Commenti: Art. 4

Se dati personali degni di particolare protezione sono trattati automaticamente su grande scala o se si esegue una profilazione a rischio elevato e i provvedimenti preventivi possono non garantire la protezione dei dati, il titolare privato del trattamento e il suo responsabile privato del trattamento verbalizzano almeno la registrazione, modificazione, comunicazione, cancellazione e distruzione dei dati nonché l’accesso ai dati. In particolare, la verbalizzazione deve avere luogo quando non è possibile stabilire a posteriori se i dati sono stati trattati ai fini per i quali sono stati raccolti o comunicati.¹
Nel caso di trattamento automatizzato di dati personali degni di particolare protezione, di esecuzione di profilazioni e di trattamento automatizzato di dati che rientrano nel campo d’applicazione della direttiva (UE) 2016/680², l’organo federale titolare del trattamento e il suo responsabile del trattamento verbalizzano almeno la registrazione, modificazione, comunicazione, cancellazione e distruzione dei dati nonché l’accesso ai dati. Nel caso di altri trattamenti automatizzati di dati valutano dapprima il rischio per i diritti fondamentali delle persone interessate. Su tale base e tenuto conto dello stato della tecnica e delle spese di implementazione stabiliscono se e in quale misura verbalizzare le succitate operazioni. Per la valutazione del rischio, tengono conto in particolare del tipo di dati trattati nonché dello scopo, del tipo, della portata e delle circostanze del trattamento.³ 2bis. La verifica della verbalizzazione secondo il capoverso 2 ha luogo per scritto. Il risultato e il contenuto della verifica sono comunicati, su richiesta, all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT).⁴
Nel caso di dati personali accessibili in modo generalizzato, nei casi di cui ai capoversi 1 e 2 primo periodo sono verbalizzate almeno la registrazione, modificazione, cancellazione e distruzione dei dati.⁵
I verbali riportano informazioni sull’identità della persona che ha effettuato il trattamento, sul tipo, la data e l’ora del trattamento nonché, all’occorrenza, sull’identità del destinatario dei dati.
I verbali sono conservati per almeno un anno separatamente dal sistema in cui sono trattati i dati personali. Sono accessibili esclusivamente agli organi e alle persone incaricate di verificare l’applicazione delle disposizioni in materia di protezione dei dati o di salvaguardare o ripristinare la confidenzialità, l’integrità, la disponibilità e la tracciabilità dei dati e sono utilizzati soltanto a tale fine.

Nuovo testo giusta la cifra I dell’O del 29 ott. 2025, in vigore dal 1° dic. 2025 (RU 2025 694). ↩
Direttiva (UE) 2016/680 del Parlamento europeo e del Consiglio del 27 aprile 2016 relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio, GU L 119 del 4.5.2016, pag. 89. ↩
Nuovo testo giusta la cifra I dell’O del 29 ott. 2025, in vigore dal 1° dic. 2025 (RU 2025 694). ↩
Introdotto dalla cifra I dell’O del 29 ott. 2025, in vigore dal 1° dic. 2025 (RU 2025 694). ↩
Nuovo testo giusta la cifra I dell’O del 29 ott. 2025, in vigore dal 1° dic. 2025 (RU 2025 694). ↩

Art. 4

Footnotes