Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

provenienza si intende in particolare la fonte concreta dell’informazione, p. es. il registro di commercio, un sito web pubblico, un registro dei clienti ecc. Il modo in cui sono stati raccolti i dati informa sulla loro origine, p. es. direttamente con un

questionario compilato dall’interessato, mediante un accesso diretto limitato ai sistemi di informazione, in modo automatizzato da fonti accessibili al pubblico ecc. (lett. e);

– di importanza centrale sono le indicazioni di cui alla lettera f: il regolamento sul

trattamento deve indicare i provvedimenti tecnici e organizzativi per garantire la sicurezza dei dati. Così occorre ad esempio indicare quali provvedimenti permettono di tenere conto degli obiettivi di protezione di cui all’articolo 2. Le indicazioni secondo la lettera f dovrebbero anche informare sulla configurazione dei mezzi informatici perché si tratta di provvedimenti tecnici. L’attuale articolo 21 capoverso 2 lettera h OLPD, che menziona ancora esplicitamente la configurazione dei mezzi informatici, non viene pertanto ripreso. È quindi sufficiente che il regolamento sul trattamento spieghi le principali configurazioni dei mezzi informatici, senza specificare dettagli tecnici;

– anche le autorizzazioni d’accesso nonché il tipo e l’estensione dell’accesso devono essere indicati nel regolamento sul trattamento (lett. g);

– la lettera h rappresenta una novità: il titolare e il responsabile del trattamento devono esporre nel regolamento sul trattamento anche le misure adottate per ridurre i dati al minimo. Il principio della riduzione dei dati al minimo è un principio centrale della protezione dei dati, come si desume dal messaggio sulla LPD del 15 settembre 2017¹², che discende implicitamente dal principio della proporzionalità conformemente all’articolo 6 capoverso 2 nLPD;

– secondo la lettera i anche le procedure di trattamento dei dati, in particolare le

procedure di registrazione, rettifica, comunicazione, conservazione, archiviazione,

pseudonimizzazione, anonimizzazione, cancellazione o distruzione dei dati devono essere descritte nel regolamento sul trattamento. Occorre in particolare precisare quali procedure di trattamento dei dati sono state eseguite e le modalità della loro esecuzione (lett. i);

– infine, nel regolamento sul trattamento devono essere descritti anche la procedura di esercizio del diritto d’accesso e di farsi consegnare i dati o esigere la trasmissione dei dati (lett. j). Tale diritto sussiste naturalmente soltanto nell’ambito della legge e

segnatamente dell’articolo 28 nLPD e deve pertanto essere descritto nel regolamento sul trattamento soltanto in questi casi. La normativa avrà scarsa importanza in

particolare per gli organi federali.

Il capoverso 3 riprende l’articolo 11 capoverso 2 OLPD. L’obbligo di mettere a disposizione, su richiesta, anche del responsabile del trattamento il regolamento sul trattamento è stato soppresso. Per analogia con il registro delle attività di trattamento, l’IFPDT può però

richiederlo nell’ambito di un’inchiesta (art. 50 cpv. 1 lett. a nLPD).

Art. 5 Regolamento sul trattamento degli organi federali

L’articolo 5 corrisponde all’art. 21 OLPD con alcune modifiche.

L’obbligo di redigere un regolamento sul trattamento incombe al titolare e al suo

responsabile. Per analogia con l’articolo 12 capoverso 1 nLPD, anche tali regolamenti devono essere redatti separatamente.