Obbligo di designare un rappresentante secondo l’articolo 14 LPD

L’articolo 14 della legge federale sulla protezione dei dati (LPD) sancisce l’obbligo di designare un rappresentante in Svizzera per i titolari privati del trattamento che hanno con sede o domicilio all’estero e che trattano dati personali in Svizzera.

Scopo del rappresentante

Secondo l’articolo 14 capoverso 2 LPD il rappresentante funge da interlocutore per le persone interessate e l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Per quest’ultimo il rappresentante vale come recapito, a meno che il titolare privato del trattamento non si faccia rappresentare da un avvocato in Svizzera. In tal caso l’indirizzo professionale dell’avvocato vale come recapito (DTF 143 III 28, consid. 2.2.1).

Presupposti legali dell’obbligo di designazione

I titolari privati del trattamento devono designare un rappresentante in Svizzera se le condizioni secondo l’articolo 14 capoverso 1 LPD sono adempiute cumulativamente:

il trattamento è legato un’offerta di merci o prestazioni o finalizzato a porre sotto osservazione il comportamento di persone in Svizzera;
è un trattamento su grande scala: per grande scala si intende che i dati personali non vengono trattati semplicemente in maniera isolata;
è un trattamento periodico, ossia i dati non vengono trattati soltanto occasionalmente o per un periodo di tempo limitato;
il trattamento comporta un rischio elevato per la personalità delle persone interessate. Il rischio elevato può risultare soprattutto da quantità e tipo di dati trattati (in particolare in caso di dati personali degni di particolare protezione), scopo del trattamento dei dati, tipo e modalità del trattamento dei dati (ad es. nell’impiego delle nuove tecnologie), un’eventuale comunicazione dei dati all’estero e diritti di accesso (ad es. in caso di accesso conferito a un numero cospicuo se non addirittura illimitato di persone).

I titolari che non adempiono o non adempiono ancora alle condizioni legali secondo l’articolo 14 LPD possono designare un simile rappresentante a titolo volontario o preventivo.

Criterio legale del «rischio elevato»

Nella LPD il legislatore impiega la nozione di «rischio elevato» in molte disposizioni. Nell’interpretare questa nozione occorre tenere debitamente conto dei diversi scopi di queste disposizioni come segue.

Nell’esame del «rischio elevato» contestualmente alla valutazione d’impatto sulla protezione dei dati secondo gli articoli 22 e 23 LPD, occorre analizzare gli effetti legati alla protezione dei dati di trattamenti puntuali che il titolare prevede concretamente. Per contro, il «rischio elevato» utilizzato per determinare l’obbligo di designare un rappresentante per un’impresa privata secondo l’articolo 14 LPD deve riferirsi all’insieme dei trattamenti di dati esistenti o previsti con i quali l’impresa in questione influisce o intende influire sulla personalità degli abitanti della Svizzera.

Per valutare l’obbligo di rappresentanza secondo l’articolo 14 LPD, l’IFPDT pondera il potenziale «rischio lordo», che risulta da questo insieme dei trattamenti di dati legati alla protezione dei dati. Questo significa che il «rischio elevato» secondo l’articolo 14 LPD deve essere accertato senza tenere conto delle misure che l’impresa privata titolare del trattamento adotta o prevede di adottare per ridurre i rischi legati alla protezione dei dati.

Se l’analisi del «rischio elevato» secondo l’articolo 14 LPD giunge alla conclusione che per le persone interessate in Svizzera sussiste un tale rischio e se le ulteriori condizioni secondo questa disposizione sono adempiute, il titolare deve designare un rappresentante in Svizzera.

Designazione del rappresentante

L'articolo 14 cpv. 3 LPD stabilisce che i titolari del trattamento devono pubblicare il nome e l'indirizzo del rappresentante, ad esempio in una dichiarazione sulla protezione dei dati. Poiché il titolare funge da punto di contatto non solo per le persone interessate, ma anche per l'IFPDT (articolo 14 cpv. 2 LPD), il suo nome può essere comunicato volontariamente all'IFPDT. I titoloari del trattamento che hanno designato consulenti per la protezione dei dati tramite il portale dell’IFPDT possono indicare questa informazione con l’annotazione «rappresentanza». In alternativa è possibile effettuare una comunicazione volontaria all'IFPDT tramite il modulo di contatto.

Esecuzione dell’obbligo di rappresentanza

Nell’ambito dell’articolo 51 capoverso 4 LPD l’IFPDT può disporre l’obbligo di designare un rappresentante mediante decisione. La decisione può riguardare l’obbligo di comunicare per scritto all’autorità di vigilanza il nome e l’indirizzo del rappresentante, ma anche l’obbligo accessorio di pubblicare queste informazioni e di renderle facilmente accessibili in modo permanente.