1. État, peuple, autorità » 17. Autorità » 170. Disposizioni generali (CPDT-JUNE)

La convenzione intercantonale dell'8 e 9 maggio 2012 relativa alla protezione dei dati e alla trasparenza nei cantoni del Giura e di Neuchâtel (CPDT-JUNE) è approvata.

La modifica del 15 e 16 febbraio 2022 della convenzione intercantonale dell'8 e 9 maggio 2012 relativa alla protezione dei dati e alla trasparenza nei cantoni del Giura e di Neuchâtel (CPDT-JUNE) è approvata.

**La presente convenzione ha lo scopo di instaurare una legislazione e delle istituzioni comuni ai cantoni del Giura e di Neuchâtel (di seguito: "i cantoni") nei settori della protezione dei dati e della trasparenza.**

Essa mira a proteggere la personalità e i diritti fondamentali delle persone che sono oggetto di un trattamento di dati personali. Ha anche gli scopi di permettere la formazione autonoma delle opinioni, favorire la partecipazione dei cittadini alla vita pubblica e garantire la trasparenza delle attività delle autorità.

Il presente decreto è soggetto a referendum facoltativo.

Il presente decreto è soggetto a referendum facoltativo.

La presente convenzione si applica alle seguenti entità (di seguito: "le entità")

a) alle autorità legislative, esecutive, amministrative e giudiziarie cantonali, e agli organi che ne dipendono;

b) ai comuni e agli organi che ne dipendono;

c) alle collettività e agli stabilimenti di diritto pubblico cantonali e comunali;

d) alle persone fisiche e giuridiche e ai gruppi di persone di diritto privato che svolgono compiti di interesse pubblico o delegati da un'entità ai sensi delle lettere a a c;

e) alle istituzioni, agli stabilimenti o alle società di diritto privato o di diritto pubblico cantonale nelle quali una o più entità ai sensi delle lettere a a c detengono insieme almeno una partecipazione maggioritaria, nella misura in cui svolgono compiti di interesse pubblico.

**Il Governo fissa la data di entrata in vigore del presente decreto.**

Il Governo stabilisce l'entrata in vigore del presente decreto.

La presente convenzione disciplina il trattamento dei dati riguardanti persone fisiche e giuridiche effettuato dagli enti.

Se necessario e nel quadro dei principi della presente convenzione, i cantoni possono adottare leggi speciali che vi derogano, applicandosi queste ultime allora a titolo di diritto suppletivo.

In materia di trasparenza, la presente convenzione stabilisce i principi comuni applicabili. La politica di informazione e le sue modalità sono lasciate alla cura dei cantoni.

Sono incaricati di vigilare sull'applicazione della presente convenzione

a) il responsabile della protezione dei dati e della trasparenza (di seguito: "il responsabile");

b) la commissione per la protezione dei dati e della trasparenza (di seguito: "la commissione").

Questi organi svolgono i loro compiti in maniera autonoma e dispongono a tal fine dei mezzi necessari e, in particolare, di un proprio bilancio.

Il responsabile e i membri della commissione sono tenuti al segreto d'ufficio. Essi possono esserne esonerati dall'esecutivo cantonale competente, quando un interesse privato o pubblico preponderante lo richiede; quando entrambi i cantoni sono interessati, il responsabile e la commissione possono essere esonerati congiuntamente dal segreto dal Governo giurassiano e dal Consiglio di Stato neocastellano (di seguito: "gli esecutivi cantonali").

Il preposto, così come il presidente e i membri della commissione, sono nominati congiuntamente dagli esecutivi cantonali.

1bis Devono possedere le qualifiche o l'esperienza, in particolare nel settore della protezione dei dati personali, necessarie per l'esercizio della loro funzione e dei loro poteri.

Esercitano la loro funzione in piena indipendenza.

Non possono esercitare un'altra attività se non è compatibile con la loro funzione.

**Il sede del preposto è determinato congiuntamente dagli esecutivi cantonali.**

È nominato per una durata di cinque anni.

Dispone di un segretariato permanente la cui dotazione, funzionamento e statuto sono definiti dagli esecutivi cantonali. Assume il proprio personale.

I rapporti di servizio del preposto sono rinnovati tacitamente per un nuovo periodo di cinque anni, a meno che gli esecutivi cantonali, al più tardi sei mesi prima, decidano congiuntamente di non rinnovarli per motivi oggettivi sufficienti.

Nel corso del periodo, gli esecutivi possono congiuntamente revocare il preposto, se ha gravemente violato i suoi doveri di funzione o se ha perso durevolmente la capacità di esercitarli.

Il preposto può porre fine ai rapporti di servizio con un preavviso di sei mesi.

Il tasso di occupazione del preposto e il suo trattamento sono fissati congiuntamente dagli esecutivi cantonali. Per il resto, il suo statuto è regolato dalla legislazione sul personale della funzione pubblica del cantone sede.

In caso di controversia, il preposto può presentare ricorso al Tribunale cantonale del cantone sede.

La commissione è composta da cinque membri. Essa comprende almeno un giurista e uno specialista in informatica. I cantoni sono equamente rappresentati al suo interno. La sua sede è determinata congiuntamente dagli esecutivi cantonali. Nella misura necessaria, essa beneficia del supporto della cancelleria dell'autorità giudiziaria di primo grado da cui dipende la sua sede. I membri della commissione sono nominati per un periodo di cinque anni. Possono essere riconfermati nella loro funzione, salvo le prescrizioni relative all'età pensionabile. Sono retribuiti secondo le modalità fissate dagli esecutivi cantonali. La commissione si riunisce almeno una volta all'anno e, per il resto, secondo le questioni da trattare. Essa può deliberare validamente in presenza di almeno tre dei suoi membri.

