Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

i responsabili del trattamento non possono in particolare esimersi dall’obbligo di garantire un’adeguata sicurezza dei dati facendo valere spese eccessive:ma devono sempre essere in grado di garantire un’adeguata sicurezza dei dati. Nemmeno

l’assenza di un piano al momento dello sviluppo può essere addotta come argomento per far valere che le spese d’implementazione per l’attuazione della sicurezza dei dati sono troppo elevate dopo la messa in servizio del sistema. Per quanto concerne le applicazioni Legacy si deve invece tenere conto del tempo necessario fino alla

sostituzione (ciclo di vita). Il criterio dei costi è stato introdotto anche per garantire un livello di protezione dei dati sempre adeguato, va preferita la variante più

economica¹⁰.

Per garantire la sicurezza dei dati vi sono diversi provvedimenti. Eccone tre a titolo

esemplificativo:

– l’anonimizzazione, la pseudonimizzazione e il criptaggio di dati personali:

l’anonimizzazione contribuisce in particolare a ridurre eventuali ripercussioni negative per gli interessati; ripercussioni che potrebbero derivare ad esempio dalla

pubblicazione non autorizzata di dati personali. In caso di anonimizzazione, la LPD non si applica;

– la procedura per identificare, analizzare e valutare i rischi ed esaminare l’adeguatezza dei provvedimenti presi: a partire da un certo rischio, in molti casi sarà pertanto più ragionevole o addirittura necessario implementare procedure e processi

standardizzati che non soltanto verificano regolarmente i rischi e l’adeguatezza dei provvedimenti presi, ma li valutano anche. Tali provvedimenti sono rilevanti in

particolare per quanto concerne i sistemi automatizzati. Contribuiscono a garantire durevolmente la sicurezza dei dati e sono semplici da provare;

– la formazione e la consulenza delle persone incaricate di attuare i provvedimenti: il Consiglio federale ritiene importante la presente misura, perché l’attuazione e

l’efficacia della sicurezza dei dati dipende in particolare anche dalle persone che applicano i provvedimenti stabiliti. Infatti una formazione e una consulenza lacunose possono causare una violazione della sicurezza dei dati, si pensi ad esempio al caso in cui un collaboratore apre un’e-mail con un malware.

In definitiva, sono le circostanze del singolo caso a essere determinanti per la definizione dei provvedimenti che vanno stabiliti nell’ambito di una ponderazione dei diversi interessi nel quadro di una valutazione complessiva.

I provvedimenti, conformemente all’articolo 1 capoverso 2 e al diritto vigente devono essere costantemente verificati o adeguati. Occorre in particolare verificare se le misure sono ancora adeguate al rischio ed efficaci. Invece che «periodicamente» la verifica deve avvenire a «intervalli adeguati». La necessità della verifica dipende in particolare dal pericolo per i diritti della personalità e dai diritti fondamentali delle persone interessate e aumenta con

l’aumentare del pericolo. La verifica deve avvenire in base a una determinata periodicità, ad esempio si può prevedere un intervallo da uno a cinque anni. Una verifica può anche imporsi in caso di violazione della sicurezza dei dati o di trattamento di dati personali. L’articolo 1 capoverso 2 precisa anche che non deve essere garantita soltanto la sicurezza dei dati, ma anche la sua verifica durante tutta la durata del trattamento. Si esplicita così che la sicurezza dei dati e la sua verifica sono obblighi duraturi che devono essere adempiuti per tutto il ciclo di vita dei dati personali.