-
- Art. 5a Cost.
- Art. 6 Cost.
- Art. 10 Cost.
- Art. 16 Cost.
- Art. 17 Cost.
- Art. 20 Cost.
- Art. 22 Cost.
- Art. 29a Cost.
- Art. 30 Cost.
- Art. 32 Cost.
- Art. 42 Cost.
- Art. 43 Cost.
- Art. 43a Cost.
- Art. 55 Cost.
- Art. 56 Cost.
- Art. 68 Cost.
- Art. 60 Cost.
- Art. 75b Cost.
- Art. 77 Cost.
- Art. 96 cpv. 2 lett. a Cost.
- Art. 110 Cost.
- Art. 117a Cost.
- Art. 118 Cost.
- Art. 123b Cost.
- Art. 136 Cost.
- Art. 166 Cost.
-
- Art. 11 CO
- Art. 12 CO
- Art. 50 CO
- Art. 51 CO
- Art. 84 CO
- Art. 143 CO
- Art. 144 CO
- Art. 145 CO
- Art. 146 CO
- Art. 147 CO
- Art. 148 CO
- Art. 149 CO
- Art. 150 CO
- Art. 701 CO
- Art. 715 CO
- Art. 715a CO
- Art. 734f CO
- Art. 785 CO
- Art. 786 CO
- Art. 787 CO
- Art. 788 CO
- Art. 808c CO
- Disposizioni transitorie per la revisione del diritto azionario del 19 giugno 2020
-
- Art. 2 LDP
- Art. 3 LDP
- Art. 4 LDP
- Art. 6 PRA
- Art. 10 LDP
- Art. 11 LDP
- Art. 12 LDP
- Art. 13 LDP
- Art. 14 LDP
- Art. 15 LDP
- Art. 16 LDP
- Art. 17 LDP
- Art. 19 LDP
- Art. 20 LDP
- Art. 21 LDP
- Art. 22 LDP
- Art. 23 LDP
- Art. 24 LDP
- Art. 25 LDP
- Art. 26 LDP
- Art. 10a LDP
- Art. 27 LDP
- Art. 29 LDP
- Art. 30 LDP
- Art. 31 LDP
- Art. 32 LDP
- Art. 32a LDP
- Art. 33 LDP
- Art. 34 LDP
- Art. 35 LDP
- Art. 36 LDP
- Art. 37 LDP
- Art. 38 LDP
- Art. 39 LDP
- Art. 40 LDP
- Art. 41 LDP
- Art. 42 LDP
- Art. 43 LDP
- Art. 44 LDP
- Art. 45 LDP
- Art. 46 LDP
- Art. 47 LDP
- Art. 48 LDP
- Art. 49 LDP
- Art. 50 LDP
- Art. 51 LDP
- Art. 52 LDP
- Art. 53 LDP
- Art. 54 LDP
- Art. 55 LDP
- Art. 56 LDP
- Art. 57 LDP
- Art. 58 LDP
- Art. 59a LDP
- Art. 59b LDP
- Art. 59c LDP
- Art. 62 LDP
- Art. 63 LDP
- Art. 67 LDP
- Art. 67a LDP
- Art. 67b LDP
- Art. 75 LDP
- Art. 75a LDP
- Art. 76 LDP
- Art. 76a LDP
- Art. 90 LDP
-
- Vorb. zu Art. 1 LPD
- Art. 1 LPD
- Art. 2 LPD
- Art. 3 LPD
- Art. 5 lit. f und g LPD
- Art. 6 cpv. 6 e 7 LPD
- Art. 7 LPD
- Art. 10 LPD
- Art. 11 LPD
- Art. 12 LPD
- Art. 14 LPD
- Art. 15 LPD
- Art. 19 LPD
- Art. 20 LPD
- Art. 22 LPD
- Art. 23 LPD
- Art. 25 LPD
- Art. 26 LPD
- Art. 27 LPD
- Art. 31 cpv. 2 lit. e LPD
- Art. 33 LPD
- Art. 34 LPD
- Art. 35 LPD
- Art. 38 LPD
- Art. 39 LPD
- Art. 40 LPD
- Art. 41 LPD
- Art. 42 LPD
- Art. 43 LPD
- Art. 44 LPD
- Art. 44a LPD
- Art. 45 LPD
- Art. 46 LPD
- Art. 47 LPD
- Art. 47a LPD
- Art. 48 LPD
- Art. 49 LPD
- Art. 50 LPD
- Art. 51 LPD
- Art. 54 LPD
- Art. 57 LPD
- Art. 58 LPD
- Art. 60 LPD
- Art. 61 LPD
- Art. 62 LPD
- Art. 63 LPD
- Art. 64 LPD
- Art. 65 LPD
- Art. 66 LPD
- Art. 67 LPD
- Art. 69 LPD
- Art. 72 LPD
- Art. 72a LPD
-
- Art. 2 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 3 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 4 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 5 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 6 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 7 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 8 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 9 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 11 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 12 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 25 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 29 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 32 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 33 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
- Art. 34 CCC (Convenzione sulla cibercriminalità [Cybercrime Convention])
COSTITUZIONE FEDERALE
CODICE DELLE OBBLIGAZIONI
LEGGE FEDERALE SUL DIRITTO INTERNAZIONALE PRIVATO
CONVENZIONE DI LUGANO
CODICE DI PROCEDURA PENALE
CODICE DI PROCEDURA CIVILE
LEGGE FEDERALE SUI DIRITTI POLITICI
CODICE CIVILE
LEGGE FEDERALE SUI CARTELLI E ALTRE LIMITAZIONI DELLA CONCORRENZA
LEGGE FEDERALE SULL’ASSISTENZA INTERNAZIONALE IN MATERIA PENALE
LEGGE FEDERALE SULLA PROTEZIONE DEI DATI
LEGGE FEDERALE SULLA ESECUZIONE E SUL FALLIMENTO
CODICE PENALE SVIZZERO
CYBERCRIME CONVENTION
ORDINANZA SUL REGISTRO DI COMMERCIO
- I. Scopo e storia della norma
- II. Il diritto all'informazione dell'FDPIC
- III. Diritto Processuale
- Bibliografia
- I Materiali
I. Scopo e storia della norma
1Se l'IFPD conduce un'indagine su sospette violazioni della protezione dei dati da parte di un organo federale o di una persona privata, in linea di principio deve fornire tutte le informazioni e i documenti necessari all'indagine ai sensi dell'art. 49 cpv. 3 LPD. Per garantire che le attività di controllo possano essere svolte efficacemente anche se i responsabili non adempiono ai loro obblighi di collaborazione, l'art. 50 LPD conferisce all'IFPD alcuni poteri di indagine e di intervento al fine di chiarire i fatti in modo completo, rapido e preciso.
