Rapporto del Consiglio federale concernente la valutazione della legge federale sulla protezione dei dati del 9 dicembre 2011

Onorevoli presidenti e consiglieri, vi sottoponiamo il presente rapporto concernente la valutazione della legge federale sulla protezione dei dati invitandovi a prenderne atto.

Gradite, onorevoli presidenti e consiglieri, l'espressione della nostra alta considerazione.

9 dicembre 2011

In nome del Consiglio federale svizzero: La presidente della Confederazione, Micheline Calmy-Rey La cancelliera della Confederazione, Corina Casanova

2011-1952

227

Compendio La legge federale sulla protezione dei dati, in vigore da quasi vent'anni, è stata sottoposta per la prima volta a un'ampia valutazione. Nel presente rapporto il Consiglio federale presenta i risultati di questa valutazione e definisce l'ulteriore modo di procedere.

Lo scopo della valutazione era di esaminare vari aspetti della legge federale sulla protezione dei dati in termini di efficacia. Sono stati oggetto della verifica principalmente il grado di notorietà della legge, i meccanismi di applicazione e la posizione dell'Incaricato federale della protezione dei dati e della trasparenza (IFPDT).

Dalla valutazione è emerso che la legge federale sulla protezione dei dati ha un effetto protettivo sensibile nell'ambito delle sfide già presenti al momento della sua entrata in vigore. I risultati della verifica indicano tuttavia che, da alcuni anni, aumentano i rischi per la protezione dei dati in seguito al progresso registrato dalle nuove tecnologie e dalla società. Lo sviluppo tecnologico costituisce una sfida per la legge federale sulla protezione dei dati, poiché ne conseguono trattamenti di dati più numerosi, poco trasparenti e viepiù transfrontalieri. È inoltre sempre più difficile mantenere il controllo sui dati già comunicati. La maggior parte degli addetti al trattamento dei dati, siano essi pubblici o privati, è sensibilizzata in una certa misura alla protezione dei dati e rispetta in modo pragmatico le disposizioni della legge federale sulla protezione dei dati. Per i cittadini la protezione dei loro dati personali è importante. Tuttavia gli interessati non si proteggono sempre in maniera coerente, a tratti non si sentono all'altezza della situazione o sottovalutano potenzialità e rischi del trattamento di dati. Benché l'istituzione della figura dell'IFPDT si sia rivelata efficace per potenziare l'effetto protettivo della legge federale sulla protezione dei dati, la sua efficacia mostra i propri limiti sotto molti aspetti. I diritti che si possono far valere hanno per contro un effetto piuttosto limitato, poiché poco sfruttati dai diretti interessati.

Alla luce dei risultati della valutazione, il Consiglio federale ritiene che occorra ponderare in quale misura e in che modo adeguare la legislazione in materia di protezione dei dati al fine di tenere conto dei rapidi sviluppi
tecnologici e sociali.

Tenendo conto dei risultati della valutazione e degli sviluppi in atto in materia di protezione dei dati nell'Unione europea e nel Consiglio d'Europa, il Consiglio federale esaminerà quindi in modo approfondito le misure legislative da adottare.

Per quanto riguarda l'applicazione della legge, l'IFPDT appura come perfezionare la documentazione delle proprie attività; intende inoltre rendere più sostanzioso il suo rapporto di attività.

Dopo l'avvio dei lavori di valutazione sono stati trasmessi al Consiglio federale il postulato Hodgers dell'8 giugno 2010 (10.3383 «Adeguare la legge sulla protezione dei dati alle nuove tecnologie») e il postulato Graber del 14 settembre 2010 (10.3651 «Attacchi alla sfera privata e minacce indirette alle libertà individuali»). Il presente rapporto adempie già in parte le richieste avanzate in tali postulati.

228

Rapporto 1

Situazione iniziale

1.1

Legge federale sulla protezione dei dati

La legge federale del 19 giugno 1992 sulla protezione dei dati (LPD; RS 235.1) disciplina il trattamento di dati di persone fisiche o giuridiche da parte di persone private e organi federali. In linea di principio, il trattamento di dati da parte di organi cantonali non è oggetto della LPD (fatto salvo l'art. 37 LPD), ma è disciplinato da normative cantonali.

La LPD è stata creata perché il rischio di lesioni della personalità è considerevolmente aumentato in seguito all'uso delle nuove tecnologie dell'informazione e della comunicazione in quasi tutti gli aspetti della vita e all'enorme intensificazione del trattamento e della diffusione dei dati personali in seno alla società, all'economia e allo Stato. La LPD serve a proteggere la personalità delle persone i cui dati sono oggetto di trattamento (art. 1) e quindi ad assicurare il diritto fondamentale all'autodeterminazione in materia di informazione (art. 13 cpv. 2 Costituzione federale, Cost.; RS 101). Nel suo messaggio del 23 marzo 19881 concernente la legge federale sulla protezione dei dati, il Consiglio federale formulava tre obiettivi principali della legge: 1. proteggere la vita privata e familiare dalle ingerenze; 2. proteggere in particolar modo le informazioni sull'esercizio di diritti costituzionali; 3. impedire che il singolo divenga semplice oggetto d'informazione; l'individuo deve piuttosto poter contribuire a determinare l'immagine e le conoscenze che l'ambiente circostante si fa di lui. La parte generale della LPD illustra i principi direttori del trattamento di dati, validi sia per gli organi federali sia per i privati che trattano dati.

Prevede inoltre disposizioni specifiche per il trattamento di dati da parte di privati (a complemento e concretizzazione della protezione della personalità ai sensi del Codice civile; RS 210) e disposizioni specifiche per il trattamento di dati da parte degli organi federali. Al carattere generale della LPD corrisponde un approccio neutro a livello tecnologico. La legge contiene essenzialmente principi direttori, applicabili a qualsiasi trattamento di dati personali. Questi principi sono concretizzati nella legislazione speciale per ogni settore specifico2.

