Rapporto esplicativo

Art. 13 Verbalizzazione del trattamento dei dati

Tutti i trattamenti automatizzati dei dati dei passeggeri aerei da parte dell’UIP sono verbalizzati in forma elettronica (cfr. art. 24 LDPA), in particolare:

a) le comunicazioni secondo gli articoli 7−11 e 30 LDPA;

b) la pseudonimizzazione secondo l’articolo 18 e la sua revoca secondo gli articoli 19 e 20 LDPA;

c) la revoca della pseudonimizzazione secondo l’articolo 26 capoverso 1 LDPA;

d) il ripristino immediato della pseudonimizzazione nei casi di cui agli articoli 20 capoverso 4 e 26 capoverso 1 LDPA;

e) le cancellazioni secondo gli articoli 21 e 22 LDPA;

f) l’anonimizzazione secondo l’articolo 23 LDPA.

I verbali possono essere utilizzati esclusivamente per verificare l’applicazione delle disposizioni in materia di protezione dei dati nonché per salvaguardare o ripristinare la confidenzialità, l’integrità, la disponibilità e la tracciabilità dei dati.

I verbali sono conservati al di fuori del sistema d’informazione PNR, tuttavia all’interno della Confederazione, precisamente nell’ambiente informatico del Centro servizi informatici CSI-DFGP¹⁶.

Gli accessi dell’UIP ai sistemi d’informazione della Confederazione in virtù dell’articolo 6 LDPA non sono oggetto dell’articolo 13, ma sono registrati nei verbali allestiti da tali sistemi d’informazione.

Cpv. 1

Questa disposizione menziona i contenuti che devono obbligatoriamente figurare nei verbali e corrisponde all’articolo 4 capoverso 4 OPDa.

Cpv. 2

Oltre alle informazioni di cui al capoverso 2, il verbale concernente la revoca della pseudonimizzazione e il suo eventuale ripristino deve rinviare anche al documento che autorizza a effettuare questa fase del trattamento. Ciò permette di facilitare la tracciabilità di tali fasi per le persone che adempiono compiti di sorveglianza e vigilanza secondo l’articolo 25 LDPA.

Sezione 6: Sanzioni amministrative

Art. 14 Decorrenza della sanzione

Le imprese di trasporto aereo sono chiamate ad adempiere ai loro obblighi secondo gli articoli 3 e 4 LDPA a partire dal momento in cui l’UIP ha comunicato loro i dettagli del loro collegamento tecnico al sistema d’informazione PNR. La comunicazione è trasmessa sotto forma di decisione.

È solo a partire da questo momento che tali imprese possono essere soggette a sanzioni in caso di violazione di tali obblighi. Se sono tuttavia in grado di dimostrare di aver adottato tutte le misure tecniche e organizzative esigibili, la sanzione viene meno (cfr. art. 31 LDPA).