Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

4.5 Disposizioni particolari sul trattamento di dati da parte di organi federali

4.5.1 Consulente per la protezione dei dati

Gli articoli 27–30 P-OLPD sostituiscono l’articolo 23 OLPD che riguarda il consulente per la protezione dei dati degli organi federali.

Art. 27 Nomina

L’articolo 27 P-OLPD attua l’articolo 10 capoverso 4 nLPD e l’articolo 32 della direttiva (UE) 2016/680. La normativa secondo cui più organi federali possono designare insieme un consulente per la protezione dei dati intende permettere in particolare agli organi federali e ai dipartimenti di piccole dimensioni con una struttura organizzativa centralizzata di approfittare di opportune sinergie che permettono di risparmiare risorse. Invece, da parte degli uffici federali più grossi ci si può attendere che dispongano di un consulente per la protezione dei dati. Naturalmente gli organi federali possono anche designare più consulenti.

Art. 28 Requisiti e compiti

La lettera a dell’articolo 28 capoverso 1 P-OLPD riprende i requisiti dell’articolo 12a

capoverso 2 ultimo periodo OLPD. Come finora previsto nell’articolo 12b capoverso 2

lettera a OLPD e per analogia con la normativa sui titolari privati del trattamento

dell’articolo 10 capoverso 3 lettera a nLPD, la lettera b dispone a titolo vincolante per tutti gli organi federali che il consulente per la protezione dei dati esercita la sua funzione in modo indipendente e senza ricevere istruzioni. Finora gli organi federali che volevano liberarsi dall’obbligo di notificare le loro collezioni di dati dovevano soddisfare i requisiti degli

articoli 12a e 12b OLPD (cfr. art. 23 cpv. 2 OLPD). Ciò permette di consolidare e

istituzionalizzare il ruolo del consulente per la protezione dei dati negli organi federali

normalmente caratterizzati da una struttura gerarchica permettendogli di adempiere

efficacemente i suoi compiti. L’indipendenza del consulente per la protezione dei dati deve essere garantita soprattutto con provvedimenti organizzativi. Quindi occorre in particolare evitare che l’attività di consulente si ripercuota negativamente sul colloquio del collaboratore.

I compiti del consulente per la protezione dei dati di un organo federale descritti nel

capoverso 2 sono stati armonizzati sotto il profilo terminologico con la disposizione sui titolari privati del trattamento (art. 25 cpv. 1 P-OLPD). Il capoverso 2 lettera b, in modo analogo all’articolo 25 capoverso 1 lettera b P-OLPD, stabilisce che il consulente per la protezione dei dati collabora alla valutazione d’impatto sulla protezione dei dati e la verifica. Al contrario di quest’ultima disposizione, non vi è rimando all’articolo 23 capoverso 4 nLPD che si applica soltanto ai titolari privati del trattamento. lI capoverso 2 lettera a è identico all’articolo 25 capoverso 1 lettera a P-OLPD. Si può pertanto rinviare per analogia ai commenti a tali disposizioni. Come già menzionato riguardo alla normativa sul titolare privato del trattamento, il consulente per la protezione dei dati è un servizio di consulenza e supporto e non un organo di sorveglianza. Per quanto concerne l’esame dei trattamenti e la raccomandazione di provvedimenti correttivi, va notato che non si tratta di introdurre un obbligo attivo di verifica o di prescrivere controlli sistematici di tutti i trattamenti di dati. È sufficiente che il consulente si attivi se i servizi titolari del trattamento chiedono l’esame di un trattamento di dati o se gli sono riferiti indizi di violazioni delle prescrizioni sulla sicurezza dei dati. Naturalmente il consulente per la protezione dei dati può svolgere l’esame in modo proattivo. Il compito previsto nel capoverso 2 lettera c di comunicare le violazioni della sicurezza dei dati, risulta dall’articolo 19 capoverso 4 P-OLPD ed è nuovamente ripreso nella presente disposizione a fini di completezza. Inoltre, secondo il capoverso 2 lettera d, il consulente per la protezione