1. Disposizioni Generali (KDSG)

1. Questa legge ha lo scopo di proteggere le persone dall'elaborazione abusiva dei dati da parte delle autorità.

1. I dati personali sono informazioni su una persona fisica o giuridica determinata o determinabile.

2. Si intende per raccolta di dati ogni insieme di dati personali strutturato in modo tale che le informazioni siano accessibili in base alle persone interessate.

3. Si intende per registro ai sensi dell'articolo 18 un elenco delle raccolte di dati.

4. Il trattamento dei dati personali comprende qualsiasi gestione dei dati personali, come l'acquisizione, la conservazione, la modifica, l'associazione, la comunicazione o la cancellazione.

5. Comunicare significa rendere accessibili i dati personali, come consentire l'accesso, fornire informazioni, trasmettere o pubblicare.

6. Le autorità ai sensi di questa legge sono

a. gli uffici del cantone e dei comuni con i loro dipendenti,

b. gli organi di enti e istituti nonché i privati, nella misura in cui siano incaricati di compiti pubblici,

c. gli organi delle chiese nazionali e delle loro unità regionali.

7. Gli organismi di vigilanza ai sensi di questa legge sono

a. l'ente di vigilanza cantonale secondo l'articolo 32,

b. gli enti designati dai comuni, dagli enti a livello comunale e dalle chiese nazionali e dalle loro unità regionali secondo l'articolo 33, comma 1.

1. Dati personali particolarmente degni di protezione sono le informazioni riguardanti

a) le opinioni, l'appartenenza e le attività religiose, ideologiche o politiche nonché l'appartenenza razziale;

b) la sfera privata personale, in particolare lo stato psichico, mentale o fisico;

c) le misure di assistenza sociale o tutela assistenziale;

d) le indagini di polizia, i procedimenti penali, i reati e le pene o misure comminate per tali reati.

1. Questa legge si applica a qualsiasi trattamento di dati personali da parte delle autorità.

2. Non trova applicazione,

a) quando un'autorità compete economicamente con persone private e non agisce in qualità ufficiale. Tuttavia, la sorveglianza è regolata dagli articoli 32-37;

b) quando un dipendente di un'autorità tratta dati personali per uso esclusivamente personale, in particolare per disporre di uno strumento di lavoro personale;

c) * sui procedimenti pendenti di giurisdizione civile o penale, sui procedimenti pendenti della giurisdizione amministrativa ad eccezione dei procedimenti amministrativi, nonché sulle indagini di una commissione parlamentare d'inchiesta.

I dati personali possono essere trattati solo se la legge lo autorizza espressamente o se il trattamento serve all’adempimento di un incarico legale.

Il fine del trattamento deve essere determinato.

I dati personali e il tipo di trattamento devono essere adatti e necessari per l'adempimento dell'incarico.

I dati personali non possono essere trattati per uno scopo che, secondo buona fede, è incompatibile con lo scopo per cui sono stati originariamente raccolti o comunicati all'autorità. Restano riservati gli articoli 10, 12 e 15.

Il segreto d'ufficio o obblighi particolari di riservatezza rimangono riservati.

1. Dati personali particolarmente protetti possono essere trattati solo se, inoltre,

a la liceità risulta chiaramente da una base legale, oppure

b l'adempimento di un compito legale lo richiede necessariamente, oppure

c la persona interessata ha fornito il consenso esplicito.

1. I dati personali devono essere esatti e, nella misura in cui lo richiede lo scopo del trattamento, anche completi.

1. La responsabilità per la protezione dei dati spetta all'autorità che elabora o fa elaborare i dati personali per adempiere ai propri compiti legali.

2. Se più autorità elaborano dati personali di una raccolta di dati, deve esserne designata una che si occupi complessivamente della protezione dei dati. Ogni autorità rimane responsabile per il proprio ambito.

1. I dati personali devono in genere essere raccolti presso la persona interessata e non presso un'altra persona privata.

2. La raccolta interna di dati amministrativi è consentita, qualora ciò non contrasti con le disposizioni della presente legge.

3. In assenza di un obbligo legale di fornire informazioni, si deve informare sulla volontarietà della stessa.

4. La base legale e lo scopo del trattamento devono essere indicati alle persone intervistate, qualora

a) queste lo richiedano oppure

b) i dati personali siano raccolti sistematicamente, in particolare tramite questionari.

