www.ti.ch/protezionedati La protezione dei dati nel rapporto tra istituto bancario e cliente Michele Albertini dott. iur. incaricato cantonale e consulente giuridico del Gran Consiglio del Cantone Ticino CFPG giornata di studio del 6 giugno 2011 La responsabilità in ambito bancario e nella gestione patrimoniale Situazione attuale e nuove tendenze 1
Indice I. Introduzione II. Fondamenti giuridici generali degli obblighi di confidenzialità e dei diritti e doveri d informazione III. Significato dell art. 13 Cost. nell ambito bancario IV. La concretizzazione dell art. 13 Cost. nell ambito generale della protezione dei dati V. Obblighi di chi tratta i dati e diritti delle persone interessate: questioni scelte 1. La protezione dei dati nel contesto dell'attività bancaria 2. Obblighi di informare 2.1 Obblighi dedotti dal principio della buona fede e della riconoscibilità 2.2 Obbligo di informare dell'art. 14 LPD 3. Diritto di informazione o di accesso (art. 8 e 9 LPD) VI. Pretese giuridiche (azioni civili) VII. Sanzioni penali VIII. Prospettive IX. Conclusione 2
L autodeterminazione informativa diritto del cittadino di determinarsi liberamente e autonomamente sulle proprie informazioni = facoltà, di principio, di gestire le informazioni che lo riguardano è un diritto fondamentale è espressione specifica della libertà personale, della tutela della personalità e della sfera privata basi giuridiche basi costituzionali svizzere art. 13 cpv. 2 Cost. art. 8 cpv. 2 lett. d Cost. TI basi convenzionali internazionali art. 8 n. 1 CEDU art. 17 n. 1 Patto ONU II 3
L autodeterminazione informativa Obiettivi e postulati Incaricato cantonale deve contribuire a rifiutare sorveglianze e controlli continui non giustificati da necessità legali deve promuovere un informazione adeguata deve garantire una sorta di diritto all anonimità in situazioni dove la persona è minacciata deve garantire, più in generale, una sicurezza effettiva della confidenzialità in settori sensibili in ogni caso, non deve mai spingersi oltre il lecito, tanto da coprire eventuali attività illegali 4
L autodeterminazione informativa Concretizzazioni nell ambito bancario Incaricato cantonale Art. 13 Cost. Protezione della personalità Protezione dei dati Segreto bancario 5
L autodeterminazione informativa I diritti Incaricato cantonale diritto di accesso alle informazioni diritto di rettifica e di cancellazione / distruzione delle informazioni e di blocco della loro comunicazione a terzi diritto di opposizione e rimedi giuridici 6
Protezione dei dati: diritto formale Costituzione determina le competenze di legiferare della Confederazione ribadisce la competenza di legiferare dei Cantoni nei settori di loro competenza (art. 3 e 43 Cost.) Cantoni Basi: autonomia organizzativa (art. 47 Cost.) Forma: leggi cantonali sulla protezione dei dati Campo di applicazione personale: organi pubblici cantonali e comunali Confederazione Basi: norme costituzionali settoriali e autonomia organizzativa (art. 122 Cost.) Forma: Legge federale sulla protezione dei dati Campo di applicazione personale: persone private e organi pubblici federali Legislazione generale sulla protezione dei dati 7
Un sistema esaustivo Svizzera 1 legge federale 26 leggi cantonali = sistema esaustivo Leggi cantonali enti pubblici cantonali e comunali parastato privati che adempiono compiti pubblici cantonali o comunali Legge federale persone private (fisiche e giuridiche) organi pubblici federali Protezione dei dati 8
Protezione dei dati: diritto materiale Costituzione Competenze specifiche settoriali di legiferare della Confederazione e dei Cantoni (compiti) Cantoni Campo di applicazione personale: tutti gli organi cantonali e comunali che eseguono il diritto cantonale Confederazione Campo di applicazione personale: organi pubblici federali, cantonali e comunali incaricati dell esecuzione del diritto federale e persone private Concretizzazione della protezione dei dati nel diritto settoriale obblighi di confidenzialità speciali (segred ufficio, segreto professionale, segreto bancario, ecc.) obblighi e diritti di informazione (assistenza amministrativa, diritto di persone private di ottenere informazioni, obbligo di notificazione, ecc.) regole speciali per il trattamento di dati personali (obbligo di conservazione di documenti, obbligo di verifica ecc.) 9
