-
- Art. 5a Cost.
- Art. 6 Cost.
- Art. 10 Cost.
- Art. 16 Cost.
- Art. 17 Cost.
- Art. 20 Cost.
- Art. 22 Cost.
- Art. 29a Cost.
- Art. 30 Cost.
- Art. 32 Cost.
- Art. 42 Cost.
- Art. 43 Cost.
- Art. 43a Cost.
- Art. 55 Cost.
- Art. 56 Cost.
- Art. 68 Cost.
- Art. 60 Cost.
- Art. 75b Cost.
- Art. 77 Cost.
- Art. 96 cpv. 2 lett. a Cost.
- Art. 110 Cost.
- Art. 117a Cost.
- Art. 118 Cost.
- Art. 123b Cost.
- Art. 136 Cost.
- Art. 166 Cost.
-
- Art. 11 CO
- Art. 12 CO
- Art. 50 CO
- Art. 51 CO
- Art. 84 CO
- Art. 143 CO
- Art. 144 CO
- Art. 145 CO
- Art. 146 CO
- Art. 147 CO
- Art. 148 CO
- Art. 149 CO
- Art. 150 CO
- Art. 701 CO
- Art. 715 CO
- Art. 715a CO
- Art. 734f CO
- Art. 785 CO
- Art. 786 CO
- Art. 787 CO
- Art. 788 CO
- Art. 808c CO
- Disposizioni transitorie per la revisione del diritto azionario del 19 giugno 2020
-
- Art. 2 LDP
- Art. 3 LDP
- Art. 4 LDP
- Art. 6 PRA
- Art. 10 LDP
- Art. 11 LDP
- Art. 12 LDP
- Art. 13 LDP
- Art. 14 LDP
- Art. 15 LDP
- Art. 16 LDP
- Art. 17 LDP
- Art. 19 LDP
- Art. 20 LDP
- Art. 21 LDP
- Art. 22 LDP
- Art. 23 LDP
- Art. 24 LDP
- Art. 25 LDP
- Art. 26 LDP
- Art. 10a LDP
- Art. 27 LDP
- Art. 29 LDP
- Art. 30 LDP
- Art. 31 LDP
- Art. 32 LDP
- Art. 32a LDP
- Art. 33 LDP
- Art. 34 LDP
- Art. 35 LDP
- Art. 36 LDP
- Art. 37 LDP
- Art. 38 LDP
- Art. 39 LDP
- Art. 40 LDP
- Art. 41 LDP
- Art. 42 LDP
- Art. 43 LDP
- Art. 44 LDP
- Art. 45 LDP
- Art. 46 LDP
- Art. 47 LDP
- Art. 48 LDP
- Art. 49 LDP
- Art. 50 LDP
- Art. 51 LDP
- Art. 52 LDP
- Art. 53 LDP
- Art. 54 LDP
- Art. 55 LDP
- Art. 56 LDP
- Art. 57 LDP
- Art. 58 LDP
- Art. 59a LDP
- Art. 59b LDP
- Art. 59c LDP
- Art. 62 LDP
- Art. 63 LDP
- Art. 67 LDP
- Art. 67a LDP
- Art. 67b LDP
- Art. 75 LDP
- Art. 75a LDP
- Art. 76 LDP
- Art. 76a LDP
- Art. 90 LDP
-
- Vorb. zu Art. 1 LPD
- Art. 1 LPD
- Art. 2 LPD
- Art. 3 LPD
- Art. 5 lit. f und g LPD
- Art. 6 cpv. 6 e 7 LPD
- Art. 7 LPD
- Art. 10 LPD
- Art. 11 LPD
- Art. 12 LPD
- Art. 14 LPD
- Art. 15 LPD
- Art. 19 LPD
- Art. 20 LPD
- Art. 22 LPD
- Art. 23 LPD
- Art. 25 LPD
- Art. 26 LPD
- Art. 27 LPD
- Art. 31 cpv. 2 lit. e LPD
- Art. 33 LPD
- Art. 34 LPD
- Art. 35 LPD
- Art. 38 LPD
- Art. 39 LPD
- Art. 40 LPD
- Art. 41 LPD
- Art. 42 LPD
- Art. 43 LPD
- Art. 44 LPD
- Art. 44a LPD
- Art. 45 LPD
- Art. 46 LPD
- Art. 47 LPD
- Art. 47a LPD
- Art. 48 LPD
- Art. 49 LPD
- Art. 50 LPD
- Art. 51 LPD
- Art. 54 LPD
- Art. 57 LPD
- Art. 58 LPD
- Art. 60 LPD
- Art. 61 LPD
- Art. 62 LPD
- Art. 63 LPD
- Art. 64 LPD
- Art. 65 LPD
- Art. 66 LPD
- Art. 67 LPD
- Art. 69 LPD
- Art. 72 LPD
- Art. 72a LPD
-
- Art. 2 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 3 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 4 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 5 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 6 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 7 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 8 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 9 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 11 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 12 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 25 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 29 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 32 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 33 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 34 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
COSTITUZIONE FEDERALE
CODICE DELLE OBBLIGAZIONI
LEGGE FEDERALE SUL DIRITTO INTERNAZIONALE PRIVATO
CONVENZIONE DI LUGANO
CODICE DI PROCEDURA PENALE
CODICE DI PROCEDURA CIVILE
LEGGE FEDERALE SUI DIRITTI POLITICI
CODICE CIVILE
LEGGE FEDERALE SUI CARTELLI E ALTRE LIMITAZIONI DELLA CONCORRENZA
LEGGE FEDERALE SULL’ASSISTENZA INTERNAZIONALE IN MATERIA PENALE
LEGGE FEDERALE SULLA PROTEZIONE DEI DATI
LEGGE FEDERALE SULLA ESECUZIONE E SUL FALLIMENTO
CODICE PENALE SVIZZERO
CYBERCRIME CONVENTION
ORDINANZA SUL REGISTRO DI COMMERCIO
- In breve
- I. Aspetti generali
- II. Il principio di legalità nella protezione dei dati personali
- Bibliografia
- I Materiali
In breve
Il requisito di un principio giuridico è la chiave di volta del trattamento dei dati da parte degli organi statali.
