Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

violazioni soggette all’obbligo di notifica. Per questo motivo, lo scopo della norma risulta poco chiaro, dato che l'IFPDT farebbe comunque richiesta se ve ne fosse l'interesse.³⁶³

Molti partecipanti chiedono che l'obbligo di documentazione di cui al capoverso 5 sia cancellato, poiché manca di una base legale.³⁶⁴ L'obbligo di notificare le violazioni della sicurezza dei dati è già sufficientemente chiaro nella legge ed è comunque disciplinato sulla base di principi e rischi. Di conseguenza, il Parlamento ha voluto deliberatamente fornire un margine di discrezione adeguato per l'attuazione individuale da parte del singolo titolare del trattamento.³⁶⁵ L'articolo 24 nLPD non contiene un obbligo di documentare e conservare le informazioni in relazione a una violazione della sicurezza.³⁶⁶ Ciò non è previsto nemmeno dal RGPD. Si tratta anche qui di uno swiss finish.³⁶⁷

Inoltre, si critica il fatto che l'obbligo è troppo severo, poiché tutti i «fatti legati agli eventi» andrebbero documentati.³⁶⁸ L'espressione «fatti legati» suggerirebbe erroneamente che per l’obbligo di documentazione andrebbero indagati fatti non elencati secondo il capoverso 1 lettere a-g.³⁶⁹ ABES sottolinea che se la norma fosse mantenuta, dovrebbe essere specificato che il titolare deve solo mettere a disposizione informazioni che sono note. Non ci si può aspettare che le indagini siano effettuate presso esterni.

Molti partecipanti chiedono di accorciare il termine di conservazione.³⁷⁰ Alcuni sostengono che la documentazione dovrebbe essere conservata in conformità con le disposizioni di conservazione applicabili alle autorità di vigilanza.³⁷¹ Altri vorrebbero che i termini di conservazione fossero uniformati in tutta l'ordinanza, e quindi anche in questo articolo.³⁷² Altri ritengono che il termine di conservazione vada esteso a cinque anni, poiché la notifica potrebbe essere rilevante in caso di rivendicazioni di responsabilità.³⁷³ DigiGes sottolinea l'importanza del periodo di conservazione per la persona interessata, poiché le permette di opporsi per vie legali. Economiesuisse chiede che venga chiarito che devono essere conservate solo le violazioni soggette all'obbligo di notifica.

Infine, si critica il fatto che il rapporto esplicativo definisce in modo errato il termine «verosimilmente» quando afferma che una notifica deve essere effettuata anche «nei casi dubbi, in cui non si può escludere un rischio elevato». Questo presuppone che una violazione della sicurezza dei dati porterebbe molto probabilmente a un rischio elevato.³⁷⁴ Tuttavia, questo è un pleonasmo. Il termine «rischio» include già una considerazione sulla probabilità che si verifichi un danno. Pertanto, la probabilità deve essere di una certa portata.³⁷⁵ Il termine «verosimilmente» non significa affatto che la notifica debba essere effettuata in ogni «caso dubbio»