Rapporto esplicativo

Possono pertanto essere sottoposti a verifica esclusivamente i profili di rischio secondo l’articolo 12 e le liste d’osservazione secondo l’articolo 13 LDPA.

Sezione 5: Protezione dei dati

Art. 11 Domanda di revoca della pseudonimizzazione

Il Tribunale amministrativo federale (TAF) decide in merito alla revoca della pseudonimizzazione se un’autorità competente ne ha fatto domanda. Si può trattare di una revoca ordinaria della pseudonimizzazione (cfr. art. 19 LDPA) o di una revoca in caso d’urgenza (cfr. art. 20 LDPA). In entrambi i casi la decisione del TAF ha carattere definitivo conformemente all’articolo 83 lettera a della legge del 17 giugno 2005¹⁵ sul Tribunale federale.

L’articolo 11 stabilisce le modalità secondo cui l’UIP deve esaminare in via preliminare le domande di revoca della pseudonimizzazione presentate dalle autorità competenti.

Art. 12 Revoca e ripristino della pseudonimizzazione

L’articolo 12 limita la competenza di revocare la pseudonimizzazione (lett. a) o eventualmente di ripristinarla (lett. b) a una cerchia ristretta di persone all’interno dell’UIP. Questa particolarità è giustificata dal fatto che entrambe le fasi del trattamento hanno un impatto significativo in materia di protezione dei dati e, data la loro specificità, non possono essere eseguite automaticamente. Inoltre, la persona competente deve garantire che il verbale rinvii al documento che legittima questa fase del trattamento (cfr. art. 13 cpv. 2).

Lett. a

La pseudonimizzazione è revocata se un’autorità competente ne fa domanda (cfr. art. 19 e 20 LDPA) o se una persona presenta una richiesta d’accesso ai propri dati (art. 26 LDPA). Come già illustrato in precedenza, il TAF decide in merito alla revoca della pseudonimizzazione su domanda di un’autorità competente. Non è invece necessaria alcuna decisione giudiziaria se una persona i cui dati sono pseudonimizzati presenta una richiesta d’accesso. L’articolo 25 capoverso 2 LPD statuisce infatti che nelle informazioni fornite alla persona interessata, vanno comunicati ugualmente i «dati personali trattati». Se questi ultimi sono pseudonimizzati, la pseudonimizzazione va revocata, praticamente su richiesta della persona che richiede l’accesso ai propri dati.

Lett. b

In entrambi in casi esplicitati alla lettera b, la pseudonimizzazione deve essere ripristinata immediatamente dopo la sua revoca.

Nello specifico, si tratta sempre di dati che erano stati precedentemente pseudonimizzati. La lettera b chiarisce inoltre una conseguenza giuridica che deriva soltanto in maniera implicita dalla legge.

La lettera b non menziona il ripristino della pseudonimizzazione dei dati cui è revocato il contrassegno conformemente all’articolo 10 capoverso 2 LDPA. L’articolo 18 capoverso 2 LDPA, infatti, prevede già che tali dati vadano pseudonimizzati, sempre che non debbano essere cancellati in virtù della loro durata di conservazione. In particolare per questo motivo non è necessaria una regolamentazione a livello d’ordinanza.

15 RS 173.110