"La revisione della legge sulla protezione dei dati renderà più difficile la profilazione".

Werbewoche: Con la bozza preliminare della nuova legge sulla protezione dei dati in Svizzera, ci si aspetta una revisione completa della legge attuale. È necessaria una nuova legge sulla protezione dei dati?

Lukas Bühlmann: Con la bozza proposta, il Consiglio federale vuole tenere conto, tra l'altro, delle mutate condizioni tecnologiche e sociali. In linea di principio, ciò è sensato, a condizione che alla fine porti a una maggiore certezza giuridica per le aziende. Inoltre, si vuole migliorare la trasparenza del trattamento dei dati e rafforzare l'autodeterminazione delle persone interessate sui propri dati. La necessità di agire immediatamente in questo senso è dovuta all'obbligo della Svizzera di adempiere ai requisiti della Convenzione riveduta del Consiglio d'Europa sulla protezione dei dati (CETS 108). Inoltre, come è noto, anche l'UE ha rivisto radicalmente la propria legge sulla protezione dei dati. Questi cambiamenti stanno costringendo anche la Svizzera ad adeguare i propri requisiti di protezione dei dati. Da un punto di vista macroeconomico, è essenziale che il livello di protezione dei dati svizzeri continui a essere valutato dall'UE come adeguato ed equivalente. Questa valutazione è un prerequisito obbligatorio per uno scambio di dati fluido e funzionante con i Paesi europei vicini. In questo contesto, è necessaria una revisione della legge svizzera sulla protezione dei dati e un ravvicinamento alle nuove norme dell'UE. Tuttavia, non è assolutamente necessario andare oltre i requisiti della legge europea.

Si è appena concluso il processo di consultazione della bozza preliminare della nuova legge sulla protezione dei dati. C'è qualcosa da criticare?

La novità più controversa è certamente il progetto di rinunciare all'introduzione di sanzioni amministrative e di ampliare e intensificare invece la responsabilità penale delle persone fisiche coinvolte nel trattamento dei dati nelle aziende. Le sanzioni previste sono quindi incomprensibilmente rivolte principalmente ai dipendenti e non all'azienda nel cui interesse avviene il trattamento dei dati. Tali sanzioni comprenderanno multe - fino a un massimo di 500.000 franchi svizzeri per dolo e 250.000 per negligenza - e/o addirittura la reclusione.
Questo sistema pianificato di sanzioni è diametralmente opposto alla "Strategia digitale" della Svizzera. Inibisce fortemente l'innovazione e instaura una cultura della denuncia nelle aziende. Inoltre, comporta un notevole svantaggio per la piazza economica svizzera. Nessuna start-up digitale innovativa sarà disposta a esporre i propri fondatori e dipendenti a rischi penali così drastici. I bravi dipendenti non saranno più disposti a condividere le responsabilità nelle aziende. In particolare, a causa della prevista criminalizzazione del comportamento negligente, ogni dipendente sarà potenzialmente a rischio costante di responsabilità penale per quelle che sono ormai attività quotidiane sul posto di lavoro. A mio avviso, ciò è inaccettabile anche dal punto di vista socio-politico. Allo stesso tempo, le sanzioni contro il trattamento dei dati da parte di aziende straniere non sarebbero di fatto applicabili, il che da un lato non aumenterebbe la protezione dei dati in Svizzera e dall'altro darebbe alle aziende straniere un immenso vantaggio competitivo.

Significa, ad esempio, che viene multata la persona responsabile dell'IT e non l'azienda?

Il sistema di sanzioni proposto è inoltre problematico, in quanto la rinuncia alle sanzioni amministrative è ancora una volta un approccio speciale rispetto a quello previsto dal Regolamento UE sulla protezione dei dati. La bozza della nuova convenzione sulla protezione dei dati richiede sanzioni sia giudiziarie che extragiudiziarie. In questo caso, si crea un'incertezza sull'adeguatezza della legge svizzera sulla protezione dei dati, e ciò corrisponde a un "traguardo svizzero" giuridicamente non necessario.

Quale innovazione influisce maggiormente sul settore pubblicitario?

Oltre all'introduzione di un obbligo attivo generale di fornire informazioni quando si trattano i dati, la cui violazione minaccia sanzioni drastiche, la proposta di regolamento sulla profilazione è particolarmente drastica per il settore pubblicitario. La disposizione stabilisce che la profilazione di per sé costituisce una violazione dei diritti della persona e che pertanto sarà regolarmente richiesto il consenso. Inoltre, questo deve essere dato "espressamente". Inoltre, il termine "profilazione" è definito in modo troppo ampio nella proposta di legge e non è descritto in modo sufficientemente concreto. In particolare, anche la profilazione non basata su dati personali dovrebbe essere coperta dal regolamento. Il regolamento supera di gran lunga l'obiettivo ed è anche un (inutile) aggravamento rispetto agli sforzi di riforma europei. Per le attività pubblicitarie, in particolare il marketing personalizzato e i big data, questa disposizione avrebbe effetti negativi significativi. Pertanto, non è interessato solo il settore dei DM, ma tutti i settori economici e le loro aziende. I fornitori stranieri, che non sarebbero di fatto minacciati da queste rigide norme svizzere, potrebbero al massimo ottenere un vantaggio competitivo grazie a questa disposizione. Un altro esempio di come la bozza proposta porterebbe a svantaggi localizzativi per l'economia svizzera.

Come intende la legge svizzera regolamentare i Big Data? Sembra impossibile.