2L'art. 50 LPD intende soddisfare i requisiti attuali e futuri del diritto internazionale, che la Svizzera deve rispettare in quanto Stato membro della Convenzione ETS 108 del Consiglio d'Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati personali e in quanto Stato Schengen. L'art. 15 cpv. 2 lett. a del Protocollo di modifica del 18 maggio 2018 alla Convenzione ETS 108 prevede che gli Stati membri dotino le proprie autorità di controllo della protezione dei dati di poteri di indagine e di intervento. Analogamente, l'art. 47 cpv. 1, della Direttiva (UE) 2016/680 prevede che gli Stati dell'UE e di Schengen prevedano effettivi poteri di indagine per le loro autorità di controllo, in particolare il potere di accedere a tutti i dati personali trattati e a tutte le informazioni necessarie per lo svolgimento dei loro compiti.
3 Alla luce dell'art. 45 del Regolamento (UE) 2016/679 (Regolamento generale sulla protezione dei dati, GDPR), secondo cui il trasferimento di dati personali dall'UE a Paesi terzi può essere effettuato solo se il Paese terzo in questione offre un livello di protezione adeguato conformemente a una decisione della Commissione europea, il legislatore svizzero ritiene che i nuovi poteri d'indagine dell'IFPDT siano un elemento cruciale per garantire che l'UE mantenga la sua decisione di adeguatezza nei confronti della Svizzera.
4 Rispetto alla legge sulla protezione dei dati del 1992 (aLPD), l'art. 50 LPD rappresenta un chiarimento e un rafforzamento della posizione dell'IFPD. L'art. 27 cpv. 3 dell'aLPD (nell'ambito della vigilanza sugli organi federali) e l'art. 29 cpv. 3 dell'aLPD (nel settore privato) prevedevano già la possibilità di richiedere fascicoli, ottenere informazioni e far elaborare dati nell'ambito di indagini conoscitive. Le persone responsabili erano tenute a collaborare, fatto salvo il diritto di rifiutarsi di testimoniare che si applica, mutatis mutandis, ai sensi dell'art. 16 PA (cfr. art. 27 cpv. 3 aDSG e art. 34 cpv. 2 lett. b aDSG). Tuttavia, se i responsabili non collaborano di propria iniziativa, l'IFPDT non ha a disposizione misure coercitive dirette per ottenere informazioni (ad esempio, la possibilità di sequestrare informazioni o accedere a luoghi, impianti o sistemi anche contro la volontà della persona autorizzata). In caso di rifiuto a collaborare da parte di un organo federale, l'IFPDT può rivolgersi solo a un'unità di livello superiore con il diritto di impartire istruzioni allo stesso; nel settore privato, l'unica opzione a sua disposizione è infatti quella di presentare una denuncia penale per violazione dell'obbligo di collaborazione (art. 34 cpv. 2 lett. b aLPD). Nei casi più gravi di rifiuto a collaborare da parte di un organo federale o di un privato, egli può anche informare il pubblico ai sensi dell'art. 30 cpv. 2 dell'ALPD.
5 I limitati poteri investigativi dell'IFPD ai sensi dell'ALPD sono stati talvolta oggetto di critiche da parte di accademici e professionisti della protezione dei dati. Nel 2014, ad esempio, il gruppo di accompagnamento per la revisione della LPD ha suggerito di ampliare i poteri di raccolta di informazioni dell'IFPD. Di conseguenza, il rafforzamento della posizione dell'IFPDT nelle sue attività investigative è una risposta ai requisiti internazionali (cfr. n. 2 f. sopra) e alle debolezze individuate dalla dottrina e dalla prassi.
