Legge federale sul trattamento di dati personali da parte del Dipartimento federale degli affari esteri

Dipartimento federale degli affari esteri DFAE Direzione delle risorse DR Protezione dei dati, trasparenza e sicurezza dell’informazione DFAE

12 maggio 2017

Rapporto esplicativo concernente l’avamprogetto di legge federale sul trattamento di dati personali da parte del Dipartimento federale degli affari esteri (DFAE)

1.5.2 Revisione degli articoli 27 e seguenti della legge federale del 24 marzo 2000 sul 1.5.3 Revisione della legge federale del 24 marzo 2006 sulla cooperazione con gli Stati 2.2.2.6 Esperti impiegati per la promozione della pace, il rafforzamento dei diritti umani e l’aiuto

2.3.1 Abrogazione della legge federale del 24 marzo 2000 sul trattamento di dati personali in 2.3.2 Legge federale del 19 dicembre 2003 su misure di promozione civile della pace e di 2.3.3 Legge federale del 27 settembre 2013 sulle prestazioni di sicurezza private fornite 2.3.4 Legge federale del 19 marzo 1976 su la cooperazione allo sviluppo e l’aiuto umanitario 2.3.5 Legge federale del 30 settembre 2016 sulla cooperazione con gli Stati dell’Europa dell’Est 3.2 Ripercussioni per i Cantoni e i Comuni, per le città, gli agglomerati e le regioni di

Compendio Secondo la legge federale del 19 giugno 1992 sulla protezione dei dati (LPD) , ogni trattamento di dati personali degni di particolare protezione o di profili della personalità da parte di organi federali deve essere previsto espressamente in una legge formale. Lo stesso principio si applica anche quando tali dati sono resi accessibili mediante una procedura di richiamo.

Il 9 dicembre 2011 il Consiglio federale ha deciso di incaricare il Dipartimento federale degli affari esteri (DFAE) di elaborare una modifica della legge federale del 24 marzo 2000 sul trattamento di dati personali in seno al Dipartimento federale degli affari esteri (legge) , allo scopo di creare la base legale per trattare dati personali relativi alla salute degli Svizzeri all’estero e dei cittadini svizzeri che soggiornano all’estero. Il DFAE tratta infatti dati medici, che fanno parte dei dati personali relativi alla salute, di questa categoria di persone nell’ambito dell’assistenza che fornisce all’estero (prestazioni consolari, protezione consolare ecc.).

Nel corso della riflessione seguita alla decisione del Consiglio federale del 9 dicembre 2011 è emerso rapidamente che gli altri obiettivi della legge sono raggiunti solo parzialmente, in particolare a causa degli sviluppi organizzativi interni, tecnologici e sociali intervenuti negli ultimi anni nonché delle nuove sfide in termini di protezione dei dati. Per garantire che ogni trattamento di dati personali degni di particolare protezione o di profili della personalità effettuato in seno al DFAE si fondi su una base legale formale occorre adeguare la legislazione alla situazione attuale.

Il presente avamprogetto di legge federale sul trattamento di dati personali da parte del DFAE (avamprogetto di LTDP-DFAE) non mira a modificare le attività del DFAE, ma ad aggiornare, tenendo conto di quanto appreso dall’entrata in vigore della legge il 1° settembre 2000, la base legale per i trattamenti di dati effettuati dal DFAE per adempiere i compiti assegnatigli dalla legislazione vigente (legge federale del 26 settembre 2014 concernente persone e istituzioni svizzere all’estero [legge sugli Svizzeri all’estero, LSEst] , legge federale del 22 giugno 2007 sui privilegi, le immunità e le facilitazioni, nonché sugli aiuti finanziari accordati dalla Svizzera quale Stato ospite [legge sullo Stato 4 5 ospite, LSO] , legge federale del 24 marzo 2006 sulla cooperazione con gli Stati dell’Europa dell’Est ecc.).

L’avamprogetto di LTDP-DFAE si prefigge inoltre di evitare, nei limiti del possibile, di dover modificare la legge ogni volta che interviene un nuovo sviluppo tecnologico, segnatamente a causa dei rapidi sviluppi dei progetti informatici. I dettagli del trattamento saranno disciplinati nelle disposizioni esecutive, in modo da semplificare notevolmente la procedura legislativa.

Lo scopo dell’avamprogetto di LTDP-DFAE è di fare della legge uno strumento legislativo moderno, che risponda ai bisogni attuali e permetta, nei limiti del possibile, di reagire ai progressi tecnici.

1 Presentazione del progetto

1.1 Requisiti della legge federale sulla protezione dei dati

La legge federale del 19 giugno 1992 sulla protezione dei dati (LPD) , entrata in vigore il 1° luglio 1993, mira a proteggere la personalità e i diritti fondamentali delle persone i cui dati sono oggetto di trattamento e in particolare il diritto all’autodeterminazione informativa. La legge si applica anche al trattamento di dati da parte di organi federali, indipendentemente dalle modalità di trattamento o dalla natura dei dati trattati. In generale, la LPD stabilisce che la raccolta di dati personali deve essere lecita e il loro trattamento deve essere conforme ai principi della buona fede e della proporzionalità, che i dati personali devono essere esatti e che gli organi federali hanno il diritto di trattare dati personali solo se esiste una base legale. La LPD prevede requisiti più severi se il trattamento concerne dati personali degni di particolare protezione ai sensi dell’art. 3 lett. c LPD o profili della personalità. Secondo l’art. 17 cpv. 2 LPD, tali dati possono infatti essere trattati soltanto se lo prevede esplicitamente una legge in senso formale. In via eccezionale, è possibile derogare a questa regola se ciò è indispensabile per adempiere un compito chiaramente definito in una legge in senso formale (art. 17 cpv. 2 lett. a LPD), se il Consiglio federale lo autorizza nel caso specifico poiché non sono pregiudicati i diritti della persona interessata (art. 17 cpv. 2 lett. b LPD) o se la persona interessata, nel caso specifico, ha dato il suo consenso o ha reso i suoi dati accessibili a chiunque (art. 17 cpv. 2 lett. c LPD). Questi requisiti legali si applicano anche alla comunicazione dei dati: conformemente all’art. 19 cpv. 3 LPD, gli organi federali possono permettere l’accesso ai dati mediante una procedura di richiamo solo se ciò è previsto esplicitamente.

I requisiti della LPD derivano dal principio costituzionale secondo cui ogni grave restrizione dei diritti fondamentali deve essere autorizzata espressamente da una legge formale. Tra tali restrizioni rientra anche il trattamento di dati personali degni di particolare protezione o di profili della personalità, compresa la loro comunicazione mediante una procedura di richiamo.

1.2 Decisione del Consiglio federale del 9 dicembre 2011

Il 9 dicembre 2011 il Consiglio federale ha deciso di incaricare il Dipartimento federale degli affari esteri (DFAE) di elaborare una modifica della legge federale del 24 marzo 2000 sul trattamento di dati personali in seno al Dipartimento federale degli affari esteri (legge) , allo scopo di creare la base legale che lo autorizzi a trattare dati personali relativi alla salute degli Svizzeri all’estero e dei cittadini svizzeri che soggiornano all’estero. Il DFAE tratta dati medici, che fanno parte dei dati personali relativi alla salute, di queste categorie di persone nell’ambito dell’assistenza che fornisce all’estero (prestazioni consolari, protezione consolare ecc.).

La mancanza di una base legale che consenta il trattamento di questi dati personali degni di particolare protezione da parte del DFAE è emersa in occasione della consultazione degli uffici sfociata nell’adozione dell’ordinanza del 9 dicembre 2011 sul sistema d’informazione EDAssist+ . Tale sistema permette una cooperazione professionale e coordinata tra la Direzione consolare (DC) e le rappresentanze diplomatiche e consolari svizzere all’estero allo scopo di far fronte all’aumento dei casi di assistenza consolare e delle situazioni di crisi (terremoti, tsunami ecc.). L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) e l’Ufficio federale di giustizia (UFG) hanno rilevato la mancanza di una base legale formale che consentisse al DFAE di trattare dati relativi alla salute. È stato convenuto che tali dati sarebbero comunque stati trattati dal DFAE nel sistema d’informazione menzionato e che la base legale necessaria (riguardante sia il trattamento elettronico sia il trattamento fisico dei dati) sarebbe stata creata nell’ambito di una revisione della legge.

6 RS 235.1 7 RS 235.2 8 RS 235.24

1.3 Lavori preparatori e concezione

Tra il 2012 e il 2015 sono state passate al vaglio tutte le attività del DFAE allo scopo di identificare i settori di competenza che trattano dati personali. Sono stati effettuati colloqui con vari attori del DFAE in modo da non dimenticarne nessuno. Il risultato di questi lavori preparatori è documentato nella bozza per la revisione della legge federale del 24 marzo 2000 sul trattamento di dati personali in seno al Dipartimento federale degli affari esteri, datata 11 maggio 2016 e sottoposta al Capo del dipartimento con la raccomandazione di approvarne il contenuto e di decidere una revisione totale della legge.

1.4 Decisione del Capo del DFAE del 2 dicembre 2015

Nel corso della riflessione che ha preceduto e seguito la decisione del Consiglio federale del 9 dicembre 2011 è emerso rapidamente che gli altri obiettivi della legge sono raggiunti solo parzialmente, in particolare a causa degli sviluppi organizzativi interni, tecnologici e sociali intervenuti negli ultimi anni nonché delle nuove sfide in termini di protezione dei dati. Per garantire che ogni trattamento di dati personali degni di particolare protezione o di profili della personalità effettuato in seno al DFAE si fondi su una base legale formale occorre adeguare la legislazione alla situazione attuale. Per garantire l’unità della materia, tale adeguamento deve avvenire in modo centralizzato nella legge, sempre che altri interessi preponderanti non giustifichino il mantenimento di disposizioni sul trattamento dei dati in leggi speciali.

Il 2 dicembre 2015, il Capo del dipartimento ha confermato l’idea di una revisione totale della legge chiedendo di proporre al Consiglio federale l’avvio della procedura di consultazione entro la fine di giugno 2017.

La revisione parziale richiesta dalla decisione del 9 dicembre 2011 sarà pertanto attuata con la revisione totale.

1.5 Altri progetti dell’Amministrazione federale legati alla protezione dei dati

1.5.1 Revisione della legge federale del 19 giugno 1992 sulla protezione dei

dati Il 21 dicembre 2016, il Consiglio federale ha incaricato il Dipartimento federale di giustizia e polizia (DFGP) di organizzare una consultazione esterna sull’avamprogetto di revisione totale della legge federale sulla protezione dei dati. Il progetto, che dà seguito alla decisione del Consiglio federale del 1° aprile 2015 di incaricare il DFGP di elaborare un avamprogetto di revisione della legislazione federale sulla protezione dei dati tenendo conto in particolar modo delle riforme europee, comprende una revisione totale della LPD (avamprogetto di LPD) nonché una revisione parziale di una serie di leggi federali.

