Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

coinvolto nell'attuazione delle norme sulla protezione dei dati. SO aggiunge che la disposizione non tiene sufficientemente conto di questo requisito. Secondo alcuni partecipanti²⁰⁴, sembra contrario all'approccio basato sui rischi della nLPD che il consulente per la protezione dei dati sia informato solo a posteriori della conclusione di un contratto di esternalizzazione o in occasione del trasferimento di una funzione. I compiti del consulente per la protezione dei dati comprendono tali transazioni. Il rapporto esplicativo menziona espressamente i maggiori rischi associati al trattamento dei mandati. Inoltre, la partecipazione all'attuazione delle norme sulla protezione dei dati è uno dei suoi compiti principali. Il consulente per la protezione dei dati va informato in tempo utile, come previsto per i progetti degli organi federali per il trattamento automatizzato dei dati personali (art. 31). Come minimo, la disposizione andrebbe rafforzata.

Alcuni partecipanti²⁰⁵ sono dell'opinione che questa disposizione violi la libertà organizzativa interna all’impresa. Un'impresa deve assicurarsi che i contratti siano conformi alle norme sulla protezione dei dati. Chiedono che le imprese di trasporto siano escluse dal campo d’applicazione della disposizione.

Due partecipanti²⁰⁶ sottolineano che gli organi federali, come le compagnie di assicurazione malattie, hanno innumerevoli contratti che includono il trattamento di dati. L'approccio basato sui rischi richiede che, attraverso il registro delle attività di trattamento, il consulente per la protezione dei dati conosca i trattamenti particolarmente rischiosi. Un obbligo di informazione supplementare con un grado di assolutezza così elevato non è necessario, soprattutto in quanto non crea alcun valore aggiunto per le persone interessate.

Il DFS sottolinea che l’attività di prevenzione dei consulenti per la protezione dei dati è di grande importanza. Questo aspetto andrebbe preso in considerazione per la stesura di questo articolo, così da evitare il più possibile ulteriori problemi. L'idea sarebbe quella di stabilire una consulenza preventiva del consulente per la protezione dei dati, il che implica anche che egli faccia parte degli organi corrispondenti.

HDC ritiene che l'obbligo di informare il consulente per la protezione dei dati abbia dei vantaggi. Tuttavia, fatica a capirne il legame con la nLPD e le conseguenze della sua violazione. Si chiede se una delle conseguenze sarebbe quella di rendere il trattamento illegale e permettere all’interessato di far valere dei diritti su questa base (art. 41 nLPD). Alcuni partecipanti²⁰⁷ sottolineano che l'articolo 29 nLPD prevede già un obbligo di informare formulato in modo più generale che copre anche i trattamenti su mandato, purché siano di rilievo.

L'ASIP chiede di specificare che «non s’intendono gli organi federali in qualità di responsabili ai sensi dell'articolo 2 capoverso 1 lettera b in combinato disposto con l'articolo 5 lettera i nLPD».

swissICT non comprende perché nell'ordinanza vengano fissati requisiti particolari, dato che l'articolo 24 LPD disciplina la notifica delle violazioni della sicurezza dei dati. I processi interni andrebbero disciplinati dall'organo federale stesso. Inoltre, l'articolo 29 capoverso 1 nDPA prevede già un obbligo d'informazione da parte dell'organo federale nei confronti del consulente per la protezione dei dati. AswissICT uspica un chiarimento del termine «problemi».