Rapporto esplicativo

dominio dalle minacce informatiche. A tale scopo, la legge tiene conto dell’importanza crescente di misure di sicurezza coordinate nel settore delle telecomunicazioni e crea una base giuridica per uno scambio di informazioni strutturato, nonché valutazioni co- muni della situazione. La disposizione consente una collaborazione più stretta fra attori statali e organizzazioni private specializzate, rafforzando così la resilienza dell’infra- struttura DNS. È fondamentale che possa avvenire uno scambio di informazioni con altri enti attivi nella lotta ai rischi informatici. Solo in questo modo è possibile garantire una tutela efficace dell’infrastruttura DNS e degli utenti.

Il concetto di organi privati e pubblici ingloba attori la cui attività comprende, del tutto o in parte, la lotta alla criminalità informatica. L’attività dev’essere adeguata, di qualità elevata e generalmente riconosciuta.

Cpv. 3

Il capoverso 3 abilita il Consiglio federale a stabilire i criteri in base ai quali organi pub- blici e privati vengono riconosciuti come competenti in materia di sicurezza informatica. Con tali organi avviene uno scambio di informazioni e una collaborazione. Questi pre- supposti in materia di riconoscimento servono a garantire la qualità e a creare un qua- dro unitario e trasparente per l’adempimento dei compiti da parte degli enti coinvolti. Assicurano inoltre che soltanto attori adeguati sotto il profilo della specializzazione e dell’organizzazione partecipino allo scambio di informazioni rilevanti sotto il profilo della sicurezza.

Art. 30a Elaborazione dei dati, nonché assistenza amministrativa e giudiziaria

Il nuovo articolo 30a crea da un lato una base giuridica per la protezione dei dati nel campo dell’elaborazione dei dati legata al riconoscimento, all’analisi e alla gestione delle minacce informatiche nel settore degli elementi d’indirizzo, in particolare per quanto concerne la sicurezza e il funzionamento dell’infrastruttura DNS (cfr. art. 28d lett. a). D’altro canto, viene così anche sancita nella legge una base per la collabora- zione con gli enti specializzati nella sfera della sicurezza informatica (cfr. art. 28e lett. c). La disposizione sostituisce quella vigente, notevolmente più succinta, la quale rimanda unicamente all’applicabilità dell’articolo 13a e 13b, e contribuisce così a tenere conto della grande importanza acquisita dalla sicurezza informatica nel campo delle telecomunicazioni.

Va rilevato che la maggior parte delle analisi e delle profilazioni condotte per proteggere dalle minacce informatiche non riguarda di regola i dati personali ai sensi della LPD e, pertanto, non comprende dati personali degni di particolare protezione. Si fondano so- prattutto su dati tecnici che non fanno riferimento a una determinata persona, come ad esempio dati di infrastrutture di telecomunicazione, caratteristiche di malware o moda- lità operative tipiche degli attacchi informatici. Inoltre, numerosi dati riguardano casi in cui un’identificazione di unità che agiscono nel web di fatto non è possibile, o non è necessaria ai fini della protezione degli utenti e delle infrastrutture DNS. Infine, spesso si tratta di dati che denotano un legame con una persona giuridica, ad esempio fabbri- canti di impianti o infrastrutture di telecomunicazione.

Cpv. 1

L’articolo 30a capoverso 1 consente all’UFCOM e agli enti incaricati ai sensi dell’arti- colo 28a di effettuare profilazioni per adempiere compiti previsti per legge e, all’occor- renza, trattare dati personali degni di particolare protezione. Tali compiti derivano