Dalla sua entrata in vigore, il 1° luglio 1993, la LPD è stata sottoposta a varie revisioni parziali. Le più importanti sono entrate in
vigore il 1° gennaio 2008 e il 1° dicembre 2010. La revisione del 1° dicembre 2010 verteva sull'attuazione della decisione quadro 2008/977/GAI dell'Unione europea (UE) del 27 novembre 20083 sulla protezione dei dati personali trattati nell'ambito della cooperazione giudiziaria e di polizia in materia penale. La revisione del 1° gennaio 2008, invece, era imperniata sul miglioramento dell'informazione delle persone i cui dati sono oggetto di trattamento, sulla definizione di uno standard di protezione minimo per il trattamento di dati da parte di organi cantonali in esecuzione del diritto federale e sulla trasposizione nel diritto svizzero dei principi del Protocollo aggiuntivo dell'8 novem1 2

3

FF 1988 II 353 357 Ad es. nella legge federale del 20.6.2003 sul sistema d'informazione per il settore degli stranieri e dell'asilo (LSISA; RS 142.51) e nella legge federale del 13.6.2008 sui sistemi d'informazione di polizia della Confederazione (LSIP; RS 361).

GU L 350 del 30.12.2008, pag. 60.

229

bre 20014 alla Convenzione per la protezione delle persone in relazione all'elaborazione automatica dei dati a carattere personale concernente le autorità di controllo e i flussi internazionali di dati.

1.2

Oggetto e organizzazione della valutazione

Considerati l'elevato numero di interessati, il rapido sviluppo delle nuove tecnologie, le raccomandazioni degli esperti dell'UE nel quadro dell'associazione a Schengen e l'articolo 170 della Costituzione federale (Cost.), l'Ufficio federale di giustizia (UFG) ha deciso di sottoporre la LPD a una valutazione.

Lo scopo della valutazione era di esaminare vari aspetti della LPD in termini di efficacia. Le disposizioni introdotte con le riforme della LPD del 1° gennaio 2008 e del 1° dicembre 2010 non sono state oggetto di verifica, perché non è stato possibile maturare sufficienti esperienze al riguardo.

Considerato il vasto campo d'applicazione della LPD e le limitate risorse umane e finanziarie a disposizione, è stato necessario limitare la valutazione a determinati aspetti parziali della legge. La valutazione si è incentrata soprattutto sul grado di notorietà della legge e sui meccanismi di applicazione. In tale contesto l'attenzione si è focalizzata primariamente sull'efficacia delle procedure e dei diritti costituiti dalla LPD e quindi sulla loro idoneità ad assicurare la protezione della personalità e dei diritti fondamentali. In secondo luogo, è stata valutata l'importanza dell'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) per la protezione della personalità e dei diritti fondamentali degli interessati, in particolare in termini di posizione istituzionale, indipendenza, organizzazione ed efficacia. La valutazione si è svolta sullo sfondo degli sviluppi tecnologici e sociali intervenuti dall'entrata in vigore della LPD e delle nuove sfide per la protezione dei dati che ne derivano. La valutazione è in sintonia con gli obiettivi stabiliti dal Consiglio federale nel quadro della sua Strategia del gennaio 20065 per una società dell'informazione in Svizzera.

La responsabilità primaria per la valutazione è stata attribuita all'UFG, sostenuto da un gruppo di lavoro composto di rappresentanti di tutte le cerchie interessate6 e incaricato di acquisire le conoscenze specialistiche e tenere conto degli interessi dei vari gruppi di persone interessate dalla legge, di promuovere il consenso attorno ai lavori garantendone la qualità, di partecipare all'elaborazione del piano di valutazio-

4 5

6

230

RS 0.235.11 Nel quadro della Strategia del Consiglio federale per una società dell'informazione in Svizzera, il Consiglio federale ha stabilito, tra l'altro, che compete alla Confederazione emanare una legislazione sulla protezione dei dati efficace e proporzionata definendo, ad esempio, strumenti che promuovano una giustificata fiducia nelle tecnologie dell'informazione e della comunicazione e nel loro utilizzo. La strategia del Consiglio federale risalente al 2006 è consultabile all'indirizzo: www.bakom.admin.ch > Temi > Società dell'informazione > Strategia del Consiglio federale.

Il gruppo di lavoro era composto dei seguenti membri: Martin Hilti (presidente, UFG), Werner Bussmann (UFG), Rolf Reinhard (Segreteria generale DFGP), Jean-Philippe Walter (sost. IFPDT), Nadja Braun (Cancelleria federale), Ulysse Tscherrig (Cancelleria federale), Jacques Vifian (Ufficio federale del consumo), Thomas Pletscher (economiesuisse), Jacques Beglinger (Verein Unternehmensdatenschutz ), Bruno Baeriswyl (incaricato della protezione dei dati del Cantone di Zurigo, presidente di «Privatim» ­ gli incaricati cantonali della protezione dei dati), il professor Bertil Cottier (Università della Svizzera italiana) e l'avvocato Sébastien Fanti.

ne e dell'elenco degli obblighi, di scegliere i periti esterni e di esprimersi in merito ai loro rapporti (intermedio e finale) e alla bozza del presente rapporto.

1.3

Postulati Hodgers e Graber

Dopo l'avvio dei lavori di valutazione della LPD sono stati trasmessi al Consiglio federale il postulato Hodgers dell'8 giugno 2010 (10.3383 «Adeguare la legge sulla protezione dei dati alle nuove tecnologie») e il postulato Graber del 14 settembre 2010 (10.3651 «Attacchi alla sfera privata e minacce indirette alle libertà individuali»). Il postulato Hodgers incaricava il Consiglio federale di verificare la possibilità di rafforzare il diritto alla protezione dei dati e alla vita privata modificando la LPD per adeguarla alle nuove tecnologie.

Il postulato Graber, facendo valere, da un lato, l'avanzata delle tecnologie di sorveglianza e di raccolta delle informazioni e, dall'altro, l'aumento di disposizioni legali che aumentano la trasparenza in tutti gli ambiti della vita, incaricava il Consiglio federale di stilare un rapporto in cui illustrare: a.

la valutazione dei rischi che questi due fenomeni comportano per la sfera privata;

b.

i limiti che intende imporre loro per tutelare la sfera privata;

c.

l'opportunità di definire un nocciolo duro inviolabile e intangibile della sfera privata che oltrepassi quanto disposto nell'articolo 38 capoverso 4 della Costituzione federale;

d.

l'opportunità di rafforzare la legislazione a tutela della sfera privata e dei dati personali.

Il presente rapporto adempie in parte le richieste dei postulati.

