Oggetto e Ambito di Applicazione (EVEDS)

1. Questa regolamentazione disciplina l'introduzione della direttiva UE 2016/680 del Parlamento Europeo e del Consiglio del 27 aprile 2016 sulla protezione delle persone fisiche riguardo al trattamento dei dati personali da parte delle autorità competenti a fini di prevenzione, indagine, accertamento o perseguimento di reati o all'esecuzione di sanzioni penali, nonché sulla libera circolazione di tali dati e sull'abrogazione della decisione quadro 2008/977/GAI del Consiglio.

2. Essa si applica alle autorità competenti per il trattamento dei dati personali allo scopo di prevenzione, indagine, accertamento o perseguimento di reati o all'esecuzione di sanzioni penali, inclusa la protezione e la difesa contro le minacce alla sicurezza pubblica (Art. 1 par. 1 della direttiva UE 2016/680).

1. La profilazione è la valutazione di determinate caratteristiche di una persona basata sul trattamento automatizzato di dati personali, in particolare per analizzare o prevedere la prestazione lavorativa, le condizioni economiche, la salute, il comportamento, le preferenze, la posizione o la mobilità.

2. È consentita alle condizioni previste dall'articolo 5 della legge sulla protezione dei dati del 19 febbraio 1986 (KDSG).

3. Se comporta un'intrusione significativa nei diritti fondamentali della persona interessata, è consentita alle condizioni previste dall'articolo 6 KDSG.

4. Le disposizioni degli articoli 10 fino a 14a KDSG riguardanti la divulgazione dei dati personali si applicano anche ai risultati di una profilazione, a condizione che contengano dati personali.

1. L'autorità responsabile deve essere in grado di dimostrare di rispettare le disposizioni sulla protezione dei dati di cui all'articolo 4, paragrafi 1-3, della Direttiva UE 2016/680.

1. L'autorità responsabile informa la persona interessata su ogni acquisizione di dati. Questo obbligo di informazione si applica anche quando i dati vengono acquisiti da terzi.

2. L'informazione comprende in particolare indicazioni su

a) l'autorità responsabile e i relativi dati di contatto,

b) i dati trattati o le categorie di dati trattati,

c) la base giuridica e lo scopo del trattamento,

d) i destinatari dei dati o le categorie di destinatari, qualora i dati vengano comunicati a terzi, e

e) i diritti della persona interessata.

3. L'informazione avviene

a) attraverso indicazioni appropriate nel registro pubblico delle collezioni di dati ai sensi dell'Articolo 18 KDSG,

b) sul sito Internet dell'autorità responsabile o

c) mediante comunicazione alla persona interessata.

1. È possibile rinunciare all'informazione, se

a) la persona interessata dispone già delle informazioni ai sensi dell'articolo 4 paragrafo 2,

b) il trattamento dei dati personali è espressamente previsto dalla legge o

c) l'informazione non è possibile o lo è solo con uno sforzo sproporzionato.

2. Inoltre, la trasmissione delle informazioni può essere limitata alle stesse condizioni dell'accesso ai propri dati personali.

1. L'autorità competente comunica alle autorità o privati ai quali aveva divulgato dati personali (Art. 10 bis 14a KDSG) se i dati sono stati corretti o distrutti ai sensi degli articoli 23 o 24 KDSG.

2. La comunicazione può essere omessa se non è possibile o comporterebbe uno sforzo sproporzionato.

1. Chi, ai sensi dell'articolo 16 KDSG, elabora dati personali per conto di un'autorità (incaricate e incaricati del trattamento dei dati), non può trasferire il trattamento dei dati a un'altra incaricata o a un altro incaricato del trattamento senza il loro previo consenso scritto.

### Articolo: Comunicazione di Violazione della Protezione dei Dati

L'autorità responsabile notifica all'autorità di vigilanza competente per la protezione dei dati (autorità di vigilanza) immediatamente, ovvero possibilmente entro 72 ore, una violazione della protezione dei dati. La notifica consiste in una descrizione della violazione e dei suoi effetti, nonché delle misure adottate e previste per il ripristino della protezione o per l'attenuazione delle conseguenze della violazione.

Si verifica una violazione della protezione dei dati quando la sicurezza dei dati è compromessa al punto che i dati personali trattati vengono distrutti irrimediabilmente o persi, involontariamente o illegalmente alterati o rivelati, o quando persone non autorizzate accedono a tali dati personali.

Non sussiste obbligo di notifica se la violazione della protezione dei dati probabilmente non comporta un rischio per i diritti fondamentali della persona interessata.

1. L'autorità competente informa le persone interessate, quando le circostanze lo richiedono o l'organo di controllo lo esige. La notifica deve essere effettuata in particolare quando le persone interessate possono adottare misure per evitare il danno.

2. La notifica può essere omessa, se

a. l'autorità competente ha adottato misure di sicurezza tecniche e organizzative che, nel caso specifico, hanno impedito il verificarsi di un danno alle persone interessate,

b. garantendo attraverso misure successive che per i diritti fondamentali delle persone interessate, con ogni probabilità, non esiste più un alto rischio o

c. sarebbe associata a sforzi sproporzionati; in tal caso, la notifica avviene mediante annuncio pubblico.

3. La notifica alle persone interessate può inoltre essere limitata o rinviata interamente o parzialmente, quando prevalgono interessi di riservatezza pubblici o privati.

1. Chi tratta i dati personali per conto di un'autorità informa immediatamente l'autorità committente di una violazione della protezione dei dati. L'articolo 8, comma 1, seconda frase, e comma 2 si applicano mutatis mutandis.

1. Allo svolgimento della rappresentanza processuale sono ammesse le organizzazioni senza scopo di lucro che, secondo i loro statuti, si occupano dei temi relativi alla protezione dei dati.

1. L'Autorità di Vigilanza informa le persone interessate sull'esito o sullo stato delle indagini entro un massimo di tre mesi dal ricevimento di una segnalazione di vigilanza.

Questa normativa entra in vigore il 1º settembre 2018 e rimane in vigore fino al 31 agosto 2026.