Riconoscimento da parte della Svizzera degli Stati che garantiscono una protezione adeguata dei dati

Conformemente alla LPD in vigore dal 1° settembre 2023, il Consiglio federale è incaricato di decidere se uno Stato, un territorio, un determinato settore di uno Stato o un organismo internazionale offre un livello adeguato di protezione dei dati. Il compito di valutare l’adeguatezza della protezione dei dati spetta all’Ufficio federale di giustizia.

L’articolo 8 OPDa definisce diversi criteri che devono essere presi in considerazione nella valutazione e precisamente:

a. gli impegni internazionali, in particolare nel settore della protezione dei dati;
b. lo Stato di diritto e il rispetto dei diritti dell’uomo;
c. la legislazione vigente in particolare in materia di protezione dei dati, la sua attuazione e la giurisprudenza pertinente;
d. l’effettiva garanzia dei diritti delle persone interessate e dei mezzi giuridici;
e. l’effettivo funzionamento di una o più autorità indipendenti responsabili della protezione dei dati e dotate di poteri e competenze sufficienti.

L’Allegato 1 dell’OPDa contiene l’elenco degli Stati che dispongono di un livello adeguato di protezione dei dati. Questo elenco, che è vincolante, è riprodotto nella tabella qui di seguito.

Non va dimenticato che, sotto il regime della LPD in vigore fino ad agosto 2023, l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) aveva stabilito un elenco indicativo degli Stati che offrivano una protezione adeguata dei dati, ma spettava sempre all’esportatore dei dati valutare se e assicurarsi che i dati fossero protetti in modo adeguato in uno Stato terzo. Questo cambierà con il nuovo regime.

Elenco di Stati, territori, determinati settori di uno Stato e organismi internazionali in cui è garantita una protezione adeguata dei dati

Stato, territorio, determinato settore di uno Stato o organismo internazionale	Informazioni complementari / documentazione
Germania*
Andorra***
Argentina***
Austria*
Belgio*
Bulgaria***
Canada***	Un adeguato livello di protezione dei dati è garantito se si applica la legge federale canadese "Loi sur la protection des renseignements personnels et les documents électroniques", del 13 aprile 20005 nella sfera privata o una legge sostanzialmente simile di una provincia canadese. La legge federale si applica ai dati personali raccolti, trattati o comunicati nell’ambito di attività commerciali, a prescindere dal fatto che si tratti di organizzazioni quali associazioni, società di persone, singole persone o organizzazioni sindacali oppure di imprese disciplinate dal diritto federale quali installazioni, opere, imprese o attività imprenditoriali che ricadono sotto la competenza legislativa del Parlamento canadese. Le province Québec, British Columbia e Alberta hanno emanato una legge sostanzialmente simile alla legge federale; le province Ontario, New Brunswick, Terranova, Labrador e Nuova Scozia hanno emanato una legge sostanzialmente simile alla legge federale nell’ambito dei dati sanitari. In tutte le province canadesi la legge federale si applica ai dati personali ottenuti, trattati o comunicati alle imprese disciplinate dal diritto federale, compresi i dati sugli impiegati di queste imprese. La legge federale si applica anche ai dati personali trasmessi in un’altra provincia o in un altro Paese nell’ambito di attività commerciali.
Cipro***
Croazia***
Danimarca*
Spagna*
Estonia*
Finlandia*
Francia*
Gibilterra***
Grecia*
Guernsey***
Ungheria*
Isola di Man***
Isole Färöer***
Irlanda***
Islanda*
Israele***
Italia*
Jersey***
Lettonia*
Liechtenstein*
Lituania*
Lussemburgo*
Malta*
Principato di Monaco***
Norvegia*
Nuova Zelanda***
Paesi Bassi*
Polonia*
Portogallo*
Cechia*
Romania***
Regno Unito**
Slovacchia*
Slovenia*
Svezia*
Uruguay***
Stati Uniti***	Per i dati personali trattati dalle organizzazioni certificate secondo i principi del quadro per la protezione dei dati tra la Svizzera e gli Stati Uniti^[1] è garantito un adeguato livello di protezione in virtù delle garanzie previste dal decreto presidenziale 14086 del 7 ottobre 2022^[2], dal regolamento del procuratore generale degli Stati Uniti del 7 ottobre 2022^[3] sul Tribunale del riesame in materia di protezione dei dati, dalla direttiva 126 della comunità dell’intelligence (procedure di attuazione del meccanismo di ricorso in materia di intelligence secondo il decreto presidenziale 14086) emanata il 6 dicembre 2022 dalla direzione dell’intelligence nazionale^[4], nonché in virtù della designazione della Svizzera il 7 giugno 2024 come Stato che beneficia del meccanismo di ricorso a due livelli, compreso l’accesso al Tribunale del riesame in materia di protezione dei dati^[5]. ^[1] I principi sono reperibili al seguente indirizzo: www.dataprivacyframework.gov/s/framework-text?tabset-c1491=3 ^[2] Il decreto presidenziale 14086 è reperibile al seguente indirizzo: www.state.gov/executive-order-14086-policy-and-procedures/ ^[3] Il regolamento è reperibile al seguente indirizzo: www.federalregister.gov/documents/2022/10/14/2022-22234/data-protection-review-court ^[4] La direttiva è reperibile al seguente indirizzo: www.dni.gov/files/documents/ICD/ICD_126-Implementation-Procedures-for-SIGINT-Redress-Mechanism.pdf ^[5] La designazione è reperibile al seguente indirizzo: www.justice.gov/opcl/media/1355326/dl?inline

* La valutazione dell’adeguatezza della protezione dei dati include i trasferimenti di dati personali secondo la direttiva (UE) 2016/680 (Direttiva [UE] 2016/680 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, GU L 119 del 4.5.2016, p. 89).

** La valutazione dell’adeguatezza della protezione dei dati include i trasferimenti di dati personali in base a una decisione di esecuzione della Commissione europea che constata l’adeguatezza della protezione dei dati secondo la direttiva (UE) 2016/680.

*** La valutazione dell’adeguatezza della protezione dei dati non include i trasferimenti di dati personali nel quadro della cooperazione prevista dalla direttiva (UE) 2016/680.

Tabella: stato 15 settembre 2024

Comunicati

14.08.2024