17° rapporto d’attività

Berna, 28.06.2010 - Nello scorso anno di attività l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) si è occupato fra l’altro di diversi sviluppi attuali, tra cui i più clamorosi sono l’obbligatorietà della rilevazione sulle forze di lavoro in Svizzera (RIFOS), le richieste di una pubblicazione online dei nomi dei pirati della strada o la controversia sui servizi online come Google Street View. Su segnalazione di terzi ha però anche proceduto ad accertamenti presso un offerente di esami genetici, ha giudicato sulla legalità delle riprese video con ricognitori telecomandati, ha incaricato un esperto esterno di esaminare la proporzionalità del trattamento dei dati sulla solvibilità, ha redatto spiegazioni sul responsabile aziendale della protezione dei dati e si è pronunciato sulla trasmissione di dati a terzi da parte delle associazioni a scopi di marketing. Nel suo rapporto, che comprende il periodo dal 1° aprile 2009 al 31 marzo 2010, l’IFPDT si è particolarmente concentrato sulla sensibilizzazione dei bambini e degli adolescenti alla protezione dei dati. In relazione con Schengen l’Incaricato federale ha eseguito diversi controlli e ha instaurato la collaborazione con i cantoni. Ha inoltre formulato riserve sull’avamprogetto di revisione della legge federale sulla sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni, ha giudicato sull’architettura raccomandata per l’eHealth Schweiz e ha illustrato in una relazione al Politecnico federale di Zurigo la problematica dell’impiego di chip RFID dal punto di vista della protezione dei dati. Come ogni anno, l’IFPDT ha trattato anche temi quali la protezione dei dati sul posto di lavoro e la questione dell’impiego corretto delle impronte digitali per il controllo delle presenze o il problema dei programmi di spionaggio. Il caso, già menzionato l’anno precedente, relativo alla cassa pensioni che in modo non conforme alla protezione dei dati invia i certificati personali ai suoi assicurati, è stato presentato davanti all’autorità superiore, così come il caso del Centro sportivo KSS, che ha rifiutato di seguire le raccomandazioni dell’IFPDT riguardanti il sistema biometrico di accesso e che ora è stato richiamato all’ordine dal Tribunale amministrativo federale. Il rapporto riassume anche il lavoro dell’IFPDT nell’ambito della legge federale sul principio di trasparenza dell’amministrazione.

Nell’autunno scorso l’obbligo di risposta, appena introdotto, per la rilevazione sulle forze di lavoro in Svizzera (RIFOS) ha sollevato non poche polemiche sul fatto che, su incarico dell’Ufficio federale di statistica (UFS), un istituto privato facesse la rilevazione via telefonica. L’Incaricato federale ha proposto diverse misure all’UFS per consolidare la fiducia della popolazione nel trattamento dei dati rilevati conforme alla protezione dei dati.

In seguito ai tragici incidenti stradali causati dalla guida irresponsabile è stata ripetutamente sollevata la richiesta di pubblicare i nomi degli autori. L’IFPDT mette tuttavia in dubbio l’effetto preventivo di una simile esposizione su Internet e teme che possa degenerare in una sorta di classifica. Sarebbero molto più efficaci misure penali come ad esempio il ritiro della patente di guida per un lungo periodo.

Nell’agosto dello scorso anno Google ha messo online il servizio Street View. Dal punto di vista della protezione dei dati, però, questo servizio ha mostrato notevoli lacune e i numerosi interessati hanno presentato reclami all’IFPDT. Dopo che Google ha rifiutato le diverse raccomandazioni formulate alla sua attenzione per migliorare la protezione dei dati, l’Incaricato federale ha sporto azione al Tribunale amministrativo federale.

In seguito a segnalazioni della popolazione l’IFPDT ha eseguito un accertamento dei fatti presso una ditta a Zurigo che offre test di paternità e analisi sulla provenienza (test genealogici). Sono emerse alcune minime lacune quanto alla trasparenza che la ditta ha subito provveduto a colmare. Non sono state pertanto necessarie ulteriori misure.

Su richiesta dell’Ufficio federale dell’aviazione civile (UFAC) l’Incaricato federale ha illustrato quali criteri devono essere considerati per le riprese video con ricognitori telecomandati o altri aeromobili, ossia: presenza di un motivo giustificativo, trasparenza nei confronti delle persone interessate, adeguata protezione dei dati contro gli accessi non autorizzati e rapida cancellazione dei dati.

L’IFPDT ha incaricato un perito esterno di chiarire quanto tempo le agenzie di informazioni creditizie possono trattare e trasmettere dati riguardanti la solvibilità. Dalla perizia è emerso che le basi della legge federale sull’esecuzione e sul fallimento (LEF) sono rilevanti per la proporzionalità della durata di trattamento, anche se la legge non prevede direttamente obblighi per simili agenzie. L’Incaricato federale ha comunicato i risultati all’Ufficio federale di giustizia e polizia e alle agenzie di informazioni creditizie, sottolineando però, non per la prima volta, quanto siano significativi nella vita economica odierna i dati sull’esecuzione e la loro trasmissione a terzi da parte delle agenzie di informazioni creditizie.

Dopo la revisione della legge sulla protezione dei dati, in vigore dal 2008, le imprese non devono più notificare le loro collezioni di dati all’IFPDT, se nominano un responsabile per la protezione dei dati e ne informano l’Incaricato federale. I requisiti minimi in merito alla posizione e all’idoneità specialistica del responsabile sono definiti dall’IFPDT nelle spiegazioni sul responsabile aziendale per la protezione dei dati.

