Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

Art. 2 Obiettivi di protezione

L’articolo 2 contiene un elenco degli obiettivi di protezione in base ai quali devono essere formulati i provvedimenti. In applicazione del principio di proporzionalità, i provvedimenti organizzativi e tecnici devono essere stabiliti nel singolo caso in base a tali obiettivi. Il titolare e il responsabile del trattamento devono quindi valutare quali misure sono adeguate per raggiungere gli obiettivi di protezione. È possibile che non tutti gli obiettivi di protezione siano rilevanti in ogni caso. Se in un dato caso un obiettivo di protezione non è rilevante, il titolare e il responsabile del trattamento devono essere in grado di spiegare perché.

L’articolo riprende in gran parte l’articolo 9 OLPD. La normativa reca ora la rubrica «Obiettivi di protezione». Dalla frase introduttiva sono eliminati l’espressione «detentore di una

collezione di dati» e il passaggio secondo cui le misure devono essere rilevanti in particolare per i trattamenti automatizzati di dati personali. Gli obiettivi di protezione del diritto vigente sono ripresi sotto il profilo contenutistico, in parte in forma lievemente modificata. Inoltre,

l’elenco è stato integrato con tre nuovi obiettivi di protezione (lett. i, j, k). L’articolo 2 P-OLPD permette alla Svizzera di attuare l’articolo 29 della direttiva (UE) 2016/680.

Nel testo dell’ordinanza diversi obiettivi di protezione rimandano a persone «non autorizzate» o «autorizzate». Ciò non presuppone necessariamente il coinvolgimento diretto di una

persona. Possono di fatto rientrare in questi casi anche i trattamenti automatizzati di dati personali nelle applicazioni:

– in primo luogo, la lettera a del progetto disciplina il controllo d’accesso. L’obiettivo di protezione è stato ripreso dall’articolo 9 capoverso 1 lettera g OLPD. A tal fine è particolarmente indicato definire le autorizzazioni di accesso che disciplinano in particolare il genere e la portata dell’accesso;

– la lettera b disciplina i controlli dell’accesso ai locali e agli impianti prima disciplinati all’articolo 9 capoverso 1 lettera a OLPD. Le persone non autorizzate non avranno accesso ai locali e agli impianti utilizzati per il trattamento dei dati personali. Ora l’obiettivo di protezione comprende anche gli «impianti». Con ciò s’intende precisare che occorre impedire l’accesso agli impianti di trattamento mobili. La nozione è molto ampia e comprende, oltre ai server fissi e ai computer, ai telefoni mobili o ai tablet, ogni tipo di apparecchio per il trattamento di dati personali. Possibili provvedimenti sono ad esempio impianti d’allarme e contenitori per i server che possono essere chiusi a chiave;

– la lettera c disciplina i controlli dei supporti di dati attualmente disciplinati nell’articolo 9 capoverso 1 lettera b OLPD secondo cui le persone non autorizzate non possono leggere, copiare, modificare o rimuovere supporti di dati. Va in particolare evitato che dati personali possano essere trasferiti in modo incontrollato su supporti di dati (p. es. dischi duri, penne USB). Per supporti di dati si intendono non soltanto i supporti fisici ma anche ad esempio i servizi cloud. Possibili provvedimenti sono ad esempio il criptaggio e la regolare distruzione di supporti di dati;

– la lettera d corrisponde all’articolo 9 capoverso 1 lettera e OLPD e disciplina il

controllo di memoria. Secondo l’obiettivo di protezione le persone non autorizzate non devono poter né introdurre dati personali nel supporto di memoria né prendere

conoscenza di dati memorizzati, modificarli o cancellarli. Deve essere impossibile che persone non autorizzate abbiano accesso al contenuto del supporto di memoria, che lo consultino, lo modifichino o lo cancellino. I possibili provvedimenti sono ad esempio la definizione di diritti d’accesso differenziati per i dati, le applicazioni e i sistemi operativi e per la verbalizzazione degli accessi alle applicazioni;