Document ID: /fineweb-2-swissfilter-quality_10-filterrobots/filtered/01111.jsonl.gz/325

Nelle nostre attività la cooperazione internazionale svolge un ruolo indispensabile. Il 2013 è stato contraddistinto dalla prosecuzione dei lavori di modernizzazione della Convenzione 108, delle direttive dell'OCSE e del quadro giuridico europeo. Anche il rafforzamento della cooperazione tra autorità della protezione dei dati è stato al centro delle discussioni, soprattutto in seno all'Associazione francofona delle Autorità della protezione dei dati, della Conferenza internazionale delle autorità di protezione dei dati e degli organi di controllo comuni Schengen, Eurodac e VIS.
Consiglio d'Europa
La modernizzazione della Convenzione per la protezione delle persone in relazione all'elaborazione automatica dei dati a carattere personale (Convenzione 108) resta un'attività prioritaria del Consiglio d'Europa. Il progetto di modernizzazione adottato dal Comitato consultivo della Convenzione 108 (T-PD) in occasione della 29a seduta plenaria (cfr. 20° rapporto d'attività 2012/2013, n. 1.10, in tedesco) è stato trasmesso a un comitato ad hoc (CAHDATA) composto da rappresentanti governativi degli Stati membri del Consiglio d'Europa, dall'Uruguay, dagli Stati con statuto di osservatore permanente nel Consiglio d'Europa e da alcuni Stati terzi che valutano di aderire alla Convenzione. Partecipano ai lavori anche rappresentanti di organizzazioni internazionali, di organizzazioni non governative e dell'economia. Il CAHDATA è incaricato di finalizzare il testo preparato dal T-PD e di preparare un protocollo di modifica della Convenzione. Ha tenuto una prima riunione nel 2013 e dovrebbe concludere i suoi lavori entro il 2014.
Da parte sua, il T-PD ha esaminato il progetto di rapporto esplicativo concernente la Convenzione rivista e ha fissato il quadro dei futuri meccanismi di vigilanza previsti nel progetto di modernizzazione. Ha inoltre esaminato in prima lettura una revisione della raccomandazione R (89) 2 relativa alla protezione dei dati a carattere personale utilizzati ai fini dell'occupazione. Questa revisione è resa necessaria dalle evoluzioni tecnologiche e dal ricorso sempre più frequente alle tecnologie di sorveglianza sul posto di lavoro. Il Comitato ha esaminato anche un rapporto di esperti relativo all'opportunità di rivedere la raccomandazione R (87) 15 tesa a regolamentare l'utilizzo dei dati a carattere personale nel settore della polizia.
Visto che la raccomandazione è parte integrante di accordi internazionali vincolanti, in particolare l'Accordo di Schengen, il Comitato è giunto alla conclusione che, piuttosto che modificarla, convenga elaborare un nuovo strumento conforme alle esigenze attuali in materia di protezione dei dati nel quadro delle attività di polizia e di lotta contro la criminalità. Il Comitato ha adottato il suo programma di lavoro 2014/2015. Si occuperà in particolare della questione dello scambio automatico dei dati a fini fiscali e finanziari.
Infine il Comitato ha avuto uno scambio d'opinioni sull'affare PRISM e le rivelazioni concernenti le attività della NSA e le loro conseguenze per i diritti dell'uomo e le libertà fondamentali. In una lettera indirizzata al Comitato dei Ministri del Consiglio d'Europa il Comitato chiede che sia condotta una riflessione sul rafforzamento delle misure per attuare il quadro giuridico applicabile ai trattamenti di dati a carattere personale effettuati nel quadro di programmi di sorveglianza per fini di sicurezza nazionale, allo scopo di garantire a ogni persona interessata il rispetto dei suoi diritti. Ricorda che questi trattamenti devono essere sottoposti a un controllo effettivo, indipendente e trasparente. Il Comitato denuncia inoltre il ricorso a tecniche di sorveglianza di massa che potrebbero compromettere gravemente il rispetto dei diritti dell'uomo e la democrazia.