L'art. 34 LPD illustra per il trattamento dei dati da parte degli organi federali sia l'art. 5 Cost. secondo cui ogni azione statale richiede una base giuridica, sia l'art. 36 Cost. che stabilisce i presupposti per l'ingerenza nei diritti fondamentali in generale; la disposizione costituisce quindi diritto costituzionale concretizzato. Il trattamento dei dati personali da parte di enti pubblici costituisce una violazione del diritto fondamentale alla tutela dell'autodeterminazione informativa ai sensi dell'art. 13 cpv. 2 Cost. L'art. 34 LPD è schematico per quanto riguarda il livello richiesto della norma.
La nuova disposizione sulla base giuridica, che è stata scorporata rispetto alla versione precedente della stessa norma, riflette l'accresciuta importanza del corretto supporto giuridico del trattamento dei dati da parte degli organismi statali nell'era del trattamento digitale di grandi quantità di dati.
I. Aspetti generali
A. Osservazioni preliminari
1La base giuridica è una norma generale astratta emanata da un organo statale competente. La legge applicabile determina in dettaglio i requisiti che una base giuridica deve soddisfare. A livello federale, i requisiti si trovano nella Costituzione federale (art. 164 Cost.) o nel diritto parlamentare (ad es. art. 22 ParlG). La norma che funge da base giuridica nel singolo caso può provenire dal diritto nazionale o internazionale.
2La terminologia utilizzata in relazione al principio di legalità presenta una certa eterogeneità. Di seguito, il termine generale principio di legalità viene utilizzato anche per il requisito di una norma generale-astratta, indicato all'art. 34 DPA come "base giuridica". Inoltre, la legge emanata dal legislatore è descritta con il termine "forma di legge" o "legge in senso formale". Le leggi di livello inferiore sono invece considerate "leggi in senso sostanziale", come indicato nell'art. 34 cpv. 3 LPD.
B. Scopo normativo e contesto
3L'art. 34 LPD specifica per il diritto della protezione dei dati ciò che vale in ogni caso per l'azione statale: oltre al principio generale di legalità dell'art. 5 cpv. 1 Cost. secondo cui la legge costituisce la base e la barriera dell'azione statale, l'art. 36 cpv. 1 Cost. richiede una base giuridica per le violazioni dei diritti fondamentali. L'art. 34 LPD fornisce linee guida schematiche a livello normativo per vari tipi di trattamento dei dati - e quindi per varie violazioni dei diritti fondamentali, prima fra tutte la violazione del diritto fondamentale all'autodeterminazione informativa (art. 13 cpv. 2 Cost.).
C. Storia delle origini
4 Il progetto del Consiglio federale della prima legge federale sulla protezione dei dati del 1988 conteneva già una disposizione simile a quella qui commentata; in particolare, si distingueva già tra il trattamento dei dati personali ordinari e quello dei dati che richiedono un livello di protezione più elevato, sotto forma di dati personali che richiedono una protezione speciale e profili della personalità. La disposizione precedente, l'art. 17 aDSG, che nel frattempo è stato modificato, prevedeva il principio fondamentale della base giuridica e stabiliva anche delle eccezioni, la cui portata non era molto chiara e di conseguenza ha dato adito a critiche.
5La nuova disposizione opera una separazione strutturale; oltre al principio di base invariato (cpv. 1), distingue chiaramente tra il requisito della forma giuridica (cpv. 2), le situazioni con un livello normativo ridotto (cpv. 3) e le situazioni in cui è possibile derogare completamente al requisito di un principio giuridico (cpv. 4).