A tempo debito, ossia non appena la revisione della LPD sarà disponibile, il contenuto del presente avamprogetto di legge federale sul trattamento di dati personali da parte del DFAE (avamprogetto di LTDP-DFAE) o della LTDP-DFAE dovrà, a fini di coordinamento, tener conto dei risultati dell’avamprogetto di LPD e viceversa, allo scopo di accertarsi che le modifiche apportate nell’ambito della revisione della LPD siano recepite anche dalla futura LTDP-DFAE.

1.5.2 Revisione degli articoli 27 e seguenti della legge federale del 24 marzo

2000 sul personale federale

I trattamenti di dati personali degni di particolare protezione e di profili della personalità effettuati dal DFAE nell’ambito della gestione del personale assunto conformemente alla legge federale del 24

marzo 2000 sul personale federale (LPers) si fondano sugli art. 27 e seguenti LPers (rispettivamente sul progetto di art. 27 LPers previsto dal rapporto esplicativo del 5 giugno 2015 concernente l’avamprogetto della legge federale sull’istituto amministratore dei fondi di compensazione AVS, AI e IPG [Legge sui fondi di compensazione] [rapporto concernente la legge sui fondi di compensazione], n. 2.2.3, pag. 19-21). Tali trattamenti non devono quindi essere disciplinati in modo esaustivo in questa sede. L’avamprogetto di LTDP-DFAE deve tuttavia prevedere disposizioni complementari concernenti il trattamento di dati personali degni di particolare protezione relativi agli impiegati del DFAE che hanno un impiego all’estero con i quali è stato concluso un contratto di lavoro secondo la LPers. Il catalogo dei dati personali degni di particolare protezione previsto dalla LPers non è infatti sufficiente per questa categoria di persone.

1.5.3 Revisione della legge federale del 24 marzo 2006 sulla cooperazione con

gli Stati dell’Europa dell’Est Nell’ambito della revisione della legge federale del 24 marzo 2006 sulla cooperazione con gli Stati dell’Europa dell’Est , la disposizione relativa al trattamento di dati personali è stata riveduta. Il nuovo art. 15 , che dovrebbe entrare in vigore il 1° giugno 2017, si riferisce al trattamento dei dati personali del personale locale attivo in questo settore di competenza specifico. Tale disposizione è stata inserita nella legge federale del 24 marzo 2006 sulla cooperazione con gli Stati dell’Europa dell’Est su richiesta dell’UFG nell’ambito della consultazione degli uffici. Essendo prevista in una legge settoriale, mentre l’assunzione di impiegati locali va ben oltre questo settore di attività specifico, tale disposizione risulta insoddisfacente già al momento della sua entrata in vigore. Il DFAE deve infatti disporre di una base legale che gli permetta di trattare i dati di tutti i suoi impiegati. L’avamprogetto di LTDP-DFAE contiene una base legale generale, che risponde a tutte le esigenze, e prevede pertanto l’abrogazione del nuovo art. 15 della legge federale del 30 settembre 2016 sulla cooperazione con gli Stati dell’Europa dell’Est.

2. Le modifiche di legge

2.1 Osservazioni generali

L’idea di una legge centrale che disciplinasse, in linea di massima, tutti i trattamenti di dati personali degni di particolare protezione è emersa, d’intesa con l’IFPDT (all’epoca l’Incaricato federale della protezione dei dati, IFPD), nell’ambito dei lavori legati alle disposizioni transitorie dell’art. 38 cpv. 3 LPD, che prevedevano che le collezioni di dati esistenti prima dell’entrata in vigore della LPD, il 1° luglio 1993, contenenti dati personali degni di particolare protezione o profili della personalità, potessero continuare a essere utilizzate per cinque anni dopo l’entrata in vigore della LPD, ossia fino al 1° luglio 1998. A causa del grande ritardo accumulato nell’adattamento delle basi legali, il 26 giugno 1998 il termine è stato prorogato, mediante un decreto federale, fino al 31 dicembre 2000.

Alcuni dei compiti del DFAE che comportano il trattamento di dati personali degni di particolare protezione sono definiti chiaramente in basi legali formali idonee (la legge federale del 26 settembre 2014 concernente persone e istituzioni svizzere all’estero [legge sugli Svizzeri all’estero, LSEst] , la legge federale del 22 giugno 2007 sui privilegi, le immunità e le facilitazioni, nonché sugli aiuti finanziari accordati dalla Svizzera quale Stato ospite [legge sullo Stato ospite, LSO] , la legge federale del 23 settembre 1953 sulla navigazione marittima sotto bandiera svizzera ecc.). Altre attività non sono invece oggetto di una descrizione precisa in una legge formale: è il caso segnatamente degli obiettivi assegnati al DFAE nell’ordinanza del 20 aprile 2011 sull’organizzazione

9 RS 172.220.1 10 RS 974.1 11 FF 2016 2005 12 RS 195.1 13 RS 192.12 14 RS 747.30

del Dipartimento federale degli affari esteri (OOrg-DFAE) . Questa ordinanza prevede infatti che il DFAE si adoperi per garantire una presenza attiva della Svizzera nelle relazioni internazionali nonché il diritto di codecisione e una partecipazione attiva in seno alle organizzazioni e agli organismi internazionali importanti per la Svizzera. Per raggiungere questi obiettivi sono svolte attività che comportano un trattamento di dati personali degni di particolare protezione o di profili della personalità. Non è possibile prevedere questo tipo di trattamento a livello di ordinanza. Per motivi di trasparenza, leggibilità e unità è pertanto opportuno mantenere una legge che contempli la totalità dei trattamenti di dati personali degni di particolare protezione e di profili della personalità previsti in seno al dipartimento. A questi si aggiungono i trattamenti di dati personali degni di particolare protezione e di profili della personalità che devono essere disciplinati in una legge formale essendo svolti da un organo federale ai sensi dell’art. 3 let. h LPD, anche se l’attività interessata ha luogo all’estero conformemente al diritto locale. È il caso in particolar modo della gestione del personale locale del DFAE, assunto in base al diritto del lavoro locale del Paese ospite, ma per il quale il trattamento dei dati deve comunque essere previsto, secondo la LPD, in una base legale formale del diritto svizzero.

L’avamprogetto di LTDP-DFAE non mira a modificare le attività del DFAE, ma convalida, tenendo conto di quanto appreso dall’entrata in vigore della legge il 1° settembre 2000, i trattamenti di dati personali degni di particolare protezione svolti attualmente in seno al DFAE nell’ambito di compiti assegnatigli da basi legali esistenti. Oltre a fornire la base legale richiesta all’art. 17 cpv. 2 LPD, l’avamprogetto di LTDP-DFAE deve permettere di evitare una revisione legislativa ogni volta che interviene un cambiamento organizzativo interno e tecnico, in particolare nell’ambito dello sviluppo di progetti informatici. Il trattamento sarà precisato in dettaglio nelle disposizioni esecutive, in modo da semplificare notevolmente la procedura legislativa.

Benché l’avamprogetto di LTDP-DFAE comprenda, in linea di massima, la totalità dei trattamenti di dati personali degni di particolare protezione svolti in seno al DFAE, possono essere giustificate deroghe a tale centralizzazione. In tal caso, disposizioni speciali continueranno a disciplinare il trattamento di dati personali degni di particolare protezione in determinati settori, come ricorda l’art. 2 cpv. 2 dell’avamprogetto di LTDP-DFAE. È il caso della legge federale del 18 dicembre 2015 concernente il blocco e la restituzione dei valori patrimoniali di provenienza illecita di persone politicamente esposte all’estero (legge sui valori patrimoniali di provenienza illecita, LVP) . Agli art. 5 cpv. 3 e 23, la LVP contiene disposizioni concernenti il trattamento di dati. L’art. 5 cpv. 3 LVP sancisce un principio importante concernente i fondi dei potentati, ossia la pubblicazione nella Raccolta ufficiale delle leggi federali di una lista nominativa delle persone contro le quali è stato disposto un blocco, che può contenere dati personali degni di particolare protezione come l’appartenenza a un partito o l’esistenza di procedimenti o sanzioni amministrativi e penali. Si tratta di una caratteristica importante della prassi svizzera in materia che è opportuno mantenere nella LVP per motivi di trasparenza e di visibilità nei confronti delle persone interessate. Questa soluzione è compatibile con i requisiti dell’art. 4 cpv. 4 LPD, che stabilisce che la raccolta di dati e le finalità del trattamento devono essere riconoscibili da parte della persona interessata. Il mantenimento di questa disposizione nella LVP permette infine di evitare una frammentazione delle basi legali applicabili in materia di restituzione di fondi, giudicata non auspicabile nell’ambito dei lavori preparatori della LVP . Conformemente alla soluzione adottata per l’art. 5 cpv. 3 LVP non è trasferito nell’avamprogetto di LTDP-DFAE neanche l’art. 23 LVP, che crea una base legale formale per il trattamento di dati da parte delle autorità competenti della Confederazione e non solo in seno al DFAE.

Occorre infine precisare che i trattamenti di dati effettuati dal DFAE su mandato di altre autorità svizzere non rientrano nel campo d’applicazione dell’avamprogetto di LTDP-DFAE. Queste situazioni, in cui il DFAE agisce all’estero per conto di un’altra autorità, sono infatti disciplinate da basi legali idonee, che prevedono già il trattamento dei dati risultanti. È il caso per esempio del settore relativo ai documenti d’identità dei cittadini svizzeri, disciplinato dalla legge federale del 22 giugno 2001 sui documenti d’identità dei cittadini svizzeri (legge sui documenti d’identità, LDI) , nell’ambito della cui

15 RS 172.211.1 16 RS 196.1 Messaggio concernente la LVP, FF 2014 4568 seg. 18 RS 143.1

applicazione il DFAE è tenuto a trattare dati in qualità di autorità di rilascio ai sensi dell’art. 4 cpv. 2 LDI e dell’art. 6 cpv. 2 dell’ordinanza del 20 settembre 2002 sui documenti d’identità dei cittadini svizzeri (ordinanza sui documenti d’identità, ODI) . Lo stesso dicasi per i dati trattati nell’ambito del rilascio dei visti, disciplinato dalla legge federale del 16 dicembre 2005 sugli stranieri (LStr) , che precisa le attività affidate al DFAE (art. 6 cpv. 1 LStr). Ciò vale anche per i casi in cui il DFAE trasmette, su richiesta di autorità svizzere, domande di assistenza amministrativa all’estero.

2.2 Commenti all’avamprogetto di LTDP-DFAE

2.2.1 Disposizioni generali

2.2.1.1 Art. 1 Oggetto e campo d’applicazione

L’avamprogetto di LTDP-DFAE è la base legale necessaria, conformemente agli art. 17 cpv. 2 e 19 cpv. 3 LPD, per trattare dati personali degni di particolare protezione e profili della personalità nei settori di attività del DFAE.

