Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

La presente disposizione prevede l’obbligo, unicamente per l’organo federale, d’informare il competente consulente per la protezione dei dati della conclusione di un contratto con il responsabile del trattamento o dell’autorizzazione di subappaltare il trattamento dei dati personali a un terzo. Il trattamento di dati personali da parte di un responsabile pone in

generale maggiori rischi per la protezione dei dati delle persone interessate. L’organo

federale è pure tenuto a informare quanto prima il consulente dei problemi incontrati per quanto riguarda il rispetto delle disposizioni legali o contrattuali sulla protezione dei dati.

4.1.3 Comunicazione di dati personali all’estero

Per seguire la sistematica della legge, le disposizioni sulla comunicazione di dati personali all’estero sono collocate nel primo capitolo dedicato alle disposizioni generali. Occorre

precisare diverse nozioni relative alle comunicazioni all’estero e il P-OLPD lo fa in cinque articoli distinti. Un primo articolo permette di concretizzare i criteri di cui deve tenere conto il Consiglio federale al fine di stabilire se uno Stato o un organismo internazionale garantisce una protezione adeguata. Un secondo articolo chiarisce l’oggetto delle clausole di protezione dei dati di un contratto e delle garanzie specifiche che garantiscono una protezione adeguata. Un terzo articolo riguarda le clausole tipo di protezione dei dati, un quarto si concentra sulle norme interne dell’impresa vincolanti e un quinto introduce altre garanzie adeguate sulla base della competenza del Consiglio federale in virtù dell’articolo 16 capoverso 3 nLPD.

Art. 8 Valutazione dell’adeguatezza della protezione dei dati di uno Stato estero o di un organismo internazionale

Se sono adempiuti alcuni criteri, il Consiglio federale può decidere che uno Stato (come anche un territorio o uno o più settori specifici di uno Stato) o un organismo internazionale garantisce una protezione adeguata.

Prima di indicare in dettaglio i fattori di cui dovrà tenere conto il Consiglio federale per

decidere in merito all’adeguatezza, occorre precisare cosa si intende per «territorio» o

«settore determinato». In particolare negli Stati federali è infatti possibile che lo Stato federale non disponga di una legislazione che assicura una protezione adeguata ma che uno Stato federato sia invece provvisto di un regime di protezione dei dati adeguato e valido sul suo territorio. Per quanto concerne il «settore specifico», può ad esempio essere citato il

riconoscimento da parte della Commissione europea della parziale adeguatezza del Canada, nella misura in cui una legislazione di protezione specifica per il settore privato permetteva di riconoscere una protezione adeguata soltanto a questo settore¹⁴. Fino al luglio 2020, tale era il caso anche degli Stati Uniti, a causa del Privacy Shield CH-USA (scudo della privacy CH-USA) che permetteva il libero trasferimento dei dati unicamente verso le imprese che si erano impegnate a rispettare i principi vincolanti dello scudo di protezione¹⁵. Si possono anche menzionare altri settori particolari come le assicurazioni o il trattamenti di dati¹⁶ da parte di un responsabile dei dati. La nozione di organismo internazionale è stata precisata nel messaggio concernente la legge sulla protezione dei dati. Si tratta di «qualsiasi istituzione internazionale,