AS 2018 227

Ordinanza sul sistema di trattamento per la sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni

Ordinanza sul sistema di trattamento per la sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni (OST-SCPT)

del 15 novembre 2017

Il Consiglio federale svizzero, visti gli articoli 10 capoverso 4, 11 capoverso 6 e 12 capoverso 2 della legge federale del 18 marzo 20161 sulla sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni (LSCPT), ordina:

Sezione 1: Disposizioni generali

Art. 1 Oggetto La presente ordinanza disciplina il funzionamento e l’utilizzo del sistema di tratta- mento del servizio di sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni (Servizio SCPT).

Art. 2 Rete di trasferimento dei dati 1 I fornitori di servizi di telecomunicazione (FST), ad eccezione di quelli con obbli- ghi di sorveglianza ridotti, e i fornitori di servizi di comunicazione derivati con obblighi di informazione o di sorveglianza supplementari gestiscono, in collabora- zione con il Servizio SCPT, una rete che consente di trasferire le informazioni e i dati delle sorveglianze al sistema di trattamento. 2 Attraverso questa rete è possibile scambiare anche le domande di informazioni e gli incarichi di sorveglianza, nonché informazioni sul loro svolgimento. 3 Il Dipartimento federale di giustizia e polizia emana prescrizioni tecniche e ammi- nistrative sulla rete di trasferimento dei dati.

RS 780.12 1 RS 780.1

2017-2175 227

Sistema di trattamento per la sorveglianza della corrispondenza postale e RU 2018

Sezione 2: Dati e trattamento dei dati

Art. 3 Dati

1 Il sistema di trattamento contiene i seguenti dati:

a. le informazioni e i dati delle sorveglianze trasmessi dalle persone obbligate a collaborare; b. i dati di cui alla lettera a, preparati per essere analizzati; c. le domande di informazioni e gli ordini di sorveglianza delle autorità abilita- te a disporre la sorveglianza; d. le caratteristiche di trattamento aggiunte dalle autorità che analizzano i dati; e. i dati per lo svolgimento e il controllo delle pratiche, inclusi i dati per il con- trollo della qualità, i dati relativi ai test, la statistica e la contabilità; f. i dati per semplificare la rappresentazione e la cernita delle informazioni e dei dati di cui alle lettere a e b; g. le chiavi crittografiche.

2 Il sistema di trattamento è in grado di trattare i seguenti dati:

a. i dati relativi a informazioni (cap. 3 sez. 4–6 dell’ordinanza del 15 novembre

20172 sulla sorveglianza della corrispondenza postale e del traffico delle te-

lecomunicazioni, OSCPT); b. i dati delle sorveglianze in tempo reale (cap. 3 sez. 8, 9 e 11 OSCPT); c. i dati delle sorveglianze retroattive (cap. 3 sez. 10 e 11 OSCPT); d. i dati per lo svolgimento e il controllo delle pratiche del Servizio SCPT (art. 6).

Art. 4 Origine dei dati

1 I dati registrati nel sistema di trattamento provengono:

a. dalle autorità che dispongono la sorveglianza o dalle autorità da esse desi- gnate, dalle autorità d’approvazione e dalle altre autorità investite del proce- dimento; b. dalle persone obbligate a collaborare; c. dal Servizio SCPT; d. dalle banche dati per la determinazione degli elementi d’indirizzo; e. dai fornitori di geoinformazioni e materiale cartografico. 2 Le autorità possono completare i dati delle sorveglianze soltanto con le caratteristi- che di trattamento secondo l’articolo 3 capoverso 1 lettera c e le chiavi crittografiche secondo la lettera g; non è consentito importare altri dati relativi alle indagini.

2 RS 780.11

228

Sistema di trattamento per la sorveglianza della corrispondenza postale e RU 2018

Art. 5 Funzioni per il trattamento delle informazioni e dei dati delle sorveglianze 1 Per il trattamento delle informazioni e dei dati delle sorveglianze sono previste le seguenti funzioni: a. ascoltare in diretta e ascoltare in differita; b. visualizzare e stampare; c. localizzare e rappresentare su carte geografiche; d. decodificare e decriptare; e. raggruppare; f. cercare e fare una cernita; g. associare una registrazione vocale a una voce presente nel sistema; h. trascrivere; i. commentare; j. segnalare eventi particolari come avvicinamenti geografici o processi di co- municazione; k. trasmettere in modo sicuro alle persone autorizzate; l. distruggere. 2 Le funzioni si applicano soltanto ai dati a cui la persona che le esegue ha accesso.