1. I dati personali sono comunicati a un'altra autorità quando

a l'autorità responsabile è legalmente obbligata o autorizzata per adempiere al proprio compito, oppure

b l'autorità che richiede i dati personali dimostra di essere legalmente autorizzata al loro trattamento e non sussiste alcun obbligo di riservatezza in contrario, oppure

c nonostante l'incompatibilità degli scopi, la persona interessata ha espressamente acconsentito o ciò sia nel suo interesse.

2. L'anagrafe della popolazione residente concede, per scopi ufficiali, l'accesso al registro dei domiciliati e soggiornanti e fornisce informazioni.

1. I dati personali vengono comunicati a persone private quando

a) l'autorità competente è obbligata o autorizzata per legge a farlo per adempiere al proprio compito oppure

b) la persona interessata ha espresso il suo consenso in modo esplicito o ciò è nel suo interesse.

2. I dati personali contenuti in una pubblicazione ufficiale o autorizzata ufficialmente, accessibile al pubblico, possono essere comunicati su richiesta nella misura e nell'ordine in cui sono stati pubblicati.

3. Il Consiglio di Governo disciplina la comunicazione dei dati personali per rubriche e opere di consultazione simili di interesse generale o con una lunga tradizione.

1. Il controllo degli abitanti fornisce ad una persona privata, su richiesta, nome, cognome, sesso, indirizzo, stato civile, luogo d'origine, data di arrivo e partenza nonché anno di nascita di una singola persona, se il richiedente rende credibile un interesse degno di tutela.

2. Il regolamento comunale può, alle stesse condizioni, consentire inoltre la comunicazione del titolo e della lingua di una singola persona.

3. Il regolamento comunale può consentire la comunicazione sistematicamente ordinata dei dati secondo il paragrafo 1 in modo generale o per scopi specificamente descritti.

1. Ogni persona interessata può richiedere il blocco della divulgazione dei propri dati se dimostra un interesse degno di protezione.

2. La divulgazione è consentita nonostante il blocco, se

a. l'autorità responsabile è legalmente obbligata a divulgare i dati, oppure

b. la persona interessata agisce in modo abusivo.

3. La persona interessata può richiedere il blocco dei dati ai sensi dell'articolo 12 comma 2 e della divulgazione sistematica dei dati ai sensi dell'articolo 12 comma 3 senza dimostrare un interesse degno di protezione.

1. La divulgazione dei dati personali può essere rifiutata, limitata o subordinata a condizioni in presenza di prevalenti interessi pubblici o di interessi privati particolarmente meritevoli di protezione.

2. Quando i dati personali sono soggetti a speciali norme di riservatezza, possono essere divulgati solo se il destinatario è sottoposto a un corrispondente obbligo di riservatezza.

1. I dati personali non possono essere comunicati all'estero se ciò comporta un grave pericolo per la personalità delle persone interessate, in particolare a causa della mancanza di una legislazione che garantisca un'adeguata protezione.

2. Nonostante l'assenza di una legislazione che garantisca un'adeguata protezione, i dati personali possono essere comunicati all'estero se

a) garanzie sufficienti, in particolare tramite contratto, garantiscono un'adeguata protezione all'estero,

b) la persona interessata ha acconsentito caso per caso,

c) il trattamento è in diretto legame con la conclusione o l'esecuzione di un contratto e si tratta di dati personali del contraente,

d) la comunicazione è essenziale nel singolo caso per la tutela di un interesse pubblico prevalente o per l'accertamento, l'esercizio o la difesa di rivendicazioni legali in sede giudiziaria,

e) la comunicazione è necessaria nel singolo caso per proteggere la vita o l'integrità fisica della persona interessata, oppure

f) la comunicazione avviene all'interno della stessa persona giuridica o società o tra persone giuridiche o società soggette a direzione unitaria, purché le parti coinvolte siano soggette a regole sulla protezione dei dati che garantiscano un'adeguata protezione.

3. L'autorità di vigilanza deve essere informata per tempo delle garanzie ai sensi dell'articolo 2 lettera a prima della comunicazione dei dati personali all'estero.

1. Un'autorità responsabile può trattare dati personali per un fine non personificato, in particolare per ricerca, formazione pratica, statistica o pianificazione, se

a) utilizza i dati personali, non appena lo scopo del trattamento lo consenta, in forma anonima o almeno senza identificazione diretta della persona e

b) divulga i risultati del trattamento in modo che le persone interessate non siano determinabili.