L'incaricato è responsabile di promuovere la protezione dei dati e la trasparenza, informando e sensibilizzando il pubblico e le entità sui principi enunciati nella presente convenzione.

Si pronuncia sui progetti di atti legislativi che hanno un impatto sulla protezione dei dati e la trasparenza, assiste e consiglia gli individui e le entità in questi due ambiti.

Fornisce i pareri e i consigli previsti dalla presente convenzione, concilia le parti e invia i rapporti menzionati all'articolo 13.

In materia di protezione dei dati, tiene in particolare il registro pubblico dei file, sorveglia l'applicazione della presente convenzione, può emettere raccomandazioni, adire la commissione e interporre ricorsi.

Segue gli sviluppi pertinenti, in particolare nel settore delle tecnologie dell'informazione e della comunicazione, nella misura in cui incidono sulla protezione dei dati personali.

Collabora con gli organi di altri cantoni, della Confederazione e di Stati esteri che svolgono le stesse funzioni.

La commissione adotta le decisioni previste dalla presente convenzione.

Essa invia la relazione menzionata all'articolo 13.

Si organizza liberamente e può dotarsi di un regolamento interno.

Su proposta del funzionario e della commissione, i bilanci loro assegnati annualmente sono preparati congiuntamente dagli esecutivi cantonali.

1bis Su richiesta del funzionario o della commissione, le loro proposte di bilancio sono trasmesse ai legislativi cantonali.

Nell'ambito del loro rapporto annuale, il funzionario e la commissione presentano i conti dell'esercizio precedente.

Per il resto, si riservano le procedure relative al bilancio e ai conti proprie di ciascun cantone.

Le spese e i redditi sono ripartiti tra i cantoni in proporzione alle loro rispettive popolazioni residenti al 31 dicembre dell'anno precedente. Gli esecutivi cantonali possono, secondo le circostanze, concordare una chiave di ripartizione diversa.

Inoltre, le modalità finanziarie sono stabilite dai capi del Dipartimento delle finanze dei cantoni.

Per ogni esercizio, il funzionario e la commissione inviano alle autorità legislative ed esecutive cantonali, entro il 31 marzo dell'anno successivo, un rapporto della loro attività. Garantiscano la pubblicità di tale rapporto.

Il funzionario può inoltre inviare in qualsiasi momento un rapporto speciale a queste autorità.

1. Si intende per

a) dati personali (di seguito: "i dati"), tutte le informazioni che si riferiscono a una persona identificata o identificabile;

b) dati sensibili

1. i dati sulle opinioni o attività religiose, filosofiche, politiche o sindacali;

2. i dati sulla salute, sulla sfera intima o sull'origine razziale o etnica;

3. i dati genetici;

4. i dati biometrici che identificano in modo univoco una persona fisica;

5. i dati su procedimenti penali e amministrativi e sanzioni;

6. i dati sulle misure di assistenza sociale;

c) profilazione, qualsiasi forma di trattamento automatizzato di dati consistente nell'utilizzare tali dati per valutare certi aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere elementi riguardanti il rendimento lavorativo, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità, il comportamento, la localizzazione o i movimenti di detta persona fisica;

cbis) profilazione a rischio elevato, qualsiasi profilazione che comporta un rischio elevato per la personalità o i diritti fondamentali della persona interessata, poiché conduce ad un abbinamento di dati che permette di valutare le caratteristiche essenziali della personalità di una persona fisica;

d) archivio, qualsiasi insieme strutturato di dati a carattere personale accessibili secondo criteri determinati, che tale insieme sia centralizzato, decentralizzato o ripartito in maniera funzionale o geografica;

e) persona interessata, la persona fisica o giuridica alla quale si riferiscono i dati trattati;

f) titolare del trattamento, l'entità che, da sola o congiuntamente ad altri, determina le finalità e i mezzi del trattamento dei dati;

g) trattamento, qualsiasi operazione relativa a dati - indipendentemente dai mezzi e dai procedimenti utilizzati - tra cui la raccolta, la conservazione, l'uso, la modifica, la comunicazione, l'archiviazione, la cancellazione o la distruzione dei dati;

h) comunicazione, il fatto di rendere i dati accessibili, ad esempio autorizzandone la consultazione, trasmettendoli o diffondendoli;

i) comunicazione online, procedura automatizzata che consente a un'entità di disporre di dati senza l'intervento di chi li comunica;

j) legge in senso formale, i testi legislativi sottoposti a referendum obbligatorio o facoltativo, nonché i regolamenti adottati in assemblea comunale;

k) responsabile del trattamento, la persona fisica o giuridica che tratta i dati per conto del titolare del trattamento;

l) destinatario, la persona fisica o giuridica, l'autorità pubblica, il servizio, l'agenzia o qualsiasi altro organismo che riceve comunicazione di dati o a cui sono resi accessibili;

m) decisione individuale automatizzata, qualsiasi decisione presa esclusivamente sulla base di un trattamento di dati automatizzato, inclusa la profilazione, e che abbia effetti giuridici sulla persona interessata o che la colpisca in modo significativo;

n) violazione della sicurezza dei dati, qualsiasi violazione della sicurezza che comporta accidentalmente o illecitamente la perdita dei dati, la loro modifica, cancellazione o distruzione, la loro divulgazione o l'accesso non autorizzato a tali dati.

Il presente capitolo non si applica

a) alle deliberazioni delle autorità legislative cantonali e comunali, così come a quelle delle loro commissioni;

b) al trattamento dei dati nell'ambito di procedimenti giurisdizionali e arbitrati pendenti, a condizione che le disposizioni procedurali applicabili garantiscano una protezione almeno equivalente a quella derivante dal presente capitolo;

c) ai dati che le entità trattano nell'ambito di un'attività soggetta alla concorrenza economica regolata dal diritto privato.

