Una cittadina che si è recentemente trasferita in un nuovo Comune, assieme alla figlia quindicenne, ha esercitato il diritto di blocco del proprio indirizzo, allegando come motivo minacce e abusi da parte dell’ex compagno. L’avvocato dell’ex compagno si è rivolto all’ufficio del controllo abitanti (UCA) del Comune in questione chiedendo di ottenere l’indirizzo della figlia, allo scopo di esercitare il diritto di visita stabilito con decisione pretorile, egli ha altresì segnalato alle autorità che i genitori hanno l’autorità parentale congiunta sulla minore e che pertanto il padre ha tutto il diritto di ottenere i dati in questione.

Stante l’art. 12 cpv. 1 LPDP, innanzi ad una richiesta scritta di un cittadino che fa valere un interesse legittimo, l’UCA deve trasmettere i dati richiesti poiché la norma non prevede altre valutazioni.  L’interesse legittimo del padre si evince in concreto dall’art. 301 a del Codice Civile (CC), stante il quale l’autorità parentale include il diritto di determinare il luogo di dimora del figlio e la necessità del consenso dell’altro genitore per modificare il luogo di dimora del figlio (riservata una decisione del giudice o dell’autorità di protezione dei minori).

Tuttavia, nella fattispecie, occorre considerare anche il blocco emesso dalla madre sui propri dati. Di fatto, stante l’art. 25a cpv. 1 LPDP, la persona interessata può far bloccare in ogni momento la trasmissione dei suoi dati; l’organo responsabile può esigere che la domanda venga formulata per iscritto. L'art. 25a LPDP offre la facoltà ai singoli di far bloccare, dall'organo responsabile, e in ogni momento, la comunicazione di dati personali. Il diritto di blocco può essere invocato da qualsiasi privato, incondizionatamente, nel senso che il cittadino non deve essere ostacolato, nell'esercizio del suo diritto, da condizioni o impedimenti di natura giuridica o burocratica. Se il diritto è esercitato correttamente e non vi sono ostacoli legali, il blocco della trasmissione dei dati deve avvenire immediatamente, in quanto le esigenze tecniche lo consentano. A seguito del blocco, i dati non possono più essere comunicati a terzi privati, né nell'ambito di consultazione diretta presso gli uffici competenti, né via internet o altri canali informativi.

Il diritto di blocco non è però assoluto, poiché stante l’art. 25a cpv. 2 lett. a e b LPDP, nonostante il blocco, la trasmissione dei dati personali dell’interessato è permessa se: a) l’organo responsabile è obbligato a farlo dalla legge, oppure b) il richiedente rende verosimile che la persona interessata ha fatto bloccare la trasmissione allo scopo di impedirgli l’attuazione di pretese giuridiche e la difesa di altri interessi degni di protezione.

Si può pertanto dire che il diritto di blocco è inefficace solamente in due casi: 1) quando delle disposizioni deroganti del diritto federale e/o cantonale stabiliscono per l’autorità - per casi singoli e ove ne siano date le condizioni - un obbligo di comunicazione dei dati personali dell’interessato, e 2) quando è esercitato dall’interessato in modo abusivo per eludere i propri obblighi legali.

Nella fattispecie, i dati della madre e della figlia sono intrinsecamente legati, essi formano un tutt’uno e sono indissociabili. Pertanto, il blocco esercitato dalla madre sui propri dati ha, de facto, degli effetti anche sui dati della figlia. Tuttavia, malgrado questo fatto, il padre ha legalmente il diritto di ottenere i dati della figlia, fintantoché tale diritto non sarà efficacemente limitato o soppresso da una decisione della competente autorità (decisione pretorile cautelare o super-cautelare). In assenza di tale decisione, come nella fattispecie, il blocco dei dati richiesto dalla madre ha pertanto effetto unicamente nei confronti di altri terzi, ma non del padre. Si consiglia pertanto alle persone in simili situazioni di voler agire tempestivamente, adendo le competenti autorità giudiziarie, di tutela della famiglia o altro, poiché il diritto di blocco di cui all’art. 25 a LPDP non è lo strumento adeguato per contrastare efficacemente i diritti riconosciuti dalla legge.

La trasmissione di dati del controllo abitanti a privati all’estero è lecita alle condizioni dei combinati art. 12 e 14 LPDP. 

La Svizzera ha ratificato la Convenzione del Consiglio d’Europa per la protezione delle persone in relazione all’elaborazione automatica dei dati a carattere personale (art. 12 della Convenzione STE 108) e il Protocollo aggiuntivo concernente le autorità di controllo e i flussi internazionali di dati. La Legge sulla protezione dei dati personali (LPDP), ha ripreso i principi generali della Convenzione e del Protocollo aggiuntivo del Consiglio d’Europa nell’articolo 14a LPDP.

