Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

Due partecipanti⁷⁶ fanno notare che non è saggio menzionare esplicitamente le spese di implementazione come criterio di valutazione dell'adeguatezza dei provvedimenti nell'ordinanza. Il rischio di una violazione della sicurezza dei dati è il criterio di valutazione pertinente per le misure da adottare. Swimag, al contrario, vorrebbe una formulazione precisa che includa l'aggiunta dei mezzi minimi da implementare, lo sforzo e le spese.

Cpv. 2

Si chiede la cancellazione di questo capoverso⁷⁷. Molti partecipanti⁷⁸ chiedono almeno di sostituire «a intervalli adeguati» con «in modo adeguato». Secondo SZ, questi «intervalli adeguati» non sono molto efficaci; sarebbe più appropriato optare per «i provvedimenti devono essere verificati in modo globale». Altri partecipanti⁷⁹ ritengono inoltre il termine «intervallo adeguato» aperto all'interpretazione e suggeriscono di sostituirlo con «intervallo periodico». Alcuni partecipanti⁸⁰ chiedono più chiarezza e insistono per una verifica almeno una volta all'anno. La Fondazione per la protezione dei consumatori propone un «intervallo periodico e adeguato». Alcuni⁸¹ chiedono che i provvedimenti siano verificati «in caso di cambiamenti tangibili dei rischi». L'Associazione di commercio specifica che i provvedimenti andrebbero verificati solo se cambiassero le condizioni dell'articolo 1 capoverso 1 lettere a-c. Altri partecipanti⁸² ritengono che il responsabile sia il solo in grado di valutare l'adeguatezza della verifica nell'arco di tutto il trattamento. Alcuni partecipanti⁸³ mettono in dubbio il legame tra l'articolo 8 capoverso 3 nLPD e questo requisito aggiuntivo di «verifica a intervalli adeguati». Secondo alcuni partecipanti⁸⁴, la verifica dovrebbe avere luogo di continuo. La FRC afferma che la frequenza non deve essere soggetta a interpretazioni.

Per quanto riguarda la terminologia, si preferisce «valutazione dei rischi» rispetto a «provvedimenti»⁸⁵. Alcuni partecipanti⁸⁶ fanno notare che la revisione si concentra sui fattori di rischio. BE propone di precisare che «i rischi e i provvedimenti sono verificati».

EXPERTsuisse raccomanda di rendere obbligatoria la norma ISO 27001 per standardizzare il controllo.

Infine, è necessario allinearsi al diritto europeo e internazionale e fare una distinzione per i dati archiviati⁸⁷.