Ordinanza relativa alla legge sull'amministrazione digitale

(OLADig) Del 05.03.2024 (stato 01.01.2026)

1. Esternalizzazione

Art. 1 Esternalizzazione, 1. Responsabilità

1. L'autorità amministrativa che esternalizza l'elaborazione di dati o la gestione di soluzioni informatiche rimane responsabile per il rispetto dei requisiti posti alla protezione e alla sicurezza dei dati.
2. Se l'esternalizzazione coinvolge più autorità, deve essere designata un'autorità che funga da responsabile principale.

Art. 2 2. Requisiti

1. Tramite un accordo, una condizione o in un altro modo idoneo devono essere disciplinati almeno i seguenti punti:
   1. contenuto del servizio;
   2. salvaguardia del segreto d'ufficio nonché di obblighi particolari di serbare il segreto;
   3. responsabilità;
   4. provvedimenti tecnici e organizzativi per salvaguardare la protezione dei dati e la sicurezza dei dati;
   5. luogo dell'elaborazione di dati;
   6. controllo dell'adempimento dell'incarico;
   7. coinvolgimento di terzi;
   8. durata del contratto e presupposti per lo scioglimento del contratto nonché le sue conseguenze, in particolare il rimpatrio e la cancellazione dei dati;
   9. sanzioni previste in caso di violazione degli obblighi.

2. Servizi di base

Art. 3 Servizi di base

1. Sono considerati servizi di base:
   1. un portale per servizi delle autorità e per l'interazione con le autorità (portale di e-government);
   2. un eConto e la gestione centralizzata delle identità degli utenti (Identity and Access Management);
   3. un servizio per la firma elettronica di documenti che necessitano di una firma (servizio di firma);
   4. servizi per lo scambio di comunicazioni e di documenti con le autorità tramite il portale di e-government (piattaforma di trasmissione);
   5. un servizio per l'allestimento e la gestione centralizzati e uniformi di moduli web per la fornitura di servizi tramite il portale di e-government o tramite un sito web (servizio moduli).

Art. 4 Integrazione di servizi esistenti

1. Servizi esistenti tramite internet possono continuare a essere forniti nella loro forma attuale. Essi devono essere offerti anche tramite il portale di e-government, nella misura in cui ciò sia sensato e fattibile dal punto di vista tecnico.

3. Portale di e-government

3.1. Competenze

Art. 5 Unità amministrativa competente

1. L'unità di gestione per l'amministrazione digitale è l'unità amministrativa competente per l'esercizio amministrativo del portale di e-government e per i relativi servizi di base.

Art. 6 Unità amministrativa competente per l'informatica

1. L'Ufficio d'informatica è l'unità amministrativa competente per l'informatica.

3.2. eConto

Art. 7 Apertura

1. L'apertura di un eConto avviene tramite un modulo elettronico.
2. Per l'apertura di un eConto devono essere indicati almeno i dati dell'account conformemente all'articolo 17 capoverso 1 lettera a - lettera e della legge sull'amministrazione digitale.
3. Ogni utente può disporre di un solo eConto.

Art. 8 Controllo di eventuali doppioni

1. Al momento dell'apertura dell'account, ai fini di un controllo relativo all'esistenza di eventuali doppioni i dati inseriti vengono confrontati con i dati di account esistenti.
2. Se dal confronto risulta un eConto esistente, quest'ultimo può continuare a essere utilizzato o essere riattivato. Ciò non vale se l'account è stato bloccato dall'autorità competente conformemente all'articolo 16 capoverso 2 lettera a della legge sull'amministrazione digitale.

Art. 9 Consenso ai diritti e ai doveri

1. Gli utenti devono essere informati tempestivamente e in modo adeguato in merito ai loro diritti e doveri sia al momento dell'apertura dell'eConto sia dopo ogni modifica dei diritti e dei doveri.
2. Gli utenti devono dare il loro consenso ai diritti e ai doveri sia al momento dell'apertura dell'eConto sia dopo ogni modifica dei diritti e dei doveri. L'utilizzo dell'eConto può essere limitato finché non viene dato il consenso alle disposizioni modificate.
3. Il consenso deve essere registrato in modo adeguato dall'unità amministrativa competente per l'informatica.