Dati possono essere trattati se una base legale lo prevede o se il loro trattamento è necessario per l'esecuzione di un compito legale.

I dati sensibili e le profilazioni ad alto rischio possono essere trattati solo se una base legale formale lo autorizza espressamente. Una base legale materiale è sufficiente se sono soddisfatte le seguenti condizioni

a) il trattamento è indispensabile per l'esecuzione di un compito chiaramente specificato in una legge nel senso formale;

b) il trattamento non è suscettibile di comportare rischi particolari per la personalità e i diritti fondamentali delle persone interessate.

Possono essere trattati solo i dati necessari e pertinenti per raggiungere l'obiettivo previsto.

I dati devono essere conservati in una forma che consenta l'identificazione delle persone interessate per un periodo non superiore a quello necessario in relazione alle finalità per le quali sono trattati.

Il trattamento dei dati deve essere effettuato in conformità al principio di buona fede.

I dati possono essere raccolti solo per finalità determinate e riconoscibili dalla persona interessata e devono essere successivamente trattati in maniera compatibile con tali finalità.

Colui che tratta i dati deve assicurarsi che i dati siano esatti e completi. Prende tutte le misure appropriate per rettificare, cancellare o distruggere i dati inesatti o incompleti in relazione alle finalità per le quali sono raccolti o trattati. L'adeguatezza della misura dipende in particolare dal tipo di trattamento e dalla sua estensione, nonché dal rischio che il trattamento dei dati in questione rappresenta per la personalità o i diritti fondamentali delle persone interessate.

Le entità devono assicurare, mediante misure organizzative e tecniche appropriate, una sicurezza adeguata dei dati rispetto al rischio sostenuto. Le misure devono permettere di evitare qualsiasi violazione della sicurezza dei dati.

Le entità garantiscono l'integrità, la disponibilità e la riservatezza dei dati.

I responsabili del trattamento dei dati tengono un registro dei loro archivi.

Il preposto tiene un registro pubblico che inventaria i file di dati sensibili e di profilazione ad alto rischio.

Questi file gli sono comunicati dai responsabili del trattamento prima di diventare operativi.

Chiunque può consultare gratuitamente gli elenchi e il registro pubblico.

L'entità responsabile sottopone per preavviso all'incaricato

a) ogni progetto legislativo riguardante la protezione dei dati;

b) ogni progetto quando l'analisi d'impatto relativa alla protezione dei dati rivela che, nonostante le misure previste dal responsabile del trattamento, il trattamento previsto comporta ancora un rischio elevato per la personalità o i diritti fondamentali della persona interessata;

c) ogni progetto di subappalto all'estero.

L'incaricato può stabilire un elenco delle operazioni di trattamento che presentano rischi elevati ai sensi del capoverso 1, lettera b.

Se l'incaricato ha obiezioni riguardo al trattamento previsto, propone al responsabile del trattamento delle misure appropriate.

Quando il trattamento previsto può comportare un rischio elevato per la personalità o i diritti fondamentali della persona interessata, il responsabile del trattamento effettua preventivamente un'analisi d'impatto relativa alla protezione dei dati. Se intende svolgere diverse operazioni di trattamento simili, può stabilire un'analisi d'impatto comune.

L'esistenza di un rischio elevato dipende dalla natura, dalla portata, dalle circostanze e dallo scopo del trattamento. Un tale rischio esiste in particolare nei seguenti casi

a) il trattamento su larga scala di dati sensibili;

b) il profiling;

c) la sorveglianza sistematica di ampie porzioni del dominio pubblico.

L'analisi d'impatto contiene una descrizione del trattamento previsto, una valutazione dei rischi per la personalità o i diritti fondamentali della persona interessata, nonché le misure previste per proteggere la personalità e i diritti fondamentali della persona interessata.

Il titolare si pronuncia sull'analisi d'impatto e sulle misure di sicurezza previste.

Il responsabile del trattamento è esentato dall'obbligo di stabilire un'analisi d'impatto se una base legale prevede il trattamento e che la sua adozione è stata preceduta da un'analisi che soddisfa i requisiti dei paragrafi da 1 a 4.

**Articolo 1: Violazione della Sicurezza dei Dati**

Il responsabile del trattamento comunica il più presto possibile all’incaricato qualsiasi caso di violazione della sicurezza dei dati che potrebbe comportare un alto rischio per la personalità o per i diritti fondamentali della persona interessata.

La comunicazione deve almeno indicare la natura della violazione della sicurezza dei dati, le sue conseguenze e le misure adottate o previste per rimediare alla situazione.

Il subentrante comunica il più presto possibile al responsabile del trattamento ogni caso di violazione della sicurezza dei dati.

Il responsabile del trattamento informa inoltre la persona interessata quando ciò è necessario per la sua protezione o su richiesta dell’incaricato.

Può limitare l’informazione della persona interessata, rinviarla o rinunciarvi, nei seguenti casi

a) si oppone un preminente interesse privato o pubblico di un terzo;

b) un obbligo legale di mantenere il segreto lo vieta;

c) l’obbligo di informare è impossibile da rispettare o richiede sforzi sproporzionati;

d) l’informazione della persona interessata può essere garantita in modo equivalente attraverso una comunicazione pubblica;

e) la comunicazione delle informazioni potrebbe compromettere un’indagine, un’istruzione o una procedura giudiziaria o amministrativa.

Una comunicazione basata sul presente articolo non può essere utilizzata nell’ambito di una procedura penale contro la persona tenuta a comunicare, se non con il suo consenso.

