedimenti. A tale riguardo è decisivo che siano trattati dati personali degni di particolare protezione o che lo scopo del trattamento comporti un rischio elevato per i diritti della personalità o i diritti fondamentali. Per il tipo del trattamento di dati si può anche fare riferimento al grado di automatizzazione: il grado di protezione sarebbe quindi più elevato nel caso di un trattamento completamente automatizzato

(segnatamente l’applicazione dell’intelligenza artificiale) rispetto al trattamento di dati effettuato e verificato da persone fisiche. La lettera a è stata completata

conformemente all’articolo 22 capoverso 2 nLPD con l’aggiunta delle «circostanze» del trattamento;

– la probabilità che si verifichi una violazione della sicurezza dei dati e le sue potenziali conseguenze per la persona interessata (lett. b): la lettera b è stata riformulata in modo tale da esplicitare che, oltre alle potenziali ripercussioni, è decisiva anche la probabilità che si verifichi una violazione della sicurezza dei dati. A tale riguardo occorre rilevare che la severità dei requisiti è stabilita in funzione della probabilità che si verifichi una violazione della sicurezza dei dati e della gravità delle ripercussioni per la persona interessata. Occorre qui rilevare che non tutte le violazioni della sicurezza dei dati ai sensi dell’articolo 5 lettera h nLPD sono anche violazioni dei requisiti minimi ai sensi dell’articolo 8 capoverso 3 nLPD e costituiscono quindi violazioni degli

obblighi di diligenza secondo l’articolo 61 lettera c nLPD. Non si può né si deve

pretendere una sicurezza assoluta. È di fatto ipotizzabile il caso in cui sebbene il titolare del trattamento abbia adottato tutti i provvedimenti adeguati, si verifichi

comunque una violazione della sicurezza dei dati, segnatamente perché si è

realizzato il rischio residuale. Ciò non può essere rimproverato al titolare del

trattamento. Occorre invece esaminare nell’ambito dei requisiti minimi se il titolare e il responsabile del trattamento abbiano adottato tutti provvedimenti adeguati per

garantire la sicurezza dei dati e ciò a prescindere dal verificarsi di una violazione della sicurezza dei dati;

– lo stato della tecnica (lett. c): i provvedimenti vanno definiti o adeguati in base allo stato della tecnica. Per stato della tecnica s’intende considerare lo stato attuale. È quindi sufficiente adottare provvedimenti già disponibili che hanno dato buoni risultati. Non si può invece pretendere che siano impiegate recentissime tecniche poco

approfondite o ancora in fase di sviluppo;

– le spese d’implementazione (lett. d): la lettera d menziona esplicitamente le spese d’implementazione che sono un criterio di valutazione dell’adeguatezza dei

provvedimenti, come risulta dal n. 6.1.1. del commento dell’Ufficio federale di giustizia all’ordinanza del 14 giugno 1993 di esecuzione della legge federale sulla protezione dei dati (OLPD, RS 235.11; stato il 1° gennaio 2008;documento disponibile soltanto in tedesco e francese⁹). In primo luogo occorre tuttavia definire i provvedimenti tecnici e organizzativi necessari in considerazione dei criteri di cui alle lettere a–c. I titolari e