Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

Due partecipanti¹⁶³ sono dell'opinione che, come minimo, il campo d'applicazione e la necessità andrebbero precisati, in particolare per le imprese individuali.

Diversi partecipanti¹⁶⁴ ritengono utile ricordare che l'obbligo di emanare un regolamento sul trattamento non è nuovo e figura nel testo attuale dell'ordinanza. Affermano che, vista la scelta di limitare l'obbligo di documentazione e d'informazione (VIPD, registro delle attività di trattamento o dichiarazione di confidenzialità), ci si sarebbe attesa la sua eliminazione nella nuova ordinanza.

Cpv. 1

Limitare il regolamento sul trattamento ai dati sensibili su larga scala o alla profilazione a rischio elevato è per molti partecipanti¹⁶⁵ arbitrario o addirittura troppo limitato. L'approccio basato sui rischi, come nell’articolo 22 capoverso 1 nLPD, non giustifica tale ragionamento. Le lettere a e b vanno intese come esempi non esaustivi che presentano sempre un rischio elavato. Questa restrizione (lett. a e b) non permette di contemplare il trattamento dei dati che sono critici per i diritti della personalità. Si propone quindi di riprendere i requisiti della valutazione d'impatto sulla protezione dei dati (VIPD) (art. 22, cpv. 1 nLPD). Nel contesto della VIPD vengono prodotti molti documenti (art. 22, cpv. 3 nLPD). Questi possono far parte del regolamento del trattamento. Vari partecipanti¹⁶⁶ fanno notare che secondo il capoverso 2 le informazioni essenziali sono già in ogni caso documentate nella VIPD e il resto nell'inventario che va comunque creato. Certi¹⁶⁷ mettono quindi in dubbio il valore aggiunto di un tale regolamento.

Secondo vari partecipanti¹⁶⁸, anche se la probabilità che nella prassi siano allestiti regolamenti sul trattamento per la «profilazione a rischio elevato» è molto bassa, si pone la questione del momento dal quale i dati sono considerati trattati «su vasta scala». Nelle risorse umane, la nozione sarebbe giustificata in caso di volumi di dati di media o grande dimensione; mentre in termini di banche dati bibliografiche sembrerebbe di no. Questo vale anche per le imprese dei media che pubblicano articoli su politica e società, poiché si tratta di dati personali sensibili (opinioni politiche, ecc.). Bisogna riconoscere la necessità di un chiarimento nella pratica (ambito medico, ecc.). Swimag propone di eliminare «su vasta scala». A suo parere, è proprio nel caso di trattamenti minori e isolati di dati personali sensibili che la sensibilizzazione è necessaria; da qui la necessità di stabilire un pertinente regolamento sul trattamento. Suggerisce anche di attenersi alla profilazione semplice, anziché alla «profilazione a rischio elevato». Secondo Bär&Karrer le imprese si sono abituate a stabilire direttive interne. Tuttavia, non sono così dettagliate come proposto nell'articolo 4. Ciononostante, nella pratica è poco concepibile la redazione di un tale regolamento per i processi di trattamento automatizzato di dati soggetti a cambiamenti costanti e quindi regolarmente adattati o estesi. Alcuni partecipanti¹⁶⁹ sottolineano inoltre che il trattamento di dati particolarmente sensibili può richiedere una regolamen-