**Il responsabile del trattamento informa l'interessato in modo adeguato della raccolta dei dati, sia essa effettuata presso di lui o meno.**

Durante la raccolta, comunica all'interessato le informazioni necessarie affinché possa far valere i suoi diritti secondo la presente legge e affinché sia garantita la trasparenza dei trattamenti; gli comunica almeno

a) l'identità e i dati di contatto del responsabile del trattamento;

b) la finalità del trattamento;

c) eventualmente i destinatari o le categorie di destinatari ai quali i dati vengono trasmessi.

Se i dati non sono raccolti presso l'interessato, gli comunica inoltre le categorie di dati trattati.

Quando i dati vengono comunicati all'estero, gli comunica anche il nome dello Stato o dell'organismo internazionale in questione e, se del caso, le garanzie e le eccezioni previste dalla legislazione federale sulla protezione dei dati.

Se i dati non sono raccolti presso l'interessato, gli comunica le informazioni menzionate ai paragrafi da 2 a 4 al più tardi un mese dopo aver ottenuto i dati. Se comunica i dati prima della scadenza di questo termine, informa l'interessato al più tardi al momento della comunicazione.

**1. Il titolare del trattamento è esonerato dall’obbligo di informazione ai sensi dell’articolo 24 se una delle seguenti condizioni è soddisfatta:**

a) la persona interessata possiede già le informazioni corrispondenti;

b) il trattamento dei dati è previsto dalla legge;

c) il titolare del trattamento è una persona privata ed è vincolato da un obbligo legale di segretezza.

**2. Quando i dati non sono raccolti presso la persona interessata, l’obbligo di informazione non si applica nei casi seguenti:**

a) l’informazione è impossibile da fornire, oppure

b) la comunicazione dell’informazione richiede sforzi sproporzionati.

**3. Il titolare del trattamento può limitare o differire la comunicazione delle informazioni, o rinunciarvi se una delle seguenti condizioni è soddisfatta:**

a) interessi privati di un terzo o pubblici preminenti lo richiedono;

b) l’informazione impedisce al trattamento di raggiungere il suo scopo;

c) la comunicazione delle informazioni potrebbe compromettere un’indagine, un’istruzione o una procedura giudiziaria o amministrativa.

In caso di trattamento congiunto, le entità interessate concordano sulla ripartizione delle responsabilità e degli obblighi derivanti dalla presente convenzione.

L'accordo stipulato conformemente al comma 1 non è opponibile alla persona interessata, che può far valere i diritti derivanti dalla presente convenzione presso una delle entità interessate.

I dati di cui il responsabile del trattamento non ha più bisogno e che non devono essere conservati a titolo di prova o come misura di sicurezza sono trattati conformemente alla legislazione cantonale pertinente relativa agli archivi.

**Le entità possono comunicare dati, d'ufficio o su richiesta, solo se:**

a) una base legale lo autorizza o se la comunicazione è necessaria per l'adempimento di un compito legale; in presenza di dati sensibili o di profilazioni, l'autorizzazione o il compito deve essere basato su una legge in senso formale;

b) la persona interessata ha fornito il proprio consenso o ha reso i suoi dati accessibili a chiunque e non si è formalmente opposta alla comunicazione ai sensi dell'articolo 36;

bbis) la persona interessata non è in grado di dare il proprio consenso, la comunicazione dei dati è nel suo interesse e il suo consenso può essere presunto conformemente alle regole della buona fede;

c) il destinatario dimostra in modo plausibile che la persona interessata rifiuta il proprio accordo o si oppone alla comunicazione solo con lo scopo di impedirgli di far valere pretese legali o altri interessi legittimi; la persona interessata sarà dapprima invitata a esprimersi secondo l'articolo 30;

d) i dati sono contenuti in un documento ufficiale a cui è stato richiesto l'accesso secondo il capitolo IV, e la comunicazione è giustificata da un interesse pubblico preponderante.

Le entità possono comunicare su richiesta il nome, il cognome, l'indirizzo, lo stato civile, la professione, il sesso e la nazionalità, la provenienza e la destinazione di una persona, anche se le condizioni del comma 1 non sono soddisfatte, purché ciò sia nell'interesse della persona interessata o che il destinatario giustifichi un interesse meritevole di protezione.

La comunicazione dei dati è rifiutata o limitata quando

a) un interesse prevalente pubblico o privato, in particolare della persona interessata, lo esige;

b) una base legale vieta la comunicazione.

Quando le ragioni che giustificano il rifiuto o la restrizione sono solo temporanee, la comunicazione deve essere concessa non appena tali ragioni cessano di esistere.

Quando la comunicazione deve essere rifiutata, limitata o differita, può tuttavia essere concessa con l'imposizione di oneri che salvaguardino gli interessi da proteggere.

L'entità deve indicare sommariamente e per iscritto i motivi della sua posizione, così come la possibilità di rivolgersi al responsabile ai sensi dell'articolo 40.

Dei dati possono essere comunicati all'estero solo se sono soddisfatte le condizioni previste dalla legislazione federale sulla protezione dei dati.

Le entità informano il responsabile delle garanzie adottate in virtù di questa legislazione prima della comunicazione dei dati.

Se un'entità necessita regolarmente di tali dati per l'adempimento dei compiti legali di sua competenza, l'esecutivo interessato può renderle accessibili online le informazioni necessarie, previa consultazione del responsabile.

La consegna a privati di elenchi di dati è vietata, salvo autorizzazione dell'esecutivo cantonale o comunale competente.

Tale autorizzazione può essere concessa solo se il richiedente giustifica un interesse degno di protezione, si impegna a utilizzare i dati trasmessi per lo scopo ideale per cui sono stati richiesti e a non comunicarli a terzi; la consegna di elenchi ripetitivi deve inoltre rispondere a un interesse pubblico.

