Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

comunicare ai destinatari la rettifica, la cancellazione o la distruzione nonché la restrizione del trattamento di dati personali. Se omette tale comunicazione, la persona interessata può far valere i propri diritti secondo la nLPD.

Art. 17 Riesame di una decisione individuale automatizzata

Conformemente all’articolo 21 capoverso 2 nLPD, la persona interessata da una decisione individuale automatizzata ha il diritto di esprimere un parere e di esigere un riesame da parte di una persona fisica. Per non dissuadere la persona interessata dall’esercitare i propri diritti, viene precisato che essa non deve subire pregiudizi a causa della sua richiesta. In tal ambito la nozione di pregiudizio va intesa in senso ampio, e comprende ad esempio i pregiudizi finanziari e sociali nonché le complicazioni amministrative (vessazioni).

Art. 18 Forma e conservazione della valutazione d’impatto sulla protezione dei dati

La norma concretizza le modalità della valutazione d’impatto sulla protezione dei dati

secondo dell’articolo 22 nLPD, segnatamente quanto alla forma e alla durata di

conservazione.

Il periodo 1 stabilisce che la valutazione d’impatto sulla protezione dei dati deve essere redatta per scritto in forma comprensibile. È in particolare rilevante per provare che una tale valutazione d’impatto è stata effettuata.

Il periodo 2 riguarda la durata di conservazione. Il motivo per cui si conserva la valutazione d’impatto sulla protezione dei dati è, oltre all’esecuzione del trattamento dei dati, il fatto che costituisce uno strumento centrale della protezione dei dati. Può avere un’importanza in particolare per chiarire le violazioni della sicurezza dei dati o per valutare la punibilità di un comportamento. Quindi la valutazione d’impatto sulla protezione dei dati informa sulla

valutazione dei rischi per la personalità o i diritti fondamentali e sui provvedimenti presi. Per quanto concerne gli organi federali, che in via di principio trattano dati soltanto se vi sono basi legali che lo permettono, è possibile che l’affidabilità di determinate basi legali renda

necessario conservare per un lungo periodo la valutazione d’impatto sulla protezione dei dati (p. es. diversi decenni).

Per quanto concerne gli organi federali sarà inoltre necessario disciplinare le modalità del coordinamento temporale della valutazione d’impatto sulla protezione dei dati con la

procedura legislativa per l’adozione di una base legale per il trattamento dei dati. Occorre prevedere che gli organi federali alleghino i risultati della valutazione d’impatto sulla

protezione dei dati al messaggio del Consiglio federale. Poiché la normativa ha soltanto carattere di istruzione in seno all’Amministrazione federale, non occorre un disciplinamento in via di ordinanza. È previsto di attuare la normativa nelle direttive concernenti gli affari del Consiglio federale («classificatore rosso)» e nelle linee guida sui messaggi.

Art. 19 Notifica di violazioni della sicurezza dei dati

L’articolo 24 capoverso 2 nLPD contiene i requisiti minimi di una notifica all’IFPDT da parte del titolare del trattamento di violazioni della sicurezza dei dati. Vanno menzionati il tipo di violazione della sicurezza dei dati, le sue conseguenze e le misure prese o previste. Il

contenuto di tale notifica all’IFPDT è precisato nell’articolo 19 capoverso 1 P-OLPD. Va notato che la notifica all’IFPDT, conformemente all’articolo 24 capoverso 1 nLPD, è limitata alle violazioni della sicurezza dei dati che comportano verosimilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata. Il termine «verosimilmente» chiarisce che nei casi dubbi, in cui non si può escludere un rischio elevato, deve essere effettuata una notifica.