Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

– la lettera e disciplina il controllo di utilizzazione di cui all’articolo 9 capoverso 1 lettera f

OLPD. La disposizione si prefigge di impedire l’utilizzazione da parte di persone non autorizzate di sistemi di trattamento automatizzato di dati con l’ausilio di impianti di trasmissione. Tra i provvedimenti possibili vi sono ad esempio i controlli regolari delle autorizzazioni (p. es. blocco delle autorizzazioni a causa di cambiamento del

personale o di nuove suddivisioni dei compiti) e l’impiego di applicazioni contro i virus o gli spyware;

– la lettera f disciplina il controllo del trasporto, attualmente regolato nell’articolo 9

capoverso 1 lettera c OLPD. La disposizione si prefigge di impedire che, nell’ambito della comunicazione di dati personali e del trasporto di supporti di dati, i dati siano letti, copiati, modificati o cancellati da persone non autorizzate. A tal fine, il titolare del trattamento e il responsabile del trattamento devono adoperarsi affinché il destinatario designato riceva i dati nella loro forma originaria e che nessun terzo non autorizzato possa impossessarsi dei dati. In particolare per quanto concerne i dati personali degni di particolare protezione vi sono requisiti più elevati per quanto concerne i

provvedimenti. Entra in considerazione ad esempio il criptaggio dei dati o dei supporti di dati;

– la lettera g disciplina il controllo dell’introduzione. Conformemente all’articolo 9

capoverso 2 lettera h OLPD, la presente disposizione esige che sia possibile

verificare a posteriori nei sistemi automatizzati quali dati personali sono stati introdotti o modificati, in quale momento e da chi. L’obiettivo della protezione è stato modificato per esprimere esplicitamente che anche la modifica di dati personale deve poter essere verificata a posteriori. Come possibile provvedimento entra in considerazione in particolare la verbalizzazione;

– la lettera h riguarda il controllo di comunicazione. È stata ripresa dall’articolo 9

capoverso 1 lettera d OLPD la cui formulazione è stata leggermente adeguata. La nuova lettera h permette di verificare a quale destinatario sono stati comunicati dati personali con l’ausilio di impianti di trasmissione. I provvedimenti mirano in particolare a identificare i destinatari dei dati. A tal fine in determinate circostanze può essere sufficiente conoscere l’organo in quanto tale senza che la persona fisica debba in ogni caso essere identificabile. In caso di necessità deve poter essere accertato, ad

esempio mediante i verbali, con quali mezzi sono stati comunicati i dati personali e a chi;

– la lettera i riguarda la possibilità di ripristinare la disponibilità dei dati personali e il

relativo accesso dopo un incidente fisico o tecnico. È stato inserito nell’elenco sul modello dell’articolo 32 paragrafo 1 lettera c del Regolamento (UE) 2016/679 e

corrisponde alla regola dell’articolo 29 paragrafo 2 lettera i della direttiva (UE)

2016/680. Un possibile provvedimento è ad esempio l’elaborazione e l’applicazione di un piano di backup;

– la lettera j stabilisce che tutte le funzioni del sistema devono essere disponibili

(disponibilità), eventuali malfunzionamenti devono essere segnalate (affidabilità) e i dati personali registrati non devono poter essere danneggiati da malfunzionamenti del sistema (integrità). È stata aggiunta in base all’articolo 32 capoverso 1 lettera b del Regolamento (UE) 2016/679 e corrisponde alla regola prevista nell’articolo 29

capoverso 2 lettera j della direttiva (UE) 2016/680. Si vuole in particolare garantire durevolmente la stabilità e la capacità dei sistemi impiegati. Il sistema deve segnalare da sé i malfunzionamenti, in modo da informarne automaticamente il titolare o il responsabile del trattamento;

– la lettera k esige che il titolare e il responsabile del trattamento individuino

rapidamente le violazioni della sicurezza dei dati secondo l’articolo 5 lettera h e che adottino provvedimenti per ridurne o eliminarne le conseguenze. Diversamente dalla