L’art. 14 cpv. 1 LPDP sancisce che i dati personali non possono essere trasmessi all’estero qualora la personalità della persona interessata possa subirne grave pregiudizio, dovuto in particolare all’assenza di una legislazione che assicuri una protezione adeguata.

Il cpv. 2 prevede che se manca una legislazione che assicuri una protezione adeguata, dati personali possono essere trasmessi all’estero soltanto se: a) garanzie sufficienti, segnatamente contrattuali, assicurano una protezione adeguata all’estero; b) la persona interessata ha dato il suo consenso nel caso specifico; c) nel caso specifico la trasmissione è indispensabile per tutelare un interesse pubblico preponderante oppure per accertare, esercitare o far valere un diritto in giustizia; d) nel caso specifico la trasmissione è necessaria per proteggere la vita o l’incolumità fisica della persona interessata; e) la persona interessata ha reso i dati accessibili a chiunque e non si è opposta formalmente alla loro elaborazione.

Il cpv. 3 stabilisce che l’organo responsabile informa l’Incaricato cantonale della protezione dei dati sulle garanzie ai sensi del cpv. 2 lett. a). Il Consiglio di Stato disciplina i particolari.

Infine, il cpv. 4 precisa che laddove una protezione adeguata sia assicurata, la trasmissione è lecita se sono adempiute le condizioni valide per la trasmissione di dati in Svizzera.

In materia di trasmissione di dati all’estero vige il principio generale secondo cui i dati personali non possono essere comunicati all’estero qualora la personalità dell’interessato possa subirne grave pregiudizio, segnatamente perché la legislazione estera non garantisce un livello di protezione corrispondente a quello svizzero (tutela dei diritti della persona interessata quali il diritto di accesso e d’informazione, rispetto dei principi fondamentali in materia di protezione dei dati, esistenza di un organo di controllo indipendente).

Per valutare l’adeguatezza della protezione dei dati, il detentore di una collezione può fondarsi sull’elenco di Stati pubblicato dall’Incaricato federale della protezione dei dati e della trasparenza (https://www.edoeb.admin.ch/edoeb/it/home/protezione-dei-dati/handel-und-wirtschaft/uebermittlung-ins-ausland.html). L’elenco designa gli Stati parte alla Convenzione STE 108 e al Protocollo aggiuntivo, o gli Stati che l’IFPDT ritiene garantiscano una protezione dei dati adeguata. Esso è costantemente aggiornato e non è esaustivo. Se, in base all’elenco dell’IFPDT, il livello di protezione è ritenuto adeguato, la trasmissione può aver luogo sulla scorta dell’art. 14a cpv. 1 LPDP. Se invece il livello di protezione è ritenuto non adeguato, la trasmissione di dati potrà avvenire unicamente se le condizioni stabilite dall’articolo 14a cpv. 2 LPDP sono adempiute.

Ad esempio, l’Italia garantisce un livello adeguato di protezione dei dati, pertanto la trasmissione di dati personali verso tale paese non pone particolari problemi e può lecitamente avvenire in base all’art. 14a cpv. 1 LPDP.

L’art. 14a cpv. 4 LPDP precisa che quand’anche è data l’adeguatezza della legislazione estera, la trasmissione dei dati è lecita solo se l’autorità che li trasmette rispetta i principi generali della LPDP. Ciò significa che se la richiesta è presentata da un privato, l’UCA potrà lecitamente trasmettere i dati all’estero se i requisiti stabiliti all’art. 12 cpv. 1 LPDP sono adempiuti.

In concreto, stante l’art. 12 cpv. 1 LPDP l’UCA è autorizzato a trasmettere unicamente i dati menzionati nel cpv. 1, ovvero: il cognome, il nome, il sesso, l’indirizzo, la data di arrivo e di partenza, la professione, il luogo di origine e la data di nascita di una singola persona. Stante l’art. 12 cpv. 3 LPDP il Municipio può trasmettere altri dati su una singola persona, purchè l’istante dimostri un interesse particolarmente meritevole di tutela.

Qualora, ad esempio, un privato all’estero dovesse richiedere ad un UCA in Svizzera sia l’indirizzo anagrafico, sia l’indirizzo lavorativo di una persona, la trasmissione di quest’ultimo (se noto) sarebbe di competenza del Municipio, che ne valuterebbe la trasmissibilità conformemente a quanto sancito dall’art. 12 cpv. 3 LPDP. Se si conosce invece unicamente l’indirizzo anagrafico, l’UCA può evadere direttamente la richiesta combinando gli art. 14 cpv. 1 e 12 cpv. 1 LPDP.