Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

3.2.25 Articolo 25 AP-OLPD: Consulente per la protezione dei dati

Cpv. 1

La proposta è esplicitamente accolta con favore da alcuni dei partecipanti.⁴⁶² Altri partecipanti sono invece critici. Secondo i Cantoni, l'articolo 25 AP-OLPD si basa poco all'articolo 10 capoverso 2 nLPD,⁴⁶³ poiché è stato ripreso dall'ordinanza precedente.⁴⁶⁴ L'articolo 10 capoverso 2 nLPD prevede ora tra i compiti dei consulenti per la protezione dei dati anche la formazione e la consulenza nonché la partecipazione all'applicazione delle norme sulla protezione dei dati. Pertanto, i compiti di cui all'articolo 25 AP-OLPD non sono i compiti da eseguire, ma solo la loro parziale concretizzazione. Questo andrebbe precisato nella norma.⁴⁶⁵

Alcuni Cantoni suggeriscono di aggiungere, ad esempio, l'espressione «in particolare».⁴⁶⁶ Sorge anche la richiesta di lasciare solo l'articolo 10 capoverso 2 nLPD, che è formulato in modo più completo.⁴⁶⁷ DFS raccomanda di specificare meglio i compiti dei consulenti per la protezione dei dati, fissati in modo troppo blando. Oltre alla partecipazione alla valutazione d'impatto della protezione dei dati, andrebbero elencati anche i compiti dei consulenti che servono alla promozione della protezione dei dati. Per esempio, i consulenti per la protezione dei dati dovrebbero essere più attivi nella prevenzione.⁴⁶⁸ ASDPO suggerisce un inventario o una descrizione funzionale.

Si sostiene anche che sia concettualmente errato che i consulenti per la protezione dei dati debbano «rispettare» i compiti, dovrebbero invece «assumerli».⁴⁶⁹

SWICO sostiene che i compiti dovrebbero essere elencati come un dovere legale personale dei consulenti privati per la protezione dei dati, il che comporterebbe questioni di diritto della responsabilità senza un corrispondente chiarimento. Sono necessari chiarimenti o revisioni sui punti menzionati. Inoltre, altri partecipanti propongono di evitare una formulazione imperativa, poiché i consulenti per la protezione dei dati per i privati sono volontari. Se la disposizione dovesse essere intesa così che anche i privati fossero obbligati ad avere degli incaricati della protezione dei dati, non vi sarebbe alcuna base legale a sostegno.⁴⁷⁰

SPA osserva che la demarcazione tra i consulenti per la protezione dei dati e il titolare non è chiara se un'impresa ha già un consulente per la protezione dei dati ai sensi dell'articolo 37 RGPD.

Lett. a

Alcuni partecipanti sottolineano che l'articolo 10 capoverso 2 nLPD non contiene un mandato per regolare una verifica generale di tutti i trattamenti di dati personali, anche se la lettera a ora lo prevede.⁴⁷¹ L'obbligo di controllare tutti i trattamenti di dati contraddice anche l'approccio basato sui rischi di cui all'articolo 8 nLPD. L'implicazione nel rapporto esplicativo secondo cui ogni trattamento va controllato è errata. Si possono effettuare verifiche orientate al rischio.⁴⁷²