6 La pratica dimostrerà se il nuovo regime dei poteri d'indagine della DFP, insieme ai suoi poteri correttivi cautamente ampliati (cfr. OK-Fanger/Oehri sull'art. 51 LPD), garantisce un'attività di vigilanza efficace. Oltre alla corrispondente ripartizione delle competenze, una vigilanza efficace richiede anche che la DFP sia dotata di risorse adeguate. A questo proposito, in letteratura sono state espresse alcune critiche sulle risorse, considerate troppo scarse e che, nonostante un aumento già avvenuto, probabilmente continueranno a costringere l'IFPDT a procedere secondo il principio di opportunità nelle sue attività di vigilanza. Anche i valutatori Schengen 2018 sono stati critici a questo proposito e hanno raccomandato di assegnare all'FDPIC risorse finanziarie e umane sufficienti per consentirgli di svolgere tutti i suoi compiti nel contesto Schengen.
II. Il diritto all'informazione dell'FDPIC
A. Ordinazione di misure investigative
7Se l'IFPD avvia un'indagine nei confronti di un organo federale o di una persona privata ai sensi dell'art. 49 cpv. 1 LPD a causa di una sospetta violazione della protezione dei dati, spetta in linea di principio all'organo federale o alla persona privata interessata fornire all'IFPD tutte le informazioni e i documenti necessari per l'indagine (art. 49 cpv. 3 LPD). Se la persona responsabile non adempie agli obblighi di collaborazione di cui all'art. 49 cpv. 3 LPD, l'art. 50 cpv. 1 LPD conferisce all'IFPDT la competenza di ordinare misure per ottenere informazioni. L'ordine di tali misure è subordinato alla collaborazione della persona responsabile e presuppone quindi che l'IFPDT abbia avviato un'indagine e abbia cercato invano di ottenere le informazioni e i documenti necessari.
8 L'elenco delle misure possibili per ottenere informazioni di cui all'art. 50 cpv. 1 LPD si basa su quello dell'art. 12 PA e non è esaustivo. In particolare, l'IFPDT può chiedere l'accesso a tutte le informazioni, i documenti, gli elenchi delle attività di trattamento e i dati personali necessari per l'indagine (lett. a), nonché ai locali e agli impianti (lett. b), e può ordinare l'esame di testimoni (lett. c) e le perizie di esperti (lett. d).
9 Per consentire un'indagine mirata, il concetto di accesso (art. 50 cpv. 1 lett. a e lett. b LPD) deve essere inteso in senso ampio. Pertanto, l'accesso ai documenti comprende non solo la loro ispezione, ma anche il loro sequestro, se necessario. Per quanto riguarda le misure di accesso di cui all'art. 50 cpv. 1 lett. a e lett. b LPD, il regolamento si basa essenzialmente sulle disposizioni pertinenti del GDPR (art. 58 cpv. 1 lett. e e lett. f GDPR). Di norma, le informazioni vengono raccolte tramite un questionario e tutti i documenti rilevanti per l'indagine vengono registrati. Ai sensi dell'art. 12 cpv. 1 LPD, l'elenco delle attività di trattamento deve essere redatto e conservato dal responsabile del trattamento e dall'incaricato del trattamento indipendentemente da qualsiasi indagine sulla protezione dei dati, tranne nei casi eccezionali di cui all'art. 12 cpv. 5 LPD, che tuttavia sono molto estesi in Svizzera in quanto paese di PMI e quindi saranno probabilmente la regola. Anche in questo caso, l'ordine di cui all'art. 50 cpv. 1 LADP riguarda l'ispezione e, se necessario, il sequestro, ma non la corretta tenuta dei registri. Quest'ultima può essere oggetto di un ordine basato sui risultati dell'indagine ai sensi dell'art. 51 LPD. Se necessario, può essere ordinata anche la divulgazione dei dati personali necessari per l'indagine, ai sensi dell'art. 50 cpv. 1 lett. a LPD. L'accesso ai locali e alle strutture può essere necessario se le misure tecniche e organizzative (TOM) sono oggetto dell'indagine. Menzionando l'esame di testimoni e perizie, l'art. 50 cpv. 1 LPD va oltre il GDPR, che non contiene alcuna norma esplicita al riguardo.
10Rispetto all'ALPD, l'elenco esemplare delle possibili misure investigative di cui all'art. 50 cpv. 1 LPD comporta un'espansione selettiva dei poteri di informazione (cfr. n. 4 sopra). Tuttavia, l'ampliamento essenziale della posizione dell'IFPDT in materia di acquisizione di informazioni consiste principalmente nel rafforzamento dei meccanismi di esecuzione (cfr. infra, n. 18 e segg.).
B. Ambito di applicazione personale e materiale
11Affinché l'IFPDT possa adempiere ai suoi compiti di vigilanza legale, i diritti di raccolta di informazioni che gli spettano devono essere strutturati in modo completo.
12In termini personali, le informazioni sono ottenute in primo luogo dall'organo federale o dalla persona privata interessata, ma possono comprendere anche altri organi o persone coinvolti nel trattamento dei dati in questione (ad esempio, collaboratori, ausiliari, agenti, partner di outsourcing) o terzi che possono fornire informazioni rilevanti (ad esempio, persone interessate, autorità, ex collaboratori, partner commerciali). Nell'ambito dell'ALPD, il gruppo di persone da cui l'FDPIC può ottenere informazioni nel corso delle sue indagini era già ampiamente definito. L'inclusione esplicita delle audizioni di testimoni e delle perizie nell'art. 50 cpv. 1 LPD rende ora chiaro nel testo giuridico anche il possibile coinvolgimento di terzi. Mentre il dovere della persona responsabile di collaborare come parte si basa sull'art. 49 cpv. 3 LPD e sull'art. 13 cpv. 1 lett. c PA, quello di terzi si basa sugli artt. 15 e 17 PA. Restano riservati i diritti di rifiuto applicabili nei singoli casi (cfr. infra, n. 14 e segg.).
