Rapporto sui risultati

Rapporto sui risultati della procedura di consultazione: revisione totale dell'ordinanza relativa alla legge federale sulla protezione dei dati (OLPD)

3.1.2.2 Sulla comunicazione di dati personali all'estero

GL accoglie con favore l'insieme delle disposizioni della sezione (art. 8-12), che possono servire da ispirazione per il diritto cantonale. Alcuni partecipanti⁵⁶ ricordano l'importanza di queste disposizioni e giudicano i requisiti pertinenti.

3.2 Pareri sulle singole disposizioni

3.2.1 Art. 1 AP-OLPD: principi

Due partecipanti accolgono con favore i principi introdotti in questo primo articolo⁵⁷.

Cpv. 1

Diversi partecipanti⁵⁸ accolgono con favore la formulazione di questa disposizione, che secondo loro attua in modo ottimale l'articolo 8 capoverso 1 nLPD. Tuttavia, la libertà di interpretazione richiede un sostegno specifico nella pratica. Si suggerisce di aggiungere, in un nuovo capoverso, che «l’IFPDT deve creare quanto prima dei documenti che semplificano l'attuazione pratica». Al contrario, il DFS ritiene che la formulazione non rispetti l'articolo 8 capoverso 1 nLPD. Propone di aggiungere l'articolo 8 capoverso 1 nLPD come frase introduttiva all'articolo 1. Per quanto riguarda i criteri, sarebbe giustificato menzionare «in particolare». La FMH propone di aggiungere nell'introduzione «vanno adottate misure tecniche e organizzative appropriate per garantire un livello di sicurezza adeguato al rischio». L'ASDPO chiede di specificare che le misure minime possono essere selezionate dalla lista dell'articolo 2. Classtime vorrebbe aggiungere «l'utilità del trattamento» all'articolo 1.

Alcuni partecipanti ritengono che⁵⁹ vada garantita l'uniformità terminologica: i provvedimenti non sono «adeguati», bensì «appropriati» secondo l'articolo 8 capoverso 1 nLPD. Inoltre, sono del parere che l'attuazione dell'articolo 8 nLPD vada oltre la sicurezza dei dati in senso stretto (CAID: confidenzialità, autenticità, integrità, disponibilità). In questo senso, considerano sbagliati gli esempi citati e la portata del termine «rischio». Si tratta di un rischio netto e non di un rischio lordo. Quindi il trattamento da parte dell'intelligenza artificiale (IA) o degli esseri umani non è rilevante per la questione della sicurezza dei dati.

In linea generale, molti partecipanti⁶⁰ notano l'influenza del diritto europeo, in particolare dell'articolo 32 RGPD. Propongono di ispirarsi ad esso e alla LSIn. Ritengono che l'approccio dovrebbe essere duplice: in primo luogo, valutare gli obiettivi e le necessità di protezione nonché i rischi. Anche se gli obiettivi di protezione sono stabiliti nell'articolo 5 capoverso 1 lettera h nLPD e elencati in modo dettagliato nell'articolo 2, si apprezza la distinzione operata in questo capoverso tra i criteri di valutazione del bisogno di protezione (lett. a), di valutazione del rischio (lett. b) e l'adeguatezza delle misure. Tuttavia, come per la valutazione dell'impatto relativa alla protezione dei dati, la valutazione dei rischi avviene in una fase successiva (art. 22 nLPD). In merito ai criteri di adeguatezza delle misure, i partecipanti lamentano il loro carattere indiretto. L'opportunità di una misura dovrebbe permettere di valutare se una misura vada adottata e, in