Scopo

1. Questa legge stabilisce l'organizzazione dell'informatica e disciplina l'utilizzo dei mezzi informatici, includendo la protezione dei dati personali.

1. La legge si applica all'amministrazione cantonale (incluse gli ospedali e le scuole cantonali) e ai tribunali. Sono escluse la cassa di compensazione di Lucerna, l'ufficio AI di Lucerna, la cassa di disoccupazione, l'assicurazione edifici, la cassa pensioni di Lucerna, le università e scuole universitarie professionali gestite nell'ambito di un concordato, l'Università di Lucerna nonché l'Alta scuola pedagogica di Lucerna.

2. Per gli enti esclusi nel capoverso 1 e per altri enti designati tramite ordinanza dal Consiglio di Stato si applicano le Parti 1, 2 e 6. La Parte 5 è applicabile per costoro nella misura in cui utilizzano mezzi informatici del Cantone di Lucerna.

3. Per i comuni si applicano le Parti 1, 2 e 6.

4. Il Consiglio di Stato può escludere determinate installazioni dall'ambito di applicazione di questa legge.

1. I termini «dati personali», «dati personali degni di particolare protezione», «persona interessata», «elaborazione dei dati personali», «profilazione», «ente responsabile» e «ente» sono disciplinati dalla Legge cantonale sulla protezione dei dati personali (Legge cantonale sulla protezione dei dati) del 2 luglio 1990. In questa legge essi comprendono di norma anche le informazioni su persone giuridiche o società di persone del diritto commerciale specifiche o identificabili.

2. Il termine informatica comprende il controllo, la pianificazione e l'introduzione, nonché il funzionamento e la manutenzione di processi e tecniche che servono all'elaborazione meccanica o meccanicamente assistita di informazioni di ogni tipo.

3. I mezzi informatici sono apparecchi, strutture e servizi, come in particolare i sistemi informatici, i programmi per computer, i servizi di comunicazione, che servono alla registrazione, elaborazione, memorizzazione, trasmissione, valutazione, archiviazione o distruzione elettronica delle informazioni.

4. Le banche dati centrali sono costituite da insiemi di dati aggregati di vari enti. Possono trovarsi in qualsiasi luogo. I depositi di dati (data warehouses) e gli snodi di dati (datendrehscheiben) sono banche dati centrali.

5. I depositi di dati (data warehouses) servono alla memorizzazione permanente dei dati.

6. Negli snodi di dati (datendrehscheiben) i dati sono disponibili temporaneamente per lo scambio di dati.

7. Le procedure di accesso sono procedure automatizzate che permettono a terzi di elaborare i dati personali senza l'intervento dell'ente divulgatore.

8. Un'outsourcing è il ricorso di un ente ai mezzi informatici di terzi per svolgere i propri compiti. Gli enti all'interno di una stessa comunità non sono considerati terzi.

1. L'informatica supporta l'economicità e l'efficacia dei processi aziendali e di apprendimento.

2. L'uso dell'informatica deve essere economico, servire all'adempimento dei compiti pubblici e corrispondere alle esigenze degli utenti.

3. Le tecniche idonee a creare dati personali degni di particolare protezione a partire da dati o da dati personali, o a effettuare un profiling, possono essere impiegate solo se sono soddisfatte le condizioni di cui al § 5 comma 2 della Legge cantonale sulla protezione dei dati.

1. La creazione e il funzionamento di banche dati centrali sono consentiti, a condizione che vengano rispettate le norme sulla protezione dei dati e le disposizioni di questa legge.

2. La creazione e il funzionamento di banche dati centrali presuppongono un accordo di prestazione concluso tra gli organi connessi e l'operatore, approvato dalle autorità competenti. Questo accordo regola almeno i seguenti punti

a. Struttura della banca dati centrale,

b. Contenuto della banca dati, in particolare riguardo ai dati personali,

c. Tecniche utilizzate, inclusi sviluppo e manutenzione,

d. Gestione degli accessi,

e. Concetto di sicurezza e cancellazione dei dati,

f. Sede dell'hardware,

g. Diritti e doveri di controllo,

h. Responsabilità,

i. Pubblicazione ai sensi del § 10.