Cpv. 1 L’art. 1 dell’avamprogetto disciplina il campo d’applicazione materiale.

Cpv. 2 L’applicazione di leggi speciali complementari contenenti disposizioni sul trattamento dei dati è giustificata nei casi in cui il principio di concentrazione del disciplinamento del trattamento dei dati nell’avamprogetto entri in contrasto con altri obiettivi perseguiti dalla LPD, e in particolare con gli obblighi nei confronti delle persone interessate (cfr. n. 2.1) o con altri interessi perseguiti dalla legislazione speciale. È il caso segnatamente delle disposizioni che permettono il trattamento e la comunicazione dei dati personali degni di particolare protezione nell’ambito dei fondi dei potentati (LVP).

Il fatto di fare espressamente salve le disposizioni speciali consente di evitare revisioni sistematiche dell’avamprogetto non appena risultasse giustificata una soluzione non centralizzata. Tale riserva evita anche difficoltà d’interpretazione con altri testi normativi non modificati (cfr. n. 2.3).

2.2.2 Campo d’applicazione personale

2.2.2.1 Persone all’estero

2.2.2.1.1 Art. 2 Scopo e persone Secondo l’art. 40 della Costituzione federale della Confederazione Svizzera del 18 aprile 1999 (Cost.) , la Confederazione promuove le relazioni degli Svizzeri all’estero tra di loro e con la Svizzera. Fondandosi su tale disposizione, l’Assemblea federale ha adottato la LSEst, che concretizza le funzioni consolari enumerate all’art. 5 della Convenzione di Vienna del 24 aprile 1963 sulle relazioni consolari (CVRC) e al tempo stesso disciplina le misure di assistenza, di messa in rete e di informazione degli Svizzeri all’estero, i loro diritti politici, l’aiuto sociale che può essere loro concesso nonché il sostegno a istituzioni specifiche.

19 RS 143.11 20 RS 142.20 21 RS 101 22 RS 0.191.02

Cpv. 1 In virtù della LSEst, il DFAE e le rappresentanze della Svizzera all’estero tengono un registro degli Svizzeri all’estero (titolo 2 capitolo 2 LSEst). La LSEst disciplina anche la protezione consolare e altri servizi consolari a favore delle persone all’estero (titolo 3 LSEst, applicabile agli Svizzeri all’estero, cfr. art. 39 cpv. 1 lett. a LSEst) come pure le prestazioni che derivano dalle misure di aiuto sociale accordate dalla Confederazione agli Svizzeri all’estero in stato d’indigenza (titolo 2 capitolo 4 LSEst).

Cpv. 2 In virtù della LSEst, il DFAE e le rappresentanze della Svizzera all’estero accordano ai cittadini svizzeri che soggiornano all’estero nonché alle persone e ai loro congiunti per i quali la Svizzera assume funzioni di protezione la stessa protezione consolare e le stesse prestazioni consolari che fornisce agli Svizzeri all’estero (art. 39 cpv. 1 lett. a e b LSEst e rapporto della Commissione delle istituzioni politiche del Consiglio degli Stati del 27 gennaio 2014 concernente l’iniziativa parlamentare 11.446 per una legge sugli Svizzeri all’estero [rapporto concernente la LSEst], pag. 1771, ad art. 82). La Svizzera tutela così gli interessi dei suoi cittadini in viaggio all’estero anche se non corrispondono alla definizione di Svizzeri all’estero. La Svizzera può anche tutelare gli interessi di uno Stato in un altro Stato, qualora questi due Stati abbiano interrotto le relazioni diplomatiche e consolari o se per altri motivi o per questioni di risorse lo Stato interessato affida alla Svizzera il compito di fornire ai propri cittadini servizi consolari commisurati alle esigenze. In generale, il Consiglio federale può assicurare la protezione di un cittadino straniero sulla base di un trattato internazionale, che lui stesso è abilitato a concludere. Se è stato stipulato in seguito alla rottura delle relazioni diplomatiche e consolari, il trattato può implicare un mandato di potenza protettrice. I mandati di potenza protettrice possono contemplare funzioni consolari e diplomatiche svolte da personale svizzero (tutela degli interessi degli Stati Uniti in Iran) oppure da personale messo a disposizione dallo Stato rappresentato dalla Svizzera (tutela reciproca degli interessi tra la Georgia e la Russia). L’esecuzione di simili mandati giova agli interessi di politica estera della Svizzera (rapporto concernente la LSEst, pag. 1756, ad art. 56).

2.2.2.1.2 Art. 3 Dati

Cpv. 1 Nell’ambito della protezione consolare e degli altri servizi consolari forniti dalla Svizzera, il DFAE offre un’assistenza generale all’estero, che comprende segnatamente gli aiuti prestati in caso di malattia e infortunio oppure gli aiuti prestati alle vittime di gravi crimini (art. 45 LSEst). Se una persona è privata della libertà all’estero, il DFAE si adopera in particolare per mettersi in contatto con la persona in questione oppure per visitarla e garantire che siano rispettati il diritto a condizioni di detenzione dignitose, le garanzie procedurali e il diritto alla difesa della persona interessata (art. 46 LSEst). Il DFAE è in grado di offrire prestazioni di aiuto sociale ai sensi del capitolo 4 LSEst nonché di concedere prestiti d’emergenza alle persone che ne hanno bisogno per finanziare il viaggio di ritorno, come aiuto transitorio o per pagare le spese ospedaliere e mediche (art. 47 LSEst). L’adempimento di questi compiti comporta il trattamento dei dati personali degni di particolare protezione enumerati nell’elenco esaustivo di cui all’art. 3.

Cpv. 2 Nell’ambito dell’attuazione della LSEst, il DFAE tiene il registro degli Svizzeri all’estero. Si tratta di un registro ufficiale di persone ai sensi dell’art. 2 cpv. 1 lett. d della legge federale del 23 giugno 2006 sull’armonizzazione dei registri degli abitanti e di altri registri ufficiali di persone (legge sull’armonizzazione dei registri, LArRa) . In virtù dell’art. 13 LArRa, il DFAE è pertanto autorizzato a trattare il numero d’assicurato di cui all’art. 50c della legge federale del 20 dicembre 1946 su l’assicurazione per la vecchiaia e per i superstiti (LAVS) .

23 RS 431.02 24 RS 831.10

2.2.2.1.3 Art. 4 Comunicazione dei dati Questo articolo permette al DFAE, nei casi specifici di cui alle lettere a e b, di ricorrere all’istituto del consenso presunto della persona interessata se non è possibile procedere a una consultazione ai sensi dell’art. 19 cpv. 1 lett. b LPD. Si tratta di un ritorno alla versione precedente dell’art. 19 cpv. 1 lett. b LPD, che, a seconda delle circostanze, permetteva di presumere un consenso alla trasmissione dei dati se la persona interessata non era in grado di pronunciarsi . Il consenso presunto è quindi previsto mediante una base legale speciale. Le restanti possibilità di comunicazione previste agli art. 6 e 19 LPD restano valide. L’art. 6 cpv. 2 lett. e LPD prevede infatti l’istituto del consenso presunto se la comunicazione all’estero è necessaria, nel caso specifico, per proteggere la vita o l’incolumità fisica della persona interessata. Siccome è necessaria una comunicazione a un attore svizzero, come la REGA, attualmente il ricorso a questo istituto non è più ammesso, il che rappresenta una disparità di trattamento a cui occorre porre rimedio. L’art. 4 permette quindi un’applicazione coerente dell’istituto del consenso presunto, in deroga all’art. 19 LPD.

Lett. a Nell’ambito delle misure da adottare in situazioni di crisi (catastrofi naturali, attentati, guerre ecc.; art. 48 LSEst), per permettere l’evacuazione degli Svizzeri all’estero che si trovano sul posto o per prestare loro soccorso, il DFAE è tenuto a trasmettere dati, compresi talvolta dati personali degni di particolare protezione, a terzi. Può trattarsi di autorità di Stati terzi per permettere agli Svizzeri all’estero e ai cittadini svizzeri che soggiornano all’estero di beneficiare di un volo di rimpatrio organizzato da uno Stato partner, ma anche di autorità di Stati terzi sul posto, di organizzazioni non governative, del CICR ecc. per permettere ricerche nel caso in cui la Svizzera non disponga delle risorse necessarie in loco. La trasmissione di dati a questi terzi è possibile unicamente a condizione che sia nell’interesse della persona interessata.

Lett. b Nell’ambito delle attività consolari, segnatamente in caso di ricovero di una persona con cui per ragioni mediche non è più possibile comunicare, il DFAE è autorizzato a prendere contatto con i congiunti della persona interessata, anche in Svizzera (cfr. commento alla lett. a sopra), come pure con le assicurazioni, comprese quelle svizzere, per esempio per chiarire la questione dell’assunzione dei costi.

2.2.2.2 Proprietari, armatori e marittimi di navi sotto bandiera svizzera

2.2.2.2.1 Art. 5 Scopo e persone Nell’ambito dell’applicazione della Convenzione del 23 febbraio 2006 sul lavoro marittimo e della legge federale sulla navigazione marittima sotto bandiera svizzera , il DFAE tratta dati personali degni di particolare protezione e profili della personalità ai sensi dell’art. 3 lett. c e d LPD. Il DFAE ha infatti il compito di garantire l’applicazione corretta delle disposizioni relative alla navigazione marittima sotto bandiera svizzera (art. 8). In questo contesto può, in qualsiasi momento, chiedere ai proprietari, agli armatori e ai capitani di navi sotto bandiera svizzera le informazioni necessarie all’esercizio delle sue funzioni ed eseguire ispezioni a bordo delle navi svizzere (art. 9 cpv. 3). Le disposizioni della legge menzionata riguardano la giurisdizione amministrativa, civile e penale (titolo I capo III), i mezzi finanziari (art. 24) e il contratto d’arruolamento (titolo III capo II). La legge stessa contiene disposizioni penali e disciplinari (titolo VIII).

2.2.2.2.2 Art. 6 Dati L’adempimento di questi compiti comporta il trattamento dei dati personali degni di particolare protezione e dei profili della personalità enumerati nell’elenco esaustivo di cui all’art. 6. Gli armatori stipulano un accordo quadro con la sezione svizzera del sindacato dei marittimi Nautilus

25 FF 2003 1885 26 RS 0.822.81

Internationals, affiliato all’Unione sindacale svizzera (USS), e conformemente al diritto di ricorso dei marittimi il DFAE deve prendere atto di tale accordo. La Convenzione menzionata al punto precedente mira inoltre a permettere di garantire il rispetto dei seguenti diritti fondamentali: la libertà di associazione e il riconoscimento effettivo del diritto di contrattazione collettiva, l’eliminazione di ogni forma di lavoro forzato o obbligatorio, l’effettiva abolizione del lavoro minorile e l’eliminazione delle discriminazioni nel campo del lavoro e dell’occupazione. In questo contesto, il DFAE funge da mediatore tra il marittimo e l’armatore. Il DFAE deve conoscere la salute dei marittimi per poter rilasciare le conferme (endorsement) dei certificati d’idoneità dei marittimi. Il DFAE deve inoltre prendere atto delle infrazioni per poter avviare procedimenti penali e/o amministrativi. I marittimi svizzeri che si trovano in stato di bisogno possono inoltre chiedere un aiuto finanziario per alleviare la propria situazione conformemente a quanto previsto dal regolamento del 16 dicembre 2002 concernente la destinazione delle multe versate all’Ufficio svizzero della navigazione marittima.

