Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

nel caso in cui i dati personali non vengano trattati in modo particolarmente esteso. ASDPO vorrebbe che l'articolo fosse più fondato sull'articolo 30 capoverso 5 RGPD.

Alcuni si rammaricano anche del fatto che ci sia un'eccezione per le imprese con meno di 250 collaboratori.⁴⁹⁴ Questo rende fin troppo facile minare lo strumento del registro delle attività di trattamento.⁴⁹⁵ Tenere un registro è infatti un mezzo semplice per garantire che il titolare rispetti i suoi obblighi in materia di protezione dei dati.⁴⁹⁶ È anche un esercizio essenziale di buongoverno per quanto riguarda la protezione e la sicurezza dei dati.⁴⁹⁷ Inoltre, con gli strumenti di oggi, la creazione di un registro delle attività di trattamento non rappresenta più uno sforzo aggiuntivo significativo, nemmeno per le imprese individuali. D’altronde l'elenco serve alla sensibilizzazione e all’autoprotezione.⁴⁹⁸ È particolarmente importante per le PMI, poiché elaborano volumi sempre maggiori di dati personali e sono quindi uno degli obiettivi prescelti degli attacchi da parte di hacker.⁴⁹⁹

ASB afferma che il tenore dell’articolo implica che il registro vada tenuto per tutte le attività di trattamento, a meno che non ci siano le condizioni per un'eccezione. Altri auspicano che venga chiarito se questa era l'intenzione.⁵⁰⁰ Altri ancora suppongono che non possa essere inteso in questo modo o sostengono che l'obbligo di tenere un registro andrebbe limitato ai trattamenti che soddisfano i requisiti.⁵⁰¹ In questo modo, sia la protezione delle persone interessate sia le esigenze delle PMI possono essere adeguatamente prese in considerazione.⁵⁰² EX-PERTsuisse vorrebbe anche che venissero chiarite le conseguenze in caso di tenuta dell'elenco dei trattamenti non conforme alle regole.

Diversi partecipanti sostengono che l'articolo 12 capoverso 5 nLPD permette un'eccezione all'obbligo di tenere un registro di trattamento solo se c'è un «rischio esiguo». Pertanto, si deve presumere che se né la lettera a né la lettera b sono soddisfatte, sussiste un rischio esiguo.⁵⁰³ Questo limita fortemente il campo di applicazione della valutazione d'impatto sulla protezione dei dati ai sensi dell'articolo 22 nLPD.⁵⁰⁴ Altri partecipanti ritengono che non è chiaro se solo questi due casi comporterebbero un rischio elevato e chiedono di chiarire se questo elenco sia esaustivo.⁵⁰⁵ Inoltre, occorrerebbe chiarire se questo è anche il parametro per l'esecuzione di una valutazione d'impatto sulla protezione dei dati e se è possibile applicarlo anche all'obbligo di notifica secondo l'articolo 24 nLPD.⁵⁰⁶ Si è anche notato che non è stata prevista l'eccezione per l'articolo 12 cpoversi 3 e 4 nLPD, bensì soltanto per il capoverso 5, il che porterebbe a risultati assurdi.⁵⁰⁷