La consegna a privati di elenchi di dati sensibili o di profilazioni a rischio elevato, così come la loro commercializzazione, è vietata, a meno che una base legale non le giustifichi.

Qualora la comunicazione dei dati possa pregiudicare un interesse prevalente pubblico o privato, le entità o le persone interessate possono esercitare il loro diritto di essere ascoltate.

Qualora l'entità o la persona interessata intenda comunicare i dati nonostante l'opposizione, essa deve informare l'opponente indicando sommariamente e per iscritto i motivi della sua posizione, nonché la possibilità di rivolgersi al responsabile ai sensi dell'articolo 40.

Ogni persona può chiedere al responsabile del trattamento se siano trattati dati che la riguardano.

La persona interessata riceve le informazioni necessarie affinché possa far valere i propri diritti secondo la presente convenzione e affinché sia garantita la trasparenza dei trattamenti. In ogni caso, essa riceve le seguenti informazioni

a) l'identità e i recapiti del responsabile del trattamento;

b) i dati trattati in quanto tali;

c) la finalità del trattamento;

d) la durata di conservazione dei dati o, se ciò non è possibile, i criteri per determinare quest'ultima;

e) le informazioni disponibili sull'origine dei dati, nella misura in cui tali dati non siano stati raccolti presso la persona interessata;

f) se del caso, l'esistenza di una decisione individuale automatizzata nonché la logica su cui si basa la decisione;

g) se del caso, i destinatari o le categorie di destinatari ai quali sono stati comunicati dei dati, nonché le informazioni previste all'articolo 24, comma 4.

Il responsabile del trattamento che fa trattare dati da un subappaltatore rimane tenuto a fornire le informazioni richieste.

Nessuno può rinunciare anticipatamente al diritto di accesso.

Salvo disposizioni speciali contrarie, l'accesso ai dati comprende la consultazione sul posto e l'ottenimento dei dati per iscritto. Il responsabile del trattamento può anche comunicare oralmente i dati se la persona interessata ne è soddisfatta.

L'accesso ai dati è rifiutato o limitato quando

a) è richiesto da un interesse pubblico o privato preponderante;

b) è previsto da una legge nel senso formale.

Quando le informazioni non possono essere comunicate direttamente alla persona interessata perché ne sarebbe troppo influenzata o perché sono necessarie ulteriori spiegazioni, il responsabile del trattamento le trasmette a un terzo incaricato a tale scopo, che gode della fiducia di quest'ultima.

Chiunque abbia un interesse legittimo può richiedere al responsabile del trattamento che egli

a) si astenga dal procedere a un trattamento illecito;

b) elimini gli effetti di un trattamento illecito;

c) constati il carattere illecito del trattamento.

Chiunque abbia un legittimo interesse può richiedere al responsabile del trattamento che i dati siano nel più breve tempo possibile

a) rettificati o integrati;

b) distrutti o cancellati, se sono inutili, obsoleti o contrari alla legge.

Se l’esattezza o l’inesattezza di un dato non può essere provata, il responsabile del trattamento aggiunge al dato una menzione del suo carattere controverso.

L'interessato può richiedere che la rettifica, la cancellazione, la distruzione dei dati, il divieto di trattamento, il divieto di comunicazione a terzi o la menzione del carattere controverso siano comunicati a terzi.

Invece di cancellare o distruggere i dati, il responsabile del trattamento limita il trattamento nelle seguenti situazioni

a) l’esattezza dei dati è contestata dall’interessato e la loro esattezza o inesattezza non può essere stabilita;

b) lo richiedono gli interessi preminenti di un terzo;

c) lo richiede un interesse pubblico preminente;

d) la cancellazione o la distruzione dei dati potrebbe compromettere un'indagine, un'istruzione o una procedura amministrativa o giudiziaria.

La persona interessata che ha un legittimo interesse può opporsi alla comunicazione di dati specifici da parte del responsabile del trattamento.

L'opposizione può essere respinta se

a) il responsabile del trattamento è giuridicamente obbligato a comunicare i dati, oppure se

b) un interesse pubblico prevalente richiede la comunicazione, in particolare quando la mancata comunicazione rischia di compromettere l'adempimento dei compiti del responsabile del trattamento.

Fatta eccezione per i casi gravi e urgenti, il responsabile del trattamento sospende la comunicazione dei dati fino a quando non si abbia una decisione in merito all'opposizione.

Lorsque le responsable du traitement entend ne pas donner suite à une requête fondée sur les articles 31 à 36, il en informe par écrit la personne concernée avec de brefs motifs et lui indique la possibilité de saisir le préposé pour conciliation.

Quando il titolare del trattamento intende non dare seguito a una richiesta basata sugli articoli 31 a 36, ne informa per iscritto la persona interessata con brevi motivazioni e le indica la possibilità di rivolgersi al responsabile per conciliazione.

Le domande fondate sulla presente convenzione non sono soggette a requisiti di forma.

In caso di necessità, l’entità può richiedere che esse siano formulate per iscritto.

Le domande sono indirizzate al responsabile del trattamento.

L'entità gestisce le richieste con diligenza e rapidità.

In caso di divergenze sull'applicazione del presente capitolo, il responsabile del trattamento, un'entità o una persona interessata possono chiedere al preposto di tenere una sessione di conciliazione.

A tal fine, inviano al medesimo una richiesta scritta sommariamente motivata con documenti a supporto.

Nel corso della seduta, il responsabile si sforza di condurre le parti a un accordo.

Se una delle parti non compare, la conciliazione è considerata fallita; le spese possono essere attribuite alla parte inadempiente.

