Ordinanza del 31 agosto 2022 sulle certificazioni in materia di protezione dei dati (OCPD) <?xml version="1.0" encoding="UTF-8"?><akomaNtoso xmlns="http://docs.oasis-open.org/legaldocml/ns/akn/3.0" xmlns:fedlex="http://fedlex.admin.ch/"><act name="publicLaw"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Ordinanza del 31 agosto 2022 sulle certificazioni in materia di protezione dei dati (OCPD)" shortForm="OCPD"/><FRBRname xml:lang="de" value="Verordnung vom 31. August 2022 über Datenschutzzertifizierungen (VDSZ)" shortForm="VDSZ"/><FRBRname xml:lang="fr" value="Ordonnance du 31 août 2022 sur les certifications en matière de protection des données (OCPD)" shortForm="OCPD"/><FRBRname xml:lang="en" value="Ordinance of 31 August 2022 on Data Protection Certification (DPCO)" shortForm="DPCO"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/it/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/it"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="it"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/it/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/it/xml"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml" fedlex:generator="2024-q4-rel-1.6.5"/></FRBRManifestation></identification><references source="#ch.bk"><TLCOrganization eId="ch.bk" href="https://fedlex.data.admin.ch/vocabulary/legal-institution/2" showAs="Cancelleria federale"/><TLCRole eId="publisher" href="http://data.legilux.public.lu/resource/ontology/jolux#publisher" showAs="Editeur"/><TLCRole eId="rightsHolder" href="http://data.legilux.public.lu/resource/ontology/jolux#rightsHolder" showAs="Détenteur des droits"/><TLCReference name="language" href="http://publications.europa.eu/resource/authority/language/ITA" showAs="it"/><TLCReference name="format" href="https://fedlex.data.admin.ch/vocabulary/user-format/xml" showAs="xml"/></references></meta><preface><p><docNumber>235.13 </docNumber></p><p><docTitle>Ordinanza <br/>sulle certificazioni in materia di protezione dei dati</docTitle></p><p>(OCPD)</p><p>del 31 agosto 2022 (Stato 1° settembre 2023)</p></preface><preamble><p>Il Consiglio federale svizzero,</p><p>visto l’articolo 13 capoverso 2 della legge federale del 25 settembre 2020<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/2022/491" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>235.1</b></ref></p></authorialNote><br/>sulla protezione dei dati (LPD),</p><p>ordina:</p></preamble><body><section eId="sec_1"><num>Sezione 1: </num><heading>Organismi di certificazione</heading><article eId="art_1"><num><b>Art. 1</b></num><heading>Requisiti</heading><paragraph eId="art_1/para_1"><num>1</num><content><p> Gli organismi che effettuano certificazioni in materia di protezione dei dati secondo l’articolo 13 LPD (organismi di certificazione) devono essere accreditati. L’accreditamento è retto dall’ordinanza del 17 giugno 1996<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1996/1904_1904_1904" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>946.512</b></ref></p></authorialNote> sull’accreditamento e sulla designazione (OAccD), per quanto la presente ordinanza non disponga altrimenti.</p></content></paragraph><paragraph eId="art_1/para_2"><num>2</num><content><blockList><listIntroduction eId="art_1/para_2/listintro"> Sono necessari due accreditamenti distinti per certificare:</listIntroduction><item eId="art_1/para_2/lbl_a"><num>a. </num><p>l’organizzazione e la procedura (sistemi di gestione) relative al trattamento dei dati;</p></item><item eId="art_1/para_2/lbl_b"><num>b. </num><p>i prodotti, segnatamente i sistemi e i programmi di trattamento di dati e l’hardware, nonché i servizi e i processi relativi al trattamento dei dati.</p></item></blockList></content></paragraph><paragraph eId="art_1/para_3"><num>3</num><content><p> Gli organismi di certificazione devono disporre di un’organizzazione e di una procedura di certificazione ben definite (programma di certificazione).</p></content></paragraph><paragraph eId="art_1/para_4"><num>4</num><content><p> I requisiti minimi concernenti la qualifica del personale addetto alla certificazione sono disciplinati nell’allegato. Gli organismi di certificazione devono dimostrare di impiegare personale qualificato secondo questi criteri.