Conferenza europea delle autorità di protezione dei dati personali
La Conferenza europea delle autorità di protezione dei dati personali si è tenuta su invito della Commissione per la protezione dei dati portoghese il 16 e 17 maggio 2013 a Lisbona. Sotto il titolo «Protecting Privacy: the challenge ahead» la Conferenza ha consentito di stilare un bilancio sulle riforme in corso in materia di protezione dei dati nell'Unione europea, nel Consiglio d'Europa e nell'OCSE. Abbiamo così presentato lo stato di avanzamento dei lavori di modernizzazione della Convenzione 108 e del suo contenuto. Gli incaricati della protezione dei dati hanno riferito anche su come rendere più efficace la protezione dei dati nella prassi, soprattutto in Internet e nelle reti sociali. La cooperazione tra le autorità della protezione dei dati, le questioni di sicurezza e il ruolo futuro delle autorità di protezione dei dati in seno all'Unione europea sono altri temi che sono stati affrontati.
La Conferenza di Lisbona ha adottato tre risoluzioni. La prima risoluzione verte sul futuro della protezione dei dati in Europa. Gli incaricati esortano gli Stati europei a rafforzare i diritti della personalità e a sostenere l'adozione di un quadro giuridico che garantisca una protezione dei dati effettiva in un mondo altamente tecnologico e globalizzato.
Questo quadro deve essere solido e coerente e assicurare lo stesso livello di protezione nei settori pubblico e privato. Deve consentire di rafforzare i meccanismi di cooperazione tra le autorità di protezione dei dati, che devono essere dotate di competenze e di poteri effettivi, nonché delle risorse umane e finanziarie sufficienti per svolgere i loro compiti di sorveglianza in modo indipendente.
La seconda risoluzione concerne il progetto di accordo di libero scambio tra l'Unione europea e gli Stati Uniti. Gli incaricati chiedono che questo accordo comprenda disposizioni di protezione dei dati. La terza risoluzione concerne le nuove basi legali per disciplinare Europol e la necessità di assicurare un livello di protezione dei dati adeguato.
Conferenza internazionale delle autorità di protezione dei dati personali
La 35a Conferenza delle autorità di protezione dei dati personali si è tenuta dal 13 al 26 settembre a Varsavia. Vi hanno partecipato rappresentanti di circa quaranta Stati, nonché esponenti dell'economia, delle amministrazioni, della società civile e del mondo accademico. Nel corso dell'incontro sono state affrontate le questioni attuali in materia di protezione dei dati, in particolare l'interoperabilità degli strumenti per il trasferimento internazionale dei dati, l'accesso delle autorità statali ai dati, la competenza digitale, i big data, la sicurezza dei computer e delle reti, le competenze e il ruolo delle autorità di protezione dei dati, nonché la problematica delle applicazioni mobili. A proposito di quest'ultimo tema le autorità di protezione dei dati hanno emanato una dichiarazione sull'«applicazione» della società.
Con questa dichiarazione le autorità di protezione dei dati si impegnano a vigilare affinché gli utilizzatori dispongano di una migliore esperienza in materia di protezione dei dati e si prefiggono di discutere con i diversi attori del settore pubblico e privato dei loro ruoli e responsabilità. Rammentano che gli utilizzatori devono mantenere il controllo sui dati che li concernono in modo tale da poter decidere quali informazioni possono essere comunicate e a quale scopo.
Inoltre, i programmatori devono considerare le esigenze in materia di protezione dei dati sin dalla fase di pianificazione di un'applicazione. Devono stabilire con chiarezza quali dati ritengono necessari per un corretto funzionamento dell'applicazione e devono assicurarsi che nessun altro dato sia raccolto senza il consenso informato dell'utilizzatore. Infine, le autorità di protezione dei dati rilevano che i fornitori di sistemi operativi sono anche responsabili per la protezione dei dati sulle loro piattaforme. Esse si prodigheranno nel 2014 per migliorare la protezione dei dati nel settore delle applicazioni e affronteranno questa questione nella loro 36a Conferenza.
Alle Conferenza di Varsavia sono state adottate diverse risoluzioni. In una risoluzione invitano gli organi che elaborano profili (profiling) a:
- stabilire chiaramente la necessità e l'utilità pratica di ogni attività di elaborazione di profili e provvedere ad attuare tutte le misure di sicurezza adeguate prima di elaborare un profilo;
- limitare sin dalla fase di pianificazione la quantità di dati raccolti a quanto necessario ai fini leciti previsti e a garantire l'aggiornamento e l'esattezza dei dati;
- informare sulle attività di elaborazione di profili, soprattutto sul modo di allestire i profili e sulle finalità perseguite;
- garantire, in particolare in caso di decisioni con ripercussioni giuridiche importanti per le persone, che i diretti interessati siano informati sul loro diritto di consultare e rettificare i dati personali e se necessario di ricorrere a un intervento umano;
- garantire che ogni attività di elaborazione di profili sottostia a una vigilanza appropriata.
