AS 2025 694
Ordinanza sulla protezione dei dati (OPDa)
Preambolo
Il Consiglio federale svizzero
ordina:
I
L’ordinanza del 31 agosto 20221 sulla protezione dei dati è modificata come segue:
Art. 4 cpv. 1, 2, 2bis e 31 Se dati personali degni di particolare protezione sono trattati automaticamente su grande scala o se si esegue una profilazione a rischio elevato e i provvedimenti preventivi possono non garantire la protezione dei dati, il titolare privato del trattamento e il suo responsabile privato del trattamento verbalizzano almeno la registrazione, modificazione, comunicazione, cancellazione e distruzione dei dati nonché l’accesso ai dati. In particolare, la verbalizzazione deve avere luogo quando non è possibile stabilire a posteriori se i dati sono stati trattati ai fini per i quali sono stati raccolti o comunicati.2 Nel caso di trattamento automatizzato di dati personali degni di particolare protezione, di esecuzione di profilazioni e di trattamento automatizzato di dati che rientrano nel campo d’applicazione della direttiva (UE) 2016/6802, l’organo federale titolare del trattamento e il suo responsabile del trattamento verbalizzano almeno la registrazione, modificazione, comunicazione, cancellazione e distruzione dei dati nonché l’accesso ai dati. Nel caso di altri trattamenti automatizzati di dati valutano dapprima il rischio per i diritti fondamentali delle persone interessate. Su tale base e tenuto conto dello stato della tecnica e delle spese di implementazione stabiliscono se e in quale misura verbalizzare le succitate operazioni. Per la valutazione del rischio, tengono conto in particolare del tipo di dati trattati nonché dello scopo, del tipo, della portata e delle circostanze del trattamento. 2bis La verifica della verbalizzazione secondo il capoverso 2 ha luogo per scritto. Il risultato e il contenuto della verifica sono comunicati, su richiesta, all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT).3 Nel caso di dati personali accessibili in modo generalizzato, nei casi di cui ai capoversi 1 e 2 primo periodo sono verbalizzate almeno la registrazione, modificazione, cancellazione e distruzione dei dati.
Art. 8 cpv. 33 L’IFPDT viene consultato al momento di ogni valutazione. Possono essere presi in considerazione i pareri di organismi internazionali o autorità estere competenti per la protezione dei dati.
Art. 37a Conclusione e modifica di dichiarazioni d’intentiL’IFPDT presenta annualmente rapporto al Consiglio federale sulle dichiarazioni d’intenti concluse o modificate che riguardano la sua collaborazione con autorità estere in materia di protezione dei dati.
Art. 46 cpv. 11 Per i trattamenti automatizzati di dati personali pianificati o iniziati prima dell’entrata in vigore della modifica del 29 ottobre 2025, la verifica della verbalizzazione di cui all’articolo 4 capoverso 2 deve aver luogo entro il 31 dicembre 2026. Se risulta necessaria, la verbalizzazione deve essere implementata entro il 31 dicembre 2029. Sono fatti salvi il trattamento automatizzato di dati personali degni di particolare protezione, l’esecuzione di profilazioni e i trattamenti automatizzati di dati che rientrano nel campo d’applicazione della direttiva (UE) 2016/6803.
II
L’ordinanza del 16 dicembre 20094 sui sistemi d’informazione militari e su altri sistemi d’informazione nel DDPS è modificata come segue:
Art. 2c cpv. 1 lett. a n. 3 e 41 In caso di trattamento automatizzato di dati in un sistema d’informazione secondo la LSIM o la presente ordinanza, l’unità amministrativa della Confederazione responsabile della protezione dei dati e i responsabili del trattamento da questa impiegati verbalizzano:a. i seguenti tipi di trattamento:3. l’accesso, qualora i dati non siano accessibili in modo generalizzato,4. la comunicazione, qualora i dati non siano accessibili in modo generalizzato,
III
La presente ordinanza entra in vigore il 1° dicembre 2025.
29 ottobre 2025 | In nome del Consiglio federale svizzero: La presidente della Confederazione, Karin Keller-Sutter |