2.2.2.2.3 Art. 7 Comunicazione dei dati

Cpv. 1 Se sono commessi atti penalmente rilevanti a bordo di una nave sotto bandiera svizzera in alto mare, il DFAE trasmette il risultato delle indagini condotte dal capitano al ministero pubblico del Cantone di Basilea Città, come previsto dalla legge.

Cpv. 2 In caso di eventi imprevisti di una certa entità a bordo di navi commerciali, il Servizio d’inchiesta svizzero sulla sicurezza (SISI) del Dipartimento federale dell’ambiente, dei trasporti, dell’energia e delle comunicazioni (DATEC) conduce un’inchiesta. In caso di necessità, il DFAE è tenuto a trasmettere i documenti pertinenti in suo possesso e i relativi dati.

2.2.2.3 Impiegati del DFAE in servizio all’estero e loro congiunti

2.2.2.3.1 Art. 8 Scopo e persone I trattamenti di dati personali degni di particolare protezione effettuati in seno al DFAE nel settore della gestione del personale assunto in base della legge federale del 24 marzo 2000 sul personale federale (LPers) si fondano sugli art. 27 e seguenti LPers (rispettivamente sul progetto di art. 27 LPers previsto dal rapporto esplicativo del 5 giugno 2015 concernente l’avamprogetto della legge federale sull’istituto amministratore dei fondi di compensazione AVS, AI e IPG [legge sui fondi di compensazione] [rapporto concernente la legge sui fondi di compensazione] n. 2.2.3, pag. 19-21) e non devono essere disciplinati in modo esaustivo qui. L’avamprogetto di LTDP-DFAE deve tuttavia prevedere disposizioni complementari concernenti il trattamento di dati personali degni di particolare protezione degli impiegati del DFAE in servizio all’estero e con i quali è stato stipulato un contratto di lavoro secondo la LPers. Per questa categoria di persone il catalogo dei dati personali degni di particolare protezione previsto dalla LPers non è infatti sufficiente. Il DFAE deve essere in grado di valutare al meglio le possibilità di inviare i suoi impiegati all’estero. I motivi che spingono ad ampliare il catalogo dei dati personali degni di particolare protezione al di là di quanto previsto dalla LPers sono da un lato di natura securitaria, nell’interesse della persona interessata e dei suoi congiunti, e dall’altro utili per l’interesse pubblico della Confederazione in particolare per evitare crisi diplomatiche mediante un’occupazione adeguata del posto alla luce delle specificità locali del Paese ospite.

2.2.2.3.2 Art. 9 Dati L’adempimento dei compiti attribuiti al DFAE quale datore di lavoro comporta il trattamento dei dati personali degni di particolare protezione enumerati nell’elenco esaustivo di cui all’art. 9. Il DFAE deve trattare i dati sulle opinioni e le attività religiose degli impiegati in servizio all’estero e dei loro congiunti in modo da evitare di inviare determinati rappresentanti ufficiali della Svizzera in Stati terzi in cui sono 27 RS 172.220.1

in corso conflitti interreligiosi o la religione costituisce una questione che divide la popolazione. Bisogna evitare che la religione degli impiegati inviati in tali Paesi e le pratiche connesse possano impedire le attività in loco, creare incidenti diplomatici o mettere in pericolo la sicurezza delle persone interessate. Il DFAE deve anche essere informato sullo stato di salute dei suoi impiegati e dei congiunti che li accompagnano nell’ambito dell’impiego all’estero in modo da poter prendere in considerazione le eventuali necessità in termini di cure mediche da ottenere in loco o di condizioni climatiche da evitare nell’interesse delle persone interessate. Il DFAE deve infine assicurarsi di non inviare un esperto in uno Stato in cui potrebbe trovarsi in pericolo a causa del suo orientamento sessuale, per esempio poiché tale orientamento non è riconosciuto o può essere sanzionato penalmente.

2.2.2.3.3 Art. 10 Comunicazione dei dati Nell’ambito dell’assunzione dei costi da parte dell’assicurazione malattie, il DFAE deve collaborare con l’assicurazione malattie del Dipartimento per ovviare a eventuali svantaggi risultanti dall’impiego all’estero subiti dagli impiegati e dai congiunti che li accompagnano.

2.2.2.4 Impiegati locali delle rappresentanze svizzere all’estero e loro

congiunti

2.2.2.4.1 Art. 11 Scopo e persone Nell’ambito del suo ruolo di datore di lavoro, il DFAE si avvale di impiegati locali, assunti direttamente dalle rappresentanze in base a contratti di lavoro disciplinati dal diritto locale e non dalla LPers. Il DFAE tratta così dati sul personale locale assunto in vari settori di attività (p. es. l’amministrazione, i visti, la cooperazione con gli Stati dell’Europa dell’Est, il servizio domestico, il giardinaggio ecc.). Benché il diritto applicabile sia quello locale, in materia di protezione e trattamento dei dati si applica il diritto svizzero. In qualità di detentore della collezione di dati, il DFAE è infatti un organo federale soggetto ai requisiti della LPD.

Il DFAE tratta dati relativi al personale locale per poter adempiere il suo dovere di assistenza nei confronti degli impiegati nonché gli obblighi legati all’attuazione del diritto delle assicurazioni sociali. Il trattamento dei dati mira anche a ridurre le spese per il personale, il tasso di fluttuazione e il numero di assenze allo scopo di aumentare la produttività del lavoro e il rendimento del personale. Gli impiegati possono prendere visione del trattamento dei dati che li riguardano, per esempio attraverso il conteggio del salario, mentre ciò non accade in altri settori di attività.

Questa sezione si ispira all’art. 27 LPers (nuovo), che sarà applicabile al trattamento dei dati del personale di tutti i datori di lavoro sottoposti alla LPers.

Lett. a La valutazione e la pianificazione del fabbisogno di personale servono a determinare le risorse umane di cui ha bisogno il datore di lavoro per svolgere i suoi compiti, in termini quantitativi, qualitativi e temporali. La pianificazione del fabbisogno di personale è un elemento della pianificazione commerciale, che tiene conto da un lato della strategia e dello sviluppo dell’istituzione e dall’altro dell’evoluzione demografica e dei cambiamenti attesi in seno al personale (struttura dell’età, mobilità ecc.).

Lett. b Il reclutamento del personale mira a garantire gli effettivi di collaboratori interni ed esterni necessari. Il reclutamento interno offre il vantaggio di favorire l’attuazione dei piani di carriera e di mantenere il know-how all’interno dell’istituzione. Il reclutamento esterno permette invece di acquisire competenze non disponibili internamente.

Lett. c La gestione del personale – o la gestione dei dati del personale – comprende tutti i processi legati al personale, dall’analisi del fabbisogno alla gestione dei salari e delle remunerazioni, passando per la costituzione dei dossier del personale, la gestione delle comunicazioni indirizzate alle assicurazioni sociali e le formalità concernenti la partenza dei collaboratori. La gestione dei dati del personale mette in relazione i dati personali e le informazioni riguardanti il posto di lavoro in modo da fornire una base di controllo del personale.

Lett. d La direzione del personale comprende l’impiego efficace nonché la promozione e la fidelizzazione dei collaboratori. Si basa sull’accettazione reciproca dei superiori gerarchici e degli impiegati e su una cultura aziendale che favorisce il dialogo e il feedback. La direzione del personale mira anche a garantire la diversità e le pari opportunità.

Lett. e Lo sviluppo del personale comprende tutte le misure volte a mantenere e a migliorare il livello di qualifica del personale. Vi rientrano la formazione, il perfezionamento, la riconversione professionale, l’esercitazione, la supervisione e il coaching. Lo sviluppo del personale serve a promuovere le competenze tecniche e sociali, le capacità dirigenziali nonché le qualifiche essenziali.

Lett. f Il controllo del personale comprende la pianificazione, la gestione e il monitoraggio dei processi legati al personale (mediante analisi di dati, analisi comparative, rapporti e piani di misure). Tale controllo crea le basi necessarie per ridurre le spese per il personale, il tasso di fluttuazione e le assenze e contribuisce ad aumentare la produttività del lavoro e a migliorare il rendimento. Fornisce inoltre cifre chiave sulla composizione del personale locale (p. es. effettivi, quota di uomini e donne, distribuzione linguistica e geografica) nonché sul raggiungimento degli obiettivi della politica del personale e, se del caso, sui provvedimenti da adottare.

Lett. g L’assunzione di personale locale da parte delle rappresentanze svizzere all’estero può creare conflitti d’interessi, che possono mettere in pericolo la sicurezza delle persone interessate. Il contesto familiare, con le sue peculiarità, può infatti, in determinate circostanze, creare situazioni in cui l’impiegato locale si trova confrontato con un conflitto di lealtà tra il datore di lavoro e i propri congiunti. L’obiettivo del trattamento dei dati è permettere l’identificazione preventiva di questi potenziali conflitti d’interessi in modo da valutare l’opportunità di un’assunzione o di un impiego particolare all’interno della rappresentanza.

Lett. h Analogamente alla lett. g, in qualità di datore di lavoro il DFAE deve tutelare gli interessi della Confederazione evitando l’assunzione di una persona che possa minacciare, direttamente o indirettamente, attraverso le sue relazioni familiari, gli interessi della Svizzera. Si tratta soprattutto di evitare che l’assunzione o l’impiego di un collaboratore locale possa compromettere la sicurezza esterna della Svizzera o i suoi interessi in materia di politica estera, oppure provocare un incidente diplomatico con lo Stato ospite.

2.2.2.4.2 Art. 12 Dati

Lett. a I dati relativi alla persona comprendono informazioni contenute nel dossier di candidatura, informazioni sull’eventuale appartenenza a un’organizzazione sindacale (con il consenso dell’impiegato) nonché sull’esercizio di un mandato pubblico o di un’attività accessoria e altre indicazioni di questo genere. Devono essere trattati anche i dati riguardanti i genitori e i familiari, allo scopo di evitare che un’assunzione generi un conflitto d’interessi insormontabile all’interno della famiglia e, per esempio, metta in pericolo la sicurezza della Svizzera. Può capitare che l’attività professionale del coniuge sia incompatibile con gli obblighi di servizio dell’impiegato locale o con gli interessi della Confederazione: un impiegato locale la cui moglie fosse a capo dei servizi

d’informazione del Paese nel quale tale persona è impiegata presso una rappresentanza svizzera costituirebbe sicuramente un rischio per la sicurezza della Svizzera.

