Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

3.2.3 Art. 3 AP-OLPD: Verbalizzazione

Numerosi partecipanti accolgono la proposta con favore¹¹⁶. È considerata molto importante, se non addirittura vista come il futuro fondamento della protezione dei dati in Svizzera¹¹⁷. DigiGes sottolinea, inoltre, che questa disposizione poggia su una base legale sufficiente. La verbalizzazione si applica solo al trattamento dei dati a rischio elevato: un'impresa che esegue tale trattamento è obbligata a garantire una protezione elevata. H+ ritiene che un obbligo di verbalizzazione specifico possa essere appropriato (ad esempio per valutare i registri). GL accoglie con favore l'introduzione di «requisiti più rigorosi» al capoverso 2. Quest'obbligo non solo aumenta la fiducia nel trattamento effettuato dagli enti pubblici, ma permette anche un controllo efficace. Inoltre, l'obbligo di verbalizzazione dovrebbe avere un effetto preventivo.

Questo articolo è anche oggetto di molte critiche. La critica principale riguarda la mancanza di una base legale e la necessità di precisione. Secondo diversi partecipanti¹¹⁸, l'articolo 8 nLPD riguarda la sicurezza dei dati in senso stretto e non funge da base sufficiente per l'obbligo di verbalizzazione. Inoltre, il termine «verbalizzazione» è usato solo nel testo dell'ordinanza e non nella nLPD, a differenza della legge federale del 25 settembre 2015¹¹⁹ sulle attività informative o della legge federale del 28 giugno 1967¹²⁰ sul Controllo delle finanze. Pertanto, la verbalizzazione è vista come uno swiss finish, poiché assente anche nel RGPD. La verbalizzazione crea una considerevole mole supplementare di lavoro. La cancellazione dell'articolo è quindi richiesta, almeno per quanto riguarda il settore privato¹²¹. Con l'introduzione della valutazione d'impatto relativa alla protezione dei dati (VIPD) e l'uso del registro delle attività di trattamento, la verbalizzazione è considerata un doppione inutile. La verbalizzazione inoltre sarebbe contraria alla volontà del legislatore¹²². H+ afferma anche che una norma generale che richieda la verbalizzazione è sproporzionata.

Diversi partecipanti¹²³ sottolineano che lo scopo della verbalizzazione, qualora non si possa tecnicamente escludere a priori un trattamento non autorizzato, è quello di permettere di accertare un trattamento non autorizzato a posteriori. Così, la valutazione dei rischi e la pianificazione dei provvedimenti costituiscono la base per la necessità di verbalizzazione. Un rischio ipotetico non è sufficiente nè proporzionato. Questo va determinato nel contesto di un'indagine secondo un articolo 1 precedentemente adattato. Bisogna sottolineare che la verbalizzazione è il risultato di misure tecniche e/o organizzative non sufficienti o non efficaci. Il rapporto esplicativo afferma che la verbalizzazione è un mezzo per raggiungere gli obiettivi di cui all'articolo 2. Si chiede inoltre di chiarire se la verbalizzazione debba essere attuata in assenza di