II. Il principio di legalità nella protezione dei dati personali
A. Ruolo e funzioni del principio di legalità in generale
1. Base giuridica come presupposto per la violazione dei diritti fondamentali e principio dell'azione statale
6 Il trattamento dei dati personali da parte delle autorità statali comporta un'interferenza con posizioni protette dai diritti fondamentali: Si tratta innanzitutto dell'art. 13 della Cost. e in particolare del cpv. 2 (diritto fondamentale all'"autodeterminazione informativa"), nonché dell'art. 8 della CEDU e dell'art. 17 del Patto ONU II. Contrariamente alla formulazione dell'art. 13 cpv. 2 della Cost. non viene tutelata solo la protezione dall'uso improprio dei dati personali, ma anche la sfera privata, nella misura in cui comprende anche i dati della rispettiva persona. Inoltre, può essere colpita un'ampia gamma di altri diritti fondamentali, tra cui il diritto alla libertà personale (art. 10 cpv. 2 Cost.) o alla libertà di espressione (art. 16 Cost.), soprattutto con la crescente digitalizzazione, in cui ogni attività statale è accompagnata dal trattamento dei dati.
7 Nell'art. 36 cpv. 1, la Costituzione federale stabilisce che le limitazioni dei diritti fondamentali richiedono una base legale; le limitazioni gravi devono essere previste dalla legge, a meno che non vi sia un caso di "pericolo grave, imminente e inevitabile". Inoltre, le limitazioni ai diritti fondamentali devono servire all'attuazione di un interesse pubblico ed essere proporzionate; il contenuto essenziale del diritto fondamentale deve essere preservato (cfr. criteri dell'art. 36 Cost.).
8 Nel suo ruolo di principio dell'azione statale, l'art. 5 cpv. 1 Cost. stabilisce che l'azione statale richiede una base giuridica e che, allo stesso tempo, è la legge a porre dei limiti a tutta l'azione statale ("barriere", secondo le parole del legislatore costituzionale). L'amministrazione - nella terminologia della LPD l'"organo federale" - può quindi agire solo se esiste una base giuridica e può spingersi solo fino a dove l'azione è coperta dalla base corrispondente. Questo vale indipendentemente dalla natura giuridica dell'azione dello Stato, anche se i requisiti del principio di legalità assumono forme diverse a seconda della situazione e del rischio.
2. Livello e densità delle norme
9 L'art. 36 cpv. 1 della Cost. indica già che il principio giuridico richiesto deve soddisfare requisiti maggiori in caso di gravi restrizioni dei diritti fondamentali. Quanto più grave è la violazione dei diritti fondamentali, tanto più elevati sono i requisiti per il livello e la densità della norma. Le restrizioni gravi devono essere previste dalla legge stessa, cioè da una legge in senso formale (livello della norma) e devono tenere sufficientemente conto del requisito della certezza (densità della norma). Come minimo, le norme giuridiche devono essere "formulate in modo così preciso da consentire a coloro che sono soggetti alla legge di orientare la propria condotta di conseguenza e di riconoscere le conseguenze di un determinato comportamento con un grado di certezza adeguato alle circostanze". In quale caso la qualità della norma giuridica sia sufficiente spesso non è facile rispondere e dipende fortemente dal singolo caso. Nelle parole di Tschannen/Müller/Kern: il principio di legalità è "di una sgradevole assenza di sponde". Per quanto riguarda il diritto federale, l'art. 164 della Cost. fornisce almeno un elenco esemplare di argomenti per i quali le disposizioni di base sono considerate importanti disposizioni legislative e devono quindi essere disciplinate in una legge in senso formale; si tratta di:
Esercizio dei diritti politici;
Limitazioni dei diritti costituzionali;
Diritti e doveri delle persone;
il gruppo di persone soggette a tributi, nonché l'oggetto e la valutazione dei tributi;
Doveri e servizi della Confederazione;
Obblighi dei Cantoni nell'attuazione e nell'applicazione del diritto federale;
Organizzazione e procedure delle autorità federali.
10 Da parte sua, la dottrina propone i seguenti criteri per circoscrivere l'importanza di un oggetto di regolamentazione:
intensità dell'interferenza
numero di persone interessate da una regolamentazione o dalle circostanze di vita regolamentate;
importanza finanziaria;
l'importanza per la formazione della volontà politica, per l'organizzazione delle istituzioni statali o per la procedura e per l'efficacia o l'accettabilità del regolamento.
l'esplosività o l'accettabilità della questione.
11 Al contrario, la necessità di flessibilità e di un rapido adattamento o la presenza di competenze specifiche tendono a favorire le regolamentazioni a un livello normativo inferiore.
12 Questi requisiti generali della Costituzione federale devono essere tenuti in considerazione nella redazione delle basi giuridiche ai sensi dell'art. 34 LPD. L'art. 34 LPD specifica il livello normativo richiesto per alcune situazioni tipiche di protezione dei dati, ma non la densità normativa (cfr. sulla densità normativa infra N. 18-19). Nel contesto della protezione dei dati che interessa in questa sede, l'attenzione si concentra, tra l'altro, sulla restrizione dei diritti costituzionali o sull'intensità delle violazioni dei diritti fondamentali, nonché sulle disposizioni relative ai "diritti e doveri delle persone" contenute nei cataloghi citati in precedenza. Con la crescente digitalizzazione, tuttavia, anche la natura esplosiva degli argomenti gioca sempre più un ruolo come criterio per la forma della legge, come è attualmente evidente, ad esempio, nell'uso dell'intelligenza artificiale o, più specificamente, del riconoscimento facciale negli spazi pubblici.