2

Mandato di valutazione e modo di procedere

L'UFG ha elaborato, in stretta collaborazione con il gruppo di lavoro, un metodo di valutazione e un elenco degli obblighi per procedere agli effettivi lavori di rilevamento. Nella primavera 2010, dopo un attento esame delle svariate proposte progettuali da parte del gruppo di lavoro, l'UFG ha incaricato un gruppo interdisciplinare di ricercatori dell'esecuzione della valutazione. Del gruppo facevano parte il Büro Vatter SA di Berna (Christian Bolliger, direzione del progetto, e Marius Féraud), l'Istituto di diritto europeo dell'Università di Friburgo (prof. Astrid Epiney e Julia Hänni) e DemoSCOPE SA (Eva Tschurenev).

Per rispondere alle domande previste dall'elenco degli obblighi, il gruppo di ricercatori ha condotto 28 interviste semi-strutturate con esperti di diritto e di tecnologia, rappresentanti di interessi, responsabili della protezione dei dati e rappresentanti dell'IFPDT. Sono inoltre stati analizzati e interpretati dati statistici, documenti di lavoro e pubblicazioni dell'IFPDT. Svariati campi di attività dell'IFPDT sono stati esaminati in modo approfondito studiando dieci casi specifici. È stato condotto un sondaggio rappresentativo su 1014 persone per conoscere le opinioni, le nozioni e il comportamento della popolazione in materia di protezione dei dati. La giurisprudenza vertente sui diritti degli interessati è stata analizzata in base a 269 sentenze di 231

autorità giudiziarie cantonali e nazionali. Nella valutazione è inoltre confluito il confronto effettuato dall'Istituto svizzero di diritto comparato (ISDC) tra le legislazioni in materia di protezione dei dati in dieci Paesi7.

I lavori, durati da maggio 2010 a febbraio 2011, si sono conclusi con il rapporto finale del 10 marzo 20118, sul quale si fonda il presente rapporto.

3

Risultati della valutazione

3.1

Contesto della legge sulla protezione dei dati: tecnologia, addetti al trattamento, interessati

La valutazione evidenzia che il progresso tecnologico intervenuto dall'entrata in vigore della LPD nel 1993 costituisce una sfida per la protezione dei dati, perché ha moltiplicato la quantità d'informazioni, il numero di apparecchi e di applicazioni che producono dati e le possibilità di rilevare, registrare e valutare tali informazioni.

Consapevolmente o meno, le persone lasciano dietro di sé tracce nei più disparati ambiti della loro vita, soprattutto in Internet. I trattamenti di dati assumono inoltre un carattere viepiù internazionale. Questi sviluppi richiedono un impegno particolare da parte degli interessati, degli addetti al trattamento dei dati e dell'IFPDT, perché ne possono conseguire situazioni complesse e poco trasparenti: il numero di interessati aumenta, lo scopo e il contesto dei trattamenti di dati si moltiplicano, i dati sono in parte trattati da sistemi tecnici, i trattamenti hanno un carattere transfrontaliero e i loro effetti non sono facilmente prevedibili. Per gli interessati diventa quindi sempre più difficile mantenere la visione d'insieme sui dati personali trattati da terzi. Anche la funzione di vigilanza dell'IFPDT si complica alla luce dei trattamenti di dati sempre più numerosi, poco trasparenti e a carattere internazionale.

È ben vero che gli sviluppi tecnici hanno dato origine anche a tecnologie favorevoli alla protezione dei dati, ma la loro diffusione non tiene il passo con l'aumento dei trattamenti di dati. Va tuttavia ribadito che, accanto a queste nuove situazioni poco trasparenti, continuano a esistere trattamenti di dati più o meno trasparenti e facilmente riconducibili al responsabile e che anche il loro numero è aumentato.

La grande maggioranza degli addetti al trattamento dei dati pubblici e privati è in qualche modo sensibilizzata alla protezione dei dati e applica le disposizioni della LPD, anche se in modo pragmatico. Il motivo alla base di tale approccio potrebbe risiedere nel fatto che il rischio d'incorrere in una sanzione è relativamente ridotto.

Nel contempo è emerso che l'atteggiamento positivo nei confronti della protezione dei dati potrebbe essere dettato soprattutto dalla volontà di evitare un danno all'immagine (per i privati) o una perdita di fiducia (per gli organi federali). Nel caso del trattamento dei dati da parte di organi federali
vi sono inoltre due elementi supplementari che favoriscono ulteriormente la protezione dei dati, vale a dire l'esigenza di una base legale e la conseguente trasparenza del processo decisionale.

7

8

232

La perizia di diritto comparato del 19.9.2010 è consultabile all'indirizzo: http://www.bj.admin.ch > Temi > Stato & Cittadino > Valutazione > Ufficio federale di giustizia: valutazione (il documento non è disponibile in italiano).

Il rapporto finale è consultabile all'indirizzo: http://www.bj.admin.ch > Temi > Stato & Cittadino > Valutazione > Ufficio federale di giustizia: valutazione (il documento non è disponibile in italiano).

Le evidenze empiriche consentono di trarre la conclusione che gli interessati desiderano sì proteggere la loro personalità, ma che nel farlo sono a tratti negligenti e non si sentono all'altezza della situazione. Dal sondaggio condotto sulla popolazione emerge che la maggior parte dei cittadini vuole approfittare delle nuove possibilità di scambio delle informazioni. Nello stesso tempo ritiene importante proteggere i propri dati personali, anche nelle nuove e complicate situazioni riscontrabili in Internet. Tuttavia, gli interessati non si proteggono sempre in maniera coerente, non si sentono all'altezza o sottovalutano opportunità e rischi insiti nel trattamento dei dati. La frequente generosità nel rivelare dati personali potrebbe anche essere riconducibile al fatto che gli interessati reputano vago e improbabile il rischio di abuso e delle sue conseguenze, perlomeno rispetto all'utilità immediata dell'offerta.