2. L'autorità responsabile può divulgare dati personali per la loro elaborazione a fini non personificati, se vi è garanzia che il destinatario

a) soddisfi i requisiti stabiliti nel paragrafo 1,

b) non trasmetta i dati personali a terzi e

c) assicuri la protezione dei dati.

1. Chi tratta dati personali per conto di un'autorità è soggetto alla legge come il committente. Per la comunicazione dei dati personali a terzi, è necessario il consenso esplicito del committente.

1. Chi tratta i dati personali ne assicura la protezione.

1. Se un'autorità intende trattare elettronicamente i dati personali di un gran numero di persone, dovrà sottoporre il trattamento previsto dei dati all'autorità di controllo per un parere prima dell'inizio, quando

a. sussistano dubbi sulla sufficienza di una base giuridica,

b. siano trattati dati personali particolarmente sensibili,

c. esista un obbligo particolare di segretezza oppure

d. siano utilizzati mezzi tecnici con rischi particolari per i diritti e le libertà delle persone interessate.

2. L'autorità sottopone all'autorità di controllo anche modifiche sostanziali di tali trattamenti di dati.

3. L'autorità di controllo, su richiesta dell'autorità responsabile, emette già nel contesto del controllo preliminare una raccomandazione ai sensi dell'articolo 35, paragrafo 3.

1. L'ufficio di vigilanza pubblica su Internet un registro delle raccolte di dati create nel Cantone, nel Comune o in un altro ente giuridico comunale, così come nella Chiesa nazionale o nella sua unità regionale.

2. Il registro contiene per ciascuna raccolta di dati le informazioni riguardanti

a. la base giuridica;

b. le autorità responsabili;

c. lo scopo e i mezzi del trattamento;

d. la natura e l'entità dei dati personali trattati;

e. i dati personali comunicati regolarmente ad altre autorità o a privati nonché i destinatari;

f. il periodo ordinario di conservazione dei dati personali.

3. Non sono inserite nel registro le raccolte di dati che

a. sono mantenute solo per un breve periodo oppure

b. sono pubblicate legittimamente.

4. L'autorità responsabile compila la parte del registro relativa alle proprie raccolte di dati secondo le indicazioni dell'ufficio di vigilanza e la aggiorna.

5. I comuni e gli altri enti giuridici comunali, così come le chiese nazionali e le loro unità regionali, possono

a. regolare diversamente la competenza per la compilazione e l'aggiornamento del registro rispetto al comma 4;

b. * rinunciare alla pubblicazione del registro su Internet.

1. I dati non più necessari devono essere distrutti.

2. L'autorità responsabile stabilisce per ogni raccolta di dati il momento in cui i dati personali devono essere distrutti.

3. I dati personali possono essere conservati oltre questo termine solo se

a. servono a scopi di sicurezza o di prova;

b. sono di rilevanza per la ricerca scientifica.

4. Restano riservate particolari disposizioni di conservazione e le disposizioni sugli archivi pubblici.

Ogni persona ha il diritto di consultare il registro delle raccolte di dati.

Ogni individuo può richiedere alle autorità competenti informazioni sui dati che vengono trattati su di lui all'interno di una raccolta di dati. È necessario dimostrare la propria identità.

Non è possibile rinunciare in anticipo a questo diritto.

Le informazioni sono fornite in una forma di facile comprensione e, su richiesta, per iscritto.

La persona interessata ha il diritto di accedere ai propri dati su richiesta, a meno che non vi siano interessi pubblici importanti e prevalenti o particolarmente tutelati interessi di terzi che si oppongano.

1. L'informazione può essere rifiutata o posticipata nella misura in cui una legge lo richiede o lo esigono interessi particolarmente meritevoli di tutela di terzi.

2. Se l'informazione non può essere fornita direttamente al richiedente perché lo graverebbe eccessivamente, può essere data a una persona di sua fiducia.

1. Ogni persona ha il diritto di ottenere che i dati personali errati o non necessari che la riguardano siano corretti o eliminati.

2. Se l'autorità responsabile contesta l'inesattezza, essa deve provare l'esattezza dei dati personali. La persona interessata deve collaborare nell'ambito del ragionevole per chiarire la questione.

3. Qualora non sia possibile provare né l'esattezza né l'inesattezza dei dati personali, in particolare di quelli che contengono una valutazione del comportamento umano, la persona interessata può richiedere che venga inserita una replica adeguata.

1. Ogni persona ha il diritto che i dati personali, che sono stati trattati illegalmente, vengano distrutti o che vengano altrimenti eliminate le conseguenze dell'illegalità.

