Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

lettera j si tratta in particolare di provvedimenti reattivi adottati dal titolare e dal

responsabile del trattamento.

L’articolo 9 capoverso 2 OLPD è stato soppresso perché, secondo il Consiglio federale, non è più necessario. I motivi per rifiutare, limitare o differire la richiesta d’informazioni sono ora definiti sul piano legislativo (cfr. art. 26 nLPD). Di fatto, già la nLPD obbliga il titolare del trattamento e il responsabile del trattamento a provvedere a che le persone interessate possano tutelare efficacemente i loro diritti e ciò indipendentemente dalle tecnologie applicate nel caso concreto per elaborare i dati personali.

Art. 3 Verbalizzazione

La disposizione sostituisce la normativa dell’articolo 10 OLPD che si applica anche agli organi federali in virtù del rimando di cui all’articolo 20 capoverso 1 primo periodo OLPD. La

normativa si sovrappone in parte agli obiettivi di protezione dell’articolo 2 P-OLPD. Così, la verbalizzazione può anche essere un possibile provvedimento per raggiungere l’obiettivo di protezione ai sensi dell’articolo 2 lettere g e h P-OLPD.

La verbalizzazione si prefigge di permettere la verifica a posteriori dei trattamenti di dati personali, affinché si possa in seguito constatare se sono stati smarriti, cancellati, distrutti,

modificati o pubblicati dati. Inoltre si tratta anche di garantire la conformità allo scopo. Così la verbalizzazione può anche fornire indicazioni sul trattamento conforme allo scopo dei dati personali. Inoltre le verbalizzazioni possono anche servire a scoprire e chiarire violazioni della sicurezza dei dati. La verbalizzazione non ha invece lo scopo di sorvegliare gli utenti che trattano dati personali.

Secondo l’articolo 3 capoverso 1 P-OLPD la verbalizzazione dovrà essere eseguita se dalla valutazione d’impatto sulla protezione dei dati risulta che, in caso di trattamento

automatizzato di dati personali, vi è un forte rischio per la personalità o i diritti fondamentali delle persone interessate. Il capoverso 1 obbliga i titolari e i responsabili privati del

trattamento a eseguire la verbalizzazione. L’espressione «detentore della collezione di dati» è stata sostituita in questo senso.

Secondo il capoverso 2 gli organi federali devono verbalizzare tutti i trattamenti automatizzati di dati personali. Così si tiene conto dei requisiti dell’articolo 25 della direttiva (UE) 2016/680 nella cooperazione di Schengen nell’ambito penale.

La normativa è completata con un nuovo capoverso 3 in cui sono concretizzati i contenuti della verbalizzazione. La verbalizzazione deve informare sul genere del processo di

trattamento, sull’identità della persona che ha eseguito il trattamento, sull’identità del

destinatario e sul momento in cui è avvenuto il trattamento.

Il capoverso 4 riprende i contenuti dell’articolo 10 capoverso 2 OLPD in una forma lievemente riveduta. I verbali dovranno essere conservati per una durata di due anni separatamente dal sistema in cui sono trattati i dati personali. La conservazione separata da tale sistema è necessaria perché altrimenti in caso di ciberattacco potrebbero essere manipolati o criptati anche i verbali. Il termine di conservazione è stato aumentato a due anni perché nei casi di ciberattacchi gli aggressori possono rimanere a lungo nei sistemi senza cagionare

immediatamente danni. Un attacco non è quindi per forza individuato immediatamente. Per poter tracciare quando e come l’aggressore è penetrato nel sistema occorre dunque

conservare i verbali più a lungo. Visto che spesso i ciberattacchi sono scoperti tardivamente, il termine di conservazione di un anno è troppo breve. I verbali sono accessibili soltanto a organi o a persone cui compete la sorveglianza delle prescrizioni in materia di protezione