Rapporto esplicativo

Rapporto esplicativo sulla revisione dell’ordinanza relativa alla legge federale sulla protezione dei dati

(art. 5 lett. j nLPD). L’espressione «profilazione a rischio elevato» è stata introdotta

successivamente dalle Camere federali (art. 5 lett. g).

L’articolo 6 stabilisce alcuni principi generali da rispettare. Ogni trattamento di dati personali deve essere lecito (art. 6 cpv. 1) e rispettare i principi della buona fede e della proporzionalità (art. 6 cpv. 2). La raccolta di dati personali deve perseguire uno scopo determinato ed essere riconoscibile per la persona interessata (art. 6 cpv. 3). I dati devono essere distrutti o

anonimizzati appena non sono più necessari per lo scopo del trattamento (art. 6 cpv. 4). Chi tratta dati personali deve accertarsi della loro esattezza (art. 6 cpv. 5). Il titolare e il

responsabile del trattamento devono proteggere i dati dalla concezione e per difetto (privacy by design and by default ; art. 7) e garantire la sicurezza dei dati personali (art. 8). In virtù dell’articolo 10, i titolari del trattamento possono nominare un consulente per la protezione dei dati. Devono anche stabilire un registro delle attività di trattamento (art. 12).

L’articolo 9 stabilisce la responsabilità per i dati personali; la nLPD introduce lo strumento del codice di condotta (art. 11).

Il Parlamento ha introdotto una sezione del capitolo 2 dedicata al trattamento di dati personali da parte di titolari privati con sede o domicilio all’estero. L’articolo 14 introduce la nozione di rappresentante e l’articolo 15 definisce le sue obbligazioni.

La sezione 3 del capitolo 2 riguarda la comunicazione dei dati all’estero. Dati personali possono essere comunicati all’estero soltanto se il Consiglio federale ha constatato che la legislazione dello Stato destinatario o l’organismo internazionale garantisce una protezione adeguata dei dati (art. 16). L’articolo 17 prevede comunque diverse eccezioni.

Il capitolo 3 disciplina gli obblighi del titolare e del responsabile del trattamento. Precisa l’obbligo di informare le persone interessate sulla raccolta di dati personali (art. 19–20).

L’articolo 21 introduce un nuovo obbligo d’informare per le decisioni individuali automatizzate. L’articolo 22 introduce l’obbligo di eseguire un’analisi d’impatto relativa alla protezione dei dati personali. Il responsabile del trattamento ha inoltre l’obbligo di chiedere previamente il parere dell’IFPDT se dalla valutazione d’impatto sulla protezione dei dati emerge che, nonostante i provvedimenti previsti dal titolare, il trattamento previsto comporta un rischio elevato per la personalità o i diritti fondamentali della persona interessata (art. 23). Infine, il titolare del trattamento notifica quanto prima all’IFPDT ogni violazione della sicurezza dei dati che

comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali della persona interessata (art. 24).

I diritti della persona interessata sono indicati nel capitolo 4. Il diritto d’accesso e le sue restrizioni sono disciplinati agli articoli 25–27. Mentre il diritto alla portabilità e le sue

restrizioni, previsti agli articoli 28 e 29, sono stati introdotti dal Parlamento.

Il capitolo 5 contiene disposizioni applicabili al trattamento di dati personali da parte di privati. La nLPD vieta così alle persone private che trattano dati personali di ledere illecitamente la personalità delle persone interessate (art. 30 cpv. 1) e in particolare di trattare dati personali in violazione dei principi definiti agli articoli 6 e 8 nLPD o contro la volontà espressa della persona interessata in assenza di motivo giustificativo (art. 30 cpv. 2 lett. a e b e 31). Questo capitolo regola inoltre le pretese di diritto civile che possono far valere le persone lese

(art. 32).

Il capitolo 6 (art. 33–42) disciplina il trattamento di dati personali da parte di organi federali che hanno il diritto di trattare dati personali soltanto se lo prevede una base legale (art. 34