Rapporto esplicativo

di gravi perturbazioni o se ne sono verificate oppure nel sistema vi sono punti deboli o errori che rappresentano un’importante ciberminaccia.

Nel presente progetto di ordinanza non è necessario disciplinare nel dettaglio la gestione delle minacce alla sicurezza delle informazioni, perché la LSIn e la OSIn prevedono già le pertinenti basi giuridiche per affrontare tali minacce. Come per la LPD, anche in questo caso si fa riferimento al diritto vigente. Ciò significa che le normative vigenti nelle pertinenti leggi sono già sufficienti per garantire un trattamento sicuro dei rischi per la sicurezza delle informazioni.

6.2 Protezione dei dati

Le disposizioni del diritto in materia di protezione dei dati (LPD e relative ordinanze) si applicano a tutti. Le persone fisiche, gli emittenti e i verificatori del settore privato sono sottoposti alle disposizioni per i privati; la Confederazione (fedpol e altre autorità) nonché gli emittenti e i verificatori del settore pubblico sottostanno alle disposizioni per gli organi federali. Nel presente progetto di ordinanza non si rimanda alle pertinenti disposizioni della LPD per evitare ripetizioni e non complicare l’interpretazione. La LIdE precisa già come viene messa in atto la protezione dei dati nell’ambito dell’e-ID. Le disposizioni d’esecuzione concretizzano il contesto istituito nella LIdE per il trattamento, la conservazione e la cancellazione di dati.

L’UFIT mette a disposizione del pubblico un registro di base che permette ai verificatori di assicurarsi che i mezzi di autenticazione non siano stati modificati successivamente e che provengono dall’emittente iscritto nel registro di base. Quest’ultimo contiene le chiavi crittografiche richieste per verificare l’autenticità e l’integrità dei mezzi di autenticazione, gli identificativi degli emittenti e dei verificatori nonché dati relativi alla revoca di tali mezzi. I dati concernenti la revoca dei mezzi di autenticazione elettronici non consentono di risalire né all’identità del titolare né al contenuto del mezzo di autenticazione elettronico.

I dati richiesti per l’iscrizione nel registro di base sono frutto di un’autodichiarazione. Le modifiche apportate al registro sono salvate quotidianamente e conservate per dieci anni. In occasione della consultazione del registro vengono generati dati, segnatamente indirizzi IP, che possono essere conservati al massimo 90 giorni per garantire la sicurezza e assicurare la manutenzione dell’infrastruttura. Il salvataggio di dati al momento della presentazione e della verifica dei mezzi di autenticazione elettronici richiede il consenso del titolare, che può essere revocato in qualsiasi momento. Tutti gli altri dati sono distrutti 90 giorni dopo la loro registrazione nel sistema.

L’UFIT mette a disposizione un registro di fiducia pubblicamente accessibile che contiene informazioni verificate sull’identità di emittenti e verificatori allo scopo di garantire un utilizzo sicuro dei mezzi di autenticazione elettronici. L’iscrizione nel registro viene effettuata soltanto su richiesta e previo consenso esplicito della persona interessata. Tra gli altri dati verificati possono esserci informazioni del registro di commercio o attestati. Durante il processo vengono rilevati altri dati personali, come dati di contatto delle persone con diritto di firma, che però non sono pubblicamente accessibili.