Rapporto esplicativo

Art. 43 Valutazione

Si veda messaggio LSIn, commento ad articolo 89 LSIn, pagina 2684.

Sezione 9: Trattamento di dati personali

Gli articoli 44–46 disciplinano il trattamento di informazioni e di dati personali nell’ambito della gestione della sicurezza delle informazioni secondo l’ordinanza oggetto del presente rapporto esplicativo. La gestione degli incidenti legati alla sicurezza presuppone il trattamento di dati riguardanti potenziali autori che possono essere connessi a perseguimenti e sanzioni amministrativi o penali e che sono pertanto considerati dati personali degni di particolare protezione ai sensi dell’articolo 3 lettera c LPD. La legislazione sulla protezione dei dati esige a tal fine una base legale esplicita, oggi mancante, a livello di legge. Nell’ambito della corrente revisione della LSIn (cfr. n. 3.1) viene creata la necessaria base legale formale.

Art. 44 In generale

Capoversi 1 e 2: le unità amministrative e i loro organi di sicurezza non sono in grado di adempiere i propri compiti senza un reciproco scambio di informazioni e di dati personali. Riguardo al trattamento di dati personali degni di particolare protezione nell’ambito della gestione degli incidenti cfr. il commento alla sezione 9.

Art. 45 Applicazione SGSI

Questa disposizione crea la base legale per l’impiego di applicazioni SGSI con le quali vengono digitalizzati i compiti e i processi dell’OSIn (cfr. n. 3.8). Riguardo al trattamento di dati personali degni di particolare protezione cfr. il commento alla sezione 9.

Art. 46 Servizi di modulistica elettronica

Capoverso 1: un servizio di modulistica è una semplice, piccola applicazione con la quale vengono compilati e inviati formulari. I servizi di modulistica di cui al capoverso 1 servono a emettere in modo automatizzato cosiddette richieste di visita («Request for Visit», cpv. 1 lett. a), attestazioni di sicurezza (cpv. 1 lett. b) e attestazioni internazionali di sicurezza aziendale («Facility Security Clearances», cpv. 1 lett. c).

Capoverso 2: i dati nell’allegato 2 sono dati personali che, analogamente a quanto avviene in un processo di autorizzazione di viaggio ESTA, vengono richiesti per viaggi negli Stati Uniti. I dati contrassegnati da un asterisco (*) nell’allegato 2 sono inoltrati ad autorità straniere. Vengono rispettate le disposizioni del diritto in materia di protezione dei dati sulla comunicazione di dati all’estero (in particolare l’art. 16 cpv. 1 e l’art. 17 nLPD). Senza l’indicazione di questi dati la persona richiedente non ottiene l’accesso al progetto classificato all’estero.

Capoversi 3–6: nel contesto di una notifica di sicurezza possono venire trattati informazioni classificate o dati personali. Con l’invio della notifica, questi ultimi finiscono subito nell’applicazione SGSI, nella quale vengono trattati la notifica e l’incidente. Per ragioni di sicurezza delle informazioni e di protezione dei dati, i dati potenzialmente sensibili non possono essere memorizzati per oltre 24 ore nel servizio di modulistica. Riguardo al trattamento di dati personali degni di particolare protezione nell’ambito della gestione degli incidenti cfr. il commento alla sezione 9

Sezione 10: Disposizioni finali

Art. 47 Abrogazione e modifica di altri atti normativi

L’OCiber e l’OPrI saranno abrogate.

Art. 48 Disposizioni transitorie

Oltre alle disposizioni transitorie contenute in questa disposizione, se ne trovano ulteriori nella LSIn, nell’OCSP e nell’OPSAz. L’intento è che entro sei anni dalla messa in vigore del nuovo diritto le disposizioni transitorie ne consentano la pianificazione e l’attuazione sistematiche e regolari (cfr. anche l’art. 90 LSIn).

Art. 49 Entrata in vigore

Si sta ancora verificando se è necessaria una messa in vigore parziale.