Art. 6 Trattamento dei dati per lo svolgimento e il controllo delle pratiche Per lo svolgimento e il controllo delle pratiche il Servizio SCPT tratta i seguenti dati: a. i dati di contatto dell’autorità che dispone la sorveglianza e delle autorità da essa designate, delle autorità d’approvazione e delle altre autorità investite del procedimento nonché delle persone da esse designate; b. se noti, cognome, nome, data di nascita, indirizzo e professione delle perso- ne da sorvegliare e dei relativi rappresentanti legali; c. il motivo delle informazioni e delle sorveglianze, in particolare l’indicazione degli articoli dei reati sulla cui commissione si mira a far luce; d. i tipi di d’informazione e di sorveglianza ordinati; e. le comunicazioni scritte e orali nonché le telefonate registrate secondo l’articolo 8 OSCPT3; f. le decisioni delle autorità, quali ordini, approvazioni e proroghe, le decisioni in materia di sanzioni penali e amministrative nonché le decisioni su ricorso;

3 RS 780.11

229

Sistema di trattamento per la sorveglianza della corrispondenza postale e RU 2018

g. i dati di cui agli articoli 15 lettere h–k e 49 capoverso 1 lettere h–l e 2 OSCPT; h. i numeri di riferimento e le denominazioni delle informazioni e delle sorve- glianze; i. i dati di contatto delle persone obbligate a collaborare e degli interlocutori da esse designati; j. i dati relativi alle persone obbligate a collaborare, in particolare riguardo alla loro disponibilità a informare e sorvegliare; k. gli elementi d’indirizzo e gli identificativi disponibili; l. altri dati di natura tecnica; m. i dati per la riscossione degli emolumenti e il versamento delle indennità.

Art. 7 Diritto di accesso al sistema di trattamento 1 Su richiesta mediante l’apposito modulo, il Servizio SCPT crea conti utente perso- nali per l’accesso al sistema di trattamento dei seguenti gruppi di persone, per quan- to tali accessi siano necessari all’adempimento dei loro compiti: a. collaboratori delle autorità; b. collaboratori delle persone obbligate a collaborare; c. collaboratori del Servizio SCPT; d. persone a cui il Servizio SCPT ha assegnato compiti di manutenzione, ge- stione e programmazione.

2 Su ordine della persona competente, il Servizio SCPT può autorizzare singoli

collaboratori delle autorità di cui all’articolo 9 capoversi 1–3 LSCPT ad assegnare accessi, per quanto ciò sia necessario all’adempimento dei loro compiti. I collabora- tori continuano a essere responsabili per l’utilizzo degli accessi assegnati e docu- mentano l’assegnazione in modo tracciabile. 3 Il Servizio SCPT verifica periodicamente se sussistono sempre le condizioni per i diritti di accesso. 4 I diritti di accesso al sistema di trattamento sono disciplinati nell’allegato. Il Servi- zio SCPT precisa tali diritti in un regolamento per il trattamento dei dati (art. 21 dell’ordinanza del 14 giugno 19934 relativa alla legge federale sulla protezione dei dati).

Art. 8 Diritto di accesso ai dati di singole sorveglianze 1 L’ordine di sorveglianza indica al Servizio SCPT quali collaboratori delle autorità di cui all’articolo 9 capoversi 1–3 LSCPT hanno accesso ai dati di quali sorveglian- ze. Dopo l’autenticazione, i collaboratori ottengono l’accesso, mediante procedura di richiamo, ai dati delle sorveglianze previsti nell’ordine.

