Blocco dei dati (DSV)

1. L'autorità competente conferma per iscritto l'ordine di blocco dei dati personali (Art. 13 KDSG[[2]](#paragraphtext_content_fn_2031057_2_2_c)) alla richiedente o al richiedente.

2. La richiesta di blocco dei dati e la conferma possono avvenire per via elettronica, se l'autorità competente ha adottato misure adeguate per

a. garantire l'identificazione della persona interessata e

b. proteggere i dati personali della persona interessata durante il trattamento della richiesta dall'accesso di terzi non autorizzati.

Qualora i dati personali siano resi accessibili al pubblico tramite servizi automatizzati di informazione e comunicazione, l'autorità responsabile garantisce che la base giuridica consenta anche la divulgazione dei dati all'estero.

1. Se l'autorità di controllo è stata informata delle garanzie ai sensi dell'articolo 14a paragrafo 2 lettera a KDSG, l'obbligo di informazione si considera adempiuto per tutte le ulteriori comunicazioni che avvengono sotto le stesse garanzie, purché le categorie dei destinatari, lo scopo del trattamento e le categorie di dati restino sostanzialmente invariate.

2. L'obbligo di informazione si considera inoltre adempiuto se i dati vengono trasferiti basandosi su contratti modello o clausole contrattuali standard redatti o riconosciuti dall'incaricato federale della protezione dei dati e della trasparenza, e l'autorità di controllo è stata informata dall'autorità responsabile in forma generale sull'uso di questi contratti modello o clausole contrattuali standard.

3. L'autorità responsabile adotta misure per garantire che il destinatario rispetti le garanzie.

1. L'autorità responsabile che tratta i dati personali o che mette a disposizione una rete di comunicazione dati, garantisce la riservatezza, la disponibilità e l'accuratezza dei dati attraverso misure tecniche e organizzative (Art. 17 KDSG). In particolare, essa protegge i sistemi contro i seguenti rischi

a) distruzione non autorizzata o accidentale,

b) perdita accidentale,

c) errori tecnici,

d) falsificazione, furto o utilizzo illecito,

e) modifica, copia, accesso o altre elaborazioni non autorizzate.

2. Le misure devono essere adeguate. In particolare, tengono conto dei seguenti criteri

a) Scopo del trattamento dei dati,

b) Natura e portata del trattamento dei dati,

c) Valutazione dei possibili rischi per le persone interessate,

d) Stato attuale della tecnologia.

3. I rischi e le misure devono essere periodicamente riesaminati.

1. L'autorità competente adotta in particolare, nel trattamento elettronico dei dati personali, le seguenti misure tecniche e organizzative

a) Controllo degli accessi: Deve essere impedito l'accesso alle strutture, in cui i dati personali sono trattati, a persone non autorizzate;

b) Controllo dei supporti con dati personali: Deve essere impedito a persone non autorizzate di leggere, copiare, modificare o rimuovere i supporti;

c) Controllo del trasporto: Al momento della comunicazione di dati personali e durante il trasporto dei supporti, deve essere impedito che i dati possano essere letti, copiati, modificati o cancellati senza autorizzazione;

d) Controllo della comunicazione: I destinatari dei dati, a cui vengono comunicati dati personali tramite mezzi di trasmissione, devono poter essere identificati;

e) Controllo della memorizzazione: Deve essere impedito l'inserimento, l'accesso, la modifica o la cancellazione non autorizzati dei dati personali memorizzati;

f) Controllo degli utenti: L'uso di sistemi automatizzati di trattamento dei dati tramite mezzi di trasmissione da parte di persone non autorizzate deve essere impedito;

g) Controllo degli accessi: L'accesso da parte delle persone autorizzate deve essere limitato ai dati personali necessari per l'esecuzione del loro compito;

h) Controllo degli inserti: Nei sistemi automatizzati deve essere possibile verificare successivamente quali dati personali sono stati inseriti, a che ora e da quale persona.