13Anche il diritto all'informazione dell'IFPDT deve essere interpretato in senso lato da un punto di vista fattuale. L'art. 50 cpv. 1 lett. a LPD menziona specificamente tutte le informazioni, i documenti, gli elenchi delle attività di trattamento e i dati personali necessari per l'indagine. Pertanto, il diritto all'informazione si estende a tutte le informazioni relative a un caso specifico o di natura generale che siano rilevanti e necessarie per una valutazione legale della presunta violazione della protezione dei dati. Ciò include tutti i documenti e le informazioni che potrebbero dire se, quando e come gli organismi responsabili rispettano i requisiti della legge sulla protezione dei dati, in particolare quelli che possono essere utilizzati per valutare l'accuratezza dei dati, la liceità del loro trattamento e il rispetto dei diritti degli interessati. Sono inclusi anche documenti e informazioni sul personale, sulle misure tecniche e organizzative, sulla documentazione relativa alle procedure, ai programmi e ai sistemi, nonché su tutte le basi giuridiche (ad es. direttive, linee guida, opuscoli, contratti) relative all'attuazione delle disposizioni sulla protezione dei dati.
C. Limiti, in particolare la riserva del segreto professionale
14Il diritto all'informazione dell'IFPDT e il relativo dovere di collaborazione da parte degli organi federali e delle persone private oggetto di indagine, nonché di terzi, non sono ovviamente illimitati. Trovano i loro limiti nei relativi diritti di rifiuto. A questo proposito, l'art. 49 cpv. 3 LDP stabilisce che il diritto di rifiutare informazioni da parte degli organi federali e delle persone private è disciplinato dagli artt. 16 e 17 LDP, a meno che l'art. 50 cpv. 2 LDP non disponga diversamente. L'art. 16 e l'art. 17 PA si applicano anche ai terzi.
15 Secondo l'ordinamento applicabile, che risulta dall'interazione tra la LPD e la Legge sulla procedura amministrativa e dal riferimento parziale alla Legge federale sulla procedura civile e al Codice penale, le informazioni e anche altre forme di cooperazione, ad esempio sotto forma di consegna di documenti, possono essere rifiutate in ogni caso:
se il collaboratore esporrebbe se stesso o una persona vicina al rischio di un procedimento penale o di un grave danno all'onore o causerebbe un danno patrimoniale diretto a se stesso o a una persona vicina (art. 16 cpv. 1 PA in combinato disposto con l'art. 42 cpv. 1 lett. a BZP);
se il collaboratore può invocare la protezione delle fonti per i professionisti dei media (art. 16 cpv. 1 PA in combinato disposto con l'art. 42 cpv. 1 lett. a BZP). Art. 42 cpv. 1 lit. abis BZP in combinato disposto con. Art. 28a SCC);
se il collaboratore può invocare un segreto professionale ai sensi dell'art. 321 n. 1 CP e la persona avente diritto al segreto non ha acconsentito alla divulgazione del segreto (art. 16 cpv. 1 PA in combinato disposto con l'art. 42 cpv. 1 lett. abis BZP in combinato disposto con l'art. 28a CP). Art. 42 cpv. 1 lett. b BZP in combinato disposto con. Art. 321 cpv. 1 CP);
se la corrispondenza proviene da un avvocato (art. 17 PA in combinato disposto con l'art. 51a BZP).
16D'altra parte, invocare segreti di fabbricazione o commerciali, obblighi di segretezza contrattuale o segreto d'ufficio non esime una persona dal partecipare a un'indagine dell'IFPDT. L'IFPDT, dal canto suo, è vincolato dalle disposizioni di legge applicabili - in particolare in materia di protezione dei dati e di tutela dei segreti industriali e commerciali - ed è soggetto al segreto d'ufficio ai sensi dell'art. 22 dell'UFAP, che, secondo il legislatore, garantisce il trattamento confidenziale delle informazioni ottenute nel corso delle sue indagini.
17Secondo la prassi dell'aLPD, i detentori di altri segreti professionali, ad esempio le persone soggette al segreto bancario (art. 47 della legge sulle banche), al segreto professionale nella ricerca medica (art. 321bis CP) o al segreto postale e delle telecomunicazioni (art. 321ter CP), non potrebbero invocare il diritto di rifiutare di collaborare alle indagini in base alla legge sulla protezione dei dati, ai sensi dell'art. 16 cpv. 2 PA in combinato disposto con l'art. 42 cpv. 2 BZV. Art. 42 cpv. 2 BZP. La questione è se la riserva esplicita del segreto professionale nel nuovo art. 50 cpv. 2 LPD cambi qualcosa a questo proposito. Questa disposizione è stata inserita solo durante il dibattito parlamentare. Tuttavia, il dibattito parlamentare in questione suggerisce, secondo l'opinione espressa in questa sede, che l'esplicita menzione del segreto professionale sia solo una precisazione e non significhi un cambiamento della situazione giuridica e della prassi.
