Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

3.2.9 Art. 9 AP-OLPD: Clausole di protezione dei dati e garanzie specifiche

Alcuni partecipanti²²⁴ sostengono l'intenzione del Consiglio federale di introdurre determinati requisiti minimi e garanzie specifiche; tanto più che le clausole o garanzie (art. 16 cpv. 2 lett. b, nLPD) sono rese note solo all'IFPDT.

Tuttavia, sono critici in merito alle esigenze introdotte da questa disposizione. Il grado di dettaglio è considerato inutile²²⁵.

HÄRTING si rammarica che i requisiti di questo articolo non si concentrino maggiormente sui ruoli di esportatore (titolare del trattamento) e importatore (destinatario).

Cpv. 1

La FSA ritiene che l'elenco sia illustrativo. In caso contrario, andrebbe chiarito che va fatta una distinzione tra i contratti in cui il destinatario è un titolare del trattamento e quelli in cui opera in qualità di responsabile.

Alcuni partecipanti²²⁶ sono dell'opinione che, sebbene coerenti con l'obiettivo della protezione dei dati, questi requisiti implicano costi elevati per le imprese coinvolte. Pertanto, andrebbero ridotti al minimo, o almeno le lettere b, c, g, h e i andrebbero eliminate.

Alcuni partecipanti²²⁷ ritengono che l'elenco dei requisiti di un «Data Transfer Agreement» sia inadatto e vada cancellato. A questo proposito, bisogna precisare che l'IFPDT deve controllarli in ogni caso. Tuttavia, questo elenco non distingue tra il tipo di trasferimento o tra il ruolo di esportatore e di importatore. Questi ultimi sono però determinanti per il contenuto del contratto, come mostrano le clausole contrattuali standard della Commissione europea (EU SCC). Va sottolineato che tali clausole sono ormai riconosciute dall'IFPDT. Quindi, non ha senso imporre obblighi ai responsabili tramite contratto, qualora tali obblighi non si basino sulla nLPD. Il RGPD fornisce una protezione adeguata. Questa protezione vale anche per i dati comunicati da titolari svizzeri del trattamento. Come minimo è opportuno modificare l'elenco dei requisiti in modo da coprire diverse costellazioni (titolare del trattamento, responsabile) o sostituire «almeno» con «a seconda delle circostanze». Infine, e nella misura in cui gli interessati vanno informati, mancano regole sulla notifica delle violazioni della sicurezza dei dati. Anche altri partecipanti²²⁸ si interrogano sulla questione della base legale. Inoltre specificano che i criteri non dovrebbero essere assoggettati a tutti i possibili sistemi giuridici cumulativamente, il che sarebbe difficile per il titolare del trattamento.

L'ASDPO nota che manca un punto sul diritto di controllo dell'esportatore di dati nei confronti dell'importatore. Propone quindi di aggiungere una lettera m sul diritto di audit e una lettera n sulla segnalazione delle violazioni della sicurezza dei dati.

La Posta è del parere che le lettere d, e, f e j siano da eliminare.