Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

Come fa presente l’articolo 16 capoverso 3 nLPD, il Consiglio federale può prevedere altre garanzie appropriate che permettano di comunicare dati all’estero. Un codice di condotta o una certificazione possono quindi garantire una protezione adeguata (cpv. 1).

Questa nuova misura incoraggia le imprese ad adottare tali codici o far certificare i loro sistemi, prodotti o servizi. Per coerenza con le clausole tipo di protezione dei dati e le norme interne dell’impresa vincolanti, anche i codici di condotta devono essere approvati dall’IFPDT (cpv. 2). L’adeguatezza di questi strumenti va infatti verificata. I codici di condotta devono almeno comprendere i medesimi punti richiesti per le clausole di protezione dei dati di un contratto e per le garanzie specifiche. Quindi si rimanda all’articolo 9 capoverso 1 P-OLPD. L’approvazione dei codici di condotta da parte dell’IFPDT non è in contraddizione con l’articolo 11 nLPD secondo cui, in generale, l’IFPDT prende posizione sui codici di condotta che gli sono sottoposti (senza approvarli). Nel caso concreto, se un titolare del trattamento intende servirsi del proprio codice di condotta per comunicare dati personali all’estero,

l’IFPDT deve approvare tale strumento per coerenza rispetto alle clausole tipo di protezione dei dati e alle norme interne dell’impresa vincolanti. Conformemente all’ordinanza del 28 settembre 2007²³ sulle certificazioni in materia di protezione dei dati, soltanto le certificazioni straniere devono essere riconosciute dall’IFPDT. Ciò non significa che la certificazione non deve essere conforme alle esigenze di tale ordinanza.

Inoltre, il titolare del trattamento o il responsabile in un Paese terzo deve assumere l’impegno vincolante ed esecutivo di applicare i provvedimenti contenuti nei codici di condotta e nelle certificazioni (cpv. 3).

Va inoltre menzionato il fatto che gli articoli 5 e 7 OLPD non sono ripresi: il primo è ormai stato integrato nella nLPD (art. 18) e il secondo non è più pertinente perché la competenza che conferiva all’IFPDT di emanare la lista degli Stati con protezione adeguata spetta ormai al Consiglio federale (art. 16 cpv. 1 nLPD).

4.2 Obblighi del titolare e del responsabile del trattamento

Art. 13 Modalità degli obblighi di informare

Cpv. 1

L’obbligo d’informare del titolare e del responsabile del trattamento è sancito nell’articolo 19 nLPD. È accompagnato da eccezioni e restrizioni di cui all’articolo 20 nLPD. L’articolo 19 capoverso 1 nLPD precisa che la persona interessata deve essere informata «in modo adeguato». Ciò implica una comunicazione delle informazioni per quanto possibile concisa, comprensibile e facilmente accessibile. In altri termini, ciò significa che il titolare e il

responsabile del trattamento devono scegliere le modalità di comunicazione di modo che le informazioni più importanti siano sempre trasmesse al primo livello di comunicazione con la persona interessata. Occorre tuttavia precisare che la comunicazione mediante un sito Internet non è sempre sufficiente: la persona interessata deve sapere che troverà tali

informazioni su un determinato sito. Se la comunicazione avviene su un sito Internet, ad esempio, potrebbe costituire una buona pratica il fatto di mettere a disposizione in modo immediato tutte le informazioni essenziali. La persona che desidera informazioni

supplementari potrà cliccare su queste prime informazioni i. Se la comunicazione avviene per telefono, una persona fisica fornirà spiegazioni orali e risponderà alle eventuali domande della persona interessata; se si tratta di informazioni registrate, la persona interessata dovrà avere la possibilità di ottenere informazioni più dettagliate. Infine, se in un ambiente