In una seconda risoluzione sul web tracking e la protezione della sfera privata, le autorità di protezione dei dati riconoscono che, benché rechi alcuni vantaggi agli utilizzatori, il tracciamento dei dati presenta pericoli mai conosciuti finora per la tutela della sfera personale. Invitano dunque le parti coinvolte a:
- rispettare il principio di finalità;
- informare gli utilizzatori sull'impiego di elementi di tracciabilità e lasciare loro il controllo su tali elementi;
- rinunciare a impiegare dispositivi di tracciabilità invisibili per altri scopi che non siano la sicurezza e la scoperta di frodi o la gestione della rete;
- garantire la dovuta trasparenza riguardo a tutte le pratiche di tracciabilità nella rete;
- offrire strumenti orientati alle esigenze degli utilizzatori per garantire loro un adeguato controllo sulla raccolta e l'impiego dei dati personali;
- rinunciare a sorvegliare le attività online dei bambini o dei siti Internet destinati ai bambini;
- rispettare la sfera privata sin dalla fase di pianificazione e esaminare preventivamente i nuovi progetti sotto questo punto di vista;
- utilizzare tecniche che riducano le ripercussioni sulla vita privata, in particolare la depersonalizzazione e il ricorso a pseudonimi;
- stabilire norme tecniche volte a garantire agli utilizzatori un migliore controllo.
Una terza risoluzione esorta a migliorare e rafforzare la trasparenza, principio essenziale per consentire alle persone di prendere decisioni consapevoli sull'impiego dei loro dati e di agire di conseguenza per proteggere la loro sfera privata e far valere i loro diritti. Questa risoluzione è completata da una risoluzione relativa alla competenza digitale per tutti. Il mondo digitale è parte integrante della nostra quotidianità.
Per fronteggiare la sfida della protezione dei dati il quadro giuridico non può da solo dare tutte le risposte e le garanzie necessarie. Le autorità di protezione dei dati ritengono dunque indispensabile promuovere una cultura generale del digitale, di agire congiuntamente con gli attori interessati e di adottare un programma comune, soprattutto in vista di una formazione continua alla competenza digitale.
Ricordando le dichiarazioni (cfr. in particolare la dichiarazione di Montreux, 13° rapporto d'attività 2005/2006, in tedesco) e le risoluzioni adottate in occasione delle precedenti conferenze, le autorità di protezione dei dati personali hanno adottato una risoluzione che chiede di sancire la protezione dei dati e la protezione della sfera privata nel diritto internazionale. Secondo le autorità di protezione dei dati, dopo le rivelazioni di Edward Snowden, è sempre più urgente attuare un accordo giuridicamente vincolante sulla protezione dei dati che garantisca il rispetto dei diritti dell'uomo nel trattamento di dati personali tenendo conto in modo equilibrato della sicurezza, degli interessi economici e della libertà d'espressione.
Infine, in due altre risoluzioni, una sul coordinamento e l'applicazione della legge su scala internazionale, l'altra sull'orientamento strategico della conferenza internazionale, gli incaricati hanno dichiarato di impegnarsi a migliorare e rafforzare la loro collaborazione, soprattutto per assicurare un coordinamento delle inchieste transnazionali. Un documento globale multilaterale riguardo all'attuazione di un quadro per coordinare le attività internazionali in materia di protezione dei dati e di scambio d'informazioni sarà presentato in vista dell'adozione nella 36a Conferenza che si terrà nell'ottobre 2014 alle Mauritius.
