Rapporto esplicativo

a valle e di altri sistemi IAM i dati soltanto «su richiesta», viene perciò adeguata di conseguenza stralciando la locuzione «su richiesta».

Art. 5 Sistemi IAM

Capoverso 1: oltre agli organi federali responsabili che già figurano in OIAM, vengono elencati altri organi federali responsabili (lett. c e g) di sistemi IAM.

Capoverso 2: attualmente non ha luogo alcun controllo del trattamento dei dati personali in sistemi IAM. L’articolo 26 lettera e LSIn – peraltro non soltanto riguardo ai sistemi IAM – chiede ora esplicitamente che sia previsto un controllo periodico del trattamento di dati personali da parte di un servizio esterno. Di conseguenza, nell’articolo 5 viene inserito un capoverso.

Capoverso 3: in virtù dell’articolo 84 capoverso 3 LSIn, l’OIAM si applica anche alle autorità assoggettate di cui all’articolo 2 capoverso 1 lettere a e c–e LSIn, sempreché queste non emanino proprie disposizioni. Affinché tale costrutto funzioni, le altre autorità assoggettate devono quanto meno stabilire chi, nel loro ambito, detiene la responsabilità a livello di diritto in materia di protezione dei dati.

Capoverso 4: in virtù dei nuovi capoversi 2 e 3, l’attuale capoverso 2 diventa il capoverso 4, riprendendone in toto il relativo contenuto

Art. 11 cpv. 2 e 3

Gli attuali capoversi 2 e 3, in base ai quali nei sistemi IAM non possono essere trattati profili personali e, in assenza di una base legale specifica in materia, non vi si possono trattare neanche dati personali degni di particolare protezione devono essere sottoposti a una duplice rielaborazione (cfr. le considerazioni al n. 3.4), da un lato, in virtù dell’articolo 20 capoverso 2 LSIn e, dall’altro, in virtù della nLPD. Primo, al divieto del trattamento di profili della personalità subentra un divieto di profilazione (cfr. art. 5 lett. f nLPD). Secondo, i dati biometrici, che identificano chiaramente una persona, sono ora considerati, genericamente, dati personali degni di particolare protezione. Per il loro trattamento si crea però una base generale nell’articolo 20 capoverso 2 LSIn. Secondo l’allegato (lett. a n. 11), siffatti dati biometrici possono quindi ora essere trattati in tutti i sistemi IAM nei quali ciò risulti necessario per l’identificazione in funzione dei rischi.

Art. 13 cpv. 4

A fini di chiarezza, alla lettera a si afferma esplicitamente che la base legale in questione deve prevedere (anche) il trattamento dei dati da fornire.

Art. 14 cpv. 2

Questa disposizione rimane invariata sotto il profilo materiale, tuttavia il rimando non va più fatto all’articolo 2a della legge federale del 3 ottobre 2008²⁵ sui sistemi d’informazione militari (LSIM), bensì alla LSIn.

Titolo prima dell’art. 18 nonché art. 18 cpv. 1 e 2

La sicurezza delle informazioni e il rispetto delle relative direttive non devono applicarsi esclusivamente ai sistemi IAM, ma devono esserlo parimenti ai servizi di elenchi. Ciò vale anche per offerenti, esterni alla Confederazione, di servizi di elenchi, in particolare se detti offerenti non gestiscono già un sistema IAM. Il testo dell’ordinanza viene quindi integrato di conseguenza.

Art. 20 Sistema globale IAM

Ai sensi dell’attuale articolo 20, i sistemi IAM dell’Amministrazione federale possono essere collegati in modo ottimale tra loro nonché con i sistemi IAM dei Servizi del Parlamento o dell’esercito per rendere possibile una ripartizione dei compiti efficiente. Ciò significa anche che i dati degli utenti possono essere scambiati tra loro nella modalità di una federazione. Ora i suddetti sistemi IAM devono potere essere collegati anche con sistemi IAM di cui all’articolo 21, per cui l’articolo 20 è integrato di conseguenza sotto il profilo materiale. La novità dal punto di vista formale è che tutti i sistemi IAM al di fuori dell’Amministrazione federale (sistemi IAM esterni), dunque anche i sistemi IAM dei Servizi del Parlamento e dell’esercito figuranti finora nell’articolo 20, vengono elencati assieme nell’articolo 21.