2. Se la persona interessata dimostra un interesse degno di protezione, la decisione deve essere comunicata alle autorità e ai terzi da lei designati.

**1. Per il danno causato da trattamenti illeciti di dati personali effettuati dalle loro autorità, organi, dipendenti e incaricati, rispondono**

a) il Cantone,

b) i comuni,

c) gli enti, le istituzioni e i privati, nella misura in cui siano loro affidati compiti pubblici,

d) le chiese nazionali e le loro unità regionali.

**2. Qualora la gravità della violazione lo giustifichi e non possa essere altrimenti riparata, sussiste il diritto al risarcimento del danno morale.**

**3. Se il danno è stato causato intenzionalmente o per colpa grave, è previsto il diritto di rivalsa per il soggetto obbligato al risarcimento.**

1. Salvo disposizioni contrarie di questa legge, per il procedimento e la tutela giurisdizionale si applicano le disposizioni del regolamento procedurale applicabile al settore giuridico pertinente.

1. Impugnabili sono i provvedimenti dell'autorità responsabile, in particolare le decisioni relative alle domande ai sensi degli articoli 21-24, nonché il loro rifiuto e ritardo.

Anche le autorità, la cui richiesta viene respinta, sono legittimate a presentare ricorso.

Für die Einsichtnahme und für Auskünfte nach den Artikeln 20 und 21 werden keine Gebühren erhoben.

Per l'esame e per le informazioni ai sensi degli articoli 20 e 21 non si applicano tasse.

1. Il Gran Consiglio nomina, su proposta del Consiglio di Stato, un Responsabile per la Protezione dei Dati come capo dell'ufficio di vigilanza cantonale. Si assicura che il Responsabile per la Protezione dei Dati padroneggi entrambe le lingue ufficiali.

2. La durata del mandato del Responsabile è di quattro anni.

3. L'ufficio di vigilanza cantonale è amministrativamente assegnato alla Direzione degli Interni e della Giustizia.

1. I comuni e altre corporazioni di diritto comunale, nonché le chiese territoriali e le loro unità regionali, designano per la loro area un'autorità di sorveglianza propria.

2. L'autorità di sorveglianza cantonale esercita la supervisione generale.

1. L'autorità di vigilanza svolge i compiti previsti da questa legge in modo autonomo e indipendente. Essa è soggetta unicamente alla Costituzione e alla legge.

2. Per la gestione del bilancio, le spese e le autorizzazioni di spesa, nonché per il controllo delle finanze e delle prestazioni dell'autorità di vigilanza cantonale, si applica la legislazione in materia di finanza pubblica, a meno che questa legge non contenga disposizioni specifiche.

3. L'autorità di vigilanza cantonale stabilisce annualmente i propri obiettivi di prestazione e ne deriva il fabbisogno di risorse. Prepara il piano delle attività e delle finanze e il preventivo per il proprio settore, definendo i prodotti e i gruppi di prodotti. Il Consiglio di Stato integra tali elementi invariati nel piano delle attività e delle finanze e nel preventivo del Cantone. Può commentarli a beneficio del Gran Consiglio.

4. L'autorità di vigilanza cantonale decide, nell'ambito dei mezzi approvati con il preventivo, riguardo all'assunzione di personale. Autorizza in via definitiva le spese operative correnti nell'ambito del preventivo. Per gli investimenti si applicano le competenze di spesa ordinarie.

5. Le autorità di vigilanza dei comuni e delle altre entità di diritto comunale, nonché delle chiese nazionali e delle loro unità regionali, devono disporre di adeguate competenze proprie in materia di spesa, che non devono essere limitate da disposizioni di altre autorità.

1. L'autorità cantonale di vigilanza sulla protezione dei dati conduce una Contabilità Straordinaria conforme all'articolo 55 della Legge sulla gestione finanziaria del 15 giugno 2022 (FHG)[2].

2. In deroga all'articolo 55 paragrafo 2 FHG, il Gran Consiglio stabilisce le modalità di gestione contabile mediante decreto.