Il Consiglio federale sottolinea che i big data rappresentano una sfida per la protezione dei dati sotto vari aspetti. Al momento, tuttavia, c'è troppa poca chiarezza sugli effetti concreti. Il tema dei "Big Data" è stato quindi affrontato solo in modo selettivo e manca una regolamentazione complessiva. La mancanza di certezza giuridica ha un impatto negativo sulle attività pubblicitarie e in particolare sulla pubblicità personalizzata. Ciò che rimane è un'ampia zona grigia. Con le opzioni sanzionatorie più severe previste, l'obiettivo di aumentare il numero di procedure di violazione della protezione dei dati e l'ampliamento delle competenze delle autorità di protezione dei dati, non sarebbe una buona notizia per l'economia svizzera.

Che ne è del consenso al trattamento dei dati a fini pubblicitari? In futuro si applicheranno requisiti più severi?

Questa domanda non trova una risposta chiara nella proposta del Consiglio federale. La proposta è contraddittoria su questo punto. La legge viene adattata alla terminologia del regolamento UE. Tuttavia, non viene chiarito se in futuro si applicheranno gli stessi requisiti per un consenso valido come nell'UE. L'adozione di questi requisiti rigorosi comporterebbe un notevole inasprimento rispetto alla situazione giuridica attuale. Ad esempio, le caselle di controllo che attualmente si trovano spesso in Svizzera e che sono già pre-selezionate saranno vietate anche in Svizzera in futuro. I clienti dovranno spuntare attivamente queste caselle. Inoltre, il GDPR prevede il cosiddetto divieto di abbinamento. Non dovrebbe più essere consentito, ad esempio, far dipendere la partecipazione a concorsi a premi dal consenso all'utilizzo dei dati dei partecipanti a fini pubblicitari. A mio avviso, una regolamentazione così rigida non è assolutamente necessaria, almeno in considerazione dell'adeguatezza della legge svizzera sulla protezione dei dati, e dovrebbe quindi essere respinta.

Cosa significa l'ampliamento delle competenze delle autorità di protezione dei dati?

Rispetto alla legge precedente, le competenze dell'autorità di controllo saranno rafforzate. In particolare, ciò consentirà di correggere lo squilibrio tra le persone interessate e gli incaricati del trattamento dei dati. Le disposizioni proposte conferiscono all'IFPDT (Incaricato federale della protezione dei dati e delle informazioni) ulteriori poteri investigativi e ingiuntivi e creano un nuovo potere ingiuntivo diretto. L'inosservanza degli ordini sarebbe punita con pesanti ammende. Particolarmente problematica è la disposizione secondo cui i ricorsi contro le misure cautelari dell'IFPDT non hanno generalmente effetto sospensivo. Poiché la cessazione o l'adeguamento del trattamento dei dati durante la durata incerta del procedimento può causare danni ingenti alle imprese, queste devono almeno avere la possibilità di chiedere ai tribunali l'effetto sospensivo.

Non esiste un'autoregolamentazione o criteri di equità nella protezione dei dati?

I regolamenti dettagliati in discussione, che devono essere introdotti come vincolanti nella FADP o nel senso di autoregolamentazione ("buone pratiche"), sono controversi. Oggi esistono già autoregolamentazioni funzionanti in un'ampia varietà di settori economici. Tutte queste dovrebbero essere rivalutate e approvate dalla DFP. Ciò comporta un risultato a doppio taglio per le imprese. Le raccomandazioni di "buone pratiche" possono contribuire all'attuazione degli obblighi in base alle esigenze del settore in questione. Le raccomandazioni devono essere approvate dall'FDPIC e ci si aspetta che soddisfino standard elevati. Tuttavia, poiché le raccomandazioni approvate diventerebbero di fatto legge, potrebbe svilupparsi un corpo di regole crescente e finemente articolato intorno alla legge. In caso di inosservanza della raccomandazione, vi sarebbe una presunzione di fatto di violazione della legge. In linea di principio, tuttavia, le misure di autoregolamentazione sono preferibili a una legislazione rigida ed eccessivamente dettagliata.

Nella discussione preliminare, avete detto che in futuro le persone interessate potranno fare causa gratuitamente per violazioni della protezione dei dati.

I diritti della persona interessata sono stati notevolmente ampliati. Il diritto all'informazione è completo nella legge attuale e viene solo leggermente ampliato. Gli altri diritti (diritto all'oblio, diritto alla cancellazione, diritto alla rettifica, diritto alla contestazione) non cambiano in modo significativo rispetto alla legge attuale. Verrà introdotto l'esonero dalle spese processuali (spese di giudizio) nei procedimenti civili per le violazioni della protezione dei dati. Forse è una conseguenza degli sforzi per aumentare il numero di procedimenti per violazione della protezione dei dati.

Cosa dovrebbero fare ora le aziende in Svizzera? Avete qualche raccomandazione da fare?

In particolare, si raccomanda alle aziende che operano a livello transfrontaliero di rivedere il proprio trattamento dei dati alla luce delle future normative UE. Il campo di applicazione geografico del GDPR dell'UE è molto ampio, per cui anche un gran numero di aziende senza filiali nell'UE sono soggette ai requisiti. Il futuro regolamento è già stato finalizzato e si applicherà a partire dal 25 maggio 2018. In Svizzera, invece, si deve presumere che la revisione proposta sarà ancora soggetta a un gran numero di modifiche, ma anche questo è imperativo. A questo proposito, attualmente non è ancora del tutto chiaro come sarà strutturata la futura situazione giuridica. In ogni caso, l'attuale progetto di legge nella sua forma attuale rappresenta una grave minaccia per l'"economia digitale" in Svizzera.

Intervista: Heinz Schopfer

Questa intervista è stata pubblicata su Werbewoche 6/2017 del 24 marzo 2017. Un abbonamento per la Pasqua? Qui.