Antrag des Bundesrates

Il Consiglio federale propone di trasformare la mozione in postulato.

Stellungnahme des Bundesrates

1. Secondo il diritto vigente una base legale esplicita è indispensabile per stabilire una procedura di richiamo che permetta un accesso "online" a una banca dati, gestita da un organo federale ai sensi dell'articolo 3 lettera h LPD e contenente dati personali (art. 17 cpv. 1 e 19 cpv. 3 LPD). Una base legale esplicita in una legge formale è pure richiesta quando la procedura di richiamo rende accessibili dati sensibili o profili della personalità (art. 19 cpv. 3 LPD). Per il Consiglio federale queste disposizioni si applicano a qualsiasi progetto di banche dati, compresa la fase pilota. Stando cosí le cose, sarebbe inutile rivedere la legge per precisare che le sue esigenze valgono anche per la fase pilota dei progetti informatici.

Per il Consiglio federale si tratta, in futuro, non tanto di rafforzare le esigenze della LPD in materia di legalità, quanto piuttosto di ottimizzare queste esigenze. La necessità di una base legale formale esplicita per introdurre un collegamento con procedura di richiamo con dati sensibili può infatti presentare alcuni problemi al momento della fase iniziale di un progetto. In mancanza di un caso reale è spesso difficile circoscrivere con precisione la cerchia delle istanze amministrative federali e cantonali o persino, in certi casi, i privati che potrebbero aver bisogno di accedere con procedura di richiamo a una banca dati in creazione. Il severo rispetto dell'esigenza di una base legale formale può condurre a un disciplinamento troopo largo che crea attese presso le istanze amministrative citate nella legge e che rende piú difficile l'ulteriore rifiuto di una domanda di accesso "on line".

Consapevole di questo problema, il Consiglio federale è disposto a proporre una revisione della LPD allo scopo di rendere meno severa l'esigenza di una base legale formale durante la fase pilota di un progetto quando un motivo d'interesse pubblico importante rende indispensabile il trattamento di dati sensibili o di profili della personalità prima della pubblicazione di una base legale formale. Si potrebbe esaminare la creazione di una norma di delegazione nella LPD, che permetta di rifarsi durante questa fase a un'ordinanza del Consiglio federale o addirittura a un'autorizzazione dell'Incaricato federale della protezione dei dati, munita di determinati oneri. La mancanza provvisoria di una base legale formale dovrebbe essere compensata da altre garanzie che permettano di assicurare la protezione dei diritti delle persone interessate.

Nella misura in cui non appare chiaramente dal testo della mozione se la necessità di una base legale si riferisce a una base legale formale o a una base legale materiale, il Consiglio federale propone di trasformare la mozione in postulato.

2. Attualmente il campo d'applicazione della LPD è delimitato in funzione dell'organo che tratta i dati personali. Il trattamento di dati da parte delle autorità cantonali è di norma retto non dalla LPD ma dal diritto cantonale (art. 2 cpv. 1 LPD). Poco importa che i dati elaborati siano stati ottenuti direttamente dalle autorità cantonali o che quest'ultime li ricevano mediante accesso online a una banca dati gestita dalla Confederazione. Questa autonomia cantonale in materia di protezione dei dati risulta dall'autonomia organizzativa cantonale, principio fondamentale del federalismo svizzero. In materia di protezione dei dati l'autonomia cantonale è già stata tuttavia limitata a piú riprese dal legislatore federale (cfr. art. 16 cpv. 2, 37 cpv. 1 LPD; art. 16 cpv. 3 LMSI; art. 16 cpv. 1, 17 cpv. 1 LStat).

Queste estensioni del campo d'applicazione delle disposizioni federali sulla protezione dei dati mostrano che il legislatore federale tende già di per sé a evitare che l'autonomia cantonale abbassi il limite di protezione dei dati trasmessi dalla Confederazione alle autorità cantonali. Infatti la Confederazione deve badare a non trasmettere dati personali da lei gestiti a terzi non rispettosi di analoghe norme minime di protezione. La sicurezza di un sistema informatico e la protezione dei dati ivi contenuti dipendono dall'anello piú debole della catena. Attualmente il livello di protezione dei dati varia da un cantone all'altro; soltanto 17 cantoni e semicantoni hanno votato una legge sulla protezione dei dati e tutti i cantoni non hanno ancora istituito un'autorità per la protezione dei dati, come previsto dall'articolo 37 capoverso 2 LPD. Un ampio accesso online da parte di autorità cantonali e comunali a certe banche federali di dati potrebbe in futuro diventare problematico senza un'armonizzazione tra Confederazione e cantoni sul rispetto di livelli minimi di protezione. Da questo punto di vista non sarebbe inutile fissare, a livello federale, norme minime da rispettare in materia di accesso, utilizzazione, protezione e controllo delle banche federali di dati. Si dovrà tuttavia esaminare se queste norme devono avere la forma di regole federali direttamente applicabili o se possono essere garantite con una normativa suppletiva applicabile in mancanza di un disciplinamento cantonale corrispondente. Ragione per cui il Consiglio federale propone, anche per questo punto, di trasformare la mozione in postulato.

Il Consiglio federale propone di trasformare la mozione in postulato.