2. Le raccolte di dati devono essere strutturate in modo tale che le persone interessate possano esercitare il loro diritto di informazione e il loro diritto di rettifica.

**Articolo 1: Registrazione del trattamento automatizzato di dati personali particolarmente protetti**

L'autorità responsabile registra il trattamento automatizzato di dati personali particolarmente protetti o di dati personali soggetti a un obbligo speciale di riservatezza, qualora le misure preventive non siano in grado di garantire la protezione dei dati.

È necessaria una registrazione in particolare quando altrimenti non sarebbe possibile determinare successivamente se i dati sono stati trattati per gli scopi per i quali sono stati raccolti o divulgati.

I registri devono essere conservati in conformità agli standard di revisione per un anno. Essi sono accessibili esclusivamente agli organismi incaricati di sorvegliare l'applicazione delle norme sulla protezione dei dati e possono essere utilizzati solo per tale scopo. Restano riservate disposizioni contrarie nella legislazione o in autorizzazioni operative.

1. Mezzi tecnici con rischi particolari per i diritti e le libertà delle persone interessate ai sensi dell'articolo 17a paragrafo 1 lettera d KDSG si verificano in particolare quando i dati personali

a. vengono immagazzinati su supporti di memoria che la persona interessata porta con sé,

b. vengono immagazzinati su chip RFID (transponder di identificazione a radiofrequenza passiva),

c. vengono trasmessi tramite connessioni wireless, purché non si tratti di collegamenti telefonici radiofonici e connessioni wireless di terminali di pagamento, la cui sicurezza per le transazioni commerciali è già stata verificata,

d. vengono raccolti con dispositivi di registrazione e trattamento delle immagini.

2. Lo stesso vale quando

a. dati personali particolarmente meritevoli di protezione vengono trasmessi tramite reti pubbliche,

b. si intende concedere a privati un accesso limitato ai dati di un database personale tramite Internet.

3. Una modifica sostanziale ai sensi dell'articolo 17a paragrafo 2 KDSG si verifica in particolare quando

a. i mezzi o il fine del trattamento dei dati cambiano in modo significativo o

b. la modifica da sola soddisfa i requisiti per un controllo preliminare.

4. Se cambia solo l'entità di un trattamento dei dati, ciò non costituisce una modifica sostanziale.

1. I Comuni e altre entità giuridiche comunali possono rinunciare a un controllo preventivo se

a utilizzano sistemi o programmi di elaborazione dati per i quali esiste una certificazione ai sensi dell'articolo 11 della legge federale sulla protezione dei dati del 19 giugno 1992 (LPD) e tali sistemi o programmi comprendono sia la sicurezza informatica che la protezione dei dati in generale oppure

b l'elaborazione dei dati, compresa l'archiviazione elettronica degli stessi, riguarda meno di 500 persone.

1. Per i progetti informatici del Cantone e per i progetti informatici per i quali il Cantone concede compensazioni in base alla legislazione speciale, la Direzione delle finanze stabilisce mediante ordinanza direttiva

a) l'analisi della sicurezza informatica e della protezione dei dati,

b) il controllo preliminare e il suo momento di esecuzione,

c) le direttive per la sicurezza informatica e la protezione dei dati.

1. Le raccolte di dati non vengono inserite nel registro se

a) vengono utilizzate per al massimo due anni,

b) sono conservate nell'archivio statale o comunale oppure

c) sono accessibili al pubblico sotto forma di annuari.

1. L'informazione o la decisione motivata sulla limitazione del diritto all'informazione (Art. 21 e 22 KDSG) deve essere fornita al più tardi entro 30 giorni dal ricevimento della richiesta d'informazione. Se l'informazione non può essere fornita entro 30 giorni, l'autorità responsabile deve informare il richiedente e comunicargli il termine entro il quale verrà fornita l'informazione.

2. La richiesta di informazioni e la fornitura delle informazioni possono avvenire per via elettronica, qualora l'autorità responsabile abbia adottato misure adeguate per

a) garantire l'identificazione della persona interessata e

b) proteggere i dati personali della persona interessata dalla consultazione da parte di terzi non autorizzati durante la fornitura delle informazioni.