Lett. b Rientrano tra i dati relativi allo stato di salute: i certificati medici, i periodi di assenza per malattia o infortunio, i rapporti del servizio medico, i risultati di esami attitudinali e i dati del case management.

Lett. c I dati relativi alla salute sono trattati nell’ambito del ruolo del datore di lavoro quale assicuratore malattie, infortuni e maternità (MIM) del personale locale nei Paesi dove la sicurezza sociale a favore del personale locale e della sua famiglia contempla misure di previdenza finanziaria insufficienti in caso di malattia, infortunio, invalidità, vecchiaia o decesso. In virtù della lett. a, gli stessi dati sono trattati anche in relazione ai familiari degli impiegati locali per consentire l’affiliazione dei familiari al sistema di assicurazioni sociali del DFAE.

Lett. d I dati richiesti nel quadro della collaborazione riguardano segnatamente le convenzioni sugli obiettivi, la valutazione delle prestazioni, le competenze tecniche e sociali, i risultati dei test della personalità o della valutazione del potenziale e i documenti concernenti i corsi di formazione e perfezionamento seguiti.

Lett. e I datori di lavoro sono tenuti a partecipare all’attuazione delle assicurazioni sociali. In questo contesto sottopongono i conti dei contributi dovuti e riscossi alle casse di compensazione e trasmettono loro i dati richiesti per la gestione dei conti individuali dei collaboratori. Sono considerate assicurazioni sociali l’AVS, l’AI, le IPG, l’assicurazione contro la disoccupazione, la SUVA e l’assicurazione contro gli infortuni, gli assegni familiari e PUBLICA.

Lett. f Gli atti e i procedimenti inclusi in questa categoria di dati sono sostanzialmente gli atti relativi alle controversie riguardanti il rapporto di lavoro, i pignoramenti di salario, gli estratti di decisioni giudiziali volte a determinare il diritto agli assegni familiari o i rapporti sul processo di appianamento delle divergenze nell’ambito della valutazione delle prestazioni.

Lett. g Siccome il personale locale non è soggetto alle disposizioni applicabili al personale della Confederazione sui controlli di sicurezza relativi alle persone, segnatamente all’ordinanza del 4 marzo 2011 sui controlli di sicurezza relativi alle persone (OCSP) , e per motivi pratici di accesso alle informazioni non può essere sottoposto a tali controlli come terzo, il DFAE deve effettuare un’analisi dei rischi derivanti dall’assunzione dei suoi impiegati locali o dall’impiego di questi ultimi in determinate funzioni. Nell’ambito di questi accertamenti, il DFAE è indotto a trattare gli estratti del casellario giudiziale o altre informazioni disponibili, a seconda delle specificità locali, che forniscono lo stesso genere di informazioni.

2.2.2.4.3 Art. 13 Trattamento dei dati In qualità di datore di lavoro soggetto alla LPers, il DFAE può utilizzare i sistemi d’informazione sviluppati dal DFF a nome dell’Amministrazione federale (BV PLUS, e-dossier, e-recruiting ecc.) anche per categorie di persone che non rientrano nel campo di applicazione della LPers. Si tratta di permettere al datore di lavoro di trattare i dati relativi a tutti i propri impiegati allo stesso modo e negli stessi sistemi, indipendentemente dalla categoria in cui rientrano effettivamente.

28 RS 120.4

2.2.2.4.4 Art. 14 Comunicazione dei dati I dati medici trattati in relazione agli obblighi del datore di lavoro di stipulare un’assicurazione malattie, infortuni e maternità (MIM) possono essere trasmessi al consulente assicurativo del datore di lavoro, legato da un contratto di mandato e quindi soggetto agli stessi obblighi di protezione dei dati del datore di lavoro.

2.2.2.5 Funzionari consolari onorari e loro congiunti

2.2.2.5.1 Art. 15 Scopo e persone Per svolgere i suoi compiti in luoghi dove non dispone di missioni diplomatiche o posti consolari di carriera, il DFAE si avvale di funzionari consolari onorari (capo III CVRC e art. 74 dell’ordinanza del 7 ottobre 2015 concernente persone e istituzioni svizzere all’estero [ordinanza sugli Svizzeri all’estero, OSEst] ). Il DFAE tratta dati relativi a queste persone nell’ambito del loro reclutamento, della loro nomina da parte del capo del DFAE e delle loro attività per conto del DFAE.

Lett. a La valutazione e la pianificazione del fabbisogno di personale servono a determinare le risorse umane di cui ha bisogno il DFAE per svolgere i suoi compiti, in termini quantitativi, qualitativi e temporali. La pianificazione del fabbisogno di personale è un elemento della pianificazione, che tiene conto da un lato della strategia e dello sviluppo dell’istituzione e dall’altro dell’evoluzione demografica e dei cambiamenti attesi tra i funzionari consolari onorari (struttura dell’età, mobilità ecc.).

Lett. b Il reclutamento dei funzionari consolari onorari mira a garantire gli effettivi di collaboratori esterni necessari.

Lett. c La gestione dei funzionari consolari onorari – o la gestione dei dati relativi ai funzionari consolari onorari – comprende tutti i processi legati a questa categoria di persone, dall’analisi del fabbisogno alla gestione delle remunerazioni, passando per la costituzione dei dossier personali e le formalità concernenti la cessazione dell’attività dei funzionari consolari onorari. La gestione dei dati relativi a questa categoria di persone mette in relazione i dati personali e le informazioni riguardanti il loro ruolo e la loro funzione in modo da fornire una base di controllo.

Lett. d Il ricorso a funzionari consolari onorari e i compiti assegnati a queste persone possono creare conflitti d’interessi, che possono mettere in pericolo la sicurezza delle persone interessate. Il contesto familiare, con le sue peculiarità, può infatti talvolta creare situazioni in cui i funzionari consolari onorari si trovano confrontati con un conflitto di lealtà tra il DFAE e i propri congiunti. L’obiettivo del trattamento dei dati è permettere l’identificazione preventiva di questi potenziali conflitti d’interessi in modo da valutare l’opportunità di nominare un funzionario consolare onorario.

Lett. e Analogamente alla lett. d, il DFAE deve tutelare gli interessi della Confederazione evitando la nomina di un funzionario consolare onorario che possa minacciare, direttamente o indirettamente, attraverso le sue relazioni familiari, gli interessi della Svizzera. Si tratta soprattutto di evitare che tale nomina possa compromettere la sicurezza esterna della Svizzera o gli interessi della Svizzera in materia di politica estera con lo Stato ospite.

29 RS 195.11

2.2.2.5.2 Art. 16 Dati

Lett. a I dati relativi alla persona comprendono informazioni contenute nel dossier di candidatura, informazioni sull’eventuale appartenenza a un’organizzazione sindacale (con il consenso del funzionario consolare onorario) nonché sull’esercizio di un mandato pubblico o di un’attività accessoria e altre indicazioni di questo genere. Devono essere trattati anche i dati riguardanti i genitori e i familiari, allo scopo di evitare che un’assunzione generi un conflitto d’interessi insormontabile all’interno della famiglia e, per esempio, metta in pericolo la sicurezza della Svizzera. Può capitare che l’attività professionale del coniuge sia incompatibile con la carica di funzionario consolare onorario o con gli interessi della Confederazione. Un funzionario consolare onorario la cui moglie fosse a capo dei servizi d’informazione del Paese nel quale tale persona lavora per il DFAE costituirebbe sicuramente un rischio per la sicurezza della Svizzera.

Lett. b Rientrano tra i dati relativi allo stato di salute: i certificati medici, i periodi d’incapacità lavorativa per malattia o infortunio, i rapporti del servizio medico, i risultati di esami attitudinali e i dati del case management.

Lett. c Gli atti e i procedimenti inclusi in questa categoria di dati sono sostanzialmente gli atti relativi alle controversie derivanti dalle prestazioni fornite dai funzionari consolari onorari e alle controversie tra il DFAE e i funzionari consolari onorari in caso di mancato rinnovo del mandato.

Lett. d Siccome i funzionari consolari onorari non sono soggetti alle disposizioni applicabili al personale della Confederazione sui controlli di sicurezza relativi alle persone, segnatamente all’OCSP , e per motivi pratici di accesso alle informazioni non possono essere sottoposti a tali controlli come terzi, il DFAE deve effettuare un’analisi dei rischi derivanti dalla nomina dei funzionari consolari onorari. Nell’ambito di questi accertamenti, il DFAE è indotto a trattare gli estratti del casellario giudiziale o altre informazioni disponibili, a seconda delle specificità locali, che forniscono lo stesso genere di informazioni.

2.2.2.5.3 Art. 17 Trattamento dei dati In qualità di datore di lavoro soggetto alla LPers, il DFAE può utilizzare i sistemi d’informazione sviluppati dal DFF a nome dell’Amministrazione federale (BV PLUS, e-dossier, e-recruiting ecc.) anche per categorie di persone che non rientrano nel campo di applicazione della LPers. Si tratta di permettere a un’unica unità dell’Amministrazione di trattare i dati personali allo stesso modo e negli stessi sistemi, dal momento che lo scopo del trattamento è lo stesso indipendentemente dalla categoria di persone interessate.

2.2.2.6 Esperti impiegati per la promozione della pace, il rafforzamento dei

diritti umani e l’aiuto umanitario

2.2.2.6.1 Art. 18 Scopo e persone Conformemente al mandato costituzionale conferito dall’art. 54 Cost., la Svizzera contribuisce ad aiutare le popolazioni nel bisogno e a lottare contro la povertà nonché a far rispettare i diritti umani. In questo contesto, ogni anno invia circa 200 esperti civili e di polizia in seno a organizzazioni internazionali al fine di promuovere la pace e i diritti umani. Le loro missioni sono incentrate sulle priorità geografiche e tematiche della Divisione Sicurezza umana (DSU) del DFAE. Gli esperti svizzeri per la promozione della pace e dei diritti umani mettono le loro competenze al servizio della comunità internazionale. Esempi di missioni sono l’istituzione dello Stato di diritto in Kosovo, il monitoraggio

30 RS 120.4

elettorale in Ucraina o il sostegno tecnico alla polizia ivoriana. Il DFAE organizza corsi di formazione per esperti in Svizzera e rafforza le competenze degli esperti nelle zone di crisi. I partner più importanti sono l’ONU, l’Organizzazione per la sicurezza e la cooperazione in Europa (OSCE) e l’UE. Gli esperti sono attivi presso la sede di queste organizzazioni o sono inviati in missione sul campo.

Gli esperti del Corpo svizzero di aiuto umanitario (CSA) sono dispiegati per attuare progetti della Direzione dello sviluppo e della cooperazione o dei partner dell’ONU prima, durante e dopo le crisi o i conflitti. Si tratta di un corpo di milizia composto da circa 700 persone sempre pronte a intervenire. Nella maggior parte dei casi gli specialisti sono chiamati a realizzare i progetti dell’Aiuto umanitario svizzero all’estero. Alcuni sono messi a disposizione delle agenzie dell’ONU, che possono così beneficiare delle loro esperienze e del loro know-how. Gli esperti, suddivisi in gruppi specializzati, sono inviati sul campo a svolgere azioni preventive o ad assistere le popolazioni colpite durante e dopo conflitti o catastrofi.

