Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

L’elenco dei documenti cui deve avere accesso il consulente per la protezione dei dati è stato adeguato alla terminologia della nLPD. L’accesso è limitato ai documenti di cui il consulente per la protezione dei dati ha effettivamente bisogno per adempiere i suoi compiti. In

particolare, l’accesso ai dati personali va concesso soltanto se è necessario per

l’adempimento dei compiti. Ad esempio se il consulente per la protezione dei dati compie un esame generale delle prescrizioni interne sulla protezione dei dati o dei processi di

trattamento dei dati, di norma non ha bisogno di consultare dati personali.

Per contro, non è ripreso l’articolo 12b capoverso 2 lettera a OLPD perché la condizione che menziona è ora prevista dalla legge (art. 10 cpv. 3 lett. a nLPD).

Soppressione dell’art. 12a OLPD

Questa disposizione è soppressa, perché il suo contenuto figura ora nella legge (art. 10 cpv. 3 lett. b e c nLPD).

Art. 26 Eccezione all’obbligo di tenere un registro delle attività di trattamento

In virtù dell’articolo 12 nLPD, i titolari e i responsabili del trattamento devono tenere un registro delle attività di trattamento che deve contenere certe informazioni minime come l’identità del titolare del trattamento, la finalità del trattamento, una descrizione delle categorie di persone interessate e delle categorie di destinatari e, nella misura del possibile, i termini di conservazione dei dati personali o i criteri per determinare la durata di conservazione, nonché una descrizione generale dei provvedimenti che si prefiggono di garantire la sicurezza dei dati secondo l’articolo 8 nLPD e, in caso di comunicazione dei dati personali all’estero, il nome dello Stato in questione e le garanzie previste all’articolo 16 capoverso 2 nLPD.

Per alcune PMI, la tenuta di un tale registro rischia di comportare un onere amministrativo sproporzionato rispetto ai rischi potenziali dei trattamenti per la personalità delle persone interessate. Per questo motivo, il Consiglio federale può prevedere eccezioni all’obbligo di tenere tale registro. Nella misura in cui l’articolo 12 capoverso 5 nLPD autorizza il Consiglio federale a prevedere eccezioni per le imprese, comprese le imprese individuali, è logico che esso sia autorizzato ad applicare queste eccezioni anche alle persone fisiche e agli altri enti giuridici come le associazioni e le fondazioni. Ciò appare appropriato perché la tenuta del registro potrebbe comportare, come per le PMI, un onere sproporzionato.

L’articolo 26 concretizza quindi l’articolo 12 capoverso 5 nLPD precisando chi è interessato da tale eccezione e in quali casi i rischi di lesione sono limitati (cfr. messaggio, FF 2017 6028). Prevede che le imprese e altri organismi di diritto privato con meno di 250 collaboratori a inizio anno, a prescindere dal loro tasso di occupazione, e le persone fisiche siano liberate dall’obbligo di tenere un registro delle attività di trattamento se non sono trattati su vasta scala dati personali degni di particolare protezione (lett. a) e se non viene eseguita una profilazione ad altro rischio (lett. b). In altri termini, soltanto le PMI che eseguono trattamenti con un rischio elevato sono obbligate a tenere un registro delle attività di trattamento. Per quanto concerne la lettera a, si rimanda alle considerazioni sull’articolo 4 capoverso 1

lettera a P-OLPD che presenta una struttura simile e riguarda l’obbligo dei privati di allestire un regolamento sul trattamento. Naturalmente non è vietato alle PMI non assoggettate all’obbligo di tenere volontariamente un siffatto registro. Proprio nei casi in cui un titolare del trattamento tratta regolarmente dati personali, esso è uno strumento utile e semplice per conservare una visione d’insieme su tali attività, il che può semplificare anche il rispetto di altri obblighi come quello d’informazione.