3.2

Grado di notorietà della legge sulla protezione dei dati e diritti di applicazione

Dall'analisi della giurisprudenza emerge che raramente gli interessati adiscono le vie legali, seppur con qualche differenza a seconda del diritto soggettivo. L'applicazione di nuove tecnologie non è praticamente mai oggetto di controversie giudiziarie. Il diritto di accesso di cui all'articolo 8 LPD (nel caso di trattamento da parte di organi federali) è quello fatto valere più spesso. Questo vale soprattutto nei casi in cui gli interessati sono stati particolarmente sensibilizzati in materia in occasione di una procedura precedente. I trattamenti di dati da parte degli organi federali sono oggetto di alcune sentenze di tribunali superiori (art. 25 LPD). Tuttavia, la maggior parte delle istanze mirano alla rettifica di dati (apparentemente) inesatti in pochi ambiti settoriali. Nella misura in cui si tratti di stabilire il carattere lecito o illecito di un trattamento, di norma il dibattito verte sull'esistenza di una base legale sufficiente.

La valutazione evidenzia che i diritti di applicazione in materia di protezione dei dati secondo l'articolo 15 LPD sono fatti valere raramente nei confronti di privati che trattano dati, e che in questo caso hanno un impatto soltanto in combinazione con l'articolo 28 del Codice civile.

Il fatto che i diritti di applicazione in materia di protezione dei dati siano invocati raramente è forse riconducibile in primo luogo al presumibile scarso grado di notorietà di tali diritti e delle vie legali e alle limitate conoscenze riguardo alla loro applicazione. In secondo luogo, gli interessati non sono motivati a sobbarcarsi l'onere relativamente importante di intentare un'azione quando l'utilità che ne possono ricavare qualora fosse accolta è vaga e incerta. A seconda della situazione, le vie legali possono anche comportare rischi specifici per gli interessati (ad es.

timore di essere licenziati).

3.3

IFPDT

Secondo la valutazione, l'IFPDT adempie il suo mandato legale e, nei margini delle sue possibilità, dà prova di notevole efficacia. I limiti esterni alla sua efficacia, difficili da influenzare, sono in parte stabiliti dalla legge e dalla politica, in parte determinati dall'aumento dei trattamenti di dati poco trasparenti e transfrontalieri. In base ai documenti disponibili, la ponderazione sistematica delle attività dell'IFPDT e dei loro effetti è tuttavia possibile soltanto in misura limitata. Finora la documen233

tazione delle sue attività è stata incompleta e in parte poco trasparente verso l'esterno.

L'IFPDT esercita la sua funzione in maniera indipendente, senza ricevere istruzioni da alcuna autorità (art. 26 cpv. 3 LPD). Nella prassi la sua indipendenza non è contestata. Nel quadro della revisione più recente (le ultime modifiche sono entrate in vigore il 1.12.2010) è stata leggermente rafforzata la sua indipendenza formale dal Governo e dall'Amministrazione. Ora, infatti, la sua nomina sottostà all'approvazione dell'Assemblea federale. Secondo gli intervistati, finora non sono mai emersi dubbi circa l'indipendenza dell'IFPDT nei confronti di addetti privati o statali al trattamento dei dati.

Sebbene la sua attività sia ampiamente determinata da richieste e comunicazioni, l'IFPDT si adopera comunque nella misura del possibile per orientarla agli obiettivi prefissati. L'ordine di priorità delle pratiche nel quotidiano è stabilito in base a criteri decisionali chiari e desumibili dalla LPD. L'IFPDT ripartisce le risorse in modo abbastanza equilibrato sui tre settori di attività principali: vigilanza, consulenza e informazione, ovvero sensibilizzazione.

L'attività di sorveglianza dell'IFPDT si rivela efficace nei casi specifici. Accertando i fatti, l'IFPDT può assicurare trattamenti di dati conformi alla LPD. Tali accertamenti evidenziano perlopiù problemi di lieve entità, che gli addetti al trattamento risolvono volontariamente. La maggior parte delle raccomandazioni che l'IFPDT formula in presenza di lacune più gravi sono applicate, sia direttamente sia in via giudiziaria. La vigilanza palesa i suoi limiti nel caso di trattamenti non trasparenti o effettuati all'estero, perché è più difficile individuare gli abusi e risalire agli addetti al trattamento dei dati. Un'ulteriore sfida per l'IFPDT è l'aumento generale del numero di trattamenti di dati. Infine, l'effetto dissuasivo della sua vigilanza non è assicurato: se, nel quadro di un accertamento, l'IFPDT costata lacune presso un addetto al trattamento dei dati, la mancanza di risorse oggi lo induce a non effettuare controlli a campione su altri trattamenti simili. Pertanto, l'effetto preventivo si avrà piuttosto laddove l'abuso suscita l'interesse pubblico generando un effetto di sensibilizzazione. Questi limiti posti all'efficacia dell'IFPDT riducono
il rischio che gli addetti al trattamento dei dati vengano puniti per aver violato la LPD.

Anche l'attività di consulenza e d'informazione dell'IFPDT si rivela efficace nei casi specifici. Gli addetti al trattamento dei dati giudicano generalmente utile, vicina alla realtà e costruttiva la consulenza fornita dall'IFPDT nel caso specifico e su richiesta ­ fatta qualche eccezione per gli organi federali. La maggior parte degli addetti al trattamento dei dati e degli esperti ha qualificato da buona a molto buona la qualità delle pubblicazioni dell'IFPDT, le quali godono di una certa notorietà anche in qualità di «soft law». I numerosi consigli, soprattutto all'indirizzo degli interessati, vertono spesso su tematiche che esulano dalla vigilanza; l'IFPDT incoraggia l'autoprotezione. Il suo duplice ruolo di organo di vigilanza e di consulenza fa sì che parte degli addetti al trattamento dei dati evita di avvalersi della sua consulenza, il che potrebbe limitare la sua efficacia quale consulente.

Sebbene il sito dell'IFPDT sia ben visitato, non si può nel complesso affermare che le offerte d'informazione producano effetti di sensibilizzazione importanti e diretti.

La presenza dell'IFPDT nei media è buona, ma non riesce sempre a suscitare l'interesse dei giornalisti per tutte le tematiche. Stando ad alcune indicazioni vi sarebbero svariate collezioni di dati soggette all'obbligo di registrazione non iscritte nel registro. Vari regolamenti sul trattamento, inoltre, non sarebbero disponibili o 234

presenterebbero lacune, ragion per cui questi strumenti potrebbero non avere l'impatto auspicato (più trasparenza per la popolazione, sensibilizzazione degli addetti). Per quanto riguarda i progetti di legge, l'IFPDT si esprime con fermezza quando rileva problemi specifici alla protezione dei dati. Le sue proposte di adeguamento confluiscono in misura variabile nella formazione delle opinioni politiche.

