Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

Cpv. 2

L'indicazione «al momento della scoperta della violazione della sicurezza dei dati» non sembra avere molto senso. L'esperienza mostra che in tale momento il titolare del trattamento non possiede ancora tutte le informazioni necessarie, poiché richiedono tempo per essere raccolte.³⁵⁷ ASDPO, d'altra parte, sottolinea che va chiaramente indicato che le informazioni vanno rese disponibili il prima possibile e non solo al momento della scoperta della violazione.

Cpv. 3

Alcuni partecipanti sottolineano che la legge impone di fornire informazioni alla persona interessata solo se ciò è necessario per la sua protezione o se l'IFPDT lo richiede. Al contrario, l'ordinanza prevede sempre la comunicazione di informazioni di cui al capoverso 1 lettere a, e, f e g. Non vi è quindi alcuna base legale.³⁵⁸ Pertanto, secondo FER, andrebbe chiarito che questa disposizione si applica solo se la legge prevede che la persona interessata vada informata.³⁵⁹ Al contrario, il PS vuole che il tempo e la durata della violazione siano comunicati anche alla persona interessata, così che possa valutare al meglio la portata e il rischio della violazione. ASDPO vorrebbe inoltre che alla persona interessata siano comunicate le informazioni di cui alle lettere b e c. Questo potrebbe aiutare a determinare la portata dell'incidente e ad adottare le misure appropriate.³⁶⁰ Altri suggeriscono di omettere la lettera g, poiché facilita gli attacchi informatici o poiché nelle imprese più grandi non c'è una sola persona di contatto.³⁶¹

Cpv. 4

HDC sottolinea che l'articolo 24 capoverso 6 nLPD prevede che una notifica può essere usata contro la persona soggetta all'obbligo di notifica in un procedimento penale solo con il suo consenso. Si dovrebbe quindi chiarire che nel caso di una persona giuridica, la disposizione prevede l'obbligo di notifica per la persona giuridica in quanto tale e per qualsiasi persona fisica all'interno della persona giuridica. Il Cantone di Friburgo sottolinea che bisogna evitare che ogni notifica sia resa pubblica prematuramente. Tuttavia, il Tribunale federale ha stabilito che una notifica sulle violazioni della sicurezza dei dati è soggetta al principio della trasparenza (DTF 1C_500/2020 dell'11 marzo 2021). Poiché questa notifica diventa ora obbligatoria, è opportuno prevedere un limite di tempo per la consultazione di tali notifiche.

Cpv. 5

DigiGes sottolinea che è importante per tutte le parti coinvolte che la violazione sia documentata, come previsto dall'articolo 19 capoverso 5. ASDPO ritiene che sarebbe utile se tutte le violazioni fossero notificate, in modo che l'IFPDT o altre autorità possano verificare in caso di ispezione se non è stata notificata una violazione da notificare. Alcuni partecipanti ritengono che non sia chiaro se tutte le violazioni vadano documentate o solo quelle che devono essere notificate all'IFPDT.³⁶² Altri, tuttavia, credono fermamente che andrebbero documentate solo le