Gli esperti sono ingaggiati per la missione mediante un contratto di lavoro basato sulla LPers e sull’ordinanza del 2 dicembre 2005 sul personale impiegato per la promozione della pace, il rafforzamento dei diritti dell’uomo e l’aiuto umanitario (OPers-PRA) . Durante i periodi in cui gli esperti non partecipano a una missione specifica, il DFAE ne assicura la formazione continua.

In questo contesto, la gestione dei dati consiste semplicemente in una procedura di reclutamento particolare, che si discosta da quella prevista dalla LPers per quanto riguarda la forma, ma soprattutto per quanto riguarda la durata. Siccome nell’ambito di questa procedura il trattamento dei dati sottostà a condizioni particolari, segnatamente in termini di catalogo, conservazione e comunicazione dei dati, è opportuno disciplinare questi punti nell’avamprogetto di LTDP-DFAE.

Lett. a La valutazione e la pianificazione del fabbisogno di personale servono a determinare le risorse umane di cui ha bisogno il DFAE, in termini quantitativi, qualitativi e temporali, per poter proporre profili adeguati alle organizzazioni internazionali alla ricerca di esperti o ingaggiare esperti il cui profilo risponda a fattori imponderabili legati alle crisi o ai conflitti. La pianificazione del fabbisogno di esperti e la gestione degli esperti sono elementi indispensabili per la strategia e lo sviluppo della politica del DFAE in materia di promozione della pace e dei diritti umani come pure di formazione di personale qualificato per far fronte alle situazioni di crisi o di guerra.

Lett. b Il reclutamento degli esperti mira a garantire gli effettivi necessari di specialisti preselezionati con un profilo particolare.

Lett. c La gestione degli esperti – o la gestione dei dati relativi agli esperti – comprende tutti i processi legati a questa categoria di persone, dall’analisi del fabbisogno alle misure di fidelizzazione, passando per la costituzione dei dossier personali e le formalità concernenti il ritiro degli esperti. La gestione dei dati relativi a questa categoria di persone mette in relazione i dati personali e le informazioni riguardanti le missioni e le funzioni a cui si intende destinarli.

Lett. d La gestione degli esperti comprende l’impiego adeguato nonché la promozione e la fidelizzazione degli esperti. Si basa sull’accettazione reciproca del DFAE e degli esperti e su una cultura aziendale che favorisce il dialogo e il feedback. La gestione degli esperti mira anche a garantire la diversità e le pari opportunità.

Lett. e Lo sviluppo degli esperti comprende tutte le misure volte a mantenere e a migliorare il livello di qualifica degli esperti. Vi rientrano la formazione, il perfezionamento, l’esercitazione, la supervisione e il coaching. Lo sviluppo degli esperti serve a promuovere le competenze tecniche e sociali nonché le qualifiche essenziali. 31 RS 172.220.111.9

Lett. f Il controllo degli esperti comprende la pianificazione, la gestione e il monitoraggio dei processi legati agli impieghi (mediante analisi di dati, analisi comparative, rapporti e piani di misure). Tale controllo crea le basi necessarie per ridurre le spese per il personale quando occorre trovare rapidamente la persona ideale per una missione e contribuisce ad aumentare la produttività del lavoro e a migliorare il rendimento. Fornisce inoltre cifre chiave sulla composizione dei pool di esperti (p. es. effettivi, quota di uomini e donne, distribuzione linguistica e geografica) nonché sul raggiungimento degli obiettivi della politica svizzera in materia di promozione della pace e dei diritti umani nonché dell’aiuto umanitario svizzero all’estero.

Lett. g, h e i Il DFAE deve essere in grado di valutare al meglio le possibilità di impiegare gli esperti all’estero nell’ambito delle missioni. I motivi che spingono ad ampliare il catalogo dei dati personali degni di particolare protezione al di là di quanto previsto dalla LPers nell’ambito del reclutamento standard sono da un lato di natura securitaria, nell’interesse della persona interessata e dei suoi congiunti (lett. h), e dall’altro di interesse pubblico, segnatamente per evitare alla Confederazione crisi diplomatiche mediante un’occupazione adeguata del posto in funzione delle specificità locali del Paese ospite (lett. i).

2.2.2.6.2 Art. 19 Dati

Lett. a I dati relativi alla persona comprendono informazioni contenute nel dossier di candidatura, informazioni sull’esercizio di un mandato pubblico o dell’attività professionale e altre indicazioni di questo genere. Devono essere trattati anche dati riguardanti i genitori e i familiari, allo scopo di evitare che sia presa in considerazione ed effettuata un’assunzione che crei conflitti d’interessi insormontabili all’interno della famiglia e metta in pericolo la sicurezza della Svizzera.

Lett. b L’adempimento dei compiti attribuiti al DFAE nell’ambito del reclutamento e della gestione degli impieghi degli esperti comporta il trattamento di dati sulle opinioni e le attività religiose degli esperti impiegati all’estero e dei loro congiunti in modo da evitare di inviare determinati rappresentanti ufficiali della Svizzera in Stati terzi in cui sono in corso conflitti interreligiosi o la religione costituisce una questione che divide la popolazione. È necessario evitare che la religione e le pratiche religiose degli esperti impiegati in tali Paesi possano impedire le attività in loco, creare incidenti diplomatici o mettere in pericolo la sicurezza delle persone interessate.

Lett. c Il DFAE deve infine assicurarsi di non inviare un esperto in uno Stato in cui potrebbe trovarsi in pericolo a causa del suo orientamento sessuale, per esempio poiché tale orientamento non è riconosciuto o può essere sanzionato penalmente.

Lett. d Rientrano tra i dati relativi allo stato di salute i dati che permettono di valutare le capacità degli esperti di svolgere una futura missione specifica. Il DFAE deve anche essere informato sullo stato di salute degli esperti e dei congiunti che li accompagnano all’estero in modo da poter prendere in considerazione le eventuali esigenze in termini di cure mediche da ottenere in loco o di condizioni climatiche da evitare, nell’interesse delle persone interessate.

Lett. e I dati trattati nell’ambito dei corsi di formazione e perfezionamento permettono al DFAE di assicurarsi che gli esperti dispongano delle conoscenze più recenti nel loro settore di competenza per garantire la massima qualità del loro operato.

Lett. f Gli atti procedurali e le decisioni inclusi in questa categoria di dati devono essere segnalati al DFAE per evitare qualsiasi possibile conflitto d’interesse o danno d’immagine dovuto all’impiego di un esperto che per i suoi antecedenti giudiziari o amministrativi dovrebbe essere scartato.

2.2.2.6.3 Art. 20 Comunicazione dei dati I dati possono essere comunicati a potenziali datori di lavoro affinché questi ultimi possano selezionare i profili che rispondono ai criteri fissati per svolgere una determinata missione. In questi casi, il DFAE funge da intermediario tra il potenziale datore di lavoro e il candidato che, entrando a far parte del pool di esperti, ha acconsentito a questo genere di comunicazione di dati.

2.2.2.7 Persone beneficiarie di privilegi, immunità e facilitazioni

2.2.2.7.1 Art. 21 Scopo e persone Nell’ambito delle sue relazioni internazionali, la Svizzera accoglie sul proprio territorio beneficiari istituzionali ai sensi dell’art. 2 cpv. 1 LSO (tra cui: rappresentanze diplomatiche e consolari, organizzazioni internazionali, missioni permanenti presso tali organizzazioni internazionali). In qualità di Stato ospite e conformemente alla Convenzione di Vienna del 18 aprile 1961 sulle relazioni diplomatiche (CVRD) , alla CVRC e agli accordi di sede, la Svizzera sottostà a obblighi di diritto internazionale pubblico che comportano il trattamento di dati personali degni di particolare protezione nell’ambito del disbrigo amministrativo delle questioni legate all’accreditamento, allo statuto giuridico, al soggiorno e alla gestione delle varie categorie di carte di legittimazione delle persone beneficiarie di privilegi, immunità e facilitazioni ai sensi della LSO. Rientrano in questa categoria le persone chiamate in veste ufficiale, a titolo permanente o no, presso uno dei beneficiari istituzionali di cui all’art. 2 cpv. 1 LSO, le personalità che esercitano un mandato internazionale e le persone autorizzate ad accompagnare le persone beneficiarie di cui all’art. 2 cpv. 2 lett. a e b LSO.

Il DFAE è tenuto a intervenire anche nella risoluzione di controversie che coinvolgono le persone interessate quando i privilegi e le immunità di cui beneficiano in virtù del diritto internazionale impediscono ai tribunali ordinari di trattare i casi portati davanti a loro. In questi casi, il dipartimento è chiamato a raccogliere i dati necessari per essere in grado di intervenire presso la persona interessata o il suo datore di lavoro in modo da cercare una soluzione alla controversia o da ottenere la revoca dell’immunità della persona interessata. In quest’ambito, il DFAE interviene, nei limiti delle sue possibilità e delle sue prerogative, per tutelare gli interessi di terzi.

2.2.2.7.2 Art. 22 Dati

Cpv. 1 L’adempimento di questi compiti comporta il trattamento dei dati personali degni di particolare protezione e dei profili della personalità enumerati nell’elenco esaustivo di cui all’art. 19.

Lett. a Il DFAE interviene nella risoluzione di controversie che coinvolgono i beneficiari quando i privilegi e le immunità di cui beneficiano in virtù del diritto internazionale impediscono ai tribunali ordinari di trattare i casi portati davanti a loro. In questi casi, il dipartimento è chiamato a raccogliere dati relativi ai procedimenti o alle sanzioni amministrativi e penali allo scopo di disporre degli elementi necessari per intervenire presso la persona interessata o il suo datore di lavoro e cercare una soluzione alla controversia o ottenere la revoca dell’immunità della persona interessata. In questo ambito, il DFAE interviene, nei limiti delle sue possibilità e delle sue prerogative, per tutelare gli interessi di terzi.

32 RS 0.191.01

Lett. b Le persone beneficiarie ricevono una carta di legittimazione, rilasciata dal DFAE, che costituisce il loro permesso di soggiorno in Svizzera per la durata delle loro funzioni ufficiali e attesta il loro statuto giuridico, in particolare le immunità di cui beneficiano. Nei loro confronti, il DFAE svolge quindi – tra l’altro – la funzione di controllo degli abitanti. Per questo motivo raccoglie i dati necessari per il disbrigo delle questioni legate alle loro funzioni e al loro soggiorno in Svizzera, il rilascio delle carte di legittimazione e la descrizione delle loro attività. In questo contesto sono trattati anche dati relativi alle misure di assistenza sociale. Non si tratta di misure di aiuto sociale in senso stretto: secondo la definizione dell’art. 3 lett. c nr. 3 LPD, per misure di assistenza sociale s’intendono soprattutto le prestazioni delle assicurazioni sociali in caso di malattia o infortunio nonché misure quali la tutela e l’aiuto sociale . Questo genere di dati è trattato allo scopo di assicurarsi, al momento del rilascio o del rinnovo delle carte di legittimazione, che il diritto delle assicurazioni sociali sia rispettato.