Se la conciliazione ha esito positivo, la convenzione conclusa tra le parti è riportata nel verbale.

Le dichiarazioni fatte durante la seduta sono riservate.

Se la conciliazione fallisce o se la convenzione ai sensi dell'articolo 41, comma 3, non viene eseguita, il responsabile del trattamento, l'entità o la persona interessata, così come il preposto, possono trasmettere la causa per decisione alla commissione.

Prima di deliberare, la commissione consente loro di esercitare il diritto di essere ascoltati.

La decisione della commissione è soggetta a ricorso davanti al Tribunale cantonale del cantone sede dell’ente.

La procedura è disciplinata dalla legislazione sulla procedura e giurisdizione amministrative del cantone interessato.

Il responsabile del trattamento, l'ente o la persona interessata, nonché il preposto hanno legittimazione attiva per proporre ricorso.

Per il resto, si applicano la legislazione, la procedura e la giurisdizione amministrative del cantone in cui ha sede l'entità.

Il preposto vigila sull'applicazione da parte delle entità delle disposizioni della presente convenzione in materia di protezione dei dati.

A tal fine, controlla le installazioni e le modalità di trattamento dei dati.

Il preposto agisce d'ufficio, su richiesta di una persona interessata, del responsabile del trattamento o di un'entità.

Nell'espletamento delle sue funzioni, il preposto ha un potere investigativo completo; il segreto d'ufficio e il segreto professionale non possono essergli opposti.

Le entità e le persone interessate sono tenute a collaborare.

Se appare che vi è una violazione o un rischio di violazione delle disposizioni sulla protezione dei dati, l'incaricato chiede al responsabile del trattamento di porvi rimedio. Se necessario, adotta misure provvisorie intese a proteggere le persone interessate.

Se la sua richiesta non viene soddisfatta, emette una raccomandazione indirizzata al responsabile del trattamento e informa l'entità da cui quest'ultimo dipende.

Se questa raccomandazione viene respinta o non seguita, l'incaricato può sottoporre la questione per decisione alla commissione.

L'incaricato, il responsabile del trattamento e l'entità coinvolta hanno il diritto di ricorrere contro la decisione della commissione.

Per quanto riguarda il resto, si applica la legislazione sulla procedura e la giurisdizione amministrative del cantone in cui ha sede l'entità.

Le entità possono installare un sistema di videosorveglianza alle seguenti condizioni

a) l'installazione costituisce il mezzo più adeguato per raggiungere lo scopo perseguito; e

b) è espressamente prevista in una base legale.

L'entità che intende installare un sistema di videosorveglianza deve prima consultare il funzionario preposto.

La base giuridica che fonda la videosorveglianza contiene almeno

a) l'entità responsabile;

b) lo scopo perseguito;

c) la durata di conservazione dei dati;

d) le misure organizzative e tecniche idonee ad assicurare l'integrità, la disponibilità e la riservatezza dei dati;

e) l'organo presso cui la persona interessata può far valere i propri diritti ai sensi della sezione VI;

f) il cerchio delle persone autorizzate a consultare i dati.

La durata di conservazione dei dati è in linea di principio di 96 ore.

Se lo scopo dell'installazione lo rende necessario, la durata di conservazione può essere più lunga, ma al massimo di quattro mesi.

L'esistenza dell'installazione deve essere resa visibile, con l'indicazione della base legale su cui si fonda, così come dell'entità responsabile.

Le entità hanno il diritto di trattare i dati a fini di ricerca, pianificazione e statistica, indipendentemente dallo scopo per cui tali dati sono stati raccolti, alle seguenti condizioni

a) il destinatario comunica i dati a terzi solo con il consenso dell'entità che glieli ha trasmessi;

b) i risultati sono pubblicati in una forma che non consente di identificare le persone interessate.

Se necessario, e nella misura in cui lo scopo del trattamento lo consente, i dati sono resi anonimi.

**Trattamento dei dati da parte di un subappaltatore**

Il trattamento dei dati può essere affidato a un subappaltatore a condizione che un contratto o la legge lo preveda e che siano soddisfatte le seguenti condizioni

a) viene effettuato solo il trattamento che il responsabile del trattamento sarebbe legittimato ad effettuare da solo;

b) nessuna obbligazione legale o contrattuale di mantenere il segreto lo vieta;

c) la sicurezza dei dati è garantita;

d) i dati sono trattati unicamente in Svizzera, eccetto se il trattamento è possibile lì solo a un costo sproporzionato o se può essere effettuato solo all'estero.

Il responsabile del trattamento rimane responsabile della protezione dei dati; assicura in particolare che il subappaltatore rispetti la presente convenzione e che non effettui altro trattamento oltre a quello affidatogli. Il responsabile del trattamento deve in particolare assicurarsi che il subappaltatore sia in grado di garantire la sicurezza dei dati.

2bis Il subappaltatore può a sua volta affidare un trattamento a terzi solo con l'autorizzazione preliminare del responsabile del trattamento.

Il subappaltatore è soggetto agli stessi controlli del responsabile del trattamento.

Salvo disposizioni speciali del diritto federale o cantonale, chi, intenzionalmente, comunicherà in modo illecito dati sensibili o profili ad alto rischio, di cui è venuto a conoscenza nell'ambito della sua attività per conto di un'entità o durante la sua formazione, sarà punito con l'ammenda.

La comunicazione rimane punibile anche quando l'attività per conto dell'entità o la formazione siano terminate.

Le entità sono responsabili di qualsiasi danno causato a una persona interessata o a un terzo da un trattamento illecito di dati.

1bis In caso di trattamento congiunto, le entità sono solidalmente responsabili del danno.