Anche lo scorso anno sono state poste domande in merito al trattamento dei dati dei membri di associazioni e società. L’IFPDT ha prestato consulenza ad alcune società sportive e alla loro associazione mantello sulla trasmissione di dati dei membri a scopi di marketing. Questa è in linea di massima permessa solo previo consenso dei membri. Per evitare che ogni società debba chiedere separatamente il consenso, il che implica molte risorse, è immaginabile secondo l’IFPDT che l’associazione mantello svolga questo compito chiedendolo una sola volta ai membri e trattando quindi soltanto i dati consentiti.

Numerose offerte in Internet e nella telefonia mobile si rivolgono anche o specialmente ai giovani. La sfera privata viene quindi messa in pericolo, e non di rado, poiché i giovani sono poco consapevoli dei rischi nella rete. Nell’anno in rassegna l’IFPDT si è pertanto concentrato sulle generazioni più giovani per sensibilizzarle, unitamente ai genitori e agli insegnanti, sulle questioni legate alla protezione dei dati. Nell’ambito della 4a giornata europea della protezione dei dati si sono tenute diverse manifestazioni e l’Incaricato federale ha fatto sviluppare uno strumento formativo all’attenzione dei giovani e degli insegnanti per imparare nozioni fondamentali sulla protezione dei dati. Ha inoltre pubblicato ampie informazioni sulla sua pagina Internet.

Per quanto concerne i trattamenti dei dati personali nel sistema d’informazione di Schengen SIS, l’IFPDT, in qualità di autorità di vigilanza degli organi federali in materia di protezione dei dati, ha eseguito diversi controlli, ad esempio presso la rappresentanza diplomatica della Svizzera al Cairo e presso la polizia giudiziaria federale per i trattamenti dei dati. Inoltre, l’Incaricato federale ha convocato in due riunioni il gruppo di coordinamento per la collaborazione con le autorità cantonali di protezione dei dati.

Nell’ambito della consultazione degli uffici sull’avamprogetto di revisione della legge federale sulla sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni l’IFPDT ha criticato anche il trattamento non trasparente del diritto d’informazione e i dati insufficienti sull’efficacia di programmi informatici che saranno installati inosservatamente nei computer. Ha inoltre chiesto di circoscrivere chiaramente la cerchia di persone alla quale la legge si applica.

Nell’ambito dell’eHealth Schweiz il Consiglio federale ha attribuito particolare importanza al rispetto degli standard sulla protezione dei dati. L’IFPDT collabora agli standard e alle architetture e s’impegna affinché i principi quali autodeterminazione informativa, struttura decentralizzata e vincolamento allo scopo plasmino l’architettura. Ha constatato che in questo ambito esiste una sensibilità nei confronti dei problemi di protezione dei dati.

La tecnologia RFID prende sempre più piede nella gestione dei prodotti come biglietti ferroviari, libri di biblioteca o dispositivi antifurto. I dati salvati sui RFID-tag e non specialmente protetti possono essere letti o manipolati da appositi apparecchi senza che gli interessati se ne accorgano. Questo cela notevoli rischi per la sfera privata, ad esempio, l’allestimento di profili di acquisto o di viaggio. Nell’impiegare questo sistema occorre creare trasparenza e sviluppare i sistemi di modo che soddisfino i requisiti sulla protezione dei dati.

Anche l’impiego di dati biometrici come ad esempio l’impronta digitale diventa sempre più diffuso. Per minimizzare i rischi legati al trattamento dell’impronta digitale, in molti casi è sufficiente impiegarne soltanto una parte, invece di un’intera. In pochi casi occorre una memorizzazione centralizzata dei dati. L’IFPDT ha elaborato una guida sull’argomento.

I programmi informatici che consentono una sorveglianza sul posto di lavoro in tempo reale, violano la sfera privata. Il datore di lavoro può sì controllare le prestazioni di lavoro del suo subordinato, ma non effettuare una sorveglianza ventiquattro ore su ventiquattro. Deve definire in un regolamento interno l’uso dei mezzi informatici messi a disposizione (PC, e-mail, Internet, ecc.) e rendere trasparente in che modo viene controllato il rispetto e come vengono sanzionate eventuali infrazioni.

Una cassa pensioni che invia i certificati personali non direttamente ai loro assicurati ma ai loro datori di lavoro viola il principio della legalità e l’obbligo del segreto secondo il diritto delle assicurazioni sociali. L’istituto previdenziale in questione, che l’anno precedente aveva già impegnato l’IFPDT, ha rifiutato la raccomandazione formulata dall’Incaricato federale. L’IFPDT ha quindi presentato al Dipartimento federale dell’interno (DFI) una domanda di decisione in merito a questa situazione.

Nell’anno in esame anche il caso del Centro sportivo KSS ha impegnato l’IFPDT, ma perlomeno si è concluso in modo soddisfacente. Dovendo giudicare sull’assetto del sistema di accesso biometrico del centro, il Tribunale amministrativo federale ha ammesso l’azione dell’IFPDT, chiarendo al contempo le questioni della protezione dei dati in questo settore. L’incaricato federale ha accolto con favore la sentenza, nel frattempo passata in giudicato.

Per l’IFPDT l’anno in rassegna è stato decisamente denso anche nel settore del principio di trasparenza. Mentre il numero di domande di accesso presso i dipartimenti e gli uffici rimane pressoché invariato, il numero delle domande di mediazione presso l’IFPDT è notevolmente aumentato. Dall’entrata in vigore della legge sulla trasparenza quattro anni or sono si profila una tendenza in cui si pronunciano sempre meno, in termini percentuali, rifiuti completi, ma quindi si garantiscono sempre più accessi parziali.

Ulteriori temi del 17° rapporto d’attività sono contenuti nel riassunto allegato.