La nuova legge LPD dispone quelle che sono le modalità di comunicazione e di trasferimento di dati all’estero.

In particolar modo all’Art. 16 troviamo che “I dati personali possono essere comunicati all’estero soltanto se il Consiglio Federale ha constatato che la legislazione dello Stato destinatario o l’organismo internazionale garantisce una protezione adeguata dei dati”.

Se la protezione dei dati personali non è garantita né da un trattato internazionale, né da clausole contrattuali di protezione dei dati tra il titolare del trattamento e l’altro contraente, da garanzie specifiche stabilite dall’organo federale competente o da clausole previamente approvate, il trasferimento dei dati all’estero non è permesso.

L’Art. 17 dispone invece alcune eccezioni al riguardo:

  • se la persona interessata ha dato il suo consenso;
  • se la comunicazione è in relazione con la conclusione o l’esecuzione di un contratto;
  • se la comunicazione è necessaria per tutelare un interesse pubblico preponderante o accertare, esercitare, far valere un diritto dinanzi alle autorità;
  • se la comunicazione è necessaria per proteggere la vita o l’integrità fisica della persona interessata o di un terzo;
  • se la persona interessata ha reso i dati personali accessibili a chiunque e non si è opposta al loro trattamento;
  • se i dati provengono da un registro previsto dalla legge accessibile al pubblico.

Nei giorni scorsi, l’Incaricato Federale per la Protezione dei Dati e della Trasparenza ha pubblicato una Guida per l’esame dell’ammissibilità della comunicazione di dati all’estero che, sulla base di uno schema, contiene alcune indicazioni riguardanti il trasferimento di dati.

Schema della procedura per la trasmissione all’estero dei dati a norma LPD.

Attualmente, non essendo la nuova LPD già entrata in vigore, si fa riferimento alla legge federale del 19 giugno 1992 sulla protezione dei dati.
RS 235.1 Legge federale del 19 giugno 1992 sulla protezione dei dati (LPD)

Art. 6 – Comunicazione di dati all’estero

I dati personali non possono essere comunicati all’estero qualora la personalità della persona interessata possa subirne grave pregiudizio, dovuto in particolare all’assenza di una legislazione che assicuri una protezione adeguata. Se manca una legislazione che assicuri una protezione adeguata, dati personali possono essere comunicati all’estero soltanto se esistono garanzie sufficienti, segnatamente contrattuali, che assicurano una protezione adeguata all’estero.

Ci si deve quindi assicurare che nel trattamento dei dati nei paesi destinatari sia assicurata una protezione adeguata dei dati.

Se i dati vengono trasferiti in uno stato che figura nell’elenco degli Stati dell’IFPDT, si presume la buona fede secondo l’Art. 3 CC. Nel caso il paese destinatario non dovesse figurare nel suddetto elenco non si deve presupporre che vi siano difficoltà nella protezione dei dati.

Nell’ulteriore caso in cui lo stato non figura nell’elenco dell’Incaricato Federale o se nonostante ciò, vi sono indizi concreti che i dati personali da esportare non siano adeguatamente protetti, si può assicurare la protezione dei dati con ulteriori garanzie, più precisamente con un contratto.

Tale contratto modello è stato elaborato dall’IFPDT in collaborazione con David Rosenthal dello studio legale Homburger di Zurigo.

Inoltre il Paese Terzo deve assicurare alcune garanzie svizzere, che troviamo qui di seguito, che concernono alcuni diritti fondamentali:

  • principio della legalità;
  • proporzionalità dei poteri e delle misure rispetto agli obiettivi normativi perseguiti;
  • i singoli devono avere a disposizione mezzi di ricorso efficaci;
  • garanzia della via giudiziaria e accesso a un tribunale indipendente e imparziale.

Qualora queste garanzie non vengano completamente assicurate occorre esaminare misure supplementari da adottare:

  • misure contrattuali supplementari;
  • misure supplementari tecniche e organizzative.

Nel caso la comunicazione dei dati personali non sia conforme alle disposizioni sulla protezione dei dati personali e si sia quindi rilevato che non vi sono le garanzie sufficienti secondo l’Art. 6, il trasferimento dei dati personali all’estero deve essere sospeso o concluso.