13 Se i poteri legislativi devono essere delegati dal legislatore all'esecutivo, i requisiti generali della delega legislativa sviluppati dalla giurisprudenza e dalla dottrina entrano in gioco anche nella protezione dei dati. Ad esempio, la delega dei poteri legislativi non può essere esclusa dalla legge pertinente (cfr. art. 164 cpv. 1 Cost.); la norma di delega deve essere contenuta in un atto a livello legislativo; la delega deve essere limitata a una materia specifica e le caratteristiche principali di questa materia devono essere già elencate nella legge.
B. Requisiti del principio giuridico ai sensi dell'art. 34 LPD
1. Principio fondamentale cpv. 1
14 Con il requisito fondamentale di un principio giuridico, il trattamento dei dati da parte degli organi federali è soggetto a un divieto con riserva di autorizzazione, a differenza del trattamento dei dati da parte di privati. Il requisito si applica indipendentemente dal tipo di trattamento dei dati (si veda la definizione giuridica di trattamento all'art. 5 lett. d LPD; per il caso particolare della divulgazione, si veda l'art. 36 LPD). L'art. 34 LPD si limita a fornire il principio di base e non può essere utilizzato come base giuridica diretta. Inoltre, il cpv. 1 non indica il livello di applicazione del principio giuridico o la densità della norma che deve avere.
15 Inoltre, dalla sistematica della LPD si evince che le restanti disposizioni generali della legge, in particolare i principi di trattamento dei dati di cui all'art. 6 LPD e le disposizioni sulla sicurezza di cui all'art. 8 LPD, si applicano cumulativamente. Pertanto, l'esistenza di una base giuridica non esime dall'obbligo di osservare il principio di proporzionalità e di trattare solo i dati effettivamente necessari per l'adempimento della funzione pubblica.
16 Il testo giuridico dell'art. 34 LPD si riferisce al trattamento dei dati personali da parte degli organi federali. Per quanto riguarda la definizione di organismo federale, l'art. 5 lett. i LPD stabilisce che non si tratta solo delle unità organizzative dell'amministrazione e delle istituzioni pubbliche della Confederazione, ma anche di persone private, nella misura in cui sono incaricate dell'adempimento di compiti pubblici della Confederazione (cfr. qui).
17 Nonostante le indicazioni sul livello normativo di cui ai cpv. 2-4, nella pratica legislativa spesso non è del tutto chiaro quale debba essere la densità normativa della base giuridica. Questo problema si manifesta, ad esempio, nella questione se sia sufficiente una base giuridica generale ("L'Ufficio X svolge il compito legale Y") o se sia necessaria una base giuridica specifica per un determinato trattamento di dati ("Per elaborare le domande di sovvenzione, l'Ufficio X tratta i seguenti dati personali: ...", ecc.)
18 Per quanto riguarda la natura della base giuridica, l'Ufficio federale di giustizia ha redatto una guida legislativa che fornisce linee guida specifiche per le basi giuridiche nel settore della protezione dei dati. Sullo sfondo delle funzioni del principio di legalità (cfr. infra n. 43 e segg.) e del postulato secondo cui il cittadino deve essere in grado di comportarsi in conformità con la norma pertinente, devono essere disciplinati i seguenti elementi:
Quale autorità (chi)
tratta quali categorie di dati personali (cosa),
per quale scopo (perché) e
in che modo (come)?
a chi vengono comunicati i dati personali (a chi) e in che modo (come)?
in che modo (come)?
19 In particolare, è necessario indicare se vengono trattati anche dati personali che richiedono una protezione particolare e, in caso affermativo, quali categorie (cfr. art. 5 lett. c LPD), mentre le caratteristiche esatte possono essere specificate in un'ordinanza se la legge è sufficientemente densa. Quanto più grave è la violazione dei diritti fondamentali, tanto più dettagliata e precisa deve essere la formulazione della base giuridica, anche se, in considerazione del rapido sviluppo delle tecnologie dell'informazione e della comunicazione, si dovrà talvolta accettare una certa flessibilità nella formulazione e una conseguente vaghezza. Il trattamento comprende anche informazioni sul periodo di conservazione e sulla cancellazione dei dati personali.
20 Nella misura in cui ciò crea la trasparenza richiesta dalla legge nei confronti degli interessati, l'obbligo di fornire informazioni ai sensi dell'art. 19 LPD non si applica (cfr. art. 20 cpv. 1 lett. b LPD).
21 Nel rispettivo diritto sostanziale possono essere previste norme speciali, che prevalgono sulle disposizioni della LPD come lex specialis e possono, almeno teoricamente, discostarsene. Il Tribunale federale e la dottrina partono dal presupposto che in questi casi vadano comunque rispettati i principi generali della legge sulla protezione dei dati.