III. Diritto Processuale
A. Panoramica
18Mentre il contenuto del diritto all'informazione dell'IFPD ai sensi dell'art. 50 cpv. 1 LPD è stato probabilmente ampliato solo sotto certi aspetti rispetto al vecchio diritto (cfr. n. 7 e segg.), la posizione dell'IFPD in merito alla sua applicazione è stata notevolmente rafforzata. In base all'ALPD, l'IFPD poteva disporre misure investigative, ma non poteva imporle in caso di controparte non collaborativa (cfr. n. 4). La raccolta di informazioni da parte dell'IFPDT è ora regolata in tre fasi:
In primo luogo, avviene attraverso una richiesta informale dell'IFPDT all'organo federale o alla persona privata contro cui è stata aperta un'indagine. Ai sensi dell'art. 49 cpv. 3 LPD, la persona responsabile è tenuta a fornire informazioni e a consegnare documenti, nella misura in cui ciò sia necessario per l'indagine, se non può far valere il diritto di rifiutare la propria collaborazione.
In subordine, se l'ottenimento di informazioni attraverso la sola comunicazione di informazioni e la consegna di documenti da parte dell'organo federale o della persona privata interessata è infruttuoso o insufficiente, l'IFPD può "ordinare" misure investigative ai sensi dell'art. 50 cpv. 1 LPD (cfr. infra, n. 19 e segg.).
Infine, l'IFPD può coinvolgere altre autorità federali e le autorità di polizia cantonali o comunali per eseguire le misure ordinate ai sensi dell'art. 50 cpv. 1 LPD, conformemente all'art. 50 cpv. 3 LPD.
B. Il termine "ordine"
19 La legge e la documentazione non indicano esplicitamente cosa si intenda con il termine "ordine" o in quale forma debba essere emesso. Mentre nel contesto delle misure amministrative che l'IFPD può emettere in base all'art. 51 LPD dopo la conclusione di un'indagine, la facoltà dell'IFPD di emettere un'ordinanza è discussa in modo preponderante sia nel messaggio che nella ricezione della nuova disposizione nella letteratura (cfr. OK-Fanger/Oehri sull'art. 51 LPD, n. 1 e segg.), per quanto riguarda le misure d'indagine ai sensi dell'art. 50 LPD non si discute se anche la loro ordinanza abbia il carattere di ordinanza o se debba essere qualificata come un vero e proprio atto dell'autorità.
20 Le disposizioni della PA applicabili al procedimento d'indagine ai sensi dell'art. 50 LDP in virtù del rinvio di cui all'art. 52 cpv. 1 LDP, in particolare gli artt. 12-19 LDP, nonché gli artt. 37, 39-41 e 43-61 LDP, anch'essi applicabili in virtù dell'ulteriore rinvio di cui all'art. 19 LDP, tutti rilevanti per l'accertamento dei fatti nel procedimento amministrativo, non determinano espressamente la forma in cui devono essere disposti i provvedimenti d'indagine.
21Secondo l'opinione espressa in questa sede e spiegata in dettaglio qui di seguito, la disposizione di provvedimenti istruttori deve assumere la forma di un'ordinanza processuale (provvisoria).
22 A differenza di quanto avviene nel settore della procedura civile, le ordinanze di prova vera e propria non sono comuni nei procedimenti amministrativi, nei quali prevale la massima istruttoria. Tuttavia, le misure probatorie o investigative sono generalmente ordinate sotto forma di ingiunzioni in molti settori amministrativi. Sebbene la giurisprudenza non si occupi quasi mai in dettaglio della natura giuridica delle ordinanze in questione, nella maggior parte di queste decisioni la corte giudicante assume un'ordinanza senza ulteriori considerazioni sull'oggetto della contestazione.
23Nelle decisioni in cui la Corte Suprema Federale ha dovuto affrontare specificamente la questione se l'ordine di una misura investigativa in un caso specifico si qualifichi o meno come un ordine (contestabile), il quadro non è uniforme: a volte un ordine corrispondente è classificato come un ordine provvisorio procedurale, a volte come un atto ufficiale reale. Nella sua giurisprudenza più recente, la Corte Suprema Federale sembra assumere sempre più spesso che l'ordinanza sia di natura ingiuntiva. Tuttavia, non si possono trarre affermazioni generali per tutti i settori amministrativi.
24In riferimento al fatto che l'ordine di misure probatorie nell'ambito dell'obbligo di cooperazione crea sempre un obbligo legale, la dottrina sostiene - giustamente secondo l'opinione qui rappresentata - la qualificazione come ordine. In alcuni casi, si distingue se l'adempimento dell'obbligo di cooperazione può essere imposto mediante sanzioni (coercizione diretta, ammenda, ecc.). Nella misura in cui ciò è previsto dalla legge e quindi si tratta di un vero e proprio obbligo legale, l'ordine di collaborare a questo proposito deve essere strutturato come un ordine provvisorio se la minaccia di astenersi è così specifica da poter essere eseguita.