4 RS 235.11

230

Sistema di trattamento per la sorveglianza della corrispondenza postale e RU 2018

2 Le persone interessate secondo l’articolo 279 del Codice di procedura penale5 o l’articolo 70j della procedura penale militare del 23 marzo 19796, l’articolo 33 della legge federale del 25 settembre 20157 sulle attività informative (LAIn) e gli artico- li 35 e 36 LSCPT e secondo la legge federale del 19 giugno 19928 sulla protezione dei dati, nonché i relativi rappresentanti legali possono trasmettere una domanda di accesso ai dati delle sorveglianze all’autorità competente secondo l’articolo 10 capoversi 1–3 LSCPT. Per il tramite delle autorità competenti e in virtù delle dispo- sizioni applicabili a tali autorità, dette persone ottengono accesso ai dati di cui hanno bisogno per esercitare il loro diritto di consultare gli atti o di accedere ai dati. 3 Il Servizio SCPT autorizza singoli collaboratori delle autorità secondo l’articolo 7 capoverso 2 ad assegnare accessi all’interno della propria autorità ea persone auto- rizzate secondo il capoverso 2, per quanto ciò sia necessario all’adempimento dei loro compiti o all’esercizio dei diritti di terzi. 4 Il Servizio SCPT precisa il capoverso 3 in un regolamento per il trattamento dei dati.

Art. 9 Interfacce Il sistema di trattamento dispone di interfacce: a. per la trasmissione dei mandati e la ricezione dei dati e delle conferme, diret- tamente o attraverso la rete di trasferimento, ai sistemi delle persone obbli- gate a collaborare; b. per la copia di dati ai sensi dell’articolo 14 capoverso 1 LSCPT nella rete di sistemi d’informazione di polizia dell’Ufficio federale di polizia e ai sensi dell’articolo 14a LSCPT nel sistema d’informazione del Servizio delle atti- vità informative della Confederazione (SIC); c. per l’accesso a banche dati ai fini dell’accertamento di elementi d’indirizzo.

Sezione 3: Protezione e sicurezza dei dati

Art. 10 Misure per la sicurezza dei dati 1 Attraverso misure tecniche e organizzative, il Servizio SCPT garantisce in partico- lare: a. la protezione dagli accessi e dalle modifiche: attraverso l’autenticazione si- cura delle persone e dei servizi autorizzati nonché la descrizione dettagliata dei rispettivi diritti di lettura e scrittura;

5 RS 312.0 6 RS 322.1 7 RS 121 8 RS 235.1

231

Sistema di trattamento per la sorveglianza della corrispondenza postale e RU 2018

b. il controllo del trasporto: attraverso la trasmissione sicura dei dati del siste- ma di trattamento; c. il controllo degli accessi e delle modifiche: attraverso la verbalizzazione di tutti gli accessi e di tutte le modifiche ai dati nonché l’analisi periodica a campione per individuare eventuali irregolarità. 2 Stabilisce le misure da adottare sulla base di un’analisi dei rischi conforme allo stato della tecnica e alle norme internazionali pertinenti. 3 Emana le necessarie istruzioni per l’attuazione di tali misure all’indirizzo degli utenti del sistema. 4 Conserva i verbali per tutta la durata di conservazione delle informazioni e dei dati delle sorveglianze.

Art. 11 Misure per la sicurezza del sistema Il Servizio SCPT decide le misure da adottare in caso di guasti o di rischio di guasti nell’esercizio regolare del sistema di trattamento. Prende una decisione dopo aver consultato, se possibile, le autorità che hanno disposto la sorveglianza o le autorità che analizzano i dati.

Art. 12 Anonimizzazione I dati necessari a fini statistici devono essere anonimizzati prima della pubblica- zione.

Sezione 4: Accesso ai dati delle sorveglianze mediante procedura di richiamo, distruzione e archiviazione dei dati

Art. 13 Accesso ai dati delle sorveglianze mediante procedura di richiamo 1 I dati delle sorveglianze restano a disposizione delle autorità mediante procedura di richiamo, con tutte le funzioni per il trattamento ai sensi dell’articolo 5, al massimo fino: a. al passaggio in giudicato della decisione che conclude il procedimento pena- le in questione; b. sei mesi dopo la fine dell’operazione del SIC; c. per sei mesi dopo la fine della ricerca d’emergenza; d. per sei mesi dopo la fine della ricerca di condannati; o e. all’invio dei supporti di dati o dei documenti all’autorità affinché li trasmetta a un’autorità estera nell’ambito di una procedura di assistenza giudiziaria internazionale.