3.4

Bilancio generale

I risultati della valutazione possono essere classificati in base ai seguenti criteri di riferimento.

1.

Aspettative originariamente poste alla LPD al momento della sua entrata in vigore: la valutazione mostra che la LPD sortisce un effetto di sensibilizzazione e di protezione. Nel complesso, la LPD ha indubbiamente una certa efficacia. Le aspettative poste alla LPD in origine, per quanto ancora individuabili, sono state soddisfatte, perlomeno in parte.9 Al contempo va ribadito che la moltitudine di dati e il progresso tecnologico tendono a stemperare l'effetto protettivo degli attuali strumenti della legge. L'istituzionalizzazione dell'IFPDT si rivela tuttavia uno strumento sostanzialmente adatto per rendere più efficace la LPD, sebbene le sue potenzialità mostrino i propri limiti sotto diversi aspetti. Per contro, i diritti di applicazione esplicano soltanto un debole effetto di protezione della personalità per le persone i cui dati sono trattati.

2.

Aspettative degli interessati e degli addetti al trattamento dei dati: l'impostazione della LPD riflette l'atteggiamento di base della popolazione e degli addetti. I cittadini vogliono prendere parte alla società dell'informazione e, nello stesso tempo, confidare che un organo indipendente li tuteli dall'uso improprio dei dati. Quindi, mentre da un lato la popolazione si aspetta che l'IFPDT eserciti la sua funzione di sorveglianza, gli addetti al trattamento dei dati si attendono da lui primariamente un sostegno tecnico nell'applicare le disposizioni legali.

3.

La LPD nel diritto comparato: dal raffronto internazionale emerge che i diritti di applicazione sanciti dalla LPD sono abbastanza estesi, mentre non si può affermare lo stesso per le competenze dell'IFPDT.

In generale, si può affermare che la LPD ha un notevole effetto protettivo in riferimento alle sfide esistenti all'epoca della sua entrata in vigore nel 1993. Dalla valutazione emerge tuttavia anche che, da alcuni anni, i rischi per la protezione dei dati tendono ad accentuarsi verosimilmente a causa della crescente portata delle sfide, in particolare in seguito al progresso tecnologico e sociale.

3.5

Possibilità d'intervento

Fondandosi sull'esito della valutazione sulle attività dell'IFPDT, il gruppo di ricercatori ha formulato raccomandazioni pratiche all'indirizzo dell'IFPDT, soprattutto riguardo alla documentazione delle sue attività.

9

Per quanto riguarda gli obiettivi principali della LPD cfr. n. 1.1.

235

Senza pretese di completezza e senza esame approfondito, i ricercatori abbozzano alcune possibilità d'intervento ad ampio raggio, soltanto in parte fondate sull'esito della valutazione e in gran parte ispirate agli attuali impegni di riforma su scala europea nel settore della protezione dei dati. Le possibilità d'intervento mirano innanzitutto a rafforzare la posizione degli interessati nelle controversie con gli addetti al trattamento dei dati, estendendo ad esempio l'obbligo per i privati di informare sulla raccolta e il trattamento di dati e introducendo lo strumento dell'azione legale collettiva. I ricercatori raccomandano inoltre di potenziare le competenze dell'IFPDT in materia di sorveglianza, estendendo ad esempio la sua facoltà di infliggere sanzioni, le sue attribuzioni in materia di raccolta di dati e le sue risorse. Per quanto riguarda le sfide poste dalle nuove tecnologie, i ricercatori considerano le seguenti misure: incentivare il principio dell'«opt-in»10, esaminare le definizioni legali dei concetti di «dati personali» e di «dati personali degni di particolare protezione», rafforzare il principio della «privacy by design»11, introducendo ad esempio un controllo preliminare obbligatorio per i nuovi trattamenti di dati, come già previsto dalla direttiva 95/46/CE del Parlamento europeo e del Consiglio del 24 ottobre 199512 relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati. L'attuazione della maggior parte di queste misure più esaustive richiederebbe la revisione della LPD. I ricercatori raccomandano quindi di tenere conto, nelle relative riflessioni sulla revisione, del contenuto e delle scadenze degli sviluppi di riforma in corso nell'UE e nel Consiglio d'Europa.

4

Stato dei lavori di riforma nell'UE e nel Consiglio d'Europa

Quanto ai lavori di riforma nell'UE e nel Consiglio d'Europa, nel novembre 2010 la Commissione europea ha approvato, dopo una prima consultazione pubblica e un'audizione delle parti interessate, la comunicazione «Un approccio globale alla protezione dei dati personali nell'Unione europea»13. In febbraio e luglio 2011 il Consiglio dell'UE e il Parlamento europeo hanno approvato le proposte commissionali14, in base alle quali la Commissione europea elaborerà, entro l'inizio del 2012, un atto legislativo. Gli obiettivi principali della riforma sono il pieno impegno a favore di un approccio globale alla protezione dei dati nell'UE, il rafforzamento dei 10

11

12 13

14

236

Il principio dell'«opt-in» prevede che, in riferimento ai dati messi a disposizione dell'utente, (soprattutto) le applicazioni Internet siano impostate in modo tale da garantirne un utilizzo limitato e che ogni trattamento supplementare vada espressamente autorizzato dall'utente.

Secondo il principio della «privacy by design», gli eventuali problemi che insorgono nel quadro di una strategia globale sono individuati ed esaminati già in fase di progettazione di una nuova tecnologia. S'intende così impedire che i problemi legati alla protezione dei dati possano essere risolti soltanto successivamente, a mezzo di programmi di correzione.

GU L 281 del 23.11.1995, pag. 31; v. l'art. 20 della direttiva 95/46/CE.

Comunicazione della Commissione del 4.11.2010 al Parlamento europeo al Consiglio, al Comitato economico e sociale e al Comitato delle regioni intitolata «Un approccio globale alla protezione dei dati personali nell'Unione europea», COM (2010) 609 definitivo.