25Se un atto amministrativo interferisce fortemente con la posizione giuridica del destinatario, è opportuna un'ingiunzione, in modo che il destinatario possa avviare un riesame da parte di una corte d'appello, se necessario. È improbabile che l'ente federale o il privato, in quanto parte in causa in un'indagine ai sensi della legge sulla protezione dei dati, accetti di ordinare misure investigative: Dopo che il responsabile del trattamento non ha voluto o non ha potuto fornire le informazioni necessarie per la valutazione di una possibile violazione della protezione dei dati nell'ambito dell'indagine informale dell'IFPD, si può presumere che non sarà improvvisamente in grado o disposto a collaborare sufficientemente di sua iniziativa, nemmeno in risposta a un ordine ai sensi dell'art. 50 cpv. 1 LPD. In considerazione del diritto a un equo processo, è ancora più importante che egli abbia la possibilità di far riesaminare l'ordinanza contestata da un tribunale, ai sensi dell'art. 52 cpv. 1 LPD in combinato disposto con la legge sulla procedura amministrativa. Inoltre, l'IFPDT può eseguire le misure investigative ordinate, nella misura in cui possono essere eseguite coattivamente, con l'aiuto di altre autorità federali e delle autorità di polizia cantonali e comunali ai sensi dell'art. 50 cpv. 3 LPD. La mancata collaborazione è punita dall'art. 60 LPD. In altre parole, le misure investigative ai sensi dell'art. 50 cpv. 1 LPD danno regolarmente luogo a veri e propri obblighi giuridici per la parte processuale, motivo per cui devono essere ordinate per decreto.
26Lo stesso vale per l'obbligo di collaborazione di terzi, che può essere eseguito (art. 50 cpv. 3 LPD) e la cui inosservanza può avere anche conseguenze penali (art. 52 cpv. 1 LPD in combinato disposto con l'art. 60 PA). Se vengono convocati come testimoni o viene loro richiesto di modificare documenti o di concedere l'accesso a locali e impianti, ciò costituisce un'interferenza sostanziale contro la quale deve essere disponibile un rimedio legale prima dell'esecuzione forzata o della sanzione della mancata collaborazione.
27Dal punto di vista dell'economia procedurale, si può certamente obiettare che, a seconda delle circostanze del singolo caso, la disposizione di misure investigative può portare a procedimenti investigativi molto lunghi e costosi. Tuttavia, ciò è accettabile per ragioni di Stato di diritto. L'IFPDT non deve imporre requisiti eccessivi alla giustificazione delle misure investigative, in modo che un'ordinanza sotto forma di decreto non comporti una spesa aggiuntiva significativa rispetto a un atto puramente reale. La procedura rischia di essere ritardata se è possibile un ricorso indipendente (art. 52 cpv. 1 LPD in combinato disposto con l'art. 46 cpv. 1 PA), cosa che nel presente contesto avverrà solo in casi eccezionali (cfr. in dettaglio infra n. 28). Inoltre, se necessario, l'IFPDT può revocare l'effetto sospensivo di un ricorso (art. 52 cpv. 1 LPD in combinato disposto con l'art. 55 cpv. 2 PA). Infine, soprattutto in caso di indagini complesse con procedimenti lunghi, a volte può essere necessaria l'ordinanza cautelare di misure amministrative ai sensi dell'art. 51 LPD (cfr. OK-Fanger/Oehri sull'art. 51 LPD, n. 22 e segg.).
C. Ricorso legale
28Se si concede all'ordinanza di misure investigative il carattere di ingiunzione, essa può essere impugnata ai sensi dell'art. 52 cpv. 1 LPD in combinato disposto con l'art. 46 cpv. 1 VwG. L'art. 46 cpv. 1 PA può essere impugnato autonomamente con un ricorso al Tribunale amministrativo federale.
29Il ricorso dovrebbe essere possibile soprattutto se l'ordinanza può causare un danno irreparabile ai sensi dell'art. 46 cpv. 1 lett. a PA. Questo è il caso se vengono sollevate obiezioni contro le misure probatorie ordinate che non possono essere sollevate senza svantaggio impugnando la decisione finale. L'art. 46 cpv. 1 lett. b PA, secondo il quale il ricorso è ammissibile anche se la sua approvazione porterebbe immediatamente a una decisione definitiva e quindi a un notevole risparmio di tempo o di costi per un lungo procedimento probatorio, difficilmente sarà rilevante per quanto riguarda gli atti di indagine ai sensi della legge sulla protezione dei dati.
30Se il ricorso è ammissibile, la decisione del Tribunale amministrativo federale può essere successivamente impugnata davanti al Tribunale federale mediante un ricorso in materia di diritto pubblico (art. 82 lett. a in combinato disposto con l'art. 86 cpv. 1 lett. a LTF). In questo caso, oltre al destinatario dell'ordinanza, anche l'IFPDT ha il diritto di ricorrere (art. 52 cpv. 3 LPD).
D. Esecuzione
31L'art. 50 cpv. 3 LPD prevede che l'IFPD possa coinvolgere altre autorità federali e le autorità di polizia cantonali o comunali nell'esecuzione delle misure di cui all'art. 50 cpv. 1 LPD. L'art. 54 cpv. 2 lett. c LPD stabilisce inoltre che l'IFPD può comunicare alle autorità consultate le informazioni e i dati personali necessari per l'adempimento dei loro compiti legali.
32L'art. 50 cpv. 3 LPD è stato modificato nel corso dell'iter legislativo. Fino alla LPD del 2017, la disposizione in questione conferiva esplicitamente all'IFPD la facoltà di ordinare misure cautelari per la durata dell'inchiesta e di farle eseguire da un'autorità federale o dagli organi di polizia cantonali o comunali (art. 44 cpv. 2 LPD [2017]). La versione finale della disposizione non contiene più alcuna menzione diretta di misure cautelari (cfr. sulla possibilità di ordinare misure cautelari durante la durata di un'indagine sulla protezione dei dati, OK-Fanger/Oehri sull'art. 51 LPD, n. 22 e segg.).
