Rapporto esplicativo

dall’articolo 28d lettera a (garantire la sicurezza e la disponibilità dell’infrastruttura DNS), nonché dall’articolo 28e lettera c (misure contro l’uso di nomi di dominio che sia illecito o contrario all’ordine pubblico e collaborazione con i servizi privati o pubblici specializzati nel settore della sicurezza informatica). Con gli incaricati di cui all’arti- colo 28a si intende in particolare Switch, in qualità di gestore del registro del dominio .ch che contribuisce in maniera essenziale a proteggere i nomi di dominio dalle minacce informatiche e, pertanto, deve poter trattare anche i dati personali necessari.

Ai sensi dell’articolo 34 capoverso 2 LPD, possono essere trattati dati personali degni di particolare protezione e profilazioni unicamente se esiste al riguardo una base legale esplicita. L’articolo 30a capoverso 1 crea tale base e consente all’UFCOM e agli inca- ricati ai sensi dell’articolo 28a di compiere anche analisi all’insaputa delle persone che ne sono oggetto ed elaborare dati biometrici nonché dati relativi a perseguimenti am- ministrativi e penali, a condizione che ciò sia necessario per proteggere dalle minacce informatiche.

Sebbene i dati utilizzati in tale contesto non siano sempre degni di particolare prote- zione, la loro analisi algoritmica o il loro incrocio con altre informazioni – ad esempio volte a stabilire l’identità del detentore di un nome di dominio – possono già costituire una forma di profilazione. Inoltre, in determinate circostanze può essere necessario elaborare dati degni di particolare protezione al fine di garantire in maniera efficace la resilienza delle infrastrutture DNS e la protezione dalle minacce informatiche. Ad esem- pio, i precedenti penali rilevanti possono fornire indicazioni preziose per l’identificazione dei profili di rischio. L’accesso a tali informazioni contribuisce in maniera notevole a riconoscere e localizzare minacce rappresentate da attacchi di «Distributed‑De- nial‑of‑Service» (DDoS), phishing o la diffusione di malware. In singoli casi può essere necessaria anche l’identificazione biometrica sempre più usata in rete, allo scopo di attribuire determinate azioni a una persona specifica o stabilire un uso illecito di nomi di dominio che può essere segno di attività di criminalità informatica.

La lotta alla criminalità informatica perpetrata tramite nomi di dominio è un buon esem- pio di elaborazione dei dati personali ai sensi del capoverso in questione. Sulla base dell’articolo 28e lettera c, l’articolo 25 capoverso 1^bis-1^quaterODIn consente ad esempio al gestore del registro .ch, in caso di sospetto uso o scopo illecito, di non attivare un nome di dominio, in quanto l’attivazione che consente l’uso effettivo del nome di domi- nio avviene a seguito di una nuova procedura di identificazione del titolare entro 30 giorni. Tale processo di delega differita dei nomi di dominio (Deferred Delegation) si basa su un algoritmo di valutazione (scoring) del gestore del registro, il quale verifica i dati di registrazione e valuta se la persona che presenta la richiesta ha fornito informa- zioni corrette in merito alla propria identità. Dati statistici e storici del gestore del regi- stro, informazioni di Computer Emergency Response Teams (CERT) e terzi che parte- cipano alla lotta contro la criminalità informatica, nonché lavori scientifici fungono da base per l’analisi, al fine di formulare una previsione fondata sull’utilizzo futuro di un nome di dominio.

In questo contesto, e per lottare in modo efficiente contro le crescenti minacce nel campo della sicurezza informatica, tale base giuridica permette alle autorità competenti di usare in maniera mirata e proporzionata tecnologie avanzate, inclusa l’intelligenza artificiale. Ciò consente in particolare un’analisi automatizzata dei comportamenti digi- tali laddove vi è il sospetto di attività abusive o perseguibili, allo scopo di riconoscere, prevenire e contrastare gli attacchi compiuti nello spazio digitale mediante nomi di do- minio.