Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

degni di protezione, sono trattati per gli scopi seguenti: esercitare le attività di vigilanza (lett. a); indagare sulle violazioni delle disposizioni sulla protezione dei dati (lett. b); formare e consigliare gli organi federali e privati (lett. c); collaborare con autorità federali, cantonali ed estere (lett. d); eseguire procedure di mediazione e valutazioni secondo la legge federale del 17 dicembre 2004³⁴ sul principio di trasparenza dell’amministrazione (LTras) (lett. e);

rispondere alle domande di cittadini (lett. f).

Art. 41 Autocontrollo

Secondo l’articolo 48 nLPD l’IFPDT adotta misure adeguate per garantire che al suo interno siano ben rispettate e applicate le norme di protezione dei dati. Il messaggio concernente la LPD precisa che il Consiglio federale ha il compito di concretizzare nell’ordinanza le misure che può adottare l’IFPDT (FF 2017 5939 pag. 6075).

Secondo il capoverso 1, l’IFPDT elabora un regolamento sul trattamento per tutti i trattamenti automatizzati non soltanto per i trattamenti particolari di cui all’articolo 5 capoverso 1 P-OLPD, quali il trattamento di dati sensibili o la profilazione.

Secondo il capoverso 2, l’IFPDT prevede processi interni che garantiscono l’esecuzione dei trattamenti conformemente al regolamento sul trattamento. Verifica ogni anno il rispetto del regolamento sul trattamento.

Art. 42 Cooperazione con il Centro nazionale per la cibersicurezza (NCSC)

Per permettere all’IFPDT di coinvolgere gli specialisti del NCSC nell’analisi di una violazione della sicurezza dei dati notificata dal titolare del trattamento in base agli articoli 24 nLPD e 19 P-OLPD, il capoverso 1 prevede che l’IFPDTD possa trasmettere al NCSC le indicazioni relative alla notifica di una violazione della sicurezza dei dati. La trasmissione può contenere qualsiasi dato secondo l’articolo 19 capoverso 1 P-OLPD, ma deve nel contempo anche essere limitata ai dati necessari al NCSC per l’analisi dell’evento. Ciò a condizione che il titolare del trattamento obbligato a effettuare la notifica all’IFPDT abbia precedentemente acconsentito alla trasmissione. Inoltre, la trasmissione non deve permettere di eludere

l’articolo 24 capoverso 6 nLPD secondo cui la notifica può essere usata nel quadro di un procedimento penale contro la persona soggetta all’obbligo di notifica soltanto con il suo consenso. Alla prossima occasione, il capoverso 1 dovrebbe essere ripreso in una legge, ad esempio nella futura legge sulle infrastrutture critiche.

Il capoverso 2 prevede che l’IFPDT e il NCSC si coordinino nei settori comuni di attività. In via di principio la norma corrisponde all’articolo 20 capoverso 3 secondo periodo OLPD. Il

capoverso 2 obbliga l’IFPDT a invitare il NCSC a prendere posizione prima di ordinare un provvedimento secondo l’articolo 51 capoverso 3 lettera b nLPD riguardo alla sicurezza dei dati. La disposizione mira in particolare a evitare che l’IFPDT e il NCSC diano ordini diversi agli organi federali nello stesso settore. L’indipendenza dell’IFPDT rimane tuttavia garantita perché esso è obbligato soltanto a chiedere un parere, non a tenerne conto.

Art. 43 Registro delle attività di trattamento degli organi federali

Alla luce dell’articolo 12 capoverso 4 nLPD, gli organi federali e i loro responsabili del

trattamento devono notificare i loro registri delle attività di trattamento all’IFPDT che,