Art. 10 Rappresentanza di persone fisiche

1. L'entità del potere di rappresentanza deve essere definita chiaramente, in particolare in relazione ai servizi interessati.
2. Il rapporto di rappresentanza può essere revocato in ogni momento da ciascuna delle parti.

Art. 11 Atti di persone giuridiche, 1. Direttive generali

1. Per poter usufruire di servizi, le persone giuridiche devono essere registrate una volta nel sistema e gli utenti delegati devono essere designati.
2. Nel quadro della registrazione almeno un utente viene indicato come rappresentante dell'impresa.
3. L'autorità specializzata può richiedere ulteriori prove del potere di rappresentanza. Le autorità specializzate devono rendere note agli utenti queste prescrizioni in modo adeguato.

Art. 12 2. Registrazione

1. Le persone giuridiche con un numero d'identificazione delle imprese (numero IDI) conformemente alla legge federale sul numero d'identificazione delle imprese (unità IDI) richiedono la registrazione di un utente tramite l'eConto indicando il nome della ditta e il numero IDI.
2. Una volta presentata la richiesta, un codice di attivazione viene inviato a destinazione della direzione all'indirizzo della sede dell'unità IDI figurante nel registro IDI della Confederazione.
3. Inserendo il codice di attivazione tramite l'eConto dell'utente indicato a tale scopo l'unità IDI viene attivata e la persona corrispondente viene delegata a rappresentare l'impresa.
4. In caso di persone giuridiche senza numero IDI il codice di attivazione viene inviato all'indirizzo indicato dall'utente. I servizi di determinati livelli di fiducia possono essere esclusi dall'utilizzo da parte di persone giuridiche senza numero IDI.

Art. 13 3. Delega

1. Il rappresentante dell'impresa può delegare altri utenti a usufruire di servizi.
2. Il rappresentante dell'impresa è responsabile per la tenuta a giorno degli utenti delegati. Il sistema lo invita regolarmente a verificare le deleghe rilasciate.
3. L'eConto degli utenti delegati all'utilizzo di servizi deve presentare il livello di fiducia necessario per il servizio.

Art. 14 Disattivazione e limitazione, 1. Da parte dell'utente

1. Nel suo eConto, l'utente può disporre in qualsiasi momento la disattivazione del proprio eConto senza indicare le ragioni.

Art. 15 2. Da parte di un'autorità

1. Un'autorità può disporre una disattivazione o una limitazione se sono soddisfatti i presupposti di cui all'articolo 16 capoverso 2 della legge sull'amministrazione digitale.
2. Si è in presenza di un abuso dell'eConto tramite l'account di un utente in particolare se l'utente ha violato i diritti e i doveri o in caso di indizi di compromissione dell'eConto da parte di terzi.
3. La disattivazione o la limitazione deve essere comunicata all'utente all'indirizzo e-mail registrato nel sistema.
4. L'utente può chiedere all'autorità la riattivazione dell'account o la soppressione della limitazione. L'autorità può respingere la domanda se una persona ha violato in modo ripetuto o grave i diritti e i doveri o se il pericolo di una compromissione non è ancora stato eliminato.
5. La persona interessata può richiedere all'unità amministrativa competente conformemente all'articolo 5 l'emanazione di una decisione scritta relativa al rifiuto.

Art. 16 3. Conseguenze

1. La disattivazione o la limitazione comporta l'impossibilità di accedere ai dati salvati nel portale e associati all'eConto. L'utente è responsabile in prima persona del previo salvataggio dei propri dati.
2. Se al momento della disattivazione o della limitazione l'utente è parte di un procedimento in corso il quale, conformemente alle disposizioni della legge sulla giustizia amministrativa, viene condotto tramite il portale di e-government quale sistema di trasmissione, gli ulteriori atti procedurali devono essere eseguiti in forma cartacea.