2. Forma giuridica per i casi di cui al cpv. 2
22 Il secondo paragrafo richiede la forma di legge (legge in senso formale) per i casi in cui il trattamento dei dati può comportare una grave violazione dei diritti fondamentali delle persone interessate. Se il trattamento dei dati personali che richiedono una protezione speciale (lett. a) e la profilazione (lett. b) sono concetti e termini definiti nella LPD, il cpv. 2 prevede anche una clausola generale che si applica se la finalità del trattamento o le modalità di trattamento dei dati possono comportare una grave violazione dei diritti fondamentali degli interessati (lett. c). Tuttavia, il requisito per cui il trattamento dei dati di grande rilevanza per i diritti fondamentali deve avere la forma di una legge deriva già dall'articolo 36 cpv. 1 della Cost.
23 I due parametri dell'obiettivo e delle modalità di trattamento di cui alla lettera c sono gli elementi principali che vengono utilizzati per valutare la violazione del diritto fondamentale corrispondente. In considerazione del contesto dei diritti fondamentali, non sono esaustivi.
24 Se non è possibile basare il trattamento dei dati su una base giuridica sufficientemente precisa e dettagliata, la giurisprudenza conferma che una gestione particolarmente rigorosa del test di proporzionalità, ad esempio, può avere un certo effetto compensativo.
3. Base giuridica sostanziale per i casi di cui al cpv. 3
25 cpv. 3 prevede la possibilità di un livello standard ridotto per il trattamento di dati personali particolarmente sensibili e per la profilazione, a condizione che siano soddisfatte cumulativamente due condizioni: Il trattamento è indispensabile per un compito formalmente definito dalla legge; e la finalità del trattamento non presenta rischi particolari per i diritti fondamentali dell'interessato.
26 A causa del quadro costituzionale, anche in questo caso è ipotizzabile - anche se gli esempi saranno probabilmente rari - che si verifichino deviazioni non specificamente enumerate dal cpv. 3: Ad esempio, l'esplosività sociale di un argomento potrebbe portare a una situazione in cui la forma giuridica deve comunque essere richiesta per il corrispondente trattamento dei dati; è quindi la modalità del trattamento dei dati, piuttosto che lo scopo menzionato nel cpv. 3, a dare origine a un aumento del livello normativo.
a. Indispensabilità per un compito descritto dalla legge (lett. a)
27 Per quanto riguarda la formulazione del cpv. 3 lettera a, rispetto alla versione precedente (art. 17 cpv. 2 lettera aDSG) si nota che non dovrebbe essere più possibile fare riferimento al livello normativo ridotto solo "in via eccezionale". Nella versione precedente, si poteva ritenere che si trattasse solo di un trattamento eccezionale e selettivo dei dati in situazioni in cui tale trattamento non sarebbe stato normalmente necessario per adempiere al corrispondente compito legale. L'attuale formulazione si discosta chiaramente da questo punto di vista, eliminando il requisito dell'esistenza di una situazione eccezionale. Di conseguenza, si deve ritenere che il trattamento di dati personali particolarmente sensibili e di profili della personalità su base permanente sia possibile anche sulla base di un'ordinanza, se sono soddisfatti i due requisiti del cpv. 3.
b. La finalità del trattamento non comporta rischi particolari per i diritti fondamentali dell'interessato (lett. b).
28 Cpv. 3 let. b si applica ai trattamenti che rientrano in una categoria intermedia: Sebbene si tratti di tipi di trattamento che di norma comportano una grave violazione dei diritti fondamentali (motivo per cui il cpv. 2 richiede di norma una base giuridica formale), nel caso specifico la finalità del trattamento non presenta rischi particolari per i diritti fondamentali delle persone interessate. Secondo il messaggio del Consiglio federale, si tratta in particolare di dati che richiedono una protezione speciale e che sono trattati nell'ambito delle attività del Consiglio federale, dei dipartimenti e dei funzionari; si pensi alle decisioni di ricorso, ai casi di responsabilità dello Stato o alle attività del personale federale. Inoltre, la base giuridica formale deve specificare sufficientemente la natura dei compiti per i quali è necessario il trattamento dei dati personali.
29 La formulazione del paragrafo 3, lettera b, può sorprendere, in quanto si riferisce solo alla "finalità del trattamento" senza includere le "modalità del trattamento dei dati" precedentemente menzionate nel paragrafo 2, lettera c. La formulazione del paragrafo 3, lettera b, non è chiara. Si può supporre che il legislatore abbia voluto ricordare in primo luogo che il trattamento dei dati, che già a causa della sua finalità appare sensibile in termini di diritti fondamentali, richiede in ogni caso una base sotto forma di legge, anche se il tipo e le modalità di trattamento nel singolo caso comportano pochi rischi propri.