Cpv. 2 Nell’ambito dell’attuazione della LSO, il DFAE gestisce il sistema d’informazione Ordipro, in cui sono trattati i dati concernenti le persone beneficiarie di cui all’art. 2 cpv. 2 LSO. Tale sistema è considerato un registro ufficiale di persone ai sensi della LArRa (art. 2 cpv. 1 lett. c LArRa). In virtù dell’art. 13 LArRa, il DFAE è pertanto autorizzato a trattare il numero d’assicurato di cui all’art. 50c LAVS.

2.2.2.7.3 Art. 23 Comunicazione dei dati

Cpv. 1 I dati possono essere trasmessi alle autorità menzionate per adempiere gli scopi della LSO, segnatamente quelli menzionati all’art. 28 LSO.

Cpv. 2 Ai beneficiari istituzionali ai sensi dell’art. 2 cpv. 1 LSO con sede in Svizzera possono essere trasmessi dati concernenti le persone che impiegano e le persone che le accompagnano. Siccome i beneficiari istituzionali sono sottoposti al diritto svizzero, tale comunicazione non costituisce una comunicazione transfrontaliera di dati ai sensi dell’art. 6 LPD.

2.2.2.8 Candidati a posti in seno alle Nazioni Unite e alle organizzazioni

internazionali

2.2.2.8.1 Art. 24 Scopo e persone Conformemente all’art. 54 Cost., in virtù dell’art. 43 della legge federale del 21 marzo 1997 sull’organizzazione del Governo e dell’Amministrazione (LOGA) e dell’art. 28 dell’ordinanza del 25 novembre 1998 sull’organizzazione del Governo e dell’Amministrazione (OLOGA) il Consiglio federale precisa, all’art. 1 OOrg-DFAE, gli obiettivi e la funzione del DFAE. L’art. 1 cpv. 2 lett. a OOrg- DFAE assegna al DFAE l’obiettivo di garantire una presenza attiva della Svizzera nelle relazioni internazionali nonché il diritto di codecisione e una partecipazione attiva in seno alle organizzazioni e agli organismi internazionali importanti per la Svizzera. Di conseguenza, il DFAE coordina e attua la politica della Svizzera in seno alle Nazioni Unite e alle sue agenzie specializzate. In questo contesto sostiene le candidature svizzere e favorisce il reclutamento di svizzeri in seno alle organizzazioni internazionali. Il coordinamento di questa politica comporta il trattamento dei dati dei candidati a funzioni in tali organizzazioni internazionali. Si tratta principalmente di candidature di cittadini svizzeri, ma anche di domande di sostegno di candidature provenienti da Paesi terzi, che comportano a loro volta il trattamento di dati. Il trattamento dei dati relativi a questi candidati permette al DFAE di elaborare strategie di voto che consentano la nomina di un candidato, indipendentemente dalla sua provenienza, a una funzione in seno a un’organizzazione internazionale. Il DFAE può così condurre,

33 FF 1988 II 386 34 RS 172.010 35 RS 172.010.1

attraverso le sue rappresentanze all’estero, campagne per le candidature importanti allo scopo di assicurarsi i voti di determinati Paesi.

I dati così raccolti permettono infine di garantire un monitoraggio delle elezioni e consentono al DFAE di stabilire a quali Stati la Svizzera deve quale sostegno.

2.2.2.8.2 Art. 25 Dati L’adempimento dei compiti menzionati all’art. 21 comporta il trattamento di dati e, se del caso, di dati personali degni di particolare protezione.

Lett. a, b e c Il DFAE può trattare dati sulle opinioni religiose, l’appartenenza etnica e le opinioni o attività politiche dal momento che possono influenzare l’esito di una candidatura nonché l’attribuzione e/o la ripartizione dei voti in seno all’organizzazione da parte degli Stati membri. Si tratta di assicurarsi che le candidature proposte dalla Svizzera non presentino incoerenze che possano compromettere la reputazione del Paese e di assicurarsi che i voti della Svizzera siano conformi ai principi fondamentali di uno Stato di diritto e rispettino i diritti umani.

2.2.2.8.3 Art. 26 Comunicazione dei dati I dati personali possono essere comunicati a potenziali datori di lavoro e ai Paesi terzi che dispongono di un diritto di voto in seno alle organizzazioni internazionali in modo da poter condurre una campagna a favore del candidato svizzero.

2.2.2.9 Partecipanti a conferenze internazionali organizzate dalla Svizzera

2.2.2.9.1 Art. 27 Scopo e persone In base agli obiettivi menzionati sopra, segnatamente quello di garantire una presenza attiva della Svizzera nelle relazioni internazionali, il DFAE organizza conferenze internazionali. Il trattamento dei dati in questo contesto riguarda dati che consentono di garantire il buon svolgimento di tali incontri internazionali organizzati dalla Svizzera.

2.2.2.9.2 Art. 28 Dati L’adempimento di questi compiti organizzativi e logistici comporta il trattamento dei dati personali degni di particolare protezione enumerati nell’elenco esaustivo di cui all’art. 28. Il DFAE deve conoscere e trattare varie informazioni sui partecipanti, come quelle concernenti le abitudini alimentari, le allergie, le disabilità, la religione ecc. per essere in grado di organizzare conferenze e rispondere alle esigenze particolari dei partecipanti. La gestione dell’ordine del giorno di una conferenza può essere influenzata direttamente da determinate attività religiose. I luoghi scelti per la conferenza devono tener conto anche delle eventuali disabilità fisiche dei partecipanti, in particolare in caso di spostamento in sedia a rotelle.

2.2.2.10 Persone attive nel settore delle prestazioni di sicurezza private

fornite all’estero

2.2.2.10.1 Art. 29 Scopo e persone La legge federale del 27 settembre 2013 sulle prestazioni di sicurezza private fornite all’estero (LPSP) disciplina la fornitura di prestazioni di sicurezza private all’estero a partire dalla Svizzera. Il

36 RS 935.41

suo scopo è contribuire a salvaguardare la sicurezza interna ed esterna della Svizzera, a realizzare gli obiettivi della sua politica estera, a preservare la neutralità svizzera e a garantire il rispetto del diritto internazionale. A tal fine, la LPSP introduce un regime di divieti associato a una procedura di notificazione preliminare. La legge disciplina inoltre l’impiego, da parte di autorità federali, di imprese di sicurezza private per compiti di protezione all’estero in un ambiente complesso. Nell’ambito dell’obbligo di notificare le attività, l’art. 4 lett. c nr. 2 dell’ordinanza del 24 giugno 2015 sulle prestazioni di sicurezza private fornite all’estero (OPSP) prevede che il DFAE verifichi la reputazione delle persone interessate, il che comporta un trattamento di dati.

L’art. 20 LPSP sarà abrogato e sostituito dalla presente sezione, in modo da centralizzare tutti i trattamenti di dati che richiedono una base legale formale nel presente avamprogetto di LTDP-DFAE.

2.2.2.10.2 Art. 30 Dati Il DFAE è autorizzato a trattare i dati enumerati in modo esaustivo all’art. 30 per svolgere i suoi compiti legali nell’ambito dell’applicazione della LPSP, ossia salvaguardare la sicurezza interna ed esterna della Svizzera, realizzare gli obiettivi della sua politica estera, preservare la neutralità svizzera e garantire il rispetto del diritto internazionale.

2.2.3 Disposizioni finali

2.2.3.1 Art. 31 Disposizioni esecutive

Questa disposizione incarica il Consiglio federale di emanare disposizioni esecutive per completare e precisare le disposizioni dell’avamprogetto di LTDP-DFAE.

Cpv. 1 Le lettere c e d non hanno bisogno di nessun commento.

Lett. a Il Consiglio federale è tenuto a disciplinare in modo trasparente i sistemi d’informazione utilizzati dal DFAE. Se esiste più di un sistema d’informazione, devono essere presentati anche i legami interni o le interfacce esterne.

Lett. b Il catalogo dei dati non degni di particolare protezione è definito in modo più dettagliato nelle disposizioni esecutive. I dati possono essere precisati in un allegato, come avviene per esempio nell’allegato 1 dell’ordinanza del 26 ottobre 2011 sulla protezione dei dati personali del personale federale (OPDPers) .

Cpv. 2 La questione dei diritti di accesso da parte delle direzioni del DFAE e delle rappresentanze svizzere all’estero, mediante una procedura di richiamo, ai dati personali degni di particolare protezione necessari per svolgere compiti legali è disciplinata in dettaglio nelle disposizioni esecutive, anche se la LPD prevede, all’art. 19 cpv. 3, che l’accesso mediante una procedura di richiamo deve essere previsto da una legge in senso formale. La legge deve infatti consentire di rispondere ai seguenti interrogativi: chi comunica mediante una procedura di richiamo, quali grandi categorie di dati personali degni di particolare protezione, a quali destinatari e per quale scopo? Il DFAE non è però organizzato come gli altri dipartimenti federali: non ha infatti uffici federali a cui compete un settore di attività particolare. Le sue attività si articolano attorno alle varie direzioni e alla rete delle rappresentanze all’estero. Le direzioni possono occuparsi delle stesse questioni e degli stessi compiti della rete di rappresentanze all’estero. È il caso per esempio della protezione consolare accordata dalla Svizzera,

37 RS 935.411 38 RS 172.220.111.4

settore nel quale la Direzione consolare del DFAE e la rete di rappresentanze collaborano agendo in modo complementare. Anche nell’ambito della gestione dei dati relativi alle persone beneficiare di privilegi, immunità e altre facilitazioni intervengono vari attori interni al DFAE. Le questioni multilaterali sono gestite direttamente dalla Missione svizzera a Ginevra, che fa parte della rete delle rappresentanze, mentre le questioni bilaterali sono gestite dal Protocollo a Berna, che fa capo alla segreteria di Stato. L’applicazione delle Convenzioni di Vienna, infine, spetta alla Direzione del diritto internazionale pubblico. Vari attori interni al DFAE devono così avere accesso alle stesse informazioni. Le direzioni del DFAE sono definite nell’allegato 1 dell’ordinanza del 25 novembre 1998 sull’organizzazione del Governo e dell’Amministrazione (OLOGA) e di conseguenza sono considerate unità amministrative a sé, alla stessa stregua degli uffici federali. L’accesso mediante una procedura di richiamo da parte un’unità organizzativa differente dal detentore della collezione di dati dovrebbe quindi essere previsto in dettaglio in una legge in senso formale. Viste le peculiarità dell’organizzazione del DFAE, l’avamprogetto di LTDP-DFAE delega al Consiglio federale la competenza di disciplinare, in un’ordinanza, gli accessi mediante una procedura di richiamo in modo da evitare di dover avviare una complessa procedura di revisione legislativa per ogni minima modifica organizzativa interna, ottimizzando così la gestione delle risorse. Gli accessi mediante una procedura di richiamo a favore di terzi al DFAE non sono interessati da questa disposizione.