3.3. Protezione dei dati e sicurezza dei dati

Art. 17 Legittimazione

1. Per ottenere la legittimazione a usufruire di un servizio in un'applicazione specifica l'utente deve:
   1. presentare il livello di fiducia definito dall'autorità specializzata; e
   2. essere stato associato una volta all'applicazione specifica.
2. Per l'accesso all'applicazione specifica sono previsti diversi livelli di fiducia, in funzione del corrispondente bisogno di protezione dei dati elaborati:
   1. livello di fiducia 0: dati pubblici;
   2. livello di fiducia 1: bisogno di protezione base;
   3. livello di fiducia 2: bisogno di protezione elevato;
   4. livello di fiducia 3: bisogno di protezione molto elevato.

Art. 18 Ottenimento di un livello di fiducia più elevato

1. Un livello di fiducia più elevato può essere ottenuto se l'utente:
   1. segue un processo di identificazione ufficiale; o se
   2. presenta un mezzo di identificazione elettronica che soddisfi le direttive valide per il rispettivo livello di fiducia.
2. I requisiti per l'ottenimento di un livello di fiducia si conformano al modello di qualità per l'autenticazione di soggetti (standard eCH-0170).

Art. 19 Identificazione ufficiale

1. La procedura di identificazione ufficiale viene svolta tramite:
   1. una presentazione personale presso un ufficio di identificazione; oppure
   2. una procedura di identificazione online sicura secondo lo stato attuale della tecnica.
2. L'unità amministrativa competente definisce i processi di identificazione e gli uffici di identificazione e deve pubblicare le prescrizioni per ogni livello di fiducia.
3. La comprova dell'avvenuto processo di identificazione può essere salvata nell'eConto.

Art. 20 Associazione all'applicazione specifica

1. L'associazione di un eConto a un'applicazione specifica viene creata se i dati dell'account corrispondono ai relativi dati nell'applicazione specifica. A seconda del livello di fiducia può essere richiesto l'inserimento di ulteriori dati noti all'utente.
2. Se dei dati dell'account non sono stati salvati in un'applicazione specifica, essi possono essere messi a disposizione dell'applicazione specifica con il consenso dell'utente.
3. Durante l'associazione, i dati personali registrati nelle applicazioni specifiche vengono salvati provvisoriamente nell'eConto.
4. Se l'associazione ha successo, il numero di identificazione dell'utente registrato nell'applicazione specifica viene salvato permanentemente nell'eConto.

Art. 21 Utilizzo di mezzi di identificazione elettronica

1. Sono considerati mezzi di identificazione elettronica riconosciuti:
   1. SwissID;
   2. mezzi di identificazione elettronica riconosciuti secondo le direttive del diritto federale.
2. Con il consenso dell'utente i dati registrati nel mezzo di identificazione elettronica riconosciuto vengono salvati nell'eConto.
3. L'unità amministrativa competente per l'informatica definisce, nel rispetto delle direttive del diritto federale, i livelli di fiducia che i mezzi di identificazione elettronica soddisfano.

Art. 22 Registrazione a protocollo

1. I dati salvati comprendono le informazioni relative all'utente che effettua l'accesso, al momento dell'accesso e al tipo di operazioni effettuate.
2. I protocolli possono essere presi in visione e controllati da una cerchia di persone limitata.
3. I dati salvati vengono cancellati dopo dodici mesi. Sono fatti salvi termini di conservazione diversi previsti dalla legislazione speciale applicabile.

Art. 23 Esternalizzazione di elaborazioni di dati

1. L'unità amministrativa competente può incaricare terzi di elaborare dati in relazione all'eConto, segnatamente di svolgere il processo di identificazione e di garantire il supporto agli utenti.

4. Disposizioni finali

Art. 24 Disposizioni transitorie

1. Accordi esistenti, condizioni o patti stabiliti in un altro modo adeguato in relazione all'esternalizzazione rimangono validi fino alla loro scadenza. In caso di eventuale rinnovo devono essere adeguati alle disposizioni della presente ordinanza.