4. Paragrafo 4: punto di raccolta per le eccezioni ai requisiti dei paragrafi 1-3.
30 cpv. 4 esenta tre situazioni ideali (scritte come alternative) dall'obbligo di uno strumento legale:
Autorizzazione del trattamento da parte dell'esecutivo (in questo caso il Consiglio federale), anche in questo caso l'autorizzazione deve basarsi sul requisito che i diritti delle persone interessate non possano essere messi in pericolo (lett. a);
il consenso dell'interessato nel singolo caso o il rilascio incondizionato dei dati personali da parte dello stesso (lett. b) oppure
l'interesse urgente e prevalente della protezione della vita o dell'integrità fisica dell'interessato o di un terzo in una situazione che rende impossibile ottenere il consenso (lett. c).
31 Mentre il paragrafo 3 si limita a ridurre i requisiti della base giuridica, il paragrafo 4 prevede per alcuni casi la formulazione che non è richiesto alcun principio giuridico, né una legge né un principio giuridico di natura sostanziale. Nella misura in cui si rinuncia esplicitamente al requisito di un principio giuridico, questa disposizione rappresenta formalmente la maggiore innovazione rispetto alle versioni precedenti della stessa disposizione della LPD. Per le circostanze di cui alle lettere a e b, entrambe già presenti nella versione precedente, viene fornito un gradito chiarimento; dalla formulazione della norma precedente non si poteva leggere con certezza se si intendesse o meno rinunciare completamente a una base giuridica.
a. Autorizzazione del Consiglio federale (lett. a)
32 Secondo la lettera a, il Consiglio federale autorizza il trattamento perché "non ritiene che i diritti della persona interessata siano a rischio". Mentre nella versione precedente si affermava esplicitamente che tale autorizzazione era limitata al singolo caso, questa aggiunta manca nella formulazione attuale. Secondo il dispaccio, tuttavia, nonostante la differenza di formulazione, non cambia nulla nella norma, come si evince anche dal contesto a un esame più attento. L'autorizzazione deve essere vista come una forma di decisione in contrasto con il regolamento generale-astratto. Quest'ultima assume la forma di un'ordinanza del Consiglio federale (art. 182 cpv. 1 Cost.), ossia una base giuridica sostanziale che è esecutiva o rappresentativa del diritto (e nel secondo caso richiede l'autorizzazione di una legge). Il caso di azione senza principio giuridico previsto dal cpv. 4 lett. a è quindi necessariamente concepito per il singolo caso.
33 Come nella versione precedente, è altrettanto oscura la formulazione secondo cui "i diritti della persona interessata non devono essere messi in pericolo". Questa formulazione differisce da quella del cpv. 3 lett. b, che afferma che la finalità del trattamento "non comporta rischi particolari per i diritti fondamentali dell'interessato". Tuttavia, dato che ogni trattamento di dati da parte di enti pubblici rappresenta una violazione dei diritti fondamentali, si può presumere che la formula utilizzata nel paragrafo 4 abbia lo stesso significato del paragrafo 3, lettera b), ossia che si debba presumere una violazione minore dei diritti fondamentali.
b. Consenso (lett. b)
34 Nella lettera b, il consenso sostituisce la base giuridica. In caso di rilascio incondizionato dei dati, il consenso si presume; in questo caso, è necessaria una comunicazione consapevole e volontaria da parte dell'interessato. Sul consenso in generale si veda l'art. 6 cpv. 6 e 7 LPD e sulla questione del consenso come valido sostituto di una base giuridica infra n. 42 e segg.
c. Clausola di polizia ai sensi della legge sulla protezione dei dati (lit. c)
35 La lettera c si concentra sulla tutela di interessi urgenti e preminenti, concretizzati nella protezione della vita o dell'integrità fisica dell'interessato o di un terzo. Il prerequisito è che non sia possibile ottenere il consenso della persona interessata entro un periodo di tempo ragionevole, il che avviene, ad esempio, se la persona non è in uno stato reattivo (coma o simile) o non può essere trovata. Questa norma è un caso di "interesse di polizia" specificato nella legge sulla protezione dei dati. A questo proposito, si inserisce facilmente nello schema dell'art. 36 par. 1 Cost. che esenta dal requisito di una base giuridica i "casi di pericolo grave e imminente che non può essere evitato in altro modo". Non è esplicitamente scritto, ma è insito nella natura della clausola di polizia, il requisito che deve trattarsi di un caso individuale, il che significa, ad esempio, che il trattamento dei dati della polizia o dei servizi di intelligence nel contesto di situazioni di pericolo ricorrenti non può essere effettuato solo sulla base del cpv. 4, lett. c. 5.
5. Casistica sull'intensità dell'intervento e sui requisiti della norma
36 Ai sensi dell'art. 17 cpv. 2 aDSG, il trattamento dei dati di assistenza amministrativa relativi a rapporti commerciali o a conti bancari non richiede una base giuridica. La violazione dei diritti costituzionali in relazione ai dati da raccogliere nel caso dell'assistenza amministrativa non è generalmente particolarmente grave, per cui anche i requisiti di definitività della norma non sono "eccessivamente elevati" (DTF 148 II 349 E. 5.3.3-5.3.4).