33Per quanto riguarda l'esecuzione, si applicano inoltre le norme della legge sulla procedura amministrativa (LPD), in particolare gli artt. 39-43 LPD, nella misura in cui l'art. 50 FADP non disponga altrimenti. Di conseguenza, l'esecuzione richiede che non sia disponibile alcun rimedio legale con effetto sospensivo contro l'ordinanza (art. 52 cpv. 1 LPD in combinato disposto con l'art. 39 PA). Per quanto riguarda i possibili mezzi di coercizione (cfr. art. 52 cpv. 1 LPD in combinato disposto con l'art. 41 PA), l'accesso coercitivo e la perquisizione di locali e impianti, nonché il sequestro di impianti, documenti, elenchi di attività di trattamento e dati personali svolgeranno principalmente un ruolo nella pratica. Può essere presa in considerazione anche la minaccia di una pena (cfr. art. 60 LPD e art. 52 cpv. 1 LPD in combinato disposto con l'art. 60 PA). Per contro, la produzione obbligatoria di parti per fornire informazioni o di testimoni non dovrebbe quasi mai essere presa in considerazione, soprattutto perché il principio di proporzionalità si applica sempre per quanto riguarda i mezzi di coercizione utilizzati (Art. 52 cpv. 1 LPD in combinato disposto con l'Art. 42 PA).
E. Nessun compenso
34L'art. 59 cpv. 1 lett. d LPD stabilisce che l'IFPD riscuote una tassa dai privati per l'emissione di misure cautelari e di misure (amministrative) ai sensi dell'art. 51 LPD. Per quanto riguarda la procedura d'inchiesta, ciò significa al contrario che, in assenza di una base legale corrispondente, non è possibile imporre alcun emolumento a un organo federale in nessun caso. Inoltre, secondo il messaggio relativo all'e-DSA (2017), si dovrebbe concludere che non vengono riscossi emolumenti per le indagini contro persone private che si concludono senza ordinare misure cautelari o amministrative.
35La prevista esenzione dalle tasse è convincente per i procedimenti d'indagine in cui il chiarimento dei fatti è formalmente semplice, ossia può essere effettuato senza un'ordinanza formale di misure investigative solo grazie alla collaborazione di una persona responsabile che collabora pienamente, e d'altra parte ha un effetto liberatorio, ossia non porta a misure amministrative. Si può anche sostenere che l'ordine di misure investigative su terzi, nella misura in cui queste non siano state rese necessarie da una mancanza di cooperazione da parte del responsabile del trattamento, non dovrebbe comportare alcuna conseguenza finanziaria per quest'ultimo. Tuttavia, l'art. 50 LPD non si limita a queste fattispecie, ma si applica in particolare se il responsabile non collabora sufficientemente alla procedura di indagine (cfr. art. 50 cpv. 1 LPD). Secondo l'opinione qui espressa, l'ordine di misure investigative, che si sono rese necessarie solo perché la persona responsabile non ha adempiuto ai suoi doveri di collaborazione senza giustificazione, dovrebbe in ogni caso avere conseguenze di costo nella sfera privata, anche se, dopo il completo svolgimento dell'indagine, che è stata aperta in risposta a indicazioni sufficienti ai sensi dell'art. 49 cpv. 1 LPD, risulta che non vi è stata alcuna violazione delle disposizioni sulla protezione dei dati e quindi non è necessario ordinare misure amministrative ai sensi dell'art. 51 LPD.
Bibliografia
Auer Christoph/Binder Anja Martina, Kommentierung zu Art. 12 VwVG, in: Auer Christoph/Müller Markus/Schindler Benjamin (Hrsg.), VwVG – Bundesgesetz über das Verwaltungsverfahren: Kommentar, 2. Aufl., Zürich 2019.
Auer Christoph/Binder Anja Martina, Kommentierung zu Art. 13 VwVG, in: Auer Christoph/Müller Markus/Schindler Benjamin (Hrsg.), VwVG – Bundesgesetz über das Verwaltungsverfahren: Kommentar, 2. Aufl., Zürich 2019.
Auer Christoph/Binder Anja Martina, Kommentierung zu Art. 15 VwVG, in: Auer Christoph/Müller Markus/Schindler Benjamin (Hrsg.), VwVG – Bundesgesetz über das Verwaltungsverfahren: Kommentar, 2. Aufl., Zürich 2019.
Baeriswyl Bruno, Kommentierung zu Art. 50 DSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Datenschutzgesetz, Stämpflis Handkommentar, 2. Aufl., Bern 2023.
Baeriswyl Bruno, Kommentierung zu Art. 27 aDSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Datenschutzgesetz, Stämpflis Handkommentar, Bern 2015.
Baeriswyl Bruno, Kommentierung zu Art. 29 aDSG, in: Baeriswyl Bruno/Pärli Kurt/Blonski Dominika (Hrsg.), Datenschutzgesetz, Stämpflis Handkommentar, Bern 2015.
Güngerich Andreas/Bickel Jürg, Kommentierung zu Art. 15 VwVG, in: Waldmann Bernhard/Weissenberger Philippe (Hrsg.), VwVG – Praxiskommentar Verwaltungsverfahrensgesetz, 2. Aufl., Zürich 2016.