</p></content></paragraph></article><article eId="art_2"><num><b>Art. 2</b></num><heading>Procedura di accreditamento</heading><paragraph eId="art_2/para"><content><p>Il Servizio d’accreditamento svizzero (SAS) consulta l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) in merito alla procedura di accreditamento e ai controlli nonché alla sospensione e alla revoca dell’accreditamento.</p></content></paragraph></article><article eId="art_3"><num><b>Art. 3</b></num><heading>Organismi di certificazione esteri</heading><paragraph eId="art_3/para_1"><num>1</num><content><p> Gli organismi di certificazione esteri che desiderano esercitare l’attività sul territorio svizzero devono dimostrare di possedere una qualifica equivalente a quella richiesta in Svizzera, di adempiere i requisiti di cui all’articolo 1 capoversi 3 e 4 e di conoscere sufficientemente la legislazione svizzera sulla protezione dei dati.</p></content></paragraph><paragraph eId="art_3/para_2"><num>2</num><content><p> L’IFPDT riconosce un organismo di certificazione straniero dopo aver consultato il SAS. </p></content></paragraph><paragraph eId="art_3/para_3"><num>3</num><content><p> Può rilasciare riconoscimenti limitati nel tempo e vincolarli a oneri.</p></content></paragraph><paragraph eId="art_3/para_4"><num>4</num><content><p> Revoca il riconoscimento se non sono più adempiuti condizioni o oneri.</p></content></paragraph></article></section><section eId="sec_2"><num>Sezione 2: </num><heading>Oggetto e procedura di certificazione</heading><article eId="art_4"><num><b>Art. 4</b></num><heading>Oggetto della certificazione</heading><paragraph eId="art_4/para_1"><num>1</num><content><blockList><listIntroduction eId="art_4/para_1/listintro"> È possibile certificare:</listIntroduction><item eId="art_4/para_1/lbl_a"><num>a. </num><p>i sistemi di gestione;</p></item><item eId="art_4/para_1/lbl_b"><num>b. </num><p>i prodotti, i servizi e i processi.</p></item></blockList></content></paragraph><paragraph eId="art_4/para_2"><num>2</num><content><p> La certificazione dei sistemi di gestione può riguardare l’intero sistema, una parte dell’organizzazione o procedure specifiche.</p></content></paragraph><paragraph eId="art_4/para_3"><num>3</num><content><blockList><listIntroduction eId="art_4/para_3/listintro"> La certificazione dei prodotti, dei servizi e dei processi può riguardare:</listIntroduction><item eId="art_4/para_3/lbl_a"><num>a. </num><p>i prodotti destinati in prevalenza al trattamento di dati personali o generanti, al momento del loro impiego, dati personali;</p></item><item eId="art_4/para_3/lbl_b"><num>b. </num><p>i servizi o i processi destinati in prevalenza al trattamento di dati personali o generanti dati personali;</p></item></blockList></content></paragraph></article><article eId="art_5"><num><b>Art. 5</b></num><heading>Requisiti per il programma di certificazione</heading><paragraph eId="art_5/para_1"><num>1</num><content><blockList><listIntroduction eId="art_5/para_1/listintro"> Il programma di certificazione deve disciplinare almeno:</listIntroduction><item eId="art_5/para_1/lbl_a"><num>a. </num><p>i criteri di perizia come pure i requisiti che ne conseguono per gli oggetti da certificare; </p></item><item eId="art_5/para_1/lbl_b"><num>b. </num><p>le modalità di svolgimento della procedura, in particolare le misure applicabili in caso di irregolarità.</p></item></blockList></content></paragraph><paragraph eId="art_5/para_2"><num>2</num><content><blockList><listIntroduction eId="art_5/para_2/listintro"> Nell’elaborare il programma di certificazione occorre tenere conto dei seguenti punti:</listIntroduction><item eId="art_5/para_2/lbl_a"><num>a. </num><p>i dati personali trattati;</p></item><item eId="art_5/para_2/lbl_b"><num>b. </num><p>le infrastrutture elettroniche utilizzate per il trattamento dei dati personali;</p></item><item eId="art_5/para_2/lbl_c"><num>c. </num><p>le misure organizzative relative al trattamento dei dati personali.