37 La base giuridica che prevede l'utilizzo di contatori d'acqua via radio da parte della rete idrica comunale deve prevedere esplicitamente che i valori orari registrati vengano memorizzati sul contatore per X giorni e inviati via radio a intervalli regolari (DTF 147 I 346 E. 5.4.1).
38 Se, oltre alla targa e quindi all'identità del proprietario, durante la ricerca automatizzata del veicolo si ottengono anche l'ora, la posizione, la direzione di marcia e l'identità degli altri occupanti del veicolo, questo trattamento dei dati rientra nell'ambito di una "determinazione convenzionale dell'identità", che non costituisce ancora una grave violazione dei diritti fondamentali. Tuttavia, la situazione cambia notevolmente con la fusione e il confronto automatico di questi dati con altri record di dati (si parla di un "trattamento seriale e simultaneo di record di dati grandi e complessi in frazioni di secondo") e il successivo utilizzo da parte delle autorità; l'intensità dell'interferenza aumenta "considerevolmente", tra l'altro a causa del pericolo che le persone vengano sospettate erroneamente (DTF 146 I 11 E. 3.2).
39 L'iscrizione in una lista di sorveglianza tenuta dalla FINMA, che serve come fase preliminare a eventuali restrizioni dell'attività lavorativa nel settore del mercato finanziario e porta complessivamente a un vero e proprio profilo della personalità, costituisce una grave violazione dell'art. 13 cpv. 2 Cost. e richiede una base sotto forma di legge (DTF 143 I 253 E. 4).
40 Se una legge di polizia pone la sorveglianza tecnica di luoghi generalmente accessibili sotto la voce "salvaguardia dell'ordine pubblico e della sicurezza", questa dichiarazione di scopo è insufficiente e, in particolare, non consente di esaminare la base giuridica per la sua proporzionalità (in particolare il rapporto tra i fini e i mezzi). (BGE 136 I 87 E 8.3-8.4).
41 La sufficiente determinatezza di una norma può derivare anche dalla rete di norme applicabili: Se si obietta che l'art. 91 cpv. 5 LEF ha una densità di norme insufficiente per la divulgazione di dati contenenti dati personali e/o profili della personalità particolarmente meritevoli di protezione, si deve controbattere che la disposizione si applica solo nell'ambito dell'esecuzione del sequestro. Lo scopo e l'ambito del trattamento dei dati sono quindi definiti con sufficiente precisione. (DTF 124 III 170 E. 3a)).
6. Excursus: consenso "in singoli casi" (cpv. 4 lett. b)
42 Nel diritto pubblico della protezione dei dati, spesso non è chiaro in che misura il consenso possa sostituire la base giuridica. La questione del consenso si pone in modo particolarmente acuto quando si tratta di gravi violazioni dei diritti fondamentali; in primo piano vi è la rinuncia ai diritti fondamentali o il consenso a violazioni particolarmente gravi dei diritti fondamentali. All'altro estremo dello spettro di violazione, tuttavia, possono esserci altrettanti punti interrogativi, ad esempio quando si tratta dell'invio di una newsletter da parte di un'autorità pubblica o dell'ottenimento di referenze in una procedura di assunzione. L'art. 34 LPD prevede al cpv. 4 lett. b il consenso come sostituto dello Stato di diritto, e lo stesso vale per l'art. 36 cpv. 2 lett. b LPD per quanto riguarda la divulgazione di dati personali. In entrambi i casi, il consenso è legato al singolo caso, ma non è altrimenti soggetto alla condizione che i fatti del caso siano poco o per nulla pericolosi. A differenza del consenso nel diritto privato della protezione dei dati (cfr. art. 6 cpv. 6 e 7 LPD), nel diritto pubblico non è sufficiente che il consenso sia volontario e informato. Inoltre, il consenso deve essere idoneo nel caso specifico ad assumere le funzioni del principio di legalità in gioco. Al di là di questi requisiti sostanziali, il consenso nel diritto pubblico non è vincolato ad alcuna forma.
43 Il Tribunale federale e la dottrina concordano sul fatto che il principio di legalità svolge due tipi di funzioni. Da un lato, persegue interessi democratici, tra cui la supremazia della volontà popolare da un lato e la separazione dei poteri dall'altro. Dall'altro lato, svolge le funzioni dello Stato di diritto; in questo contesto, assicura la protezione dell'individuo contro l'azione arbitraria dello Stato, la parità di trattamento e la prevedibilità dell'azione statale.
44 A determinate condizioni, il consenso può certamente sostituire le funzioni costituzionali di protezione dall'arbitrio e di prevedibilità dell'azione statale. Affinché ciò avvenga, la portata del consenso deve essere riconoscibile nel momento in cui viene prestato e il contesto deve essere tale da far presumere la natura volontaria del consenso in buona fede.
45 Tuttavia, una prima restrizione deriva dalla funzione costituzionale della parità di trattamento: nel momento in cui si tratta di concedere diritti o imporre doveri, il consenso può essere operativo come sostituto di un principio giuridico solo se sono interessate solo singole persone. Nei casi in cui le preoccupazioni democratiche sono in primo piano, il consenso non è più in grado di fornire alcuna compensazione funzionale.