Per il resto, si applicano le disposizioni legali relative alla responsabilità proprie di ciascun cantone.

In caso di danno causato dal preposto o dalla commissione, i cantoni ne rispondono congiuntamente secondo la chiave di ripartizione dell'articolo 11. L'azione di regresso e le modalità sono disciplinate dal diritto del cantone sede.

Le entità comunicano regolarmente e spontaneamente le informazioni sulle loro attività e sui loro progetti, a meno che un interesse pubblico o privato preponderante non vi si opponga.

Esse forniscono l'informazione in modo esatto, completo, chiaro e rapido.

Ne assicurano la diffusione tramite metodi appropriati, tenendo conto dell'importanza dell'informazione.

L'informazione relativa a una decisione presa a porte chiuse è fornita in modo adeguato e rispettoso degli interessi che hanno giustificato la sessione a porte chiuse.

Le entità informano, in via generale, attraverso i mezzi di comunicazione, che considerano come partner privilegiati. Esse tengono conto, nella misura del possibile, delle esigenze e delle limitazioni dei diversi media.

Secondo i mezzi a loro disposizione, le entità mettono a disposizione del pubblico, attraverso le moderne tecnologie dell'informazione e della comunicazione, le informazioni che hanno trasmesso ai media e altri documenti ritenuti importanti.

**Gli oggetti portati all'ordine del giorno delle legislative cantonali, nonché le date, gli orari e i luoghi delle sessioni, sono portati a conoscenza del pubblico.**

I documenti destinati alle deliberazioni del plenum vengono resi pubblici quando sono consegnati ai parlamentari.

I dibattiti del legislativo sono rapidamente trascritti e resi accessibili al pubblico.

Sono riservati i casi in cui un interesse preponderante pubblico o privato si oppone alla diffusione.

**Gli esecutivi cantonali forniscono informazioni regolari e continue sugli oggetti che trattano, le decisioni che prendono, i lavori importanti della loro amministrazione, nonché sulle intenzioni e i progetti di natura tale da interessare il pubblico.**

Rendono pubblici i documenti indispensabili alla comprensione delle loro decisioni, a meno che un interesse pubblico o privato preponderante non vi si opponga.

Regolamentano le modalità dell'informazione relativa all'attività dell'amministrazione e delle commissioni cantonali.

Le autorità giudiziarie informano il pubblico delle loro attività giurisdizionali e amministrative di interesse pubblico. Il Tribunale cantonale di ciascun cantone può emanare un regolamento relativo alle modalità dell'informazione.

Le autorità giudiziarie comunicano informazioni sulle procedure in corso nella misura in cui l'interesse pubblico lo richiede, in particolare

a) quando è necessaria la collaborazione del pubblico per chiarire un crimine o un reato;

b) a causa della particolare gravità, carattere o notorietà di un caso;

c) quando si impone la necessità di prevenire o correggere informazioni errate che potrebbero inquietare l'opinione pubblica;

d) quando l'avvertimento al pubblico o la sua protezione lo richiede.

Nel fornire informazioni, le autorità giudiziarie si impegnano a rispettare gli interessi legittimi delle parti o di terzi, nonché a rispettare la presunzione di innocenza, tenendo conto degli interessi dell'indagine.

Le disposizioni particolari in materia di procedura sono riservate.

Nei limiti della presente convenzione e del regolamento ai sensi dell'articolo 62, comma 2, l'agenda delle udienze pubbliche dei tribunali è accessibile ai giornalisti che ne hanno fatto richiesta.

I consigli comunali informano il pubblico secondo i principi enunciati all'articolo 61.

Le date, gli orari e i luoghi delle sedute dei legislativi comunali, i relativi ordini del giorno e i rapporti destinati ai loro membri sono resi pubblici. Questi documenti sono inviati ai media che ne fanno richiesta.

L'informazione è destinata prioritariamente alla popolazione del comune.

Le sessioni dei legislativi cantonali e comunali sono pubbliche.

Sono fatte salve le eccezioni previste dal diritto cantonale.

Le udienze e le pronunce delle sentenze delle autorità giudiziarie sono pubbliche, fatte salve le eccezioni previste dalle disposizioni procedurali.

Le sedute delle altre entità non sono pubbliche, a meno che queste non decidano diversamente.

Nel corso delle sedute pubbliche, le riprese visive e sonore o la loro trasmissione sono autorizzate a condizione che non disturbino lo svolgimento dei dibattiti e non ledano un interesse prevalente pubblico o privato.

Per le udienze e le pronunce delle sentenze delle autorità giudiziarie, le riprese visive e sonore o la loro trasmissione sono consentite solo alle condizioni stabilite dal Tribunale cantonale di ciascun cantone.

1. Ogni persona ha il diritto di accedere ai documenti ufficiali nei limiti previsti dalla presente convenzione.

L'accesso ai documenti ufficiali relativi alle procedure civili, penali, amministrative contenziose e agli arbitrati pendenti è disciplinato dalle disposizioni di procedura.

I verbali delle sedute che non sono pubbliche non sono accessibili.

Restano salve le disposizioni speciali delle leggi cantonali che dichiarano segrete alcune informazioni o che le dichiarano accessibili a condizioni derogatorie rispetto alla presente convenzione.

**Sono considerati documenti ufficiali tutte le informazioni detenute da un'entità e relative allo svolgimento di un compito pubblico, indipendentemente dal supporto.**

Sono in particolare documenti ufficiali i rapporti, studi, verbali approvati, statistiche, registri, corrispondenze, direttive, posizioni prese, preavvisi e decisioni.

Non sono documenti ufficiali i documenti che non hanno raggiunto il loro stadio definitivo di elaborazione, che sono destinati all'uso personale o che sono oggetto di commercializzazione, nonché i documenti di supporto alle decisioni, come le note interne.