Cfr. le conclusioni del Consiglio dell'UE «Giustizia e affari interni» del 24 e 25.2.2011 (consultabili all'indirizzo seguente: www.consilium.europa.eu/uedocs/cms_data/docs/pressdata/en/jha/119461.pdf) Cfr. la risoluzione del Parlamento europeo del 6.7.2011 su un approccio globale alla protezione dei dati personali nell'Unione europea, P7_TA-PROV(2011)0323.

diritti degli interessati, la migliore applicazione delle disposizioni in materia di protezione dei dati e il potenziamento delle dimensioni «mercato interno» e «globale» della protezione dei dati. In questo modo s'intendono rafforzare i principi della trasparenza, della minimizzazione dei dati, della limitazione delle finalità e del consenso preliminare esplicito dato con cognizione di causa. Occorre inoltre estendere i diritti di accesso, di rettifica, di cancellazione o di blocco dei dati e specificare il diritto all'oblio. È altresì previsto di formulare definizioni e criteri solidi e concreti per attuare il principio «privacy by design», fondato sul principio della minimizzazione dei dati, di incoraggiare le iniziative di autoregolamentazione, di mettere a disposizione di persone particolarmente vulnerabili, in particolare i bambini, forme di protezione specifiche e di prevedere sanzioni severe e dissuasive nel caso di violazione dei dati. Infine, s'intende rafforzare e armonizzare lo status e i poteri delle autorità nazionali di protezione dei dati ed estendere l'applicazione delle norme generali di protezione dei dati ai settori della cooperazione di polizia e giudiziaria in materia penale.

Nel Consiglio d'Europa, il 10 marzo 2010 il Comitato dei Ministri ha approvato15 i lavori di revisione della Convenzione del 28 gennaio 198116 per la protezione delle persone in relazione all'elaborazione automatica dei dati a carattere personale (Convenzione 108). A tal fine, il Consiglio d'Europa ha condotto una consultazione pubblica all'inizio del 2011. Sulla scorta dei risultati, il comitato consultivo della Convenzione 108 prepara proposte che saranno sottoposte al Comitato dei Ministri entro la fine del 2012. I lavori sono coordinati con quelli in atto in seno all'UE per garantire la coerenza del quadro giuridico in materia di protezione dei dati. I lavori di revisione della Convenzione 108, in particolare il suo adeguamento agli sviluppi tecnologici e alla dimensione globale della protezione dei dati, hanno anche come obiettivo di rafforzare la protezione delle persone interessate. In questo contesto, la Convenzione potrebbe riprendere i principi della minimizzazione dei dati, della «privacy by design» e un obbligo di comunicare le violazioni della protezione dei dati. Si potrebbe altresì estendere
l'obbligo di informare degli addetti al trattamento dei dati e potenziare le sanzioni in caso di abuso di dati. Andrebbero riveduti il regime dei flussi transfrontalieri e le competenze delle autorità di protezione dei dati e del comitato consultivo.

5

Conclusioni e ulteriori passi

5.1

Valutazione generale

Dalla valutazione emerge che, in linea di principio, la LPD dà buoni risultati. Nei limiti delle sue possibilità, l'IFPDT protegge in maniera efficace le personalità delle persone i cui dati sono oggetto di trattamento e questo sia nell'ambito della sua attività di sorveglianza che in quella di consulenza e informazione. L'efficacia dei suoi strumenti è dimostrata, ad esempio, dagli accertamenti e dalle raccomandazioni

15

16

Cfr. la decisione del Comitato dei Ministri del Consiglio d'Europa del 10.3.2010 «Comité consultatif de la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (STE n° 108)».

RS 0.235.1

237

all'indirizzo di Google in merito alle riprese di strade pubblicate in Internet17. Il fatto che, secondo i risultati della valutazione, gli interessati vogliono tutelare la propria personalità, pur essendo a tratti negligenti e non all'altezza della situazione riguardo alle nuove possibilità di scambio delle informazioni, potrebbe in futuro accrescere ulteriormente l'importanza dell'IFPDT. Non va inoltre sottovalutata nemmeno l'importanza dei diritti di applicazione degli interessati, sebbene la valutazione evidenzi il raro ricorso alle vie legali. Per le persone interessate, i diritti di applicazione in materia di protezione dei dati potrebbero rappresentare uno strumento molto utile in determinate situazioni per rafforzare il loro diritto alla protezione dei dati.18 La valutazione ha inoltre confermato l'approccio tecnologico neutro e l'assetto pluridisciplinare della LPD.

Nonostante il notevole effetto protettivo della LPD, negli ultimi anni i rischi per la protezione dei dati si sono accentuati e questo principalmente a causa del rapido progresso tecnologico e sociale intervenuto dalla sua entrata in vigore di quasi vent'anni fa. Le nuove tecnologie hanno moltiplicato le possibilità di rilevare, collegare, inoltrare e valutare dati personali generando così anche nuovi rischi per la protezione dei dati. Si pensi ad esempio alle difficoltà di controllare le tracce di dati che le persone, più o meno consapevolmente, lasciano dietro di sé nei più disparati ambiti della vita. Pur implicando nuovi rischi per la protezione dei dati personali, l'evoluzione tecnologica ha tuttavia fatto lievitare anche l'uso delle tecnologie dell'informazione per scopi normalmente innocui legati alla vita quotidiana.

Alla luce di questi sviluppi, il Consiglio federale ritiene che occorra valutare in modo approfondito in quale misura sia data la necessità d'intervento e il tipo d'intervento da adottare. A suo parere la protezione dei dati va rafforzata, senza tuttavia mettere a repentaglio né l'utilizzo delle nuove tecnologie della comunicazione da parte della popolazione, dell'economia e della società né l'ulteriore progresso tecnologico. Alcune misure di protezione possono essere adottate nel quadro di una migliore esecuzione della LPD (cfr. n. 5.3); altre, invece, richiedono un adeguamento della LPD (cfr. n. 5.2).

5.2

Provvedimenti legislativi

5.2.1

Necessità di legiferare e ulteriori passi

Secondo il parere del Consiglio federale, la LPD deve essere adeguata agli sviluppi tecnologici e sociali che hanno conosciuto una rapida crescita sin dalla sua entrata in vigore. Sebbene i risultati della valutazione dimostrino che, sostanzialmente, la legge dà buoni risultati, è anche vero che in determinati ambiti non riesce più a garantire una sufficiente protezione della personalità. Ciò è riconducibile principalmente a quattro fenomeni: in primo luogo, il numero di trattamenti di dati è aumentato e con esso anche il potenziale di abuso; secondariamente, ai trattamenti chiara17

18

238

Dopo che Google aveva respinto la raccomandazione di gestire il suo servizio Street View in conformità alla legislazione in materia di protezione di dati, l'IFPDT ha portato il caso davanti al Tribunale amministrativo federale. Il Tribunale ha approvato le sue istanze in tutti i punti essenziali (cfr. la sentenza del Tribunale amministrativo federale del 30.3.2011 TAF A-7040/2009). Google ha portato il caso dinanzi al Tribunale federale, dov'è tuttora pendente.

