Assistenza amministrativa internazionale e art. 6 LPD

Anche nei casi di assistenza amministrativa internazionale va osservata la legge sulla protezione dei dati. Innanzitutto si deve esaminare caso per caso se l'assistenza amministrativa è disciplinata da una legge speciale. Si tratta difatti di garantire che la comunicazione di dati a un altro Paese non violi in modo grave la personalità, soprattutto quando questo Paese non possiede una legislazione che assicura una protezione adeguata. In tal caso, devono essere fornite sufficienti garanzie, ad esempio, con una clausola di protezione dei dati nell'accordo o eventualmente con una dichiarazione.

Abbiamo partecipato al gruppo di lavoro interdipartimentale sul tema dell'assistenza amministrativa internazionale. Si trattava principalmente di esaminare, dal punto di vista della protezione dei dati, come l'articolo 6 LPD (comunicazione di dati all'estero) si ripercuote sull'assistenza amministrativa internazionale. Per questo motivo abbiamo approfondito, per conto del gruppo di lavoro, il tema «Caso particolare LPD - art. 6 LPD e assistenza amministrativa internazionale». Qui di seguito riportiamo le nostre constatazioni:

Data la sua natura di legge trasversale, la LPD va osservata anche nei casi di assistenza amministrativa internazionale. In generale, gli organi federali sono autorizzati a comunicare dati personali soltanto se esiste una base legale sufficiente. La comunicazione di dati personali degni di particolare protezione presuppone una base legale nel senso formale, vale a dire che per ogni settore occorre esaminare se esistono disposizioni speciali che disciplinano l'assistenza amministrativa. Per motivi di completezza facciamo notare che una procedura di richiamo non costituisce un caso di assistenza amministrativa. In questi casi è sempre necessaria una base legale.

Se l'assistenza amministrativa è disciplinata in una legge speciale, si deve esaminare caso per caso come queste disposizioni sono rapportate alle prescrizioni della LPD. Persino il Tribunale federale ha ritenuto in un caso concernente la legge sulle borse che non si poteva affermare in generale - come per l'eccezione prevista all'art. 2 cpv. 2 LPD in merito all'assistenza giudiziaria - che la LPD non era applicabile a priori all'assistenza amministrativa. Se questo catalogo delle eccezioni dovesse essere interpretato più ampiamente secondo i principi «lex specialis derogat legi generali» o «lex posterior derogat legi priori» con leggerezza la protezione dei dati perderebbe quasi subito la sua natura di materia trasversale con i principi uniformi e generali. Nell'elaborazione delle disposizioni legali speciali il legislatore può però tenere conto di taluni principi ed esigenze previsti nella LPD di modo che queste disposizioni non rivestano più un'importanza (materiale) autonoma. In tal caso, in generale la LPD può essere sussidiariamente consultata per definire il margine di manovra disponibile nell'applicazione delle disposizioni legali speciali in materia di assistenza amministrativa. Questo si applica in particolare ai principi generali della protezione dei dati. Le disposizioni legali speciali devono essere quindi osservate parallelamente a quelle della LPD (cfr. DTF 126 II 126 oppure 2A.355/1999). In altri termini, la LPD si applica in linea di massima anche se esistono disposizioni speciali che disciplinano l'assistenza amministrativa.

Se invece mancano disposizioni speciali che disciplinano l'assistenza amministrativa, si deve esaminare se sono soddisfatte le condizioni previste dalla LPD in merito alla comunicazione dei dati eccezionalmente senza una base legale speciale. Questo esame deve tuttavia seguire criteri rigorosi. In ogni caso continuano ad applicarsi i principi generali della protezione dei dati (come ad esempio i principi della legalità, della proporzionalità e della finalità).

A prescindere dal fatto che esista o meno una base legale speciale per l'assistenza amministrativa, l'articolo 6 LPD deve essere osservato nell'assistenza amministrativa internazionale come segue: la LPD prevede che i dati personali non possano essere comunicati all'estero qualora la personalità della persona interessata possa subirne grave pregiudizio, dovuto in particolare all'assenza di una legislazione che assicuri una protezione giuridica adeguata. In altri termini, il detentore di una collezione di dati deve esaminare se vengono rispettati i principi fissati nella Convenzione del Consiglio d'Europa sulla protezione delle persone in relazione all'elaborazione automatica dei dati (STE 108) e nel suo protocollo aggiuntivo concernente le autorità di controllo e i flussi internazionali di dati. Il detentore della collezione di dati deve inoltre garantire che sono stati rispettati i principi della LPD (ossia che la persona interessata può difendere i suoi interessi nel caso in cui questi principi non siano stati osservati, che il diritto di accesso sia garantito e che esiste un organo di sorveglianza indipendente). L'intero esame di adeguamento, appena menzionato, può però essere controllato sulla base dell'elenco degli Stati (non esaustivo) pubblicato sul nostro sito Internet. Se i dati venissero resi pubblici in un Paese che secondo questo elenco dispone di una protezione dei dati adeguata, l'articolo 6 LPD è considerato, in linea di massima, rispettato (ovviamente tranne se nel caso concreto seri indizi facciano supporre una violazione della protezione dei dati). Va inoltre fatto notare che in alcuni Stati, contrariamente alla LPD svizzera, la legislazione sulla protezione dei dati non si applica alle persone giuridiche; ciò significa che nel caso della comunicazione di dati di persone giuridiche l'articolo 6 LPD non è più rispettato.

Nel caso in cui manchi un'adeguata legislazione sulla protezione dei dati, devono essere fornite sufficienti garanzie in un altro modo. Nell'ambito dell'assistenza amministrativa internazionale queste possono essere convenute in una clausola di protezione dei dati di un accordo o eventualmente con una dichiarazione separata. In caso di comunicazione di dati personali degni di particolare protezione, l'Assemblea federale deve ratificare il trattato internazionale (base legale nel senso formale). La clausola di protezione dei dati deve essere adeguata caso per caso al settore interessato e contenere determinati punti. Sul nostro sito Internet sono disponibili alcuni esempi di clausole contrattuali dell'UE e il contratto modello del Consiglio d'Europa.

Nel caso in cui non esistano né una legislazione adeguata né una clausola di protezione dei dati, occorre da ultimo esaminare se non esiste un'altra eccezione prevista dalla legge. Queste eccezioni devono però essere applicate in modo molto restrittivo.

https://www.edoeb.admin.ch/content/edoeb/it/home/documentazione/rapporti-d-attivita/vecchi-rapporti/17--rapporto-d-attivita-2009-2010/assistenza-amministrativa-internazionale-e-art--6-lpd.html