Protezione dei dati: livelli normativi Costituzione 1. Definisce i diritti fondamentali Leggi e regolamenti generali (norme quadro) 2. Enunciano i principi e le regole generali (campo di applicazione, definizioni, principi guida, autorità, sanzioni, ecc.) Leggi e regolamenti settoriali 3. Precisano i principi e le regole alla luce delle esigenze concrete del settore e dei rischi specifici Protezione dei dati 10
Lesioni della personalità (art. 12 e 13 LPD) Incaricato cantonale Chi tratta dati personali non deve ledere illecitamente la personalità delle persone interessate Lesione illecita se dati sono trattati: in violazione dei i principi generali senza motivo giustificativo, contro l'esplicita volontà della persona interessata senza motivo giustificativo, dati sensibili sono comunicati a terzi Motivi giustificativi consenso legge interesse pubblico o privato preponderante 11
LPD e attività bancaria 1 Trattamento di dati personali quale condizione per l assunzione di obblighi e per l esercizio di diritti d informazione Dati dei clienti Dati di terzi Principi generali applicabili anche nel settore bancario Liceità Proporzionalità Buona fede Finalità Riconoscibilità (trasparenza) Esattezza dei dati Sicurezza dei dati 12
LPD e attività bancaria 2 Motivi giustificativi legge consenso (accordo) interesse pubblico o privato preponderante Le esigenze in relazione a principio e modalità di trattamento variano, tra le altre cose, a dipendenza della qualità e della natura dell'informazione 13
Comunicazione di dati personali all estero (art. 6 LPD; art. 5-7 OLPD) Scopo delle condizioni: impedire che trasferimenti di dati verso organizzazioni o Stati terzi permettano di eludere la legislazione dello Stato di origine Principio: lo Stato destinatario deve disporre di una legislazione che assicuri una protezione adeguata Deroga a determinate condizioni (alternative ed esaustive) che assicurino una protezione adeguata (contratto, consenso, ecc.) Obbligo di diligenza di chi tratta dati personali si assicura che il destinatario di dati all estero all estero offra un livello di protezione adeguato se non è il caso, informa l Incaricato sulle garanzie che intende adottare l incaricato esamina e comunica il risultato In ogni caso, la trasmissione in Paesi terzi è lecita se sono adempiute le condizioni valide per la trasmissione di dati in Svizzera 14
Obbligo di informare (art. 14 LPD) Incaricato cantonale 1 Se vengono raccolti dati personali degni di particolare protezione o profili della personalità, il detentore della collezione di dati ha l obbligo di informarne la persona interessata; questo obbligo sussiste anche laddove i dati siano raccolti presso terzi. 2 Alla persona interessata vanno comunicate almeno le seguenti informazioni: a. l identità del detentore della collezione di dati; b. le finalità del trattamento dei dati; c. le categorie di destinatari dei dati, se è prevista una comunicazione di dati. 3 Se i dati non sono raccolti presso di lei, la persona interessata deve essere informata al più tardi al momento della registrazione dei dati o, se i dati non sono registrati, al momento della loro prima comunicazione a terzi 4 L obbligo di informare del detentore della collezione di dati decade se la persona interessata era già stata informata o, nei casi di cui al capoverso 3, se: a. la registrazione o la comunicazione dei dati è esplicitamente prevista dalla legge; oppure b. l informazione non sia possibile o esiga mezzi sproporzionati 5 Il detentore della collezione di dati può rifiutare, limitare o differire l informazione facendo valere gli stessi motivi di cui all articolo 9 capoversi 1 e 4. 15
Diritto di informazione o di accesso (art. 8 e 9 LPD; art. 1 e 2 OLPD) 1 È l istituto più importante diritto strettamente personale diritto di chiunque di esigere dal detentore di una collezione di dati di essere informato sui dati che lo riguardano senza dover dimostrare o far valere un interesse o una giustificazione contenuto dati propri dati di terzi: comunicazione di dati di principio tutti i dati disponibili contenuti nella collezione, comprese le informazioni disponibili sull origine dei dati indicazioni concernenti: scopo e fondamenti giuridici del trattamento categorie dei dati partecipanti alla collezione destinatari dei dati 16
