Obbligo di informare

L’obbligo di informare garantisce la trasparenza dei trattamenti e contribuisce a rafforzare i diritti della persona interessata. In assenza d’informazioni, quest’ultima non si rende per forza conto del trattamento dei suoi dati e non può dunque far valere i diritti garantiti dalla LPD. La LPD impone quindi al titolare del trattamento un obbligo di informare la persona interessata di qualsiasi tipo di dati raccolti che la riguardano, a prescindere dal fatto che la raccolta avvenga o meno presso di lei.

Per ciascuna raccolta di dati personali prevista, il titolare del trattamento deve informare previamente in modo adeguato la persona interessata; tale obbligo sussiste anche se i dati non sono raccolti presso di lei.

Il titolare del trattamento fornisce alle persone interessate le informazioni sulla raccolta di dati personali in modo conciso, trasparente, comprensibile e facilmente accessibile. Se la LPD non vincola l’informazione ad alcuna esigenza formale, il titolare del trattamento ne sceglierà una che rispetti il principio di trasparenza dei dati e contenga gli elementi necessari (ad es. dichiarazione di protezione dei dati, condizioni generali, informazione su un sito internet, pittogramma, lettera separata, informazioni in un formulario per il consenso, ecc.). L’informazione dev’essere facilmente accessibile, completa e direttamente identificabile. Nel caso in cui i dati non sono raccolti presso la persona interessata, il titolare del trattamento dovrà trovare un modo che permetta alla persona interessata di venire effettivamente a conoscenza dell’informazione.

Il titolare del trattamento deve comunicare alla persona interessata tutte le informazioni necessarie all’attuazione dei suoi diritti e alla garanzia della trasparenza del trattamento. Concretamente, dovranno essere comunicate l’identità e i dati di contatto del titolare del trattamento, così come lo scopo del trattamento e, se del caso, i destinatari dei dati personali (come ad es. i responsabili). Il grado di dettaglio dell’informazione dipenderà dal tipo di dati personali trattati così come dalla natura e dall’entità del trattamento. Ad esempio, può essere obbligatorio informare sulla durata del trattamento o sull’anonimizzazione di dati. Diversamente dal regime del GPDR, dovranno essere fornite alcune informazioni anche sullo Stato destinatario e sulle eventuali garanzie di un livello appropriato di protezione dei dati.

D’altra parte, l’obbligo di informare è limitato o eliminato dalle eccezioni menzionate all’art. 20 LPD. Ciò è il caso, ad esempio, se la persona interessata dispone già delle informazioni (poiché ha previamente acconsentito al trattamento dei suoi dati) o se il trattamento dei dati personali è previsto dalla legge. Nel caso in cui i dati personali non sono raccolti presso la persona interessata, l’obbligo di informare quest’ultima non sussiste qualora ciò non sia possibile o richieda un onere sproporzionato. Queste eccezioni vanno interpretate in modo restrittivo: il titolare del trattamento non deve accontentarsi di un’ipotesi. Egli deve compiere tutti gli sforzi che ci si può attendere da lui nel caso concreto per adempiere il suo obbligo di informare.D’altra parte, il titolare del trattamento può limitare o differire l’informazione oppure rinunciarvi se lo esige un interesse preponderante pubblico o privato (ad es. l’interesse di terzi o l’esistenza di una procedura giudiziaria).

La LPD prevede inoltre uno specifico obbligo di informare in occasione di decisioni individuali automatizzate, ossia quando un’elaborazione di dati avviene senza intervento umano (ad es. con algoritmi) e produce una decisione o un giudizio concernente la persona interessata (ad es. profilazione, decisioni automatizzate di tassazione, prestazioni mediche attribuite sulla base di decisioni automatizzate, valutazioni automatizzate della solvibilità, ecc.). In virtù dell’art. 21 LPD, il titolare del trattamento dovrà informare quest’ultima e concederle la possibilità di esprimere un parere sul risultato della decisione nonché di esigere che la decisione individuale automatizzata sia riesaminata da una persona fisica. Se la decisione individuale automatizzata è in relazione diretta con la conclusione o l’esecuzione di un contratto tra il titolare del trattamento e la persona interessata e la richiesta di quest’ultima è interamente soddisfatta (ad es. in caso di conclusione di un contratto alle condizioni auspicate) oppure se la persona interessata ha dato il suo espresso consenso a che la decisione sia presa in maniera automatizzata, non sussiste l’obbligo di informare.Gli organi federali hanno l’obbligo di designare come tale una decisione individuale automatizzata. Se la persona dispone di un mezzo di ricorso contro la decisione, in questa procedura sarà garantito il diritto di esprimere un parere e di far esaminare la decisione da una persona fisica.