Disposizioni penali

Al fine di rafforzare l’efficacia degli obblighi imposti dalla LPD, essa contiene numerose disposizioni penali destinate a sanzionarne la violazione.

La nuova legge sulla protezione dei dati rafforza sensibilmente le sanzioni penali legate alla violazione degli obblighi da lei imposti. Essa stabilisce quattro distinte infrazioni, enunciate agli art. 60-63 LPD. Queste infrazioni possiedono tre caratteristiche comuni.

Si tratta unicamente di infrazioni intenzionali. Dal profilo penale, la violazione per negligenza degli obblighi legati alla protezione dei dati non è dunque sanzionata.
Esse puniscono in primo luogo le persone fisiche. Se le infrazioni sono state commesse in un’azienda, l’art. 64 cpv. 1 permette, per rinvio alla legge sul diritto penale amministrativo, di condannare le persone che ricoprono una funzione dirigenziale. Si noti che se la multa proposta non supera CHF 50'000.- e se la determinazione della persona punibile esige provvedimenti d’inchiesta sproporzionati all’entità della pena, l’autorità può prescindere da un procedimento contro detta persona e, in sua vece, condannare al pagamento della multa l’azienda.
La pena massima è di CHF 250'000.-.

Si rileva che in ogni caso le autorità cantonali di perseguimento penale – in linea di principio i procuratori pubblici – sono competenti per il perseguimento di queste infrazioni

Una nota importante: questi elementi concernono unicamente l’aspetto penale legato alla violazione delle regole della LPD. Ricordiamo che le sanzioni penali non sono solo uno degli aspetti legati a queste violazioni. Di frequente, esse implicano anche delle conseguenze di diritto pubblico o privato, e in particolare l’obbligo di risarcimento del danno. Le tre limitazioni sopra esposte non si applicano a queste altre aree. Dal punto di vista del diritto privato, è quindi possibile ipotizzare che la società stessa venga citata in giudizio per una violazione colposa delle norme e per un importo superiore a CHF 250'000.-. Tuttavia, questa responsabilità deve essere definita in modo specifico in ciascun caso ed è in linea di principio regolata da un contratto.

Obbligo di informare, di concedere l’accesso e di collaborare (art. 60 LPD)

L’art. 60 LPD fa riferimento agli obblighi di informare, di concedere l’accesso e di collaborare. I due primi obblighi riguardano essenzialmente i rapporti diretti o indiretti tra il responsabile del trattamento e la persona interessata dal trattamento dei dati. L’obbligo di informare sulla raccolta dei dati (art. 19 LPD), rispettivamente sulle decisioni individuali automatizzate (art. 21 LPD), è volta a mettere la persona interessata in condizione di capire cosa verrà fatto dei suoi dati e quindi di prendere una decisione informata. Quanto all’obbligo di concedere l’accesso (art. 25-27 LPD), esso concerne i trattamenti in corso e permette dunque alla persona interessata di esigere la trasparenza sui dati oggetto di trattamento. Se necessario, essa potrà far valere i suoi diritti per correggere i dati, se errati, o per interrompere un trattamento ingiustificato. Queste disposizioni svolgono un ruolo centrale nel sistema della protezione dei dati, in quanto la conoscenza è il presupposto di qualsiasi altra azione. Per queste ragioni, la loro violazione è sanzionata penalmente.

Quanto all’obbligo di collaborare, pure sanzionato dall’art. 60 LPD, esso riguarda le inchieste condotte dall’IFPDT in caso di sospetto di trattamento contrario alla LPD (art. 49 segg. LPD). Tale obbligo assicura, in questo modo, l’efficacia di tale procedura.

Obbligo di informare

Diritto d’accesso

Obbligo di diligenza (art. 61 LPD)

Detenere i dati di persone private significa anche assumersi la responsabilità di questi dati. Il titolare del trattamento deve garantire la sicurezza dei dati mediante misure tecniche e organizzative per proteggerli dall'accesso non autorizzato e dal rischio di perdita (art. 8 cpv. 1 LPD). Deve inoltre rispettare le regole relative alla loro trasmissione, sia a responsabili che all'estero (art. 9 e 16 seg. LPD). Per rafforzare l'efficacia di questi obblighi, l'art. 61 LPD sanziona penalmente la loro violazione.

Obbligo del segreto

L’art. 62 LPD stabilisce un obbligo del segreto, la cui funzione è simile al segreto professionale dell'art. 321 del Codice penale (CP), ma in una versione meno assoluta. Ad esempio, le leggi di procedura giudiziaria prevedono spesso delle eccezioni all’obbligo di testimoniare per le persone astrette al segreto professionale; in linea di principio, queste eccezioni non concernono le persone sottoposte all’obbligo del segreto della LPD. Tuttavia, la cerchia di persone soggette a quest’obbligo è molto più ampia di quella dell’art. 321 CP. Qualsiasi persona che soddisfi il requisito legale, ossia una persona che è venuta a “conoscenza [di dati personali segreti] nell’esercizio di una professione che richiede la conoscenza di tali dati” è potenzialmente soggetta a questo segreto. Nel campo della salute, si pensi ad esempio ai naturopati o agli agopuntori, che non rientrano nel campo d’applicazione dell’art. 321 CP. Per il resto, i concetti di segreto e di rivelazione vanno interpretati nel medesimo senso che nel contesto dell’art. 321 CP. Analogamente, anche il concetto di ausiliari sottostanti all’obbligo del segreto (cpv. 2) è simile a quello utilizzato per l’art. 321 CP. Il professionista può essere svincolato dal suo obbligo al segreto con il consenso della persona interessata, ma anche in virtù di una disposizione legale (ad es. obbligo di testimoniare in un procedimento oppure obbligo di denuncia di cui all’art. 314d del Codice civile).

Comunicazione di dati del paziente

Inosservanza di decisioni dell’IFPDT

L’art. 63 LPD costituisce una disposizione generale, che rafforza l’efficacia delle decisioni rese dall’IFPDT, come ad esempio quando ordina la cessazione di un trattamento in applicazione dell’art. 51 LPD. Quest'ultimo può prevedere che il mancato rispetto della sua decisione comporterà una possibile multa ai sensi dell'art. 63 LPD. Si tratta quindi di una disposizione analoga all'art. 292 CP.