</p></item></blockList></content></paragraph><paragraph eId="art_5/para_3"><num>3</num><content><p> I criteri di perizia devono rispettare tutti i principi dell’articolo 6 LPD.</p></content></paragraph><paragraph eId="art_5/para_4"><num>4</num><content><p> Il programma di certificazione deve essere conforme alle norme applicabili secondo l’allegato 2 dell’OAccD<authorialNote><p> <ref href="https://fedlex.data.admin.ch/eli/cc/1996/1904_1904_1904" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RS <b>946.512</b></ref></p></authorialNote>, nonché alle altre norme tecniche applicabili.</p></content></paragraph></article><article eId="art_6"><num><b>Art. 6</b></num><heading>Requisiti per la certificazione dei sistemi di gestione </heading><paragraph eId="art_6/para_1"><num>1</num><content><blockList><listIntroduction eId="art_6/para_1/listintro"> La perizia del sistema di gestione riguarda:</listIntroduction><item eId="art_6/para_1/lbl_a"><num>a. </num><p>la politica di protezione dei dati;</p></item><item eId="art_6/para_1/lbl_b"><num>b. </num><p>la documentazione degli obiettivi, dei rischi e delle misure atte a garantire la protezione dei dati e la sicurezza dei dati;</p></item><item eId="art_6/para_1/lbl_c"><num>c. </num><p>i provvedimenti organizzativi e tecnici finalizzati a realizzare gli obiettivi e le misure fissate, in particolare i provvedimenti tesi a eliminare le lacune riscontrate.</p></item></blockList></content></paragraph><paragraph eId="art_6/para_2"><num>2</num><content><blockList><listIntroduction eId="art_6/para_2/listintro"> L’IFPDT emana direttive sui requisiti minimi che un sistema di gestione deve adempiere. Tiene conto dei requisiti internazionali in materia di installazione, gestione, sorveglianza e ottimizzazione di tali sistemi di gestione e in particolare delle seguenti norme tecniche<authorialNote><p>  Le norme menzionate possono essere consultate gratuitamente o ottenute a pagamento presso l’Associazione svizzera di normalizzazione (SNV), Sulzerallee 70, 8404 Winterthur; <ref href="www.snv.ch">www.snv.ch</ref>.</p></authorialNote>:</listIntroduction><item eId="art_6/para_2/lbl_a"><num>a. </num><p>UNI EN ISO 9001: Sistemi di gestione per la qualità – Requisiti;</p></item><item eId="art_6/para_2/lbl_b"><num>b. </num><p>UNI CEI EN ISO/IEC 27001, Tecnologie Informatiche – Tecniche di sicurezza - Sistemi di gestione della sicurezza dell’informazione – Requisiti;</p></item><item eId="art_6/para_2/lbl_c"><num>c. </num><p>UNI CEI EN ISO/IEC 27701, Tecniche di sicurezza – Estensione a ISO/IEC 27001 e ISO/IEC 27002 per la gestione delle informazioni in ambito privacy – Requisiti e linee guida.</p></item></blockList></content></paragraph></article><article eId="art_7"><num><b>Art. 7</b></num><heading>Requisiti per la certificazione di prodotti, servizi e processi</heading><paragraph eId="art_7/para_1"><num>1</num><content><blockList><listIntroduction eId="art_7/para_1/listintro"> La perizia di prodotti, servizi e processi deve permettere di verificare che siano garantiti in particolare i seguenti principi:</listIntroduction><item eId="art_7/para_1/lbl_a"><num>a. </num><p>la riservatezza, l’integrità, la disponibilità e la tracciabilità dei dati personali trattati;</p></item><item eId="art_7/para_1/lbl_b"><num>b. </num><p>la rinuncia a trattare dati personali, per quanto lo scopo d’impiego del prodotto, del servizio o del processo non lo richieda; </p></item><item eId="art_7/para_1/lbl_c"><num>c. </num><p>la trasparenza del trattamento di dati personali;</p></item><item eId="art_7/para_1/lbl_d"><num>d. </num><p>le misure tecniche indispensabili che permettono all’utente di rispettare altri principi o obblighi in materia di protezione dei dati, segnatamente i diritti delle persone interessate.</p></item></blockList></content></paragraph><paragraph eId="art_7/para_2"><num>2</num><content><p> L’IFPDT emana direttive sui altri criteri in materia di protezione dei dati di cui tenere conto nell’ambito della perizia.