Diritto di informazione o di accesso (art. 8 e 9 LPD; art. 1 e 2 OLPD) 2 nessuna rinuncia preventiva al diritto d accesso richiesta solo nei confronti del detentore della collezione dei dati e solo per le informazioni da lui tenute di regola forma scritta (prova della propria identità) presentabile in ogni tempo informazione data di regola gratuita e scritta, sotto forma di stampato o fotocopia d intesa, consultazione sul posto e a voce entro breve termine (regola: max 30 giorni) esatta e possibilmente completa forma chiara e comprensibile per il destinatario 17
Diritto di informazione o di accesso (art. 8 e 9 LPD; art. 1 e 2 OLPD) 3 Il caso dell art. 1 cpv. 7 OLPD Informazioni su dati di persone decedute sono rilasciate se il richiedente prova di avervi interesse e non vi si oppongono interessi preponderanti di congiunti della persona deceduta o di terzi. L interesse è presunto in caso di stretta parentela o di matrimonio con la persona deceduta restrizioni (rifiuto, differimento, limitazione) legge in senso formale interessi preponderanti di un terzo interessi preponderanti del detentore, a condizione che non comunica i dati a terzi indicazione del motivo per cui l informazione è rifiutata, limitata o differita 18
Pretese giuridiche (azioni civili) Incaricato cantonale azione per dare esecuzione al diritto di accesso (art. 15 cpv. 1 e 4 LPD) azione per la distruzione o la rettifica di dati (art. 15 cpv. 1 LPD) azione per impedire la comunicazione a terzi di dati (blocco della comunicazione di dati a terzi; art. 15 cpv. 1 LPD, art. 28a cpv. 1 n. 1 CC) azione di accertamento dell illiceità di un trattamento, purché l interessato disponga di un interesse degno di protezione (art. 28 cpv. 1 n. 3 CC) istanza per l aggiunta ai dati personali di una menzione che ne rilevi il carattere contestato (art. 15 cpv. 2 LPD) istanza per la comunicazione a terzi o la pubblicazione (art. 15 cpv. 3 e 28a cpv. 2 CC) azione per risarcimento del danno e riparazione del torto morale (art. 28a cpv. 3 CC e 41 segg. CO; art. 15 cpv. 1 LPD implicito) 19
Sanzioni penali (art. 34 e 35 LPD) Incaricato cantonale inosservanza degli obblighi previsti dai disposti che regolamentano il diritto di accesso (art. 8 10) e l obbligo di informazione (art. 14) fornendo informazioni inesatte o incomplete omissione di informare la persona interessata (art. 14 cpv. 1 e 2 LPD) violazione dell obbligo di discrezione (art. 35 LPD), mediante rivelazione illecita di dati personali segreti e degni di particolare protezione o profili della personalità, dei quali è venuto a conoscenza nell esercizio di una professione che richiede la conoscenza di tali dati oppure nell ambito dell attività svolta per conto della persona astretta all obbligo del segreto o in occasione della sua formazione presso tale persona 20
Prospettive Studi e rapporti sull efficacia delle normative generali sulla protezione dei dati Obiettivi: modernizzare l impianto giuridico alla luce delle sfide lanciate in particolare dalla moltiplicazione e dalla globalizzazione dei processi Armonizzazione a livello internazionale dei principi della protezione dei dati e degli strumenti per concretizzarli Lavori in corso: Svizzera: esame dell efficacia della LPD Consiglio d Europa: adeguamento della convenzione STE 108 UE: revisione della direttiva 95/46/CE 21
Conclusione 1 Le disposizioni intese alla tutela contro trattamenti di dati illeciti e alla preservazione della confidenzialità non forniscono, in generale, una tutela più estesa di quanto non assicuri già il segreto bancario e i diritti correlati Limitazioni (art. 36 cpv. 3 Cost.) Segreto bancario esplicitamente nella Costituzione federale? Le componenti informative del diritto offrono maggiori opportunità in tema di: obblighi di informazione diritto di accesso dei terzi 22
Conclusione 2 La protezione dei dati deve: assicurare al singolo il diritto di autodeterminarsi effettivamente sull elaborazione dei dati che lo riguardano e di essere protetto da un trattamento di dati illecito garantire un informazione compiuta e trasparente, nei limiti di una corretta ponderazione degli interessi in gioco appurare le esigenze effettive di tutela in un quadro giuridico che consideri adeguatamente le conoscenze e lo stato della tecnica predisporre livelli di sicurezza appropriati rispetto ai rischi e alla natura dei dati trattati riconfermarsi nella sua trasversalità in tutti i settori, considerando le rispettive esigenze garantire, nel settore privato soprattutto, rimedi giuridici efficaci 23
Contatti Incaricato cantonale Via Canonico Ghiringhelli 1 CH-6501 Bellinzona Tel. +41 (0) 91 814 45 02 Fax +41 (0) 91 814 44 15 E-Mail protezionedati@ti.ch Web www.ti.ch/protezionedati 24