Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

come già indicato qui sopra, l’articolo 9 nLPD si applica al titolare privato del trattamento e a quello pubblico. Infine i due primi capoversi sono oggetto di piccoli adeguamenti formali.

Materialmente quindi, secondo il capoverso 1, il titolare del trattamento, pubblico o privato, che affida il trattamento di dati personali a un responsabile del trattamento rimane titolare della protezione dei dati personali. Nel secondo periodo del capoverso 1, l’espressione «conformemente al mandato» (art. 22 cpv. 2 OLPD), ritenuta troppo restrittiva, è sostituita con «conformemente al contratto o alla legge» conformemente all’articolo 9 nLPD. Questo secondo periodo precisa cosa significa essere titolare e prevede che il titolare debba

garantire che il trattamento è eseguito conformemente al contratto o alla legge e che il

responsabile tratta i dati soltanto per adempiere il suo compito.

Secondo l’articolo 22 paragrafo 3 della direttiva (UE) 2016/680, il contratto o la legge devono definire i seguenti aspetti: l’oggetto, la durata, la natura e la finalità del trattamento, il tipo di dati personali e le categorie di persone interessate nonché gli obblighi e i diritti del titolare del trattamento. Peraltro, il contratto o la legge prevedono segnatamente che il responsabile del trattamento agisca soltanto su istruzione del titolare del trattamento; assista il titolare del trattamento con ogni mezzo adeguato per garantire la conformità con le disposizioni relative ai diritti dell'interessato; a scelta del titolare del trattamento, cancelli o gli restituisca tutti i dati personali dopo che è terminata la prestazione dei servizi di trattamento di dati e cancelli le copie esistenti (sempre che non vi siano obblighi legali contrari); e metta a disposizione del titolare del trattamento tutte le informazioni necessarie per dimostrare la conformità con il contratto o la legge.

L’articolo 6 capoverso 2 P-OLPD corrisponde all’articolo 22 capoverso 3 OLPD, eccetto che il termine «terzo» è sostituito con «responsabile del trattamento» e che la disposizione riguarda i responsabili del trattamento nel loro insieme. Anche a tale riguardo sono stati effettuati alcuni adeguamenti puramente formali.

Il capoverso 3 precisa le modalità applicabili nel caso in cui il responsabile del trattamento intenda delegare il trattamento di dati personali a un terzo. Questo capoverso riguarda

soltanto gli organi federali. Conformemente alla sua scelta legistica riguardo all’estensione della trasposizione della direttiva (UE) 2016/680 (cfr. n. 2.3 del messaggio del 15 settembre 2017), il Consiglio federale propone di applicare il requisito previsto dall’articolo 22

paragrafo 2 di tale atto normativo europeo a tutto il settore pubblico, poiché non si tratta di una norma specifica alla cooperazione instaurata da Schengen nel settore penale. Come indicato nel messaggio del Consiglio federale (FF 2017 5939 pag. 6023), il titolare privato del trattamento non è tenuto a rispettare questa esigenza formale. L’articolo 9 capoverso 3 nLPD prescrive che il responsabile del trattamento può delegare il trattamento soltanto previa autorizzazione del titolare del trattamento. Come risulta dal messaggio del 15 settembre 2017¹³ (n. 91.3.1), il Consiglio federale è incaricato di precisare nell’ordinanza che nel settore pubblico l’autorizzazione deve essere scritta conformemente ai requisiti dell’articolo 22 paragrafo 2 della direttiva (UE) 2016/680. Questa disposizione prescrive che gli Stati

Schengen sono tenuti di prevedere che il responsabile non possa reclutare un altro

responsabile senza l’autorizzazione scritta del titolare del trattamento. Occorre rammentare che la forma scritta comprende la forma elettronica.

Art. 7 Informazione del consulente per la protezione dei dati dell’organo federale