2.2.3.2 Art. 32 Abrogazione e modifica di altri atti normativi

L’abrogazione e la modifica di altri atti normativi sono commentate al nr. 2.3.

Le modifiche di altri atti normativi mirano a garantire l’unità della materia; in linea di massima tutti i trattamenti di dati specifici che avvengono in seno al DFAE sono disciplinati nel progetto di legge, a tutto vantaggio della trasparenza dei trattamenti svolti dal DFAE nei confronti delle persone interessate.

2.2.3.3 Art. 33 Referendum ed entrata in vigore

Come ogni legge federale, la LTDP-DFAE sottostà a referendum e il Consiglio federale è incaricato di determinarne la data di entrata in vigore.

2.3 Commento alla modifica di altre leggi federali

L’abrogazione e la modifica di altre leggi federali sono disciplinate nell’allegato dell’avamprogetto di LTDP-DFAE. Tali modifiche sono una conseguenza dell’avamprogetto.

2.3.1 Abrogazione della legge federale del 24 marzo 2000 sul trattamento

di dati personali in seno al DFAE Trattandosi di una revisione totale, la versione vigente della legge deve essere abrogata.

2.3.2 Legge federale del 19 dicembre 2003 su misure di promozione civile

della pace e di rafforzamento dei diritti dell’uomo40

Art. 9 Questo articolo è modificato in modo da corrispondere alla nuova struttura dell’avamprogetto di LTDP- DFAE. Secondo il messaggio del Consiglio federale del 23 ottobre 2002 , l’art. 9 rimanda alla legge federale del 24 marzo 2000 sul trattamento di dati personali in seno al Dipartimento federale degli affari esteri, che si applica anche al trattamento di dati inerenti alle misure della legge menzionata nel titolo. L’art. 2 prevede espressamente la possibilità di gestire collezioni di dati sui partecipanti ad azioni di mantenimento della pace e di buoni uffici allo scopo di pianificare e organizzare le missioni.

39 RS 172.010.1 40 RS 193.9 41 FF 2002 6779

Le disposizioni che devono ora applicarsi per analogia sono quelle relative al trattamento dei dati dei pool di esperti, ossia gli art. 18-20 dell’avamprogetto di LTDP-DFAE. Questo rimando appare necessario dal momento che il DFAE non è l’unico attore che interviene nell’ambito delle misure di promozione civile della pace e rafforzamento dei diritti umani. Anche il Dipartimento federale delle finanze (Amministrazione federale delle dogane) e il Dipartimento federale della difesa, della protezione della popolazione e dello sport devono infatti poter trattare tali dati.

2.3.3 Legge federale del 27 settembre 2013 sulle prestazioni di sicurezza

private fornite all’estero42

Art. 20 Questa disposizione è abrogata e sostituita con una disposizione dello stesso tenore agli art. 29 a 30 dell’avamprogetto di LTDP-DFAE allo scopo di raggruppare la totalità dei trattamenti di dati in seno al DFAE in un’unica legge.

2.3.4 Legge federale del 19 marzo 1976 su la cooperazione allo sviluppo e

l’aiuto umanitario internazionali43

Questa disposizione è abrogata dal momento che tutti i trattamenti di dati necessari all’attuazione della legge menzionata nel titolo sono già previsti da altre basi legali formali.

La LPers e le sue disposizioni esecutive consentono il trattamento dei dati degli impiegati assunti in base a un contratto di diritto pubblico, mentre l’avamprogetto di LTDP-DFAE consente il trattamento dei dati degli impiegati locali.

Occorre precisare che, anche se in questo settore intervengono altri attori dell’amministrazione, solo il DFAE assume personale locale: le disposizioni dell’avamprogetto sono pertanto sufficienti.

2.3.5 Legge federale del 30 settembre 2016 sulla cooperazione con gli Stati

dell’Europa dell’Est44

Art. 15 Nell’ambito della revisione della legge federale del 24 marzo 2006 sulla cooperazione con gli Stati dell’Europa dell’Est è stata elaborata una disposizione relativa al trattamento dei dati personali. Il nuovo art. 15 della legge, menzionata nel titolo, che dovrebbe entrare in vigore il 1° giugno 2017, si riferisce al trattamento di dati personali degli impiegati locali che lavorano in questo ambito di competenza specifico. Questa disposizione è stata inserita nella legge su richiesta dell’UFG nell’ambito della consultazione degli uffici. Essendo prevista in una legge settoriale, mentre l’assunzione di impiegati locali va ben oltre questo settore di attività specifico, tale disposizione risulta insoddisfacente già al momento della sua entrata in vigore. Il DFAE deve infatti disporre di una base legale che gli permetta il trattamento dei dati di tutti suoi impiegati e vada quindi oltre quanto previsto in questa legge settoriale. L’avamprogetto di LTDP-DFAE contiene una base legale generale che risponde a queste esigenze e prevede pertanto l’abrogazione del nuovo art. 15 della legge federale del 30 settembre 2016 sulla cooperazione con gli Stati dell’Europa dell’Est.

Questa disposizione può essere abrogata anche perché la totalità dei trattamenti di dati necessari per attuare la legge menzionata nel titolo è già prevista da altre basi legali formali.

42 RS 935.41 43 RS 974.0 44 FF 2016 2005

La LPers e le sue disposizioni esecutive consentono il trattamento dei dati degli impiegati assunti in base a un contratto di diritto pubblico, mentre l’avamprogetto consente il trattamento dei dati degli impiegati locali.

Occorre precisare che, anche se in questo settore intervengono altri attori dell’amministrazione, solo il DFAE assume personale locale: le disposizioni dell’avamprogetto sono pertanto sufficienti.

3 Ripercussioni

3.1 Ripercussioni per la Confederazione

Il progetto non ha ripercussioni finanziarie né sull’effettivo del personale della Confederazione.

3.2 Ripercussioni per i Cantoni e i Comuni, per le città, gli agglomerati e

le regioni di montagna Il progetto non ha ripercussioni finanziarie né di altra natura per i Cantoni e i Comuni, per i centri urbani, gli agglomerati e le regioni di montagna.

3.3 Ripercussioni per l’economia

Il progetto non ha ripercussioni economiche.

3.4 Ripercussioni sociali e sanitarie

Il progetto non ha ripercussioni sociali né sanitarie.

3.5 Ripercussioni sulla parità dei sessi

Il progetto non ha ripercussioni sulla parità dei sessi.

3.6 Ripercussioni per l’ambiente

Il progetto non ha ripercussioni ambientali.

4 Rapporto con il programma di legislatura

Il progetto non è annunciato nel messaggio del 27 gennaio 2016 sul programma di legislatura 2015- 2019.

5 Rapporto con le strategie nazionali del Consiglio federale

Il progetto è compatibile sia con la Strategia nazionale per la protezione della Svizzera contro i cyber- 46 47 rischi (SNPC) sia con la Strategia Open Government Data (OGD) .

Per il resto, l’avamprogetto di LTDP-DFAE si integra, pur non essendo previsto espressamente, nell’attuazione della Strategia «Svizzera digitale» , adottata dal Consiglio federale il 20 aprile 2016 in sostituzione della Strategia del Consiglio federale del 9 marzo 2012 per una società dell’informazione in Svizzera.

45 FF 2016 909, 1023 www.isb.admin.ch/isb/it/home/themen/e-government/open-government-data-ogd.html www.bakom.admin.ch/bakom/it/pagina-iniziale/digitale-e-internet/strategia-svizzera-digitale.html

La nuova strategia mira a consentire alla Svizzera di sfruttare maggiormente la progressiva digitalizzazione e affermarsi in modo ancora più dinamico come economia pubblica innovativa. In questo contesto la Confederazione intende elaborare una politica in materia di dati coerente e proiettata verso il futuro, che le permetta di sfruttare pienamente il potenziale derivante dalla crescente raccolta di dati e dal loro trattamento, senza perdere il controllo su di essi.

L’avamprogetto di LTDP-DFAE è in linea anche con la Strategia di e-government Svizzera , attuata da Confederazione, Cantoni e Comuni per promuovere il Governo elettronico in Svizzera.

6 Aspetti giuridici

6.1 Costituzionalità

Come ha rilevato il Consiglio federale nel suo messaggio del 19 febbraio 2003 concernente la revisione della LPD e il decreto federale concernente l’adesione della Svizzera al Protocollo aggiuntivo alla Convenzione STE n. 108, la Costituzione federale non contiene alcuna disposizione che abiliti espressamente la Confederazione a legiferare. È pur vero che l’art. 13 cpv. 2 Cost. sancisce che ognuno ha diritto a essere protetto da un impiego abusivo dei suoi dati personali. Ma si tratta di un diritto fondamentale, che non conferisce nuove competenze alla Confederazione. In virtù dell’art. 35 cpv. 2 e 3 Cost., comunque, chi svolge un compito statale deve rispettare i diritti fondamentali e contribuire ad attuarli e le autorità devono provvedere affinché i diritti fondamentali, per quanto vi si prestino, siano realizzati anche nelle relazioni tra privati. In questo senso, il disegno contribuisce alla realizzazione dell’art. 13 cpv. 2 Cost. per quanto concerne le relazioni verticali tra le autorità e i privati.

Nel campo del diritto pubblico, il legislatore federale si è basato sul potere organizzativo che gli conferisce l’art. 173 cpv. 2 Cost. per emanare disposizioni sulla protezione dei dati applicabili alle autorità e ai servizi dell’amministrazione.

6.2 Compatibilità con gli impegni internazionali della Svizzera

Il progetto è compatibile con gli impegni internazionali della Svizzera. Le permette di rispettare, in veste di Paese firmatario, i diritti e gli obblighi derivanti dalla CVRD, dalla CVRC e dagli accordi di sede.

6.3 Forma dell’atto da adottare

Si tratta di un atto modificatore soggetto a referendum.

6.4 Subordinazione al freno alle spese

Il progetto non comporta spese sottoposte al freno alle spese (art. 159 cpv. 3 lett. b Cost.).

6.5 Conformità alla legge sui sussidi50

Il progetto non prevede alcun sussidio.

6.6 Delega di competenze legislative

In virtù dell’articolo 31 dell’avamprogetto di LTDP-DFAE, al Consiglio federale sono delegate competenze legislative.

www.egovernment.ch/it/umsetzung/e-government-strategie/ 50 RS 616.1

6.7 Protezione dei dati

Il progetto non pone alcun problema per quanto concerne la legislazione sulla protezione dei dati.