Il rapporto di attività include anche una vista esterna in relazione al campo di attività dell’AVI-AIn. In linea con il tema «Sistemi d’informazione» scelto per il 2021, Adrian Lobsiger presenta la sua personale visione delle cose.
Opportunità e rischi del «ripensamento digitale»
Nel 1989, sulla scia dello «scandalo delle schedature», la popolazione svizzera aveva perso improvvisamente fiducia nei confronti degli organi preposti alla protezione dello Stato. Dopo aver digerito questo scandalo sul trattamento di dati dei cittadini da parte della Polizia federale, le istanze politiche chiesero che i molteplici compiti di questa autorità di sicurezza fossero separati. Nell’ambito del confronto con i promotori di un’iniziativa per la totale abolizione della protezione dello Stato, allora disciplinata soltanto sommariamente, il Consiglio federale e il Parlamento avviarono un processo per la codificazione di tale attività. Nel 1998 una prima votazione popolare permise di continuare un’attività di protezione dello Stato disciplinata da allora in poi da una legge formale. In seguito, con una seconda votazione del 2016, fu approvata l’attuale legge federale sulle attività informative della Confederazione (LAIn) e il Servizio delle attività informative della Confederazione (SIC) fu autorizzato a procedere all’acquisizione totalmente occulta di dati personali anche con l’impiego di mezzi coercitivi. Questo abbandono dell’originario divieto di usare mezzi coercitivi indusse il legislatore in particolare a creare un’autorità di vigilanza specializzata consacrata esclusivamente al SIC.
Sebbene la sorveglianza esercitata dai servizi informazioni sia un tema che ancora oggi divide le opinioni, anche le voci più critiche devono riconoscere che da quando è entrata in vigore la LAIn il trattamento di dati da parte degli organi preposti alla protezione dello Stato si fonda su una base legale trasparente dal punto di vista della sistematica legislativa e sufficientemente precisa. La codificazione chiara per il cittadino del trattamento di dati personali da parte di altre autorità di sicurezza della Confederazione, altro tema molto delicato, rimane per contro ancora una meta lontana. Il trattamento di dati da parte della Polizia federale e del Corpo delle guardie di confine, per esempio, si basa su una panoplia sempre più folta di disposizioni speciali organizzate in modo carente dal punto di vista sistematico. La presentazione trasparente del trattamento di dati personali nella legge è ulteriormente ostacolata da grandi progetti di trasformazione digitale avviati nel frattempo dalle autorità di sicurezza della Confederazione. Questi progetti possono indurre profondi cambiamenti nei processi di trattamento dei dati personali e per questa ragione la vigilanza della Confederazione sulla protezione dei dati si impegna affinché questi processi siano rilevati in modo completo sin dalla fase di pianificazione per mezzo di cosiddette valutazioni d’impatto sulla protezione dei dati e affinché le loro ripercussioni sulla sfera privata dei cittadini vengano analizzate.
Nella sua strategia per la trasformazione digitale dell’Amministrazione federale, il Consiglio federale chiede un «cambiamento di mentalità» che rimetta in discussione le forme tradizionali di convivenza e di economia e consenta lo sviluppo di competenze digitali e la messa in rete nonché la condivisione di dati tra tutti gli attori. Le parole creano immagini, e così alcuni promotori della trasformazione digitale immaginano un «cloud» a disposizione dei corpi di polizia, delle autorità preposte al controllo dei confini e dei servizi informazioni per il bene di tutte le persone che rispettano la legge e non hanno nulla da nascondere.
Agli antipodi di questa visione, gli avversari intravvedono nella malvista accumulazione di dati in cosiddetti «silos» i resti di un pensiero superato, da alcuni di essi attribuita a una politica di protezione dei dati che favorisce i delinquenti invece di proteggere i cittadini. Questi visionari scuotono la testa di fronte al fatto che i Cantoni abbiano corpi di polizia che trattano autonomamente i dati personali conservati in questi contenitori e che li condividano – generalmente soltanto su richiesta – con altre autorità di sicurezza, come pure di fronte al fatto che la Confederazione ripartisca il suo potere di polizia tra tre diversi uffici. In quanti nemici giurati dei silos di dati, queste persone considerano irregolare questa realtà che a loro giudizio dovrebbe essere eliminata da tempo, e per questa ragione portano avanti la messa in rete di tutte le autorità di sicurezza in linea con le possibilità offerte dalla tecnica.
Chi dimentica gli avvenimenti storici che hanno spinto il legislatore a organizzare la collettività secondo una struttura federale e a suddividere la concentrazione del potere dello Stato può effettivamente faticare a interpretare in modo razionale la complessità dei flussi di dati trattati dalle autorità di sicurezza. Una riflessione storica può invece aiutare a capire che il sistema della sicurezza interna della Svizzera è la conseguenza di decisioni delle sue istituzioni politiche alle quali il Popolo partecipa direttamente. Nel 1978, per esempio, con la riuscita del referendum contro la creazione di una polizia di sicurezza federale, il Popolo ha decretato ciò che può essere inteso come un veto sino a oggi mai revocato all’istituzione di un’autorità centrale di sicurezza a livello di Confederazione.
