Quali provvedimenti può ordinare l'IFPDT in caso di violazione della protezione dei dati?
In caso di violazione delle disposizioni sulla protezione dei dati, l’IFPDT può ordinare di adeguare, sospendere o cessare il trattamento, nonché di cancellare o distruggere dati personali. Può anche sospendere o vietare comunicazioni di dati personali all’estero contrarie alle condizioni legali e imporre specifici adempimenti; se la situazione viene corretta durante l’inchiesta, può limitarsi a un ammonimento.
Se sono state violate le disposizioni sulla protezione dei dati, l’IFPDT può intervenire direttamente sul trattamento. In particolare può ordinare di adeguarlo, sospenderlo oppure cessarlo del tutto o in parte. Può inoltre ordinare di cancellare o distruggere del tutto o in parte i dati personali. La misura concreta dipende quindi dal tipo di violazione e può riguardare sia il modo in cui i dati sono trattati sia l’esistenza stessa dei dati conservati. Occorre verificare se il problema riguarda l’intero trattamento o solo una parte, perché la legge prevede espressamente interventi anche parziali.[1]
Per i trasferimenti verso l’estero, l’IFPDT può sospendere o vietare la comunicazione di dati personali all’estero quando essa è contraria alle condizioni di cui agli articoli 16 o 17 oppure alle disposizioni di altre leggi federali riguardanti la comunicazione di dati personali all’estero. La legge elenca inoltre vari ordini specifici che l’IFPDT può impartire all’organo federale o al privato: informarlo conformemente agli articoli 16 capoverso 2 lettere b e c nonché 17 capoverso 2; adottare i provvedimenti di cui agli articoli 7 e 8; informare le persone interessate conformemente agli articoli 19 e 21; procedere a una valutazione d’impatto sulla protezione dei dati conformemente all’articolo 22; consultarlo conformemente all’articolo 23; informarlo o, se del caso, informare la persona interessata, conformemente all’articolo 24; fornire alla persona interessata le informazioni di cui all’articolo 25.[1]
L’IFPDT può inoltre disporre che il titolare privato del trattamento con sede o domicilio all’estero designi un rappresentante secondo l’articolo 14. Se invece, durante l’inchiesta, l’organo federale o il privato ha già adottato i provvedimenti necessari per ristabilire il rispetto delle disposizioni sulla protezione dei dati, l’IFPDT non deve necessariamente imporre una misura più incisiva: può limitarsi a pronunciare un ammonimento. Prima di valutare le conseguenze pratiche, conviene quindi verificare se la situazione è già stata corretta nel corso dell’inchiesta e se la misura riguarda un privato, un organo federale o un titolare con sede o domicilio all’estero.[1]
Questa risposta riassume il testo legale citato come pubblicato su Fedlex. Prima di agire, occorre verificare la disposizione attualmente in vigore e ogni successiva modifica.[1]