Per quanto riguarda i casi concreti di ricorso ai diritti di applicazione in materia di protezione dei cfr. n. 3.2.

mente identificabili se ne sono aggiunti altri difficilmente riconoscibili sia dagli interessati sia dall'IFPDT; questi trattamenti poco trasparenti compromettono l'autoprotezione degli interessati e il controllo dell'organo di sorveglianza; in terzo luogo, soprattutto grazie a Internet aumenta anche il numero di addetti privati al trattamento di dati che effettuano operazioni transfrontaliere partendo dall'estero, sottraendosi in larga misura agli interessati e all'IFPDT; infine, nell'era Internet spesso non è possibile controllare i dati già comunicati; ne risultano relativizzati il cosiddetto diritto all'oblio e il diritto di rettifica. Per questo motivo e alla luce dei risultati della valutazione, il Consiglio federale esaminerà in modo approfondito le misure da adottare per contrastare questi nuovi rischi per la protezione dei dati.

Il Consiglio federale terrà altresì conto degli attuali lavori di revisione della corrispondente legislazione sulla protezione dei dati nell'UE e nel Consiglio d'Europa, i cui risultati saranno presumibilmente disponibili nel giro dei prossimi due a quattro anni. Per quanto riguarda il Consiglio d'Europa, va menzionata soprattutto la Convenzione 108, ratificata dalla Svizzera. Per quanto riguarda l'UE, invece, va ricordata in particolare la direttiva 95/46/CE. Proprio la revisione di tale direttiva potrebbe obbligare la Svizzera a trasporre rapidamente nel diritto nazionale le disposizioni modificate nel campo d'applicazione degli Accordi di associazione a Schengen/ Dublino. Il Consiglio federale condivide pertanto l'opinione dei ricercatori ritenendo necessario far confluire gli sviluppi dell'UE e del Consiglio d'Europa nelle considerazioni nazionali sui lavori di riforma.

5.2.2

Obiettivi dei lavori di revisione

Secondo il Consiglio federale, l'obiettivo principale della revisione della LPD consiste nell'adeguarla al progresso tecnologico e sociale avvenuto dalla sua entrata in vigore. Intende quindi porre l'accento delle riflessioni principalmente su quattro problematiche connesse al progresso tecnologico e sociale: 1. l'aumento del numero di trattamenti di dati; 2. la difficoltà degli interessati e dell'IFPDT nel riconoscere determinati trattamenti di dati; 3. il carattere viepiù internazionale dei trattamenti di dati; 4. l'accresciuta difficoltà nel controllare i dati già comunicati. Su questo sfondo, il Consiglio federale intende individuare misure che permettano di conseguire in particolare i seguenti obiettivi: ­

anticipare l'effetto della protezione dei dati. Nel quadro di un meccanismo globale, gli eventuali problemi legati alla protezione dei dati devono essere individuati ed esaminati, se possibile e ragionevole, già nella fase della progettazione di nuove tecnologie. Lo scopo è di evitare che detti problemi possano essere risolti soltanto in un secondo tempo mediante programmi di correzione (approfondimento del principio «privacy by design»). Vanno inoltre incoraggiate le tecnologie che favoriscono la protezione dei dati;

­

sensibilizzare maggiormente gli interessati ai rischi per la protezione della personalità derivanti dal progresso tecnologico;

­

migliorare la trasparenza del trattamenti di dati, in particolare nelle nuove situazioni complesse nelle quali i trattamenti non sono facilmente riconoscibili né dagli interessati né dall'IFPDT, senza tuttavia oberare gli interessati con un carico d'informazioni eccessivo;

239

­

rafforzare il controllo e il dominio dei dati già comunicati. I controllo e il dominio dei dati già comunicati rappresentano un aspetto importante. Occorre esaminare se conviene potenziare i meccanismi di sorveglianza dell'IFPDT o adeguare i diritti e la loro applicazione ai rapporti mutati in seguito alle nuove tecnologie, ad esempio incoraggiando le azioni collettive e specificando il diritto all'oblio;

­

proteggere i minori: va tenuto conto del fatto che i minori sono probabilmente meno consapevoli dei rischi e degli effetti insiti nel trattamento dei dati personali.

Il Consiglio federale integrerà nelle riflessioni anche le possibilità d'intervento non esaminate o esaminate soltanto marginalmente, tra cui ad esempio la ripartizione di competenze e compiti legislativi ed esecutivi tra la Confederazione e i Cantoni, in merito alla quale la letteratura scientifica presenta nuove considerazioni19. Il Consiglio federale esaminerà inoltre se e in quale misura occorre rafforzare ulteriormente l'indipendenza dell'IFPDT. Ritiene inoltre opportuno valutare l'eventualità di incoraggiare le iniziative di autoregolamentazione, ad esempio permettendo alle organizzazioni del settore di definire codici di condotta da sottoporre all'IFPDT per approvazione.

Gli obiettivi dei lavori di riforma sono ampiamente in sintonia con gli impegni di riforma nell'UE e nel Consiglio d'Europa20. All'atto di valutare possibili provvedimenti legislativi, il Consiglio federale terrà inoltre sempre conto del fatto che le misure in materia di protezione dei dati potrebbero scontrarsi con altri interessi. Per questo motivo, oltre alla protezione della personalità, approfondirà anche tutti gli altri interessi, in particolare quelli dell'economia, nonché il diritto alla libertà d'opinione e d'informazione e altri interessi di ordine pubblico e privato. Il Consiglio federale aveva specificato già nel quadro della sua Strategia del gennaio 200621 per una società dell'informazione in Svizzera che la legislazione sulla protezione dei dati deve essere efficace, ma anche proporzionata.