232

Sistema di trattamento per la sorveglianza della corrispondenza postale e RU 2018

2 Successivamente i dati vengono conservati nel sistema di trattamento per un perio- do prolungato, con funzioni per il trattamento ridotte, sino alla fine del termine di conservazione di cui all’articolo 11 LSCPT. L’autorità competente può ordinare che i dati siano già precedentemente conservati in questo modo. 3 In caso di modifiche tecniche sostanziali al sistema di trattamento, i dati restano ancora a disposizione delle autorità per un periodo di sei–12 mesi con tutte le fun- zioni per il trattamento.

Art. 14 Distruzione 1 Prima della scadenza del termine di conservazione di cui all’articolo 11 LSCPT, l’ultima autorità investita del procedimento dà istruzione al Servizio SCPT di: a. distruggere i dati; o b. mettere i dati a disposizione di un’autorità da essa designata e distruggerli nel sistema dopo aver ricevuto la conferma di ricezione. 2 Se, alla scadenza del termine di conservazione, non è possibile risalire all’autorità competente o se questa, benché sollecitata, non fornisce istruzioni, il Servizio SCPT crea un supporto di dati. Consegna il supporto alla massima autorità giudiziaria cantonale o al Tribunale penale federale. Dopo aver ricevuto conferma della ricezio- ne e della leggibilità dei dati, distrugge i dati nel sistema. Verbalizza l’operazione. 3 I dati relativi a informazioni sono memorizzati per 12 mesi, poi sono conservati per la durata del termine di cui all’articolo 11 LSCPT con funzioni di trattamento ridotte e quindi distrutti.

Art. 15 Archiviazione 1 I dati della Confederazione con valore archivistico destinati alla distruzione sono offerti all’Archivio federale svizzero per archiviazione. I dati senza valore archivi- stico sono distrutti. 2 Se previsto dal diritto cantonale, i dati dei Cantoni destinati alla distruzione sono offerti all’autorità cantonale competente. Conformemente all’articolo 4 capoverso 2 della legge federale del 26 giugno 19989 sull’archiviazione, l’archiviazione dei dati dei Cantoni è di competenza dei Cantoni medesimi.

Sezione 5: Disposizioni finali

Art. 16 Disposizioni transitorie 1 Fino alla messa in esercizio dei nuovi componenti del sistema, il Servizio SCPT può procedere alle verbalizzazioni secondo il diritto anteriore.

9 RS 152.1

233

Sistema di trattamento per la sorveglianza della corrispondenza postale e RU 2018

2 Fintantoché i dati non sono conservati a lungo termine in modo centralizzato, la conservazione avviene secondo la prassi vigente. Nel momento in cui secondo l’articolo 13 non sono più disponibili tutte le funzioni per il trattamento, le autorità ricevono i dati delle sorveglianze su un supporto di dati o possono scaricarli nel loro sistema.

Art. 17 Entrata in vigore La presente ordinanza entra in vigore il 1° marzo 2018.

15 novembre 2017 In nome del Consiglio federale svizzero: La presidente della Confederazione, Doris Leuthard Il cancelliere della Confederazione, Walter Thurnherr

234

Sistema di trattamento per la sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni. O RU 2018

Allegato (art. 7 cpv. 4)

Matrice di accesso al sistema di trattamento dei dati del Servizio SCPT Gruppi di persone autorizzati 1. Servizio SCPT

Funzione 1.1 Svolgimento 1.2 Amministra- 1.3 Controlling 1.4 Supporto 1.5 Finanze 1.6 Formazione 1.7 Gestione del mandato zione tecnica tecnico tecnica e sviluppo

a. Amministrazione degli utenti D D G M D b. Manutenzione, riparazione, test e gestione del M D D D sistema c. Contabilità M A D d. Controllo delle pratiche M M G M e. Preparazione, anonimizzazione e pubblicazione dei P P P dati statistici f. Domande di informazioni D G (G) g. Trattamento dei dati delle informazioni D*** G*** G*** G*** h. Risposta alle domande di informazioni A (G) (G) i. Amministrazione delle chiavi crittografiche G D G D j. Ordine/fine della sorveglianza D*** G G G G k. Approvazione della sorveglianza D*** G G l. Proroga della sorveglianza D*** G G

