Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

4.4 Disposizioni particolari sul trattamento di dati da parte di persone private

Art. 25 Consulente per la protezione dei dati

L’articolo 10 capoverso 2 nLPD disciplina in modo non esaustivo due compiti che incombono al consulente per la protezione dei dati di un titolare privato del trattamento: formare e

consigliare i titolari privati del trattamento in merito alle questioni della protezione dei dati (lett. a) e partecipare all’applicazione delle disposizioni sulla protezione dei dati (lettera b). L’articolo 25 P-OLPD precisa questi due compiti riprendendo determinate regole

dell’articolo 12b OLPD.

Cpv. 1 lett. a

La presente disposizione è stata ripresa dall’articolo 12b capoverso 1 lettera a OLPD con lievi modifiche.

Secondo la lettera a, il consulente per la protezione dei dati esamina il trattamento dei dati personali nonché le sue condizioni e raccomanda provvedimenti correttivi al titolare del trattamento se constata che le prescrizioni sulla protezione dei dati sono state violate. Vigila quindi sul rispetto della legislazione in materia di protezione dei dati e di eventuali prescrizioni interne del titolare del trattamento. Con il complemento «nonché le sue condizioni» si precisa che il consulente esamina anche se le prescrizioni interne sulla protezione dei dati sono compatibili con la legislazione in materia. Il titolare del trattamento non può in nessun caso prendere provvedimenti sanzionatori contro il consulente per la protezione dei dati se

quest’ultimo adempie ai suoi compiti.

A tale riguardo occorre rilevare che il consulente per la protezione dei dati, come suggerisce il suo nome, va inteso come un servizio di consulente e sostegno. Quindi, in considerazione della sua competenza decisionale, il titolare è solo responsabile per il rispetto della

protezione dei dati, in particolare nei confronti della persona interessata. Il compito di cui alla lettera a non ha come conseguenza alcuna responsabilità del consulente per la protezione dei dati se il titolare del trattamento viola la legislazione in materia di protezione dei dati.

Cpv. 1 lett. b

La presente disposizione è nuova e concretizza il ruolo del consulente per la protezione dei dati nella realizzazione delle valutazioni d’impatto sulla protezione dei dati.

In virtù dell’articolo 23 capoverso 4 nLPD, il titolare privato del trattamento può rinunciare a consultare l’IPDT dopo una valutazione d’impatto sulla protezione dei dati se ha nominato un consulente ai sensi dell’articolo 10 nLPD e l’ha consultato riguardo a tale valutazione. Non basta sottoporgli i risultati della valutazione una volta che è stata eseguita. Il consulente deve infatti prestare il suo concorso alla realizzazione della valutazione e verificare in particolare la valutazione del rischio nonché i provvedimenti proposti dal titolare del trattamento.

Idealmente, un tale coinvolgimento del consulente per la protezione dei dati dovrebbe essere sempre previsto, ma è obbligatorio soltanto nel caso in cui il titolare del trattamento ha

rinunciato a consultare l’IFPDT (art. 23 cpv. 4 nLPD).

Cpv. 2

La disposizione riprende il contenuto dell’articolo 12b capoverso 2 lettere b e c OLPD.