In linea di principio, l'accesso ai documenti ufficiali comprende la consultazione sul posto e, se del caso, l'ottenimento di copie.

L'ente può anche fornire oralmente informazioni sul contenuto di un documento ufficiale se il richiedente ne è soddisfatto.

L'uso delle copie di documenti ufficiali ottenute è soggetto alla legislazione federale relativa alla proprietà intellettuale.

L'accesso a un documento ufficiale è rifiutato quando un interesse prevalente pubblico o privato lo richiede.

Un interesse pubblico prevalente è particolarmente riconosciuto quando l'accesso al documento può

a) mettere in pericolo la sicurezza dello Stato o la sicurezza pubblica;

b) compromettere la politica estera dell'autorità;

c) ostacolare l'esecuzione di misure concrete di un'entità;

d) indebolire la posizione negoziale di un'entità;

e) influenzare il processo decisionale di un'entità.

Un interesse privato prevalente è particolarmente riconosciuto quando

a) il documento ufficiale contiene dati personali e la sua comunicazione non è autorizzata dalle norme applicabili in materia di protezione dei dati, a meno che la comunicazione non sia giustificata da un interesse pubblico prevalente;

b) l'accesso rivela segreti professionali, di fabbricazione o commerciali;

c) l'accesso rivela informazioni fornite liberamente da un terzo a un'entità che ha garantito il segreto.

L'accesso a un documento ufficiale può essere rifiutato quando richiede un lavoro manifestamente sproporzionato da parte dell'entità.

Quando solo alcune parti di un documento ufficiale sono inaccessibili ai sensi dell'articolo 72, l'accesso deve essere concesso per il resto, a meno che il documento non ne risulti ridotto al punto da alterarne il significato o la portata.

Quando l'accesso a un documento ufficiale deve essere rifiutato, ristretto o differito, può comunque essere concesso accompagnato da oneri che salvaguardano gli interessi protetti ai sensi dell'articolo 72.

La richiesta di accesso non deve essere motivata e non è soggetta ad alcun requisito di forma; tuttavia, l'autorità può richiedere che sia formulata per iscritto. La richiesta deve contenere indicazioni sufficienti per consentire l'identificazione del documento ufficiale richiesto.

La richiesta è indirizzata all'entità che ha emesso il documento ufficiale.

Se questa entità non è soggetta alla presente convenzione, la richiesta è indirizzata all'entità che è la destinataria principale del documento ufficiale.

L'entità tratta la richiesta con diligenza e rapidità.

Quando l'accesso a un documento ufficiale può recare pregiudizio a un interesse preponderante pubblico o privato secondo l'articolo 72, gli articoli 30 e 36 sono applicabili per analogia.

Quando l'entità intende rifiutare, limitare, differire o accompagnare di oneri la comunicazione di un documento ufficiale, ne informa per iscritto la persona interessata con brevi motivazioni e le indica la possibilità di adire al preposto per conciliazione.

Per il resto, gli articoli 40 a 44 sono applicabili per analogia.

Nell'esecuzione delle sue funzioni, l'incaricato ha il diritto di consultare tutti i documenti ufficiali.

Il segreto d'ufficio e il segreto professionale non possono essergli opposti.

Le entità garantiscono che la classificazione dei documenti ufficiali ne faciliti l'accesso.

Qualsiasi documento ufficiale archiviato rimane accessibile quando il richiedente avrebbe potuto avervi accesso prima del suo archiviazione in conformità con i principi sanciti nella presente convenzione.

Per il resto, sono fatte salve le disposizioni cantonali in materia di accesso agli archivi.

L’esercizio dei diritti prescritti dalla presente convenzione è gratuito.

Tuttavia, è possibile addebitare un onorario e delle spese nei seguenti casi

a) una persona agisce con imprudenza o leggerezza, o abusa in altro modo dei suoi diritti;

b) il richiedente ha già ottenuto lo stesso informazione nei dodici mesi precedenti e non può dimostrare un interesse urgente;

c) il trattamento della domanda richiede un lavoro di una certa importanza o comporta spese significative;

d) viene comunicata una lista (art. 29).

In materia di trasparenza, possono inoltre essere addebitate delle spese, in particolare per l'ottenimento di copie.

In materia di protezione dei dati, il responsabile o la commissione possono addebitare all'entità responsabile il costo del loro intervento quando ciò ha comportato un'attività sproporzionata dovuta alla sua negligenza o al suo rifiuto di collaborare.

Nella misura del possibile, l'entità ne sarà stata preventivamente avvertita e le sarà stato concesso un termine sufficiente per rimediare alle carenze riscontrate.

La commissione e il responsabile emettono una decisione soggetta a ricorso.

Gli esecutivi cantonali stabiliscono congiuntamente la tariffa degli emolumenti percepiti dal preposto e dalla commissione ai sensi del presente capitolo. Per il resto, è fatta salva la legislazione di ciascun cantone in materia di emolumenti.

Le cause pendenti dinanzi alle autorità giurassiane e neocastellane in materia di protezione dei dati e trasparenza sono trasferite per il trattamento agli organi previsti dalla presente convenzione a decorrere dall'entrata in vigore di quest'ultima.

Gli esecutivi cantonali regolano le questioni di organizzazione e le modalità di applicazione della presente convenzione mediante regolamenti adottati congiuntamente.

Il presente contratto è concluso a tempo indeterminato.

Può essere denunciato per la fine di un anno civile con un preavviso di tre anni.

La presente convenzione è portata a conoscenza della Confederazione. Gli esecutivi cantonali fissano congiuntamente la data della sua entrata in vigore.