Distruzione dei dati

Di quali particolarità del diritto in materia di protezione dei dati bisogna tenere conto nell’ambito della distruzione dei dati?

Anche nell'ambito della distruzione dei dati è importante garantire la protezione di quest'ultimi. I dati personali devono essere protetti, tramite adeguate misure tecniche e organizzative, da qualsiasi trattamento non autorizzato (falsificazione, furto, copia non autorizzata o uso illecito) nonché dalla distruzione accidentale o non autorizzata.

Di conseguenza chi tratta i dati (ev. in collaborazione con il mandatario) deve realizzare un sistema di smistamento che impedisca la distruzione accidentale o non autorizzata nonché la perdita accidentale dei dati (p.es. a causa della distruzione di documenti sbagliati). Egli ha inoltre la responsabilità di assicurare che la distruzione funzioni in modo affidabile e di impedire che i dati  non vengano eliminati, o che lo siano solo parzialmente, a causa di problemi tecnici o errori. Per evitare la possibilità di una ricostruzione parziale o totale, ovvero che terzi tentino di ricostruire i dati, la distruzione dei dati non si limita solo all'eliminazione, ma anche, all'occorrenza, al processo che segue quest'ultima, in particolare il riciclaggio dei materiali.

Il processo di distruzione deve prendere in considerazione la sensibilità dei dati e l'eventuale profitto di un loro utilizzo indebito. Inoltre, deve tenere conto delle possibilità tecniche e organizzative della ricostruzione, facendo in modo che i costi di un'eventuale ricostruzione superino di molto il potenziale profitto di un utilizzo indebito dei dati.

Quali misure di protezione bisogna adottare per assicurare una protezione adeguata durante la distruzione dei dati?

Sotto il profilo tecnico e organizzativo il processo di distruzione (dalla pianificazione della distruzione fino allo smaltimento definitivo) deve essere tale da escludere perdite o trattamenti indesiderati di dati. Quando si definisce questo processo è importante tenere conto anche delle possibilità di ricostruzione prima dello smaltimento definitivo (prevedendo p.es. il riciclaggio o l'incenerimento dei restanti pezzettini di carta, e la fusione dei dischi rigidi previamente trattati con programmi shredder, ecc.). È consigliabile che colui che si occupa del trattamento dei dati elabori e documenti un processo di distruzione dei dati. È importante in particolare definire gli attori che vi prendono parte e il loro ruolo, senza dimenticare di descriverne diritti e doveri.

Il detentore di una collezione di dati automatizzata sottoposta a notifica (art. 11a cpv. 3 LPD) elabora un regolamento che descrive in particolare l'organizzazione interna e le procedure di trattamento e di controllo dei dati e comprende i documenti relativi alla pianificazione, elaborazione e gestione della collezione e dei mezzi informatici. Il regolamento dovrebbe riprodurre tutte le fasi del processo di trattamento dei dati e includere un workflow relativo alla distruzione dei dati.

Di cosa deve tenere conto chi si occupa del trattamento dei dati quando incarica un’impresa terza della loro distruzione?

Il mandante deve controllare che in nessuna fase del processo ci possa essere un impiego indebito dei dati; le possibilità di strutturazione del processo sono molteplici. In primo luogo il mandante ha la possibilità di effettuare controlli a campione in combinazione con la minaccia di sanzioni; in secondo luogo egli può organizzare i processi in modo che l'impiego vietato dei dati sia reso tecnicamente difficoltoso (p.es. tramite un processo di distruzione dei dati completamente automatizzato).

È sufficiente che l’incaricato della distruzione esibisca una certificazione della protezione dei dati?

No. La certificazione del mandatario offre un importante indizio sul fatto che egli dispone di un processo di trattamento dei dati che minimizza il pericolo di violazione della protezione dei dati. Ciononostante, la certificazione non offre la garanzia che il mandatario abbia eseguito un trattamento conforme alle disposizioni sulla protezione dei dati.

Per questo motivo non è sufficiente che in caso di outsourcing il mandante si basi solo ed esclusivamente sulla certificazione presentata dal mandatario. Il mandante deve adottare misure tecniche e organizzative per garantire la sicurezza dei dati. Alcuni esempi per questo tipo di misure sono: verbalizzazione delle fasi di lavoro del mandatario, controlli a campione con riferimento al trattamento dei dati, pene convenzionali convenute contrattualmente in caso di violazione della protezione dei dati da parte del mandatario, ecc. Il mandante è tenuto a prendere i provvedimenti adeguati nel caso venga a conoscenza di un'avvenuta, o imminente, violazione della protezione dei dati da parte del mandatario.

Quale è la differenza fra l’art. 321 CP e l’art. 35 LPD?

La differenza fra l'art. 321 del Codice penale svizzero (CP; RS 311.0) e l'art. 35 LPD è l'ampiezza del gruppo di destinatari. L'art 321 CP vale solo per gli ecclesiastici, gli avvocati, i difensori, i notai, i revisori, il personale medico (medici, dentisti, farmacisti e levatrici), come pure gli ausiliari di questi professionisti; l'art. 35 LPD è invece molto più ampio e include tutte le professioni che trattano profili della personalità o dati personali segreti, degni di particolare protezione.

Quali effetti hanno i due articoli sulla collaborazione con un partner di outsourcing?

Le disposizioni penali non vengono applicate ai partner di outsourcing, purché essi rispettino le disposizioni della legge federale sulla protezione dei dati. Poiché il partner di outsourcing esercita un'attività in virtù di un mandato, la disposizione penale dell'art. 35 LPD non viene applicata poiché quest'ultimo gli permette di accedere ai dati. Per questo motivo l'art. 35 LPD non intralcia l'outsourcing nell'ambito della distruzione dei dati.

https://www.edoeb.admin.ch/content/edoeb/it/home/protezione-dei-dati/Internet_und_Computer/sicurezza-dei-dati/distruzione-dei-dati.html