Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

che in quello pubblico. Si chiede che questa semplice informazione sia sostituita da un obbligo di approvazione dell'IFPDT.

3.2.10 Articolo 10 AP-OLPD: Clausole tipo di protezione dei dati

Alcuni partecipanti²⁴¹ accolgono con favore questa disposizione, e in particolare il fatto che l'IFPDT pubblica un elenco di clausole tipo di protezione dei dati. Inoltre, CFC chiede esempi di criteri per valutare l'appropriatezza delle misure.

In generale, si chiede la cancellazione della disposizione o il suo adattamento.²⁴² In riferimento al'introduzione di clausole tipo di protezione dei dati, la disposizione è considerata eccessiva²⁴³ e persino superflua²⁴⁴. È considerata troppo vaga, poiché non precisa quali potrebbero essere queste misure²⁴⁵. Sono necessarie precisazioni. Il rapporto esplicativo dovrebbe menzionare che i destinatari non sono obbligati a rispettare la legislazione svizzera sulla protezione dei dati (art. 6 cpv. 2 nLPD)²⁴⁶.

Il TAF mette in discussione la «forma giuridica» delle clausole tipo di protezione dei dati pubblicate dall'IFPDT. A suo avviso, non può trattarsi di una decisione impugnabile ai sensi dell'articolo 5 capoverso 1 PA, in particolare quando l'IFPDT le stabilisce d'ufficio, in assenza di una richiesta esplicita da parte dell'amministrato. Osserva che la pubblicazione di clausole tipo non crea, modifica o cancella i diritti e gli obblighi di un privato e non è destinata ad essere applicata a un caso specifico. Dal suo punto di vista, si tratta di una raccomandazione generale e astratta. La verifica della conformità della comunicazione con le norme sulla protezione dei dati andrebbe effettuata ex post, nel quadro di un'inchiesta da parte dell'IFPDT, che porterebbe, soltanto in quel caso, a una decisione impugnabile (art. 52 nLPD).

Cpv. 1

Come per le disposizioni precedenti, si richiede che, invece del dovere di «garantirne» il rispetto, il titolare del trattamento «provveda affinché» il destinatario rispetti le clausole tipo di protezione dei datiin particolare attraverso un audit²⁴⁷. Santésuisse ritiene che quest'obbligo sia impossibile da attuare in riferimento alle disposizioni penali. Alcuni partecipanti²⁴⁸ spiegano che questo capoverso comporta una responsabilità causale e sarebbe impossibile da rispettare. Come minimo, il titolare del trattamento deve adottare provvedimenti adeguati per contribuire a garantire che il destinatario rispetti le clausole.

La Suva afferma che le misure sono appropriate se corrispondono allo stato della tecnica e alle circostanze specifiche. Le attuali clausole tipo, ampiamente utilizzate nella pratica, richiedono comunque corrispondenti obblighi di diligenza da parte dell'esportatore.