Gruppo di lavoro dell'OSCE sulla sicurezza delle informazioni e la protezione della sfera privata
Quest'anno il gruppo di lavoro dell'OSCE sulla sicurezza delle informazioni e la protezione della sfera privata si è occupato soprattutto di finalizzare le direttive sulla sicurezza e la protezione dei dati. Dopo intense discussioni è stato deciso di attenersi agli otto principi fondamentali già esistenti. Sono invece previsti nuovi programmi di gestione della privacy con i quali le imprese devono mettere sistematicamente a disposizione dei clienti e delle autorità soprattutto tutte le informazioni rilevanti per la protezione della sfera privata. In caso di violazioni della sicurezza dei dati o della protezione dei dati è previsto un obbligo di informare (notifica delle violazioni di dati). Inoltre, i criteri applicabili alle comunicazioni di dati all'estero sono definiti in modo più preciso, la cooperazione internazionale è rafforzata e l'accento è posto sulla sensibilizzazione e la formazione del pubblico. È stata presa in considerazione la richiesta di dotarsi di tecnologie rispettose della sfera privata. Infine, il rispetto della sfera privata è riconosciuto come diritto fondamentale. Dopo che il Comitato dei Ministri avrà adottato queste direttive, il gruppo di lavoro si occuperà dell'attuazione delle direttive rivedute.
Nelle discussioni ha assunto grande importanza il ruolo dei dati personali nell'economia. Vista la forte diffusione della digitalizzazione nel trattamento e nella conservazione dei dati personali, concetti come cloud computing, big data e open data sono divenuti temi di discussione permanenti del gruppo di lavoro. È innegabile che la crescita economica del futuro sia connessa allo sfruttamento di un'enorme quantità di dati (data driven economy). La protezione della sfera privata diventerà dunque capitale. Oltre al ruolo svolto da Stato ed economia, sarà cruciale quello dell'utente di Internet, perché la gran parte dei dati personali presenti nella rete è proprio generata, spesso inconsapevolmente, dagli utenti stessi. È necessario attuare altre misure per compensare la mancanza di trasparenza e di protezione sopratutto in questo contesto. D'altronde, visto l'enorme volume dei dati, si pone inevitabilmente la questione della sicurezza. A tale proposito vi è un nesso con le direttive sulla protezione dei dati dell'OCSE recentemente riviste e le direttive sulla sicurezza dell'OCSE che dovranno essere riviste.
Occorre anche rilevare che molti Stati membri sono preoccupati perché ritengono che nel caso di big data, open data ecc. le condizioni quadro relative alla protezione della sfera privata potrebbero ripercuotersi negativamente sulle prospettive di sviluppo economico. Tuttavia, regna l'unanimità sul fatto che sono i metodi e i processi di trattamento dei dati che devono conformarsi alle disposizioni in materia di protezione dei dati locali e non il contrario.
Associazione francofona delle Autorità di protezione dei dati
L'Associazione francofona delle Autorità della protezione dei dati (AFAPDP) ha tenuto la sua 7a conferenza e la sua Assemblea generale il 21 e 22 novembre 2013 a Marrakech. Alla conferenza hanno partecipato rappresentanti di 25 Stati francofoni. È stata l'occasione per le autorità di protezione dei dati degli Stati francofoni di avere uno scambio d'opinioni sulle questioni attuali. È stato stilato un bilancio degli sviluppi legislativi in corso a livello nazionale e internazionale nelle differenti regioni del mondo. Le autorità di protezione dei dati hanno affrontato la questione della difesa delle libertà in Internet, del ruolo dei dispositivi e dei servizi mobili nella società e delle sfide che ne derivano per i diritti e le libertà fondamentali. Hanno inoltre discusso sulla gestione della comunicazione verso l'esterno e sulla loro politica nei confronti dei media, nonché sull'esercizio delle loro competenze, in particolare del loro compito di vigilanza.
Nell'Assemblea generale è stato rieletto alla presidenza Jean Chartier (Quebec), mentre Jean-Philippe Walter, supplente dell'incaricato federale, è stato rieletto assieme a Marguerite Ouedraogo (Burkina Faso) alla carica di vicepresidente. Isabelle Falquier-Pierrotin è stata riconfermata quale segretaria generale.
L'Assemblea ha adottato tre risoluzioni. La prima mira a garantire maggiore trasparenza nelle pratiche di raccolta dei dati personali da parte delle autorità statali e invita i governi degli Stati membri dell'Associazione a sostenere l'adozione alle Nazioni Unite di uno strumento giuridico vincolante di protezione dei dati e a coloro che hanno adottato un legislazione in materia di protezione dei dati di chiedere l'adesione alla Convenzione 108 e al suo protocollo aggiuntivo.