5.3

Estensione del rapporto dell'IFPDT

Nel suo rapporto finale del 10 marzo 201122, il gruppo di ricerca incaricato della valutazione propone di migliorare la documentazione dell'IFPDT. Quest'ultimo dichiara di difendere la trasparenza delle sue attività e di informare regolarmente l'Assemblea federale e il pubblico, nei limiti dell'articolo 30 LPD, sui propri accertamenti e raccomandazioni. Nel quadro dell'introduzione del nuovo sistema di

19

20 21 22

240

Cfr. Stephan C. Brunner, «Mit rostiger Flinte unterwegs in virtuellen Welten?, Leitgedanken zur künftigen Entwicklung des schweizerischen Datenschutzrechts», in: Jusletter 4.4.2011, n. marg. 23 seg.; Beat Rudin, «Ein Datenschutzgesetz ­ eine neue Aufsicht, Wege zur Verbesserung der Effizienz und Effektivität des Persönlichkeits- und Grundrechtsschutzes», in: digma, numero 1, marzo 2011, pag. 18 segg.

Per quanto riguarda lo stato dei lavori di riforma nell'UE e nel Consiglio d'Europa cfr. n. 4.

V. pag. 5 della Strategia del Consiglio federale per una società dell'informazione in Svizzera.

Cfr. il rapporto finale sulla valutazione della legge federale sulla protezione dei dati, pag. 216 seg. (questo documento non è disponibile in italiano).

amministrazione dei dati GEVER23 esaminerà tuttavia le possibilità di documentare meglio le sue attività nel senso delle raccomandazioni degli esperti. Il gruppo di ricercatori consiglia inoltre all'IFPDT d'integrare il rapporto d'attività inserendovi un bilancio delle attività svolte e dei successi raggiunti, tematizzando e analizzando le sfide e gli sviluppi più importanti nel campo della protezione dei dati. Anche a questo proposito l'IFPDT ritiene di tenere già ampiamente conto di tale raccomandazione, integrerà tuttavia di conseguenza il suo rapporto d'attività.

6

Adempimento parziale dei postulati Hodgers e Graber

Nel quadro della valutazione sono stati esaminati, tra l'altro, gli effetti delle nuove tecnologie sulla protezione dei dati. Dalla valutazione emerge che l'evoluzione tecnologica costituisce una sfida per la protezione della personalità e dei diritti fondamentali. Al numero 5 il Consiglio federale illustra in quale misura ritenga che quest'evoluzione abbia aumentato i rischi di violazione della sfera privata. Giunge alla conclusione che la LPD debba essere rivista per tenere conto dei nuovi rischi e indica l'ulteriore modo di procedere. Con il presente rapporto risponde pertanto alle domande a. e d. del postulato Graber del 14 settembre 2010 (10.3651 «Attacchi alla sfera privata e minacce indirette alle libertà individuali»).

La valutazione e il presente rapporto offrono inoltre una prima base per adeguare la LPD alle nuove tecnologie, come chiesto dal postulato Hodgers dell'8 giugno 2010 (10.3383 «Adeguare la legge sulla protezione dei dati alle nuove tecnologie») e dalla domanda b. del postulato Graber. Come già illustrato al numero 5, il Consiglio federale, tenuto conto dei risultati della valutazione, degli interessi che ostacolano la protezione dei dati e degli sviluppi nell'UE e nel Consiglio d'Europa, esaminerà ora in maniera approfondita le misure legali da adottare per adeguare la legge sulla protezione dei dati affinché possa far fronte ai nuovi rischi. Al numero 5.2.2. ha già indicato gli obiettivi cui a suo avviso devono ispirarsi i lavori di revisione.

Per quanto riguarda la domanda c. del postulato Graber, il Consiglio federale afferma che, secondo l'articolo 36 capoversi 1­3 Cost., è ammesso limitare i diritti fondamentali se ciò poggia su una base legale, se è giustificato da un interesse pubblico riconosciuto e se è proporzionato allo scopo. Secondo il capoverso 4 dello stesso articolo, i diritti fondamentali sono tuttavia intangibili nella loro essenza. Il riconoscimento di un'essenza intangibile implica che la ponderazione della proporzionalità ha un limite e che va evitata qualsiasi ulteriore restrizione, indipendentemente dall'interesse pubblico e dalla proporzionalità dello strumento d'intervento24.

Il contenuto di un'essenza intangibile non è tuttavia deducibile dall'articolo 36 capoverso 4 Cost., ma dall'analisi delle singole garanzie dei diritti fondamentali, fermo restando che oggi non è certo che tutti i diritti fondamentali abbiano

23

24

Il sistema di amministrazione dei dati GEVER della Confederazione si prefigge di modernizzare la tenuta degli atti e la gestione dell'informazione nell'Amministrazione federale.

Jörg Paul Müller, «Allgemeine Bemerkungen zu den Grundrechten», in: Daniel Thürer/Jean-François Aubert/Jörg Paul Müller, Verfassungsrecht der Schweiz, Zurigo 2001, pag. 643.

241

un'essenza intangibile25. Il diritto alla protezione dei dati è garantito a titolo di diritto fondamentale dall'articolo 13 capoverso 2 Cost. in quanto parte della protezione della sfera privata. Nonostante il suo tenore restrittivo, il capoverso 2 non offre soltanto protezione contro l'abuso dei dati, ma anche contro qualsiasi pregiudizio derivante dal trattamento statale dei dati personali26. La disposizione costituzionale stessa non sancisce alcuna garanzia essenziale. Finora nemmeno la dottrina e la giurisprudenza hanno definito l'essenza intangibile della garanzia di cui all'articolo 13 capoverso 2 Cost. Il Consiglio federale non ritiene opportuno sancire nella Costituzione l'essenza intangibile del diritto alla protezione dei dati. Come per gli altri diritti fondamentali, andrebbe piuttosto lasciato alla giurisprudenza il compito di determinare le restrizioni ammesse.

25 26

242

Giovanni Biaggini, Bundesverfassung der Schweizerischen Eidgenossenschaft, Zurigo 2007, pag. 264.

Cfr. DTF 128 II 259 268; Rainer J. Schweizer, art. 13, in: Die Schweizerische Bundesverfassung, Kommentar, a cura di: Bernhard Ehrenzeller et al., 2a ed., Zurigo/San Gallo 2008, pag. 324 seg.