</p></content></paragraph></article><article eId="art_8"><num><b>Art. 8</b></num><heading>Rilascio e validità della certificazione</heading><paragraph eId="art_8/para_1"><num>1</num><content><p> L’organismo di certificazione certifica il sistema di gestione, il prodotto, il servizio o il processo se sono soddisfatti i requisiti legali in materia di protezione dei dati e gli altri requisiti derivanti dalla presente ordinanza e dalle direttive dell’IFPDT o da qualsiasi altra norma equivalente. La certificazione può essere vincolata a oneri.</p></content></paragraph><paragraph eId="art_8/para_2"><num>2</num><content><p> La certificazione è valida per tre anni. L’organismo di certificazione verifica ogni anno se le condizioni determinanti per la certificazione continuano a essere adempiute.</p></content></paragraph></article><article eId="art_9"><num><b>Art. 9</b></num><heading>Riconoscimento di certificazioni estere</heading><paragraph eId="art_9/para"><content><p>Dopo aver consultato il SAS, l’IFPDT riconosce le certificazioni estere purché l’adempimento dei requisiti della legislazione svizzera sia garantito.</p></content></paragraph></article><article eId="art_10"><num><b>Art. 10</b></num><heading>Esenzione dall’obbligo di effettuare una valutazione d’impatto sulla protezione dei dati</heading><paragraph eId="art_10/para"><content><p>Il titolare privato del trattamento può rinunciare a una valutazione d’impatto sulla protezione dei dati conformemente all’articolo 22 capoverso 5 LPD soltanto se la certificazione include il trattamento per il quale dovrebbe essere effettuata la valutazione d’impatto.</p></content></paragraph></article></section><section eId="sec_3"><num>Sezione 3: </num><heading>Sanzioni</heading><article eId="art_11"><num><b>Art. 11</b></num><heading>Sospensione e revoca della certificazione </heading><paragraph eId="art_11/para_1"><num>1 </num><content><blockList><listIntroduction eId="art_11/para_1/listintro">L’organismo di certificazione può sospendere o revocare una certificazione accordata, in particolare se nell’ambito della verifica constata gravi lacune. Si è in presenza di una grave lacuna in particolare se:</listIntroduction><item eId="art_11/para_1/lbl_a"><num>a. </num><p>le condizioni essenziali della certificazione dei dati non sono più adempiute; o</p></item><item eId="art_11/para_1/lbl_b"><num>b. </num><p>una certificazione è utilizzata in modo ingannevole o abusivo.</p></item></blockList></content></paragraph><paragraph eId="art_11/para_2"><num>2</num><content><p> Nei casi di controversia in merito alla sospensione o alla revoca, il giudizio e la procedura sono retti dalle disposizioni di diritto civile applicabili al rapporto contrattuale tra l’organismo di certificazione e il fornitore di programmi o sistemi di trattamento dei dati personali, il titolare del trattamento o il responsabile del trattamento certificati.</p></content></paragraph></article><article eId="art_12"><num><b>Art. 12</b></num><heading>Misure di sorveglianza dell’IFPDT: procedura</heading><paragraph eId="art_12/para_1"><num>1 </num><content><p>L’IFPDT informa l’organismo di certificazione se constata gravi lacune presso un fornitore di programmi o sistemi di trattamento di dati personali, un titolare del trattamento o un responsabile del trattamento certificati.</p></content></paragraph><paragraph eId="art_12/para_2"><num>2</num><content><p> L’organismo di certificazione invita senza indugio il fornitore di programmi o sistemi di trattamento di dati personali, il titolare del trattamento o il responsabile del trattamento certificati a eliminare la lacuna riscontrata entro 30 giorni dalla ricezione della comunicazione dell’IFPDT.</p></content></paragraph><paragraph eId="art_12/para_3"><num>3</num><content><p> Se la lacuna non è eliminata entro 30 giorni, l’organismo di certificazione sospende la certificazione. La certificazione va revocata se appare improbabile che venga a crearsi o venga ripristinata una situazione conforme al diritto entro un periodo di tempo ragionevole.</p></content></paragraph><paragraph eId="art_12/para_4"><num>4</num><content><p> Se la lacuna non è eliminata entro il termine previsto dal capoverso 2 e l’organismo di certificazione non ha sospeso o revocato la certificazione, l’IFPDT ordina una misura ai sensi dell’articolo 51 capoverso 1 LPD. Segnatamente, può ordinare la sospensione o la revoca della certificazione. Se indirizza l’ordine all’organismo di certificazione, ne informa il SAS.