Verbalizzazione del trattamento di dati personali da parte della Confederazione: adeguamento delle regole da dicembre 2025
Berna, 29.10.2025 — Le verbalizzazioni vanno effettuate in ogni caso quando gli organi federali trattano in maniera automatizzata dati personali particolarmente sensibili. In futuro per i dati personali meno sensibili, un’analisi del rischio stabilirà se e come il trattamento debba essere verbalizzato. Nella seduta del 29 ottobre 2025 il Consiglio federale ha fissato al 1° dicembre 2025 l’entrata in vigore delle pertinenti modifiche dell’ordinanza sulla protezione dei dati.
La verbalizzazione ha lo scopo di rendere tracciabile e trasparente il trattamento dei dati. Contribuisce inoltre alla sicurezza dei dati e aiuta a impedire l’abuso di dati personali. L’obbligo di verbalizzazione degli organi federali è stato esteso con la revisione totale del diritto sulla protezione dei dati nel 2023. Da allora i servizi federali e i loro responsabili del trattamento sono obbligati a verbalizzare almeno la registrazione, modificazione, lettura, comunicazione, cancellazione e distruzione di tutti i dati personali.
Dalla pratica si evince tuttavia che la nuova normativa non considera sufficientemente se in particolare i costi della verbalizzazione sono adeguati al rischio sotto il profilo del diritto della protezione dei dati. Per questo motivo il Consiglio federale ha deciso di seguire l’approccio basato sul rischio del diritto in materia di protezione dei dati anche per quanto riguarda l’obbligo di verbalizzazione degli organi federali. Devono pertanto essere modificati alcuni punti dell’ordinanza sulla protezione dei dati riguardanti la verbalizzazione del trattamento di dati personali meno sensibili.
Se trattano dati personali meno sensibili, gli organi federali devono ora verificare specificamente se sussiste un rischio di violazione dei diritti fondamentali di una persona, in particolare del diritto all'autodeterminazione informativa o alla protezione della sfera privata. A tal fine occorre tenere conto anche dello stato della tecnica e dei costi della verbalizzazione. Sulla base di questa verifica gli organi federali stabiliscono se e in quale misura il trattamento debba essere verbalizzato. A tal proposito vale il principio: maggiore è il rischio di violazione dei diritti fondamentali, più ampio è l’obbligo di verbalizzazione.
Nessuna modifica per quanto riguarda la verbalizzazione di dati personali degni di particolare protezione
Rimane invariato l'obbligo di verbalizzare in ogni caso il trattamento di dati personali degni di particolare protezione, come ad esempio informazioni sulla salute o sulle convinzioni politiche.
Nella seduta del 29 ottobre 2025 il Consiglio federale ha fissato l’entrata in vigore delle modifiche dell’ordinanza sulla protezione dei dati al 1° dicembre 2025. Per i trattamenti automatizzati di dati personali pianificati o avviati prima dell'entrata in vigore della nuova normativa, gli organi federali devono effettuare una verifica della verbalizzazione entro fine 2026. Se tale verifica rivela che vi è un obbligo di verbalizzazione, quest’ultima deve essere attuata entro fine 2029. Il periodo transitorio non si applica invece ai trattamenti di dati che erano già soggetti all'obbligo di verbalizzazione secondo la normativa previgente.