46 Di conseguenza, a seconda delle circostanze, si deve esaminare, facendo ricorso alle preoccupazioni del principio di legalità e ai criteri per il requisito della forma giuridica (cfr. supra n. 9-10), se la rinuncia a una base giuridica e l'affidamento al consenso possano essere giustificati.
47 Per il trattamento dei dati da parte degli organi federali, l'art. 34 cpv. 4 lett. b LPD delimita l'ammissibilità limitando il consenso al singolo caso. Alla luce di quanto detto, si deve presumere che il numero di situazioni debba essere molto limitato, sia in termini di oggetto che di tempo, e inoltre per l'introduzione di diritti e obblighi anche in termini personali.
48 Pertanto, nonostante la specificazione schematica della LPD in merito alle violazioni dei diritti fondamentali, la questione può essere risolta in modo affidabile solo in termini concreti, tenendo conto delle preoccupazioni in questione. Ad esempio, la summenzionata newsletter di un'autorità può essere inviata anche a un numero molto elevato di destinatari e con una periodicità illimitata sulla base del consenso, mentre l'uso di sistemi di riconoscimento facciale non è probabilmente ammissibile sulla base del consenso in singoli casi, anche in un ambito strettamente definito in termini di luogo, tempo e personale, a causa dell'intensità della violazione dei diritti fondamentali delle persone interessate e dell'esplosività sociale della tecnologia utilizzata.
Bibliografia
Ballenegger Sarah, Kommentierung zu Art. 17 DSG, in: Maurer-Lambrou Urs/Blechta Gabor-Paul (Hrsg.), Datenschutzgesetz/Öffentlichkeitsgesetz, 3. Aufl., Basel 2014.
Dubey Jacques, Kommentierung zu Art. 5 BV, in: Martenet Vincent/Dubey Jacques (Hrsg.), Commentaire romand Constitution fédérale, Basel 2021.
Epiney Astrid/Posse Samah, Kommentierung zu Art. 34 DSG, in: Meier Philippe/Métille Sylvain (Hrsg.), Commentaire romand, Loi sur la protection des données, Basel 2023 (Publikation zum Zeitpunkt der Abgabe der vorliegenden Kommentierung bevorstehend).
Epiney Astrid, Staatliche Überwachung versus Rechtsstaat: Wege aus dem Dilemma?, AJP 2016, S. 1503-1515.
Häfelin Ulrich/Müller Georg/Uhlmann Felix, Allgemeines Verwaltungsrecht, 8. Aufl. Zürich/St. Gallen 2020.
Häner Isabelle, Die Einwilligung der betroffenen Person als Surrogat der gesetzlichen Grundlage bei individuell-konkreten Staatshandlungen, ZBl 103 (2002), S. 57-76.
Mund Claudia, Kommentierung zu Art. 34 DSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Datenschutzgesetz, Stämpflis Handkommentar, 2. Aufl., Bern 2023.
Rosenthal David/Jöhri Yvonne, Handkommentar zum Datenschutzgesetz sowie weiteren, ausgewählten Bestimmungen, Zürich 2008.
Tschannen Pierre, Staatsrecht der Schweizerischen Eidgenossenschaft, 5. Aufl. Bern 2021.
Tschannen Pierre/Müller Markus/Kern Markus, Allgemeines Verwaltungsrecht, 5. Aufl. Bern 2022.
Waldmann Bernhard/Bickel Jürg, Datenbearbeitung durch Bundesorgane, in: Belser Eva Maria/Epiney Astrid/Waldmann Bernhard (Hrsg.), Datenschutzrecht, Grundlagen und öffentliches Recht, Bern 2011, S. 639-764.
Waldmann Bernhard/Oeschger Magnus, Datenbearbeitung durch kantonale Organe, in: Belser Eva Maria/Epiney Astrid/Waldmann Bernhard (Hrsg.), Datenschutzrecht, Grundlagen und öffentliches Recht, Bern 2011, S. 765-894.
Wyss Martin Philipp, Öffentliche Interessen – Interessen der Öffentlichkeit?, Bern 2001.
I Materiali
Bundesamt für Justiz, Gesetzgebungsleitfaden, Leitfaden für die Ausarbeitung von Erlassen des Bundes, 4. Aufl. 2019, abrufbar unter https://www.bj.admin.ch/bj/de/home/staat/legistik/hauptinstrumente.html, besucht am 21.2.2023 (zit. Gesetzgebungsleitfaden).
Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15.9.2017, BBl 2017 S. 6941 ff., abrufbar https://www.fedlex.admin.ch/eli/fga/2017/2057/de, besucht am 31.3.2023 (zit. Botschaft 2017).
Botschaft zum Bundesgesetz über den Datenschutz (DSG) vom 23.3.1988, BBl 1988 II S. 413 ff., abrufbar unter https://www.fedlex.admin.ch/eli/fga/1988/2_413_421_353/de, besucht am 31.3.2023 (zit. Botschaft 1988).