Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

per poter valutare la portata della violazione. Suva ritiene anche che la lettera a vada oltre il RGPD. Tuttavia, questo non dovrebbe rappresentare un problema nella pratica.³⁴⁶

Altri obblighi vanno oltre l'articolo 24 capoverso 4 nLPD. I criteri delle lettere b-d non possono essere dedotti dalla legge. Non sussiste in proposito alcuna base legale.³⁴⁷ L'indebolimento di molte di queste disposizioni aggiuntive con l'aggiunta di «se possibile» è di scarsa utilità. L'obiettivo è che l'autorità di controllo sia informata rapidamente, e se necessario anche le persone interessate, e che le misure di protezione dei dati personali siano adottate immediatamente. Pertanto, la precisazione nell'articolo 19 dell'AP-OLPD non è necessaria.³⁴⁸ Altri partecipanti trovano l’aggiunta utile, poiché le indicazioni spesso non sono attuabili nella pratica.³⁴⁹ DigiGes afferma che le informazioni di cui alle lettere a-g sono necessarie affinché l'IFPDT possa farsi un quadro completo nei casi di violazione della sicurezza dei dati. Ciò è sottolineato anche nel rapporto esplicativo. ASDPO sottolinea che le informazioni alle lettere b-d vanno fornite in ogni caso e che l'aggiunta di «se possibile» andrebbe cancellata.

Asut osserva che le lettere e ed f sono formulate in modo poco chiaro e non indicano il fatto che vanno segnalate all'IFPDT solo le violazioni che «possono comportare un rischio elevato per la personalità o i diritti fondamentali della persona interessata».³⁵⁰ Vi è inoltre l'opinione che la lettera e dovrebbe recitare «le conseguenze che rappresentano un rischio elevato per le persone interessate». Questo include già tutti i possibili rischi.³⁵¹ Inoltre, si osserva che l'articolo 33 capoverso 3 lettera c del RGPD parla di «probabili conseguenze». Questa formulazione dovrebbe essere adottata anche per l'AP-OLPD, poiché in pratica il titolare può solo fare una stima delle conseguenze.³⁵² Altri partecipanti chiedono che la lettera e includa anche l'aggiunta «se possibile», poiché non è sempre possibile determinare immediatamente e definitivamente le conseguenze e i possibili rischi non appena viene scoperta una violazione della sicurezza dei dati.³⁵³ Inoltre, la lettera f dovrebbe parlare di «rischio» e non di «conseguenze».³⁵⁴ SwissICT sottolinea che anche se si è rimediato a un difetto, bisogna cionostante mitigare le conseguenze o i danni.³⁵⁵ Economiesuisse sottolinea inoltre che andrebbe indicato tramite l'espressione «se del caso» che sono da segnalare solo le misure effettivamente adottate.

swissprivacy.law chiede di chiarire che vanno notificate tutte le informazioni solo in caso di obbligo di notifica. Se l'IFPDT è informato volontariamente, non devono essere forniti tutti i dati elencati al capoverso 1. Si chiede anche un regolamento «de minimis», che esclude i casi in cui l'IFPDT non ha la possibilità di agire. Ciò permetterebbe di risparmiare risorse.³⁵⁶