Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

Il capoverso 1 contiene il seguente elenco di indicazioni: oltre al tipo di violazione della sicurezza dei dati (lett. a) già menzionato nella legge, è inoltre prevista, per quanto possibile, la comunicazione del momento in cui si è verificata la violazione della sicurezza dei dati e della sua durata (lett. b). Ciò permette così all’IFPDT di verificare se il titolare del trattamento ha rispetto il suo obbligo di fargli pervenire quanto prima la notifica. Devono inoltre essere comunicati, per quanto possibile, le categorie e il numero approssimativo di dati personali interessati dalla violazione della sicurezza dei dati (lett. c) nonché le categorie e il numero approssimativo delle persone interessate (lett. d). Queste informazioni sono di importanza fondamentale per poter valutare l’entità della violazione. A tale riguardo è in particolare necessario che siano note le categorie di dati personali toccate dalla violazione (p. es.

indirizzi, informazioni relative a carte di credito, dati sanitari) per rendere comprensibili le osservazioni in merito alle conseguenze, ai rischi e ai provvedimenti. In relazione alla notifica delle conseguenze e dei rischi per le persone interessate (lett. e) e delle misure adottate dal titolare del trattamento (lett. f), il titolare del trattamento, nell’ambito dell’informazione della persona interessata, deve anche indicare le categorie di dati personali concretamente toccate dalla violazione e i provvedimenti concreti che la persona interessata può adottare (p. es.

modifica immediata della password se sono stati sottratti dati di login o blocco delle carte di credito). Infine il titolare del trattamento deve indicare nome e le generalità della persona di contatto (lett. g) interlocutore per la comunicazione con l’IFPDT e la persona interessata.

Il capoverso 2 permette al titolare del trattamento che non è in grado di mettere a

disposizione dell’IFPDT le informazioni di cui al capoverso 1 al momento della scoperta della violazione della sicurezza dei dati, di fornire gradualmente tali informazioni all’IFPDT.

Secondo l’articolo 24 capoverso 1 nLPD, il titolare del trattamento deve effettuare la notifica «quanto prima». Spesso tuttavia nella pratica, le informazioni secondo il capoverso 1

lettere b–d non sono disponibili subito dopo la scoperta della violazione. In un primo

momento, il titolare del trattamento potrà quindi, fornire «quanto prima» soltanto le indicazioni di base che gli sono note. Non appena saranno disponibili le altre informazioni, che dovrà procurarsi senza ulteriori indugi ingiustificati, le trasmetterà gradualmente all’IFPDT.

Il capoverso 3 stabilisce quali indicazioni devono essere fornite alla persona interessata da informare conformemente all’articolo 24 capoverso 4 nLPD. Precisa inoltre che

l’informazione, rispetto alla notifica al responsabile del trattamento, deve essere comunicata in una lingua semplice e comprensibile. Di fatto, non si può pretendere che una persona non esperta conosca il linguaggio specializzato di questa materia tecnica. Il contenuto della notifica all’IFPDT è più vasto dell’informazione alla persona interessata, perché l’IFPDT deve potersi fare un quadro dell’entità della violazione della sicurezza dei dati.

La notifica all’organo federale è effettuata dal consulente per la protezione dei dati (cpv. 4). Gli organi federali devono quindi garantire mediante istruzioni o altri strumenti adeguati che i settori responsabili informino senza indugio il consulente per la protezione dei dati sulle violazioni della sicurezza dei dati, per permettergli di effettuare quanto prima la notifica secondo l’articolo 24 capoverso 1 nLPD.

Il capoverso 5 prevede che tutti i fatti connessi con la violazione della sicurezza dei dati notificata, le loro conseguenze e i provvedimenti adottati siano documentati. I documenti devono essere conservati per almeno tre anni dal momento della notifica della violazione della sicurezza dei dati.

Alla luce delle esperienze raccolte dalle autorità di vigilanza straniere nell’ambito

dell’attuazione dell’obbligo di notifica di cui all’articolo 33 del regolamento (UE) 2016/679, ci sarà da attendersi un numero elevato di notifiche annuali nell’ambito del corrispondente obbligo di cui all’articolo 24 nLPD. Infatti, dallo scambio con l’ufficio del Land bavarese per