Nella LPD è presente una figura che ha il compito di vigilare e dirigere il rispetto della nuova normativa svizzera. Questa figura è rappresentata dall’Incaricato Federale per la protezione dei dati e della trasparenza, conosciuto anche come IFPDT. Nel dettaglio i compiti che gli spettano.
La Legge Federale sulla protezione dei dati (LPD), così come anche il GDPR, prevede espressamente la presenza di un organo che sorvegli e presidi il rispetto della normativa in materia di protezione dei dati personali da parte di soggetti privati e pubblici.
Interessante, per tutti gli operatori economici e le organizzazioni, è capire quali siano i poteri degli organi deputati al controllo.
Nella LPD, l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) equivale all’Autorità di controllo di cui al GDPR che ha però, tra i suoi poteri, a differenza dell’IFPDT, quello di infliggere una sanzione amministrativa pecuniaria sulla base di quanto previsto dal GDPR stesso.
Quali sono i compiti dell’IFPDT nell’ambito della protezione dei dati?
L’IFPDT vigila sull’applicazione delle disposizioni federali sulla protezione dei dati. Vi sono, come espressamente previsto all’interno della LPD, dei soggetti che non sono sottoposti alla vigilanza dell’organo federale. In particole:
- l’Assemblea federale;
- il Consiglio federale;
- i tribunali della Confederazione;
- il Ministero pubblico della Confederazione con riferimento al trattamento di dati personali nell’ambito di procedimenti penali;
- le autorità federali nell’ambito dello svolgimento della loro attività giurisdizionale o di procedure di assistenza giudiziaria internazionale in materia penale.
Tale carica, istituita primariamente allo scopo di consigliare e sorvegliare privati e organi federali per quanto attiene all’osservanza della LPD, contribuisce altresì a sensibilizzare e a informare su aspetti relativi alla protezione dei dati i soggetti che trattano dati personali ma anche le persone i cui dati sono sottoposti a trattamento (dunque le persone interessate).
L’attività di supporto e consiglio effettuata dall’IFPDT si esplica anche attraverso la consultazione dell’organo federale da parte dei soggetti che effettuano trattamenti di dati personali, nello specifico ma non in via esclusiva, nei seguenti casi:
- il titolare del trattamento chiede previamente il parere dell’IFPDT se dalla valutazione di impatto sulla protezione dei dati emerge che, nonostante i provvedimenti previsti dal titolare, il trattamento previsto comporta un rischio elevato per la personalità o i diritti fondamentali della persona interessata;
- il titolare del trattamento notifica all’IFPDT le violazioni della sicurezza dei dati che comportino un rischio elevato per la personalità o i diritti fondamentali della persona interessata.
Quali sono le modalità con cui l’IFPDT esercita l’attività di controllo e sorveglianza?
L’IFPDT può, di propria iniziativa o in seguito a comunicazioni di terzi, procedere alla chiarificazione approfondita di fatti verificatisi e, successivamente, emanare raccomandazioni nei confronti di imprese o persone che con le loro elaborazioni di dati hanno leso la personalità di un gran numero di persone.
Tali raccomandazioni possono anche essere sottoposte, dall’Incaricato federale, al Tribunale amministrativo federale (TAF) che dovrà decidere (con decisione giuridicamente vincolante) se vi sia stata effettivamente una lesione della personalità.
In particolare l’IFPDT può:
- aprire, d’ufficio o su denuncia, un’inchiesta nei confronti di un organo federale o di un privato se indizi sufficienti lasciano presumere che un trattamento di dati potrebbe violare le disposizioni sulla protezione dei dati;
- ordinare (nell’ambito di un’inchiesta), se l’organo federale o il privato non ottempera all’obbligo di collaborare:
- l’accesso alle informazioni, ai documenti, ai registri delle attività di tratta-mento e ai dati personali necessari per l’inchiesta;
- l’accesso ai locali e agli impianti;
- l’interrogatorio di testimoni;
- perizie di esperti.
- ordinare di adeguare, sospendere o cessare del tutto o in parte il trattamento nonché di cancellare o distruggere del tutto o in parte i dati personali, se sono state violate le disposizioni sulla protezione dei dati;
- sospendere o vietare la comunicazione di dati personali all’estero se questa è contraria alle condizioni degli articoli della LPD oppure alle disposizioni di altre leggi federali riguardanti la comunicazione di dati personali all’estero;
- disporre che l’organo federale o il privato:
- adempia all’obbligo di fornire informazioni;
- adotti i provvedimenti di cui agli articoli 7 e 8;
- informi le persone interessate conformemente agli articoli 19 e 21;
- proceda a una valutazione d’impatto sulla protezione dei dati;
- lo consulti conformemente all’articolo 23;
- lo informi o, se del caso, informi la persona interessata, conformemente all’articolo 24;
- fornisca alla persona interessata le informazioni di cui all’articolo 25.
- designi un rappresentante.
Competenza per il perseguimento e il giudizio dei reati
La LPD prevede che la competenza per il perseguimento e il giudizio dei reati competa ai Cantoni. L’IFPDT può sporgere denuncia presso l’autorità di perseguimento penale competente.
Articolo a cura di Roberta De Giusti | Data Protection Consultant, Privacy Desk Suisse
