Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

Di conseguenza, non è chiaro in che misura le operazioni di trattamento debbano essere controllate (tutte, alcune, solo quelle presentate, solo secondo il rischio).⁴⁷³ Economiesuisse afferma che esiste solo un obbligo di consultazione e che, al di fuori di questo, i consulenti per la protezione dei dati operano solo a titolo di consulenza generale. In questo senso, l'obbligo di controllo secondo il capoverso 1 lettera a andrebbe limitato al trattamento dei dati «loro sottoposti».⁴⁷⁴ HÄRTING Rechtsanwälte, invece, sottolinea che, a differenza del RGPD, il legislatore ha dichiarato esplicitamente che i consulenti per la protezione dei dati devono anche garantire la protezione dei dati e possono e dovrebbero intervenire essi stessi anziché avere solo una funzione di garanti della conformità o di controllo. Secondo VUD, tuttavia, non è chiaro quali sarebbero le conseguenze se non si ottemperasse a questo compito di controllo generale.⁴⁷⁵

Anche il Cantone di Basilea Città lamenta che un tale obbligo di controllo generale è sproporzionato. L'obbligo di controllo non ha senso nella misura in cui trasforma i consulenti per la protezione dei dati in «poliziotti». Invece, la funzione consultiva dovrebbe essere sottolineata laddove le autorità responsabili intendano coinvolgere i consulenti.⁴⁷⁶ Si afferma che da un punto di vista pratico, è impossibile controllare ogni trattamento di dati a causa dell'enorme numero di trattamenti coinvolti. I consulenti per la protezione dei dati non sarebbero nemmeno a conoscenza di ogni trattamento di dati degno di controllo.⁴⁷⁷ Inoltre, si critica il fatto che la verifica supplementare del trattamento dei dati personali e la valutazione d'impatto della protezione dei dati porterebbe a un trasferimento di fatto della responsabilità ai consulenti per la protezione dei dati. L'ordinanza dovrebbe esplicitamente escludere questo scenario.⁴⁷⁸

In modo molto dettagliato, santésuisse nota che non ü necessario inserire il sintagma «nonché le relative condizioni», poiché l'esame dei prerequisiti fa parte del controllo.

Lett. b

Il capoverso 1 lettera b contraddice anche la funzione di consulenza descritta⁴⁷⁹ e la libertà organizzativa dei titolari, che dovrebbero determinare gli obblighi in considerazione delle circostanze concrete all'interno dell'impresa.⁴⁸⁰ Una tale invasione dell'autonomia privata avrebbe dovuto essere prevista a livello di legge.⁴⁸¹ D'altra parte, si sostiene anche che la sezione è superflua o ripetitiva a causa della deroga prevista dall'articolo 23 capoverso 4 nLPD.⁴⁸²

La norma contraddice anche numerosi regolamenti specifici di vari rami.⁴⁸³ Inoltre, la disposizione viola il modello di difesa a tre linee stabilito come standard globale.⁴⁸⁴

IGEM sottolinea che la semplice presentazione di una valutazione d'impatto sulla protezione dei dati non è sufficiente. Piuttosto, i consulenti per la protezione dei dati devono partecipare alla preparazione della valutazione d'impatto. In tale contesto dovrebbere essere esaminate la valutazione dei rischi e le misure proposte.⁴⁸⁵

Alcuni partecipanti suggeriscono un'aggiunta che permetterebbe di «informare gli organi superiori [dei rispettivi enti privati o federali] nei casi più importanti».⁴⁸⁶