1. Qualora venga richiesta la comunicazione di dati riguardanti persone decedute, essa deve essere fornita se il richiedente dimostra un interesse nella richiesta e non vi siano interessi preponderanti da parte dei familiari della persona deceduta o di terzi che vi si oppongono. In caso di stretta parentela, matrimonio o unione civile registrata con la persona deceduta, questo interesse si considera dimostrato. Restano riservati gli obblighi particolari di segretezza.

1. Le autorità responsabili presentano all'ufficio di vigilanza tutti i progetti di decreti e altre misure secondo l'articolo 34, comma 1, lettera k del KDSG, che riguardano il trattamento dei dati personali e la protezione dei dati.

2. Le direzioni e la cancelleria di stato comunicano all'ufficio di vigilanza cantonale le loro ordinanze e decisioni nel campo della protezione dei dati in forma anonima.

1. Se i comuni e le altre entità giuridiche comunali non stabiliscono una regolamentazione differente, i loro uffici di vigilanza dispongono annualmente della seguente autorizzazione di spesa

a) 1000 franchi per le microentità secondo l'articolo 64a del Regolamento comunale,

b) 5000 franchi per i comuni fino a 10 000 abitanti e per le altre entità giuridiche comunali,

c) 10 000 franchi per i comuni con più di 10 000 abitanti.

1. La Cancelleria di Stato e le direzioni designano ciascuna almeno un punto di contatto per la protezione dei dati. Questo

a consiglia le unità organizzative in materia di protezione dei dati,

b inoltra le richieste che non può rispondere autonomamente all'autorità cantonale di vigilanza sulla protezione dei dati,

c supporta gli organi e gli utenti responsabili,

d promuove l'informazione e la formazione dei dipendenti,

e collabora nell'attuazione delle normative sulla protezione dei dati.

2. Se le direzioni e la Cancelleria di Stato non designano altre sedi, i servizi legali delle direzioni e della Cancelleria di Stato, o gli avvocati ufficiali, agiscono come punto di contatto.

3. La consulenza agli enti giuridici comunali su questioni generali di protezione dei dati è fornita dall'Ufficio per i Comuni e la Pianificazione Territoriale della Direzione dell'Interno e Giustizia. Per questioni specifiche di protezione dei dati, la consulenza è fornita dai rispettivi servizi legali delle direzioni e della Cancelleria di Stato, o dagli avvocati ufficiali. L'autorità cantonale di vigilanza sulla protezione dei dati rimane il punto di riferimento per le autorità di vigilanza sulla protezione dei dati degli enti giuridici comunali.

1. Le competenze delle autorità della giurisdizione amministrativa si basano fondamentalmente sulle disposizioni della legge sulla giurisdizione amministrativa.

2. Contro i provvedimenti di istituti e corporazioni del cantone, così come dei privati che svolgono compiti pubblici cantonali, è possibile presentare ricorso presso la direzione che esercita la vigilanza o che è più vicina all'ambito specialistico.

3. Contro i provvedimenti degli organi del Gran Consiglio può essere interpellato il plenum.

1. I seguenti decreti sono modificati

1. Ordinanza del 26 ottobre 1994 sull'informazione della popolazione (Ordinanza sull'informazione; IV)

2. Ordinanza del 26 giugno 1996 sulle procedure di consultazione e di rapporto supplementare (VMV)

3. Ordinanza sull'organizzazione e i compiti della Direzione della giustizia, dei comuni e delle chiese del 18 ottobre 1995 (Ordinanza organizzativa JGK; OrV JGK)

4. Ordinanza sulle tasse dell'amministrazione cantonale del 22 febbraio 1995 (Ordinanza sulle tasse; GebV)

5. Ordinanza sull'approvvigionamento ospedaliero del 30 novembre 2005 (SpVV)

Questa regolamentazione entra in vigore il 1° gennaio 2009.