Rapporto esplicativo

Allegato 1

Il [dipartimento competente] terrà aggiornato l’allegato 1.

Allegato 2

Cfr. commento ad art. 46.

Allegato 3

Numero 1: modifica dell’ordinanza del 25 novembre 2020²² sul coordinamento della trasformazione digitale e la governance delle TIC in seno all’Amministrazione federale (OTDI): l’OCiber viene sostituita dall’OSIn.

Numero 2: ordinanza del 7 marzo 2003²³ sull’organizzazione del DDPS (OOrg-DDPS): con la LSIn e l’OSIn viene meno la nozione di «segreto militare». L’Organo di coordinamento per la protezione delle informazioni in seno alla Confederazione viene sciolto e i suoi compiti assunti dal servizio specializzato della Confederazione per la sicurezza delle informazioni.

Numero 3: ordinanza del 24 giugno 2009²⁴ sui contatti militari internazionali (OCMI): con la LSIn e le sue ordinanze d’esecuzione devono venire aggiornati gli organismi e le ordinanze rilevanti.

4.2 Modifica dell’ordinanza sui sistemi di gestione delle identità e sui servizi di elenchi della Confederazione (OIAM)

Ingresso

Con gli articoli 24–26 LSIn è stata creata una base legale formale specifica per l’attuale OIAM elevando a livello di legge le principali disposizioni dell’ordinanza. Finora l’ordinanza si basava sulla competenza organizzativa del Consiglio federale e, indirettamente, sulle basi legali di tutti i sistemi collegati ai sistemi IAM. In virtù dell’articolo 20 capoverso 2 LSIn, a determinate condizioni sarà inoltre consentito il trattamento di dati biometrici nei sistemi IAM. Secondo la nLPD, i dati biometrici sono considerati dati personali degni di particolare protezione (FF 2020 6695, art 5 lett. c n. 4). Viene così relativizzato il principio secondo cui questi ultimi non possono essere trattati nei sistemi IAM (art. 11 cpv. 3). Sulla base di disposizioni di legge specifiche al di fuori della LSIn, permane quindi la possibilità di trattare nei sistemi IAM dati personali degni di particolare protezione. I profili della personalità non sono più un criterio rilevante nella nLPD e pertanto non occorre più menzionarli. Una profilazione ai sensi dell’articolo 5 lettera f nLPD non è effettuata in sistemi IAM e servizi di elenchi in quanto essi non servono a valutare gli aspetti personali delle persone.

Art. 2 Campo d’applicazione

Il termine «Amministrazione federale» utilizzato nell’articolo 2 capoverso 2 lettera b LSIn comprende sia l’Amministrazione federale centralizzata, sia quella decentralizzata (cfr. messaggio LSIn, pag. 2625), per cui il campo d’applicazione va ora esteso alle unità amministrative dell’Amministrazione federale decentralizzata, sempreché abbiano accesso a sistemi informatici dell’Amministrazione federale centrale.

I contenuti dell’attuale capoverso 2 non costituiscono una lista positiva esaustiva e possono pertanto essere eliminati senza sostituzione (per un’autorità o un servizio è possibile impegnarsi volontariamente a rispettare l’OIAM senza una base giuridica esplicita).

Art. 3 cpv. 1

Finora le identità vengono offerte soltanto passivamente a sistemi IAM o a memorie d’identità a valle ai fini dell’autoreferenzialità – sistemi e memorie consumano le identità secondo la propria cadenza, il proprio ritmo e le proprie esigenze. Nell’ambito di misure di protezione più proattive (p. es. immediate modifiche delle autorizzazioni o blocchi di emergenza), non si può più fare affidamento sulla data di applicazione della registrazione alle applicazioni, bensì si devono approvvigionare in modo proattivo con queste informazioni rilevanti per la sicurezza i sistemi a valle alimentati da IAM. Questo nuovo tipo di approvvigionamento è importante e deve quindi essere inserito nell’OIAM. L’attuale formulazione, che prevede che un sistema IAM metta a disposizione di sistemi

22 RS 172.010.58

23 RS 172.214.1