La seconda risoluzione verte sulla formazione alla competenza digitale. Le autorità di protezione dei dati francofone continueranno a promuovere un'utilizzazione rispettosa e consapevole delle tecnologie digitali da parte dei cittadini e delle organizzazioni pubbliche e private e una formazione alla competenza digitale accessibile a tutti sull'intero arco di vita, perché ritengono necessario, in un contesto di rapide evoluzioni tecnologiche, dare alle persone i mezzi per diventare attori responsabili e con pari diritti nel mondo digitale.
La terza risoluzione concerne l'adozione di un protocollo per la cooperazione tra gli Stati membri dell'AFAPDP e l'introduzione di una procedura quadro per il trasferimento di dati in area francofona, in particolare mediante regole d'impresa vincolanti. Queste regole offrono molti vantaggi. In particolare, permettono di garantire un livello elevato di protezione dei dati. Questo strumento prevede il rispetto dei principi fondamentali di protezione dei dati sotto forma di codici di condotta interni all'impresa e di meccanismi di attuazione (consulente per la protezione dei dati, procedura di audit, formazione, procedure di ricorso).
L'IFPDT non potrà allo stato attuale adottare queste regole vincolanti. Analogamente alle regole d'impresa vincolanti europee, potrà tuttavia riconoscere come sufficienti le garanzie offerte dalle regole d'impresa vincolanti approvate da altre autorità di protezione dei dati nel trasferimento di dati all'estero.
Gruppo di lavoro «Border Travel & Law Enforcement»
Il «Border, Travel & Law Enforcement Subgroup» (BTLE) è un sottogruppo di lavoro istituito dal Gruppo di lavoro «articolo 29» sulla protezione dei dati. Il sottogruppo ha quale scopo di seguire gli sviluppi legislativi nel settore della polizia, delle frontiere e della giustizia penale, soprattutto quelli relativi all'acquis di Schengen. In questo contesto, il BTLE stila perizie e pareri che sono in seguito adottati dal gruppo di lavoro sull'articolo 29 della direttiva 95/46/CE. Nel corso dell'anno in rassegna abbiamo partecipato alle diverse riunioni.
Il sottogruppo di lavoro ha in particolare preparato un parere sul progetto di «frontiere intelligenti» a seguito dell'adozione da parte della Commissione di due proposte di regolamento relative a un sistema di entrata/uscita per registrare le entrate e le uscite dei cittadini di Stati terzi che attraversano le frontiere esterne degli Stati membri dell'Unione europea e a un programma di registrazione dei viaggiatori.
Il sottogruppo ha seguito con attenzione l'elaborazione di un quadro europeo per la comunicazione dei dati PNR agli Stati terzi e per l'utilizzazione dei dati PNR ai fini del perseguimento penale. Segue pure la revisione del quadro giuridico in materia di protezione dei dati dell'Unione europea attuato con il Trattato di Lisbona. Il sottogruppo elabora inoltre una perizia sul principio di necessità nel settore della protezione dei dati. Dalla vicenda Snowden il sottogruppo discute attivamente del programma PRISM e di altri programmi simili.
Gruppo di coordinamento per il controllo del SIS II
L'11 giugno 2013 si è tenuta la prima riunione ufficiale del Gruppo di coordinamento del SIS II, che ha sostituito l'Autorità di controllo comune Schengen (ACC) a seguito dell'entrata in vigore del SIS II il 9 aprile 2013. Il Gruppo di coordinamento SIS II è composto allo stesso modo di quello incaricato di controllare Eurodac e VIS: vi partecipano il Garante europeo della protezione dei dati e le autorità nazionali di protezione dei dati. Una seconda seduta si è tenuta il 17 ottobre 2013.
Nel corso delle sue riunioni il gruppo ha adottato il suo regolamento interno, eletto presidente e vicepresidenti e approvato il suo nuovo programma di lavoro che riprende in gran parte quello dei lavori iniziati dall'ACC. È stato informato del buon andamento del processo di migrazione da SIS I+ a SIS II, che è diventato operativo il 9 aprile 2013, come pure della relativa campagna informativa. Nel corso della prima riunione del gruppo l'incaricato danese della protezione dei dati ha informato che l'N-SIS danese ha subito un attacco di pirateria informatica.