Güngerich Andreas/Bickel Jürg, Kommentierung zu Art. 16 VwVG, in: Waldmann Bernhard/Weissenberger Philippe (Hrsg.), VwVG – Praxiskommentar Verwaltungsverfahrensgesetz, 2. Aufl., Zürich 2016.
Huber René, Kommentierung zu Art. 27 aDSG, in: Maurer-Lambrou Urs/Blechta Gabor-Paul (Hrsg.), Datenschutzgesetz/Öffentlichkeitsgesetz, Basler Kommentar, 3. Aufl., Basel 2014.
Huber René, Kommentierung zu Art. 29 aDSG, in: Maurer-Lambrou Urs/Blechta Gabor-Paul (Hrsg.), Datenschutzgesetz/Öffentlichkeitsgesetz, Basler Kommentar, 3. Aufl., Basel 2014.
Jöhri Yvonne, § 8 Aufgabe und Bedeutung der öffentlichen Datenschutzbeauftragten, in: Passadelis Nicolas/Rosenthal David/Thür Hanspeter (Hrsg.), Datenschutzrecht, Basel 2015, S. 245–278.
Jöhri Yvonne, Kommentierung zu Art. 27 aDSG, in: Rosenthal David/Jöhri Yvonne (Hrsg.), Handkommentar zum Datenschutzgesetz sowie weiteren, ausgewählten Bestimmungen, Zürich 2008.
Reudt-Demont Janine/Gordon Clara-Ann/Egli Luisa, Das revidierte Datenschutzgesetz: Wichtigste Neuigkeiten mit Fokus auf Gesundheitsdaten, LSR 2021, S. 264–269.
Rosenthal David, Das neue Datenschutzgesetz, Jusletter 16.11.2020 (zit. Rosenthal nDSG).
Rosenthal David, Der Entwurf für ein neues Datenschutzgesetz: Was uns erwartet und was noch zu korrigieren ist, Jusletter 27.11.2017 (zit. Rosenthal E-DSG).
Rosenthal David, § 7 Sanktionierung von Datenschutzverstössen, in: Passadelis Nicolas/Rosenthal David/Thür Hanspeter (Hrsg.), Datenschutzrecht, Basel 2015, S. 203–244 (zit. Rosenthal Sanktionierung).
Rosenthal David, Kommentierung zu Art. 29 aDSG, in: Rosenthal David/Jöhri Yvonne (Hrsg.), Handkommentar zum Datenschutzgesetz sowie weiteren, ausgewählten Bestimmungen, Zürich 2008.
Rudin Beat, Verpasste Chance und Handlungsbedarf: Ein Blick auf die Datenschutzrechts-Reform(en) und die Wirksamkeit der Datenschutzaufsicht, digma 2020, S. 180–187.
Walter Jean-Philippe, «Vingt ans de législation sur la protection des données, rétrospectives et perspectives» – L’évolution du droit de la protection des données: perspectives, Jusletter 25.6.2012.
Wiederkehr René/Meyer Christian/Böhme Anna, Kommentierung zu Art. 13 VwVG, in: Wiederkehr René/Meyer Christian/Böhme Anna (Hrsg.), VwVG Kommentar, Zürich 2022.
Wiederkehr René/Meyer Christian/Böhme Anna, Kommentierung zu Art. 15 VwVG, in: Wiederkehr René/Meyer Christian/Böhme Anna (Hrsg.), VwVG Kommentar, Zürich 2022.
Wiederkehr René/Meyer Christian/Böhme Anna, Kommentierung zu Art. 55 VwVG, in: Wiederkehr René/Meyer Christian/Böhme Anna (Hrsg.), VwVG Kommentar, Zürich 2022.
I Materiali
Botschaft zur Genehmigung des Protokolls vom 10.10.2018 zur Änderung des Übereinkommens zum Schutz des Menschen bei der automatischen Verarbeitung personenbezogener Daten vom 6.12.2019, BBl 2020 S. 565 ff., abrufbar unter https://www.fedlex.admin.ch/filestore/fedlex.data.admin.ch/eli/fga/2020/60/de/pdf-a/fedlex-data-admin-ch-eli-fga-2020-60-de-pdf-a.pdf, besucht am 28.6.2023.
Botschaft zum Bundesgesetz über die Totalrevision des Bundesgesetzes über den Datenschutz und die Änderung weiterer Erlasse zum Datenschutz vom 15.9.2017, BBl 2017 S. 641 ff., abrufbar unter https://www.fedlex.admin.ch/filestore/fedlex.data.admin.ch/eli/fga/2017/2057/de/pdf-a/fedlex-data-admin-ch-eli-fga-2017-2057-de-pdf-a.pdf, besucht am 28.6.2023.
Durchführungsbeschluss 7281/19 des Rates der Europäischen Union zur Festlegung einer Empfehlung zur Beseitigung der 2018 bei der Evaluierung der Anwendung des Schengen-Besitzstands im Bereich des Datenschutzes durch die Schweiz festgestellten Mängel vom 8.3.2019, abrufbar unter https://data.consilium.europa.eu/doc/document/ST-7281-2019-INIT/de/pdf, besucht am 28.6.2023.
Normkonzept zur Revision des Datenschutzgesetzes – Bericht der Begleitgruppe Revision DSG vom 29.10.2014, abrufbar unter https://www.newsd.admin.ch/newsd/message/attachments/75506.pdf, besucht am 28.6.2023.