Rapporto esplicativo

Essa può quindi assumere la forma di un regolamento sul trattamento, di un capitolo di un regolamento o di un altro documento allegato.

3.4.8 Sezione 8 Conservazione, protezione e sicurezza dei dati

Articolo 36: Conservazione dei dati

Per i dati anonimizzati non è stato invece stabilito alcun termine legale per la cancellazione. Occorre tuttavia tenere conto dello spazio di archiviazione e del budget a disposizione, che non sono illimitati. Si raccomanda quindi, tenendo conto del principio di proporzionalità, di fissare un termine massimo di conservazione per i dati anonimizzati sul piano tecnico. Le sezioni devono disciplinare la procedura da seguire in materia di conservazione dei dati in modo uniforme e per iscritto in un regolamento sul trattamento (ev. anche nelle schede informative). Anche l’attuazione della conservazione dei dati deve essere registrata nel sistema di informazione statistica (SIS) per l’UST.

Anche in questo caso si applicano le disposizioni della legge federale del 26 giugno 1998 sull'archiviazione⁶. Resta riservato l'obbligo di distruzione ai sensi dell'articolo 14a capoverso 1 LStat e dell’articolo 32 capoverso 2 seconda frase della presente ordinanza per quanto riguarda i dati collegati.

Articolo 37: Protezione e sicurezza dei dati

Ai fini della sicurezza dei dati, oltre alla LStat e alla LPD viene ora menzionata l’ordinanza sulla sicurezza delle informazioni all’interno dell’Amministrazione federale e dell’Esercito (ordinanza sulla sicurezza delle informazioni, OSI), entrata in vigore il X 2024. L’OSI sostituisce l’ordinanza del 27 maggio 2020 sulla protezione contro i ciberrischi nell’Amministrazione federale (ordinanza sui ciber-rischi, OCiber, RS 120.73) e l’ordinanza del 4 luglio 2007 sulla protezione delle informazioni (OPrI, RS 510.411). Essa disciplina compiti, responsabilità e competenze così come le procedure volte a garantire la sicurezza delle informazioni all’interno dell’Amministrazione federale e all’Esercito.

Ai sensi dell’articolo 6 in combinato disposto con l’articolo 4 capoverso 2 dell’OPDa, spetta agli organi federali emanare un regolamento sul trattamento che disciplina la raccolta e il trattamento (anche in modo automatizzato) dei dati personali degni di particolare protezione. Il regolamento sul trattamento disciplina i seguenti aspetti: categoria delle persone e dei dati personali trattati; periodo di conservazione dei dati personali o criteri utilizzati per determinarlo; origine e mezzi di ottenimento dei dati personali; misure tecniche e operative adottate per garantire la sicurezza dei dati; diritti di accesso, tipo e portata dell’accesso; misure adottate per la minimizzazione dei dati; procedura di trattamento dei dati, in particolare per la loro registrazione, rettifica, comunicazione, conservazione, archiviazione, pseudonimizzazione, anonimizzazione e cancellazione o distruzione; procedura per l’esercizio del diritto di accesso e del diritto di trasmissione o di trasferimento dei dati.

Occorre in particolare stabilire il termine preciso per l’anonimizzazione dei dati pseudonimizzati. Il trattamento di dati degni di particolare protezione dovrà inoltre essere