235

Sistema di trattamento per la sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni. O RU 2018

Gruppi di persone autorizzati 1. Servizio SCPT

Funzione 1.1 Svolgimento 1.2 Amministra- 1.3 Controlling 1.4 Supporto 1.5 Finanze 1.6 Formazione 1.7 Gestione del mandato zione tecnica tecnico tecnica e sviluppo

a. Amministrazione degli utenti D D G M D m. Trattamento dei dati delle sorveglianze D*** D*** D*** n. Esame materiale limitato dell’ordine di sorveglian- D D G za o. Esame formale dell’ordine di sorveglianza D G p. Controllo dei termini D G q. Atti delle sorveglianze D G M r. Trasmissione del mandato di sorveglianza alle D G G (G) persone obbligate a collaborare s. Conferma delle persone obbligate a collaborare G G G (G) t. Selezione dei dati sotto la direzione di un giudice D*** D*** G D*** D*** u. Richiesta/fine del collegamento test D D G D D** D v. Approvazione/proroga del collegamento test D G w. Assegnazione/fine del collegamento test presso le D G G (G) persone obbligate a collaborare x. Accesso ai dati dei collegamenti test D D D** D y. Dati verbalizzati del sistema di trattamento D M z. Accesso ai dati con funzioni di trattamento ridotte D*** G*** G***

236

Sistema di trattamento per la sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni. O RU 2018

Gruppi di persone autorizzati 1. Servizio SCPT

Funzione 1.1 Svolgimento 1.2 Amministra- 1.3 Controlling 1.4 Supporto 1.5 Finanze 1.6 Formazione 1.7 Gestione del mandato zione tecnica tecnico tecnica e sviluppo

a. Amministrazione degli utenti D D G M D aa. Telefonate registrate del Servizio SCPT D M ab. Creazione e trasmissione di supporti di dati P D G P (G) P ac. Trasmissione di dati, mediante procedura di richia- (G) (G) (G) (G) P mo, nella rete di sistemi d’informazione di polizia e nel sistema d’informazione del SIC ad. Archiviazione dei dati nell’AFS prima della distru- P P G P P zione ae. Distruzione dei dati nel sistema di trattamento D*** (G) D*** (G) D***

Gruppi di persone autorizzati 2. Autorità autorizzate

Funzione 2.1 Amministratore 2.2 Autorità che 2.3 Responsabile 2.4 Responsabile 2.5 Traduttore 2.6 Formazione 2.7 Autorità 2.8 Autorità dell’organizzazione dispone la delle informazioni delle sorveglianze d’approvazione giudiziaria che (OrgAdmin), sorveglianza dirige il superuser procedimento

a. Amministrazione degli utenti D* D* b. Manutenzione, riparazione, test e gestione del sistema c. Contabilità d. Controllo delle pratiche

237

Sistema di trattamento per la sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni. O RU 2018

Gruppi di persone autorizzati 2. Autorità autorizzate

e. Preparazione, anonimizzazione e pubblicazione dei dati statistici f. Domande di informazioni D* D* D* D* g. Trattamento dei dati delle informa- A A A A A** G** zioni h. Risposta alle domande di informa- G* G* G* G* G* G* zioni i. Amministrazione delle chiavi D** D** D** crittografiche j. Ordine/fine della sorveglianza M*** M** M*** G* G** k. Approvazione della sorveglianza G** G** G** M* G** l. Proroga della sorveglianza G*** M** G*** G* G** m. Trattamento dei dati delle sorve- M** M** M** M** G glianze n. Esame materiale limitato G** G** G** G* dell’ordine di sorveglianza o. Esame formale dell’ordine di G** G** G** G* sorveglianza p. Controllo dei termini G** G** G* G** q. Atti delle sorveglianze G** G** G** G* G**