Un «cambiamento di mentalità» che considera la messa a disposizione in forma digitale di dati personali come misura di tutte le cose e ignora i concetti politici che limitano il potere dello Stato sarebbe più retrogrado che progressista. Ci porterebbe indietro allo Stato di polizia, abolito con il superamento delle aristocrazie assolutistiche dalla rivoluzione civile del XVIIIo e XIXo secolo. La divisione delle strutture dominanti onnipotenti dell’Ancien Régime in uffici con competenze tecniche specializzate ha notevolmente contribuito a trasformare lo Stato di polizia in servizio pubblico e i sudditi in cittadini consapevoli capaci di esigere da questi uffici prestazioni professionali e discrete in cambio delle imposte versate.
Da allora, la professionalità richiesta a un’amministrazione orientata alle prestazioni implica che gli uffici specializzati condividano con altri servizi i dati dei cittadini in loro possesso soltanto in virtù di procedure previste dalla legge. Può essere considerato come espressione di professionalità anche il fatto che oggi l’Amministrazione federale tratti dati fattuali per renderli leggibili da macchine e li metta a disposizione dei vari settori, e anche il fatto che registri dati di base e attributi personali secondo il cosiddetto principio «once only» e gestisca questi dati per mezzo di identificatori uniformi come il numero AVS. La protezione dei dati non si oppone a queste operazioni di digitalizzazione volte a incrementare l’efficienza del servizio pubblico, poiché esse possono contribuire anche a migliorare la qualità dei dati.
Chi tentasse invece, seguendo la via di messe in rete nebulose, di creare una sorta di cloud in cui le autorità di sicurezza, le autorità inquirenti tributarie e altri organi dell’amministrazione interventista potessero pescare qualsiasi dato derivante dai rapporti della popolazione con l’amministrazione orientata alle prestazioni, si troverebbe in rotta di collisione con la protezione dei dati. Una simile caccia ai dati fornirebbe ben presto motivi di scandalo e minerebbe la fiducia dei cittadini nel ruolo dello Stato come servizio pubblico e garante dello Stato di diritto. Per prevenire queste situazioni, le autorità federali preposte alla vigilanza sulla protezione dei dati chiedono ai responsabili dei progetti di trasformazione digitali di chiarire, nelle loro valutazioni d’impatto, la portata e l’intensità del futuro trattamento di dati nonché la cerchia dei servizi aventi diritto d’accesso, e di confrontare tali aspetti con lo status quo. L’estensione e l’intensificazione del trattamento di dati personali devono essere motivati.
Talvolta gli uffici federali rispondono all’IFPDT che i rapidi progressi della tecnica impongono di pianificare «agilmente» i processi di trasformazione digitale. Di conseguenza sarebbe impossibile delimitare in modo esaustivo i futuri trattamenti di dati o confrontarli con lo status quo. Simili ragionamenti sono inaccettabili. Essi implicano il conferimento di una licenza generale all’amministrazione, poiché né gli organi politici responsabili nei confronti della popolazione delle ingerenze dell’autorità nella sfera privata né il vasto pubblico sono in grado di stimare i rischi legati a tale «agilità». Nella sua prassi, infatti, l’IFPDT chiede spesso di precisare e completare le valutazioni d’impatto sulla protezione dei dati, ogni volta che i risultati di tali valutazioni confluiscono nei messaggi con cui il Consiglio federale propone al legislatore di adeguare gli atti normativi in materia di sicurezza.
Considerate le sfide illustrate, l’IFPDT si rallegra che il suo lavoro nel settore delle attività informative sia integrato efficacemente dal lavoro dell’AVI-AIn.
Adrian Lobsiger(*1959)
Dopo i suoi studi a Berna e Basilea, Adrian Lobsiger, nato nel 1959, ha ottenuto un Master in diritto europeo a Exeter (GB). Nel 1992, il giurista laureato ha cominciato a lavorare per l’Ufficio federale di giustizia (OFG) nell’ambito del diritto internazionale privato. Nel 1995 è passato all’Ufficio federale di polizia (fedpol), dove è diventato direttore supplente.
Adrian Lobsiger è stato eletto dal Consiglio federale nel novembre 2015 e confermato dal Parlamento nel marzo 2016. È in carica dal giugno 2016. Nella seduta del 10 aprile 2019 il Consiglio federale ha confermato la rielezione di Adrian Lobsiger quale Incaricato federale della protezione dei dati e della trasparenza (IFPDT) per un secondo mandato fino alla fine del 2023.