</p></content></paragraph></article></section><section eId="sec_4"><num>Sezione 4: </num><heading>Disposizioni finali</heading><article eId="art_13"><num><b>Art. 13</b></num><heading>Abrogazione di un altro atto normativo</heading><paragraph eId="art_13/para"><content><p>L’ordinanza del 28 settembre 2007<authorialNote><p> [<ref href="https://fedlex.data.admin.ch/eli/oc/2007/701" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp">RU <b>2007</b> 5003</ref>, <ref href="https://fedlex.data.admin.ch/eli/oc/2010/151" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2010 </b>949</ref>; <ref href="https://fedlex.data.admin.ch/eli/oc/2016/582" xmlns:data="urn:com:c-moria:legi4ch:xslt:data" xmlns:tmp="urn:com:c-moria:legi4ch:xslt:temp"><b>2016 </b>3447</ref>]</p></authorialNote> sulle certificazioni in materia di protezione dei dati è abrogata.</p></content></paragraph></article><article eId="art_14"><num><b>Art. 14</b></num><heading>Entrata in vigore</heading><paragraph eId="art_14/para"><content><p>La presente ordinanza entra in vigore il 1° settembre 2023.</p></content></paragraph></article></section></body><components><component><doc name="annex"><meta><identification source="#ch.bk"><FRBRWork><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRcountry value="CH"/><FRBRnumber value=""/><FRBRname xml:lang="it" value="Ordinanza del 31 agosto 2022 sulle certificazioni in materia di protezione dei dati (OCPD)" shortForm="OCPD"/><FRBRname xml:lang="de" value="Verordnung vom 31. August 2022 über Datenschutzzertifizierungen (VDSZ)" shortForm="VDSZ"/><FRBRname xml:lang="fr" value="Ordonnance du 31 août 2022 sur les certifications en matière de protection des données (OCPD)" shortForm="OCPD"/><FRBRname xml:lang="en" value="Ordinance of 31 August 2022 on Data Protection Certification (DPCO)" shortForm="DPCO"/><FRBRauthoritative value="true"/></FRBRWork><FRBRExpression><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/it/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/it"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRlanguage language="it"/></FRBRExpression><FRBRManifestation><FRBRthis value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/it/xml/main-text"/><FRBRuri value="https://fedlex.data.admin.ch/eli/cc/2022/569/20230901/it/xml"/><FRBRdate date="2023-09-01" name="jolux:dateEntryInForce"/><FRBRdate date="2022-08-31" name="jolux:dateDocument"/><FRBRdate date="2023-09-01" name="jolux:dateApplicability"/><FRBRauthor href="#ch.bk" as="#publisher"/><FRBRauthor href="#ch.bk" as="#rightsHolder"/><FRBRformat value="xml"/></FRBRManifestation></identification></meta><preface><container name="headerOfAnnex"><block name="heading">Allegato</block></container></preface><mainBody><p>(art. 1 cpv. 4)</p><level eId="annex_u1/lvl_u1"><heading>Requisiti minimi concernenti la qualifica del personale </heading><level eId="annex_u1/lvl_u1/lvl_1"><num>1</num><heading>Certificazione dei sistemi di gestione</heading><content><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_1/listintro">Il personale addetto alla certificazione dei sistemi di gestione dispone complessivamente delle seguenti qualifiche:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_1/bull_u1"><num>– </num><p>conoscenze in materia di diritto della protezione dei dati: esperienza pratica di almeno due anni nel settore della protezione dei dati oppure una formazione completa di almeno un anno, con approfondimento nel diritto sulla protezione dei dati, presso una scuola universitaria o una scuola universitaria professionale;</p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u2"><num>– </num><p>conoscenze in materia di sicurezza dell’informazione: esperienza pratica di almeno due anni nel settore della sicurezza dell’informazione oppure una formazione completa di almeno un anno, con approfondimento in sicurezza dell’informazione, presso una scuola universitaria o una scuola universitaria professionale;</p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u3"><num>– </num><p>conoscenze degli sviluppi