238

Sistema di trattamento per la sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni. O RU 2018

Gruppi di persone autorizzati 2. Autorità autorizzate

r. Trasmissione del mandato di sorveglianza alle persone obbligate a collaborare s. Conferma delle persone obbligate a collaborare t. Selezione dei dati sotto la direzio- Q Q ne di un giudice u. Richiesta/fine del collegamento Q Q test v. Approvazione/proroga del colle- gamento test w. Assegnazione/fine del collegamen- to test presso le persone obbligate a collaborare x. Accesso ai dati dei collegamenti D** M** M** G test y. Dati verbalizzati del sistema di trattamento z. Accesso ai dati con funzioni di M** M** M** M** G trattamento ridotte aa. Telefonate registrate del Servizio SCPT

239

Sistema di trattamento per la sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni. O RU 2018

Gruppi di persone autorizzati 2. Autorità autorizzate

ab. Creazione e trasmissione di sup- G** G** G** G** porti di dati ac. Trasmissione di dati, mediante D** D** D** procedura di richiamo, nella rete di sistemi d’informazione di poli- zia e nel sistema d’informazione del SIC ad. Archiviazione dei dati nell’AFS prima della distruzione ae. Distruzione dei dati nel sistema Q** Q** di trattamento

240

Sistema di trattamento per la sorveglianza della corrispondenza postale e RU 2018

Gruppi di persone autorizzati 3. Persona 4. Persona interessata e obbligata a Funzione rappresentante collaborare legale

a. Amministrazione degli utenti b. Manutenzione, riparazione, test e gestione del sistema c. Contabilità d. Controllo delle pratiche e. Preparazione, anonimizzazione e pubblicazione dei dati statistici f. Domande di informazioni G** G** g. Trattamento dei dati delle informazioni G** h. Risposta alle domande di informazioni G** A** i. Amministrazione delle chiavi crittografiche M* j. Ordine/fine della sorveglianza G** k. Approvazione della sorveglianza G** l. Proroga della sorveglianza G** m. Trattamento dei dati delle sorveglianze G** n. Esame materiale limitato dell’ordine di sorveglianza o. Esame formale dell’ordine di sorveglianza p. Controllo dei termini q. Atti delle sorveglianze G** r. Trasmissione del mandato di sorveglianza alle persone G** G** obbligate a collaborare s. Conferma da parte delle persone obbligate a collaborare D** t. Selezione dei dati sotto la direzione di un giudice u. Richiesta/fine del collegamento test v. Approvazione/proroga del collegamento test w. Assegnazione/fine del collegamento test presso le persone D** obbligate a collaborare x. Accesso ai dati dei collegamenti test y. Dati verbalizzati del sistema di trattamento z. Accesso ai dati con funzioni di trattamento ridotte G** aa. Telefonate registrate del Servizio SCPT

241

Sistema di trattamento per la sorveglianza della corrispondenza postale e RU 2018

Gruppi di persone autorizzati 3. Persona 4. Persona interessata e obbligata a Funzione rappresentante collaborare legale

a. Amministrazione degli utenti ab. Creazione e trasmissione di supporti di dati ac. Trasmissione di dati, mediante procedura di richiamo, nella rete di sistemi d’informazione di polizia e nel sistema d’informazione del SIC ad. Archiviazione dei dati nell’AFS prima della distruzione ae. Distruzione dei dati nel sistema di trattamento G** Legenda: G (get) = consultare A (add) = consultare, registrare M (mutate) = consultare, registrare, modificare D (delete) = consultare, registrare, modificare, cancellare P (produce) = creare Q (request) = domanda/istruzione * = soltanto all’interno della stessa unità organizzativa ** = soltanto dati delle sorveglianze e delle domande d’informazioni assegnate *** = soltanto su istruzione dell’autorità che dispone o approva la sorveglianza o dell’autorità giudiziaria che dirige il procedimento o delle persone da essa designate () = accesso limitato ai soli metadati (p. es. quale tipo di dati è stato copiato, in che quantità, quando, da dove a dove)

242