A seguito di questa informazione è stato elaborato uno scritto in cui tutte le autorità di protezione dei dati chiedono ai loro uffici SIRENE nazionali di assicurarsi che tutte le misure di sicurezza necessarie siano state attuate e che non si sia verificato un incidente del genere. Infine il gruppo ha costituito un sottogruppo incaricato di elaborare un documento concernente l'ispezione dei sistemi di allarme SIS II, VIS e EURODAC.
A livello svizzero il coordinamento delle attività legate a Schengen avviene in seno al gruppo di coordinamento che riunisce l'IFPDT e le autorità cantonali di protezione dei dati. Questo gruppo, che si riunisce almeno due volte all'anno, consente alle autorità rappresentate di informarsi sugli sviluppi in corso e sulle attività dell'ACC, di pianificare le attività di controllo e di scambiarsi informazioni.
Gruppo di lavoro europeo sul trattamento di casi rilevanti per la protezione dei dati
La 25a riunione del Gruppo di lavoro europeo sul trattamento di casi rilevanti per la protezione dei dati (Case handling workshop) si è tenuta il 2 e 3 ottobre 2013 a Sarajevo. Composto di rappresentanti di 29 autorità nazionali di protezione dei dati, il Gruppo di lavoro ha affrontato diversi temi. Innanzitutto ha trattato la problematica delle reti sociali e di Internet. È emerso come sia indispensabile sensibilizzare la popolazione sui pericoli di queste reti e responsabilizzarla; diverse autorità di protezione dei dati hanno elaborato una guida destinata ai più giovani. L'IFPDT sostiene la campagna di sensibilizzazione «NetLa - I miei dati sono miei» destinata a bambini e adolescenti (cfr 18° rapporto d'attività 2010/2011, n. 3.3, in tedesco, e www.netla.ch)
In un secondo momento si è parlato delle nuove sfide poste dall'utilizzazione della telefonia mobile nel settore della protezione dei dati, soprattutto per quanto riguarda l'impiego dell'applicazione WhatsApp. Infine, si è discusso di marketing diretto, impiego di dati biometrici e videosorveglianza in ambito pubblico e privato, temi che sono stati illustrati mediante casi concreti trattati da autorità della protezione dei dati. L'autorità di protezione dei dati bosniaca pubblicherà prossimamente un manuale su tutti i temi affrontati nel corso della riunione.
Visita dell'incaricata della protezione dei dati della Georgia
Su richiesta del DFAE abbiamo ricevuto l'incaricata della protezione dei dati della Georgia e la responsabile del dipartimento delle relazioni internazionali e della comunicazione per una giornata d'informazione e di scambio sulle nostre pratiche in materia di consulenza e controllo.
Il DFAE ha organizzato nel dicembre 2013 una visita diplomatica dell'incaricata della protezione dei dati georgiana. La legge della Georgia in materia di protezione dei dati è entrata in vigore nella primavera 2013 e l'incaricata ha assunto le sue funzioni nel corso dell'estate. Il suo servizio, composto di 14 persone, è in fase di costituzione. La sua azione è prevalentemente limitata a compiti di consulenza, mentre dal 2016 potranno essere condotte procedure di controllo nel settore privato.
L'incaricata della protezione dei dati ritiene molto importante incontrare diverse autorità della protezione dei dati europee, per informarsi sulla loro organizzazione e sul loro modo di lavorare. Accompagnata dalla responsabile della divisione delle relazioni internazionali e della comunicazione ha scelto quale prima visita la nostra autorità della protezione dei dati per le ottime relazioni diplomatiche tra la Svizzera e la Georgia.
Nei nostri locali si è dunque tenuta una giornata di scambio. Abbiamo accolto ufficialmente la delegazione georgiana, accompagnata dal consulente per la protezione dei dati del DFAE, e abbiamo presentato la nostra organizzazione interna. Abbiamo in seguito esposto i nostri compiti nel dettaglio e illustrato le nostre attività di consulenza e di controllo con diversi esempi. Abbiamo anche presentato il nostro metodo di lavoro, gli strumenti e l'infrastruttura a nostra disposizione e, infine, le nostre iniziative di sensibilizzazione alla protezione dei dati.