nel settore della protezione dei dati e in materia di sicurezza dell’informazione;</p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u4"><num>– </num><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_1/bull_u4/listintro">formazione come certificatore di sistemi di gestione che soddisfa i requisiti determinanti a livello internazionale, così come figurano in particolare nelle norme seguenti<authorialNote><p>  Le norme menzionate possono essere consultate gratuitamente o ottenute a pagamento presso l’Associazione svizzera di normalizzazione (SNV), Sulzerallee 70, 8404 Winterthur; <ref href="www.snv.ch">www.snv.ch</ref>.</p></authorialNote>: </listIntroduction><item eId="annex_u1/lvl_u1/lvl_1/bull_u4/bull_u1"><num>–  </num><p>UNI CEI EN ISO/IEC 17021-1, Valutazione della conformità – Requisiti per gli organismi che forniscono audit e certificazione di sistemi di gestione – Parte 1: Requisiti, </p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u4/bull_u2"><num>– </num><p>UNI CEI EN ISO/IEC 17021-3, Valutazione della conformità – Requisiti per gli organismi che forniscono audit e certificazione di sistemi di gestione – Parte 3: Requisiti di competenza per le attività di audit e la certificazione di sistemi di gestione per la qualità, e </p></item><item eId="annex_u1/lvl_u1/lvl_1/bull_u4/bull_u3"><num>– </num><p>UNI CEI EN ISO/IEC 27006, Tecnologie informatiche – Tecniche di sicurezza – Requisiti per gli enti che forniscono servizi di audit e certificazione dei sistemi di gestione per la sicurezza delle informazioni.</p></item></blockList></item></blockList><p>L’organismo di certificazione deve disporre di personale qualificato per i singoli settori. La perizia dei sistemi di gestione della protezione dei dati da parte di un gruppo interdisciplinare è autorizzata.</p></content></level><level eId="annex_u1/lvl_u1/lvl_2"><num>2</num><heading>Certificazione di prodotti, servizi e processi</heading><content><blockList><listIntroduction eId="annex_u1/lvl_u1/lvl_2/listintro">Il personale addetto alla certificazione di prodotti, servizi o processi dispone complessivamente delle seguenti qualifiche:</listIntroduction><item eId="annex_u1/lvl_u1/lvl_2/bull_u1"><num>– </num><p>conoscenze in materia di diritto della protezione dei dati: esperienza pratica di almeno due anni nel settore della protezione dei dati oppure una formazione completa di almeno un anno, con approfondimento nel diritto sulla protezione dei dati, presso una scuola universitaria o una scuola universitaria professionale;</p></item><item eId="annex_u1/lvl_u1/lvl_2/bull_u2"><num>– </num><p>conoscenze in materia di sicurezza dell’informazione: esperienza pratica di almeno due anni nel settore della sicurezza dell’informazione oppure una formazione completa di almeno un anno, con approfondimento in sicurezza dell’informazione, presso una scuola universitaria o una scuola universitaria professionale;</p></item><item eId="annex_u1/lvl_u1/lvl_2/bull_u3"><num>– </num><p>conoscenze degli sviluppi nel settore della protezione dei dati e in materia di sicurezza dell’informazione; </p></item><item eId="annex_u1/lvl_u1/lvl_2/bull_u4"><num>– </num><p>conoscenze specifiche in materia di certificazione di prodotti, servizi o processi che soddisfano i requisiti del programma di certificazione e le direttive emesse dall’IFPDT nonché i requisiti determinanti a livello internazionale, così come figurano in particolare nelle norme tecniche applicabili e nella norma «UNI CEI EN ISO//IEC 17065<authorialNote><p>  La norma menzionata può essere consultata gratuitamente o ottenuta a pagamento presso l’Associazione svizzera di normalizzazione (SNV), Sulzerallee 70, 8404 Winterthur; <ref href="www.snv.ch">www.snv.ch</ref>.</p></authorialNote>: Valutazione della conformità – Requisiti per organismi che certificano prodotti, processi e servizi».</p></item></blockList><p>L’organismo di certificazione deve disporre di personale qualificato per i singoli settori. La perizia dei prodotti, servizi e processi da parte di un gruppo interdisciplinare è autorizzata.</p></content></level></level></mainBody></doc></component></components></act></akomaNtoso>