Rapporto sui risultati

significativo alla protezione dei diritti della personalità. Nonostante ciò, l'UIP e le autorità di perseguimento penale dovranno comunque attenersi obbligatoriamente ai principi applicabili della minimizzazione dei dati e della limitazione della durata di archiviazione.

È stata sollevata la questione di una sorveglianza indipendente (Incaricato federale della protezione dei dati e della trasparenza o Incaricato cantonale della protezione dei dati e della trasparenza) delle attività dell’UIP in termini di protezione dei dati, questione che non è stata trattata né nell’avamprogetto né nel rapporto esplicativo. Una sorveglianza puramente interna da parte del servizio di protezione dei dati di fedpol non è considerata sufficiente, poiché fedpol stessa conduce indagini di polizia (SH). In considerazione della notevole quantità di dati e del relativo potenziale di abuso, sarebbe opportuno includere informazioni sulla sicurezza dei dati già nel rapporto esplicativo (BE).

• Conservazione dei dati

Il termine di cinque anni per la conservazione dei dati (in forma pseudonimizzata ai sensi dell'art. 16 cpv. 1 AP-LDPA) è considerato relativamente lungo. Secondo PLR, per evitare di incorrere nell'accusa di conservazione preventiva dei dati sproporzionata o di contraddire la giurisprudenza europea, la conservazione dei dati andrebbe adeguata alla sentenza della Corte di giustizia dell’Unione europea (CGUE) recentemente pubblicata e dovrebbe essere mantenuto il diritto d’accesso ai sensi dell'articolo 18 capoverso 1 in combinato disposto con gli articoli 25- 28 della nuova legge federale sulla protezione dei dati (nLPD)³.

• Obbligo di comunicazione della revoca della pseudonimizzazione

Nella sua versione attuale, l’AP-LDPA non prevede che la revoca della pseudonimizzazione sia comunicata (a posteriori) all'interessato. In base all'articolo 33 della legge federale sulle attività informative (LAIn)⁴ esiste, invece, un obbligo di comunicazione per quanto riguarda la sorveglianza mediante misure di acquisizione soggette ad autorizzazione, che in alcuni casi comporta una possibilità di ricorso. Alla luce del diritto internazionale e della giurisprudenza del Tribunale federale sugli articoli 8 e 13 della Convenzione per la salvaguardia dei diritti dell'uomo e delle libertà fondamentali (CEDU)⁵, risulta opportuno valutare se un analogo obbligo di comunicazione a posteriori, compresa la possibilità di ricorso, sia necessario anche nell'ambito della LDPA. Tantopiù che in questi casi il passeggero è inconsapevolmente interessato da un atto dello Stato soggetto ad autorizzazione e riguardante i suoi dati personali. L’eventuale comunicazione dovrà essere effettuata dall’UIP (TAF).

• Operabilità UIP

Nell'ambito della lotta al terrorismo e ai reati gravi di cui all’elenco dei reati, lo scambio immediato di informazioni è considerato obbligatorio. È indispensabile che le informazioni possano essere scambiate, trattate e analizzate 24 ore su 24, 7 giorni su 7. L'operabilità continua dell’UIP deve quindi essere garantita 24 ore su 24, 7 giorni su 7 (AG, PLR).

B) Pareri con riserve di base: 1 (PS)

PS ritiene delicato il trattamento sistematico dei dati di tutti i passeggeri aerei per motivi di economia dei dati, proporzionalità e protezione dei dati. Esisterebbero rischi soprattutto per quanto riguarda la sicurezza dei dati e il loro potenziale uso improprio. Il progetto di legge va

³RS 235.1; entrata in vigore della nuova legislazione sulla protezione dei dati: 01.09.2023

⁴RS 121

5 RS 0.101