1. L’Ufficio di Sorveglianza

a) tiene il registro delle raccolte di dati ai sensi dell'articolo 18;

b) vigila sull'applicazione delle disposizioni in materia di protezione dei dati;

c) effettua i controlli preliminari secondo l'articolo 17a;

d) tratta le segnalazioni dei soggetti interessati riguardanti la violazione delle disposizioni di questa legge come denunce di vigilanza;

e) consiglia le persone interessate sui loro diritti;

f) media tra le persone interessate e le autorità responsabili;

g) consiglia le autorità responsabili su questioni di protezione dei dati e propone miglioramenti;

h) vigila sulla sicurezza dei dati;

i) tutela gli interessi delle persone a cui non si possono fornire informazioni o a cui si possono fornire solo informazioni limitate;

k) esprime pareri su proposte di ordinanze e altre misure, nella misura in cui sono rilevanti per la protezione dei dati;

l) fornisce, su richiesta delle autorità decisionali e di ricorso, pareri su questioni di protezione dei dati;

m) informa periodicamente il pubblico sulla propria attività;

n) collabora con altri uffici di sorveglianza nel Cantone di Berna così come con quelli di altri cantoni, della Confederazione e dell'estero e garantisce uno scambio di informazioni utile.

2. Qualora diritti previsti dalla Sezione IV di questa legge possano essere limitati in base a una legislazione speciale, l’Ufficio di Sorveglianza informa le persone interessate circa il risultato della verifica effettuata in seguito alle segnalazioni ai sensi del paragrafo 1 lettera d, anche se queste non lo richiedono.

1. Le autorità competenti sono obbligate a supportare l'ente di vigilanza nell'adempimento dei suoi compiti.

2. L'ente di vigilanza può richiedere informazioni scritte o verbali alle autorità, indipendentemente da eventuali obblighi di riservatezza. Può accedere a tutti i documenti relativi a determinate operazioni, effettuare ispezioni e richiedere dimostrazioni delle operazioni stesse.

3. Raccomanda la rimozione di violazioni e carenze tramite una proposta motivata.

4. Se l'autorità competente non intende accogliere, in tutto o in parte, la proposta dell'ente di vigilanza di cui al comma 3, emette un'ordinanza o una decisione corrispondente entro 30 giorni.

5. L'ente di vigilanza può contestare l'ordinanza o la decisione di cui al comma 4. Procedure e competenza sono disciplinate dall'articolo 26.

6. Qualora siano palesemente minacciati o violati gli interessi degni di protezione di una persona interessata, l'ente di vigilanza invita l'autorità competente o quella gerarchicamente superiore a prendere immediatamente i provvedimenti necessari.

1. L'ufficio di sorveglianza è tenuto alla stessa riservatezza riguardo ai dati personali quanto l'autorità che li tratta.

2. Inoltre, è obbligato alla riservatezza quando la natura della questione o disposizioni particolari richiedono la segretezza.

La sede di vigilanza cantonale può collaborare con gli organi di vigilanza della protezione dei dati di altre entità di diritto pubblico per adempiere i suoi compiti ai sensi dell'articolo 34.

La natura e la portata della collaborazione sono descritte in un accordo scritto. Il o la responsabile della protezione dei dati è competente per la firma di tale accordo.

Gli organi di vigilanza della protezione dei dati di altre entità di diritto pubblico possono svolgere compiti di vigilanza della protezione dei dati nel Canton Berna, nella misura in cui ciò sia concordato.

La sede di vigilanza cantonale può svolgere compiti di vigilanza della protezione dei dati in altre entità di diritto pubblico, nella misura in cui ciò sia concordato.

1. L'ufficio di vigilanza cantonale presenta al Gran Consiglio e al Consiglio di Stato un rapporto annuale sulla propria attività. In questo rapporto, segnala in particolare anche carenze individuate e modifiche auspicabili.

2. In casi di interesse generale, l'ufficio di vigilanza cantonale informa il pubblico, dopo aver consultato il direttore competente o il segretario di Stato.

3. I comuni e altri enti di diritto comunale, così come le chiese nazionali e le loro unità regionali, regolano la reportistica dei loro uffici di vigilanza.

1. Il Consiglio di Governo emana le disposizioni necessarie per l'esecuzione di questa legge. Esso può

a) autorizzare le direzioni ad emanare tali disposizioni nella misura in cui l'oggetto della regolamentazione abbia un carattere fortemente tecnico o sia soggetto a condizioni in rapido cambiamento o di secondaria importanza;

b) autorizzare l'ufficio competente della Direzione Finanziaria ad emanare regolamenti amministrativi.

1. Il Consiglio di Stato stabilisce quando questa legge entrerà in vigore. Può far entrare in vigore in via anticipata singole disposizioni, in particolare le norme relative alla vigilanza.