3. Il consiglio di governo può, previo parere del responsabile della protezione dei dati, autorizzare una banca dati centrale con dati personali particolarmente sensibili o risultati di profilazioni per un periodo limitato non superiore a cinque anni prima dell'entrata in vigore di una legge formale, se

a. i compiti che rendono necessaria questa elaborazione sono regolati da una legge formale,

b. vengono adottate misure adeguate per prevenire violazioni della personalità,

c. l'attuazione pratica di un'elaborazione dei dati richiede necessariamente una fase di prova prima dell'entrata in vigore di una legge formale e

d. è presente il consenso del tribunale cantonale nel caso in cui alla banca dati centrale partecipino esclusivamente organi del sistema giudiziario cantonale.

4. Se una banca dati centrale è operata sulla base di un'autorizzazione ai sensi del comma 3, gli organi connessi alla banca dati centrale informano il consiglio di governo annualmente sullo stato dei lavori del progetto e sulla necessità di continuare con l'operazione.

1. L'operatore di una banca dati centrale è responsabile del funzionamento tecnico e della sicurezza tecnica.

2. L'operatore può essere un organo coinvolto nella banca dati centrale, un organo informatico ai sensi del § 17 comma 2 o, salvo disposizioni sulle esternalizzazioni, un terzo.

3. All'operatore spettano i diritti di accesso e trattamento necessari per l'adempimento dei suoi compiti sui dati personali memorizzati. L'amministrazione del sistema e la gestione degli accessi non devono essere affidate alla stessa persona.

4. L'operatore e ogni persona da lui incaricata dei compiti operativi è obbligato alla riservatezza sui dati personali di cui viene a conoscenza.

5. Il § 6 comma 3 della Legge Cantonale sulla Protezione dei Dati non è applicabile alle banche dati centrali.

1. L'estensione del diritto di accesso e trattamento dei dati personali di una banca dati centrale da parte degli organi è determinata in conformità con la Legge Cantontale sulla Protezione dei Dati e deve essere garantita in modo adeguato sia dal punto di vista tecnico che organizzativo. È fatta salva la disposizione di cui al § 6 comma 3.

2. Se i dati personali conservati in un data warehouse non sono più necessari a nessun organo coinvolto, devono essere offerti all'archivio competente per l'acquisizione. Se l'archivio li classifica come non degni di conservazione, devono essere prontamente cancellati o eliminati.

1. I dati personali che devono essere memorizzati in un magazzino di dati possono essere raccolti congiuntamente per più enti.

2. Quando i dati personali, che devono essere memorizzati in un magazzino di dati, vengono raccolti congiuntamente per più enti, la persona interessata deve essere informata al momento della raccolta anche della memorizzazione dei suoi dati personali nel magazzino di dati e degli enti coinvolti.

1. Nell'acquisizione di mezzi informatici per banche dati centrali, si deve tenere adeguatamente conto della favorevolezza delle tecnologie alla protezione dei dati.

2. Prima di acquisire mezzi informatici per banche dati centrali, devono essere consultate le autorità di controllo competenti per la protezione dei dati. Esse possono esprimere un parere entro un termine adeguato.

1. La creazione di data warehouse deve essere pubblicata nel Foglio ufficiale del Cantone dal gestore prima dell'inizio dell'attività. Nella pubblicazione devono essere elencati per ciascun data warehouse gli organi coinvolti e i corrispondenti archivi di dati, nonché il gestore. Inoltre, la pubblicazione deve fornire informazioni per ciascun archivio di dati riguardo alla base giuridica, allo scopo, ai mezzi e alle procedure di trattamento, al tipo e alla provenienza dei dati personali e ai loro destinatari abituali, nonché all'esistenza e al luogo di conservazione delle copie.

2. Nella pubblicazione devono essere altresì indicati i diritti di controllo di ogni persona e le autorità di vigilanza competenti per la protezione dei dati ai sensi di questa legge e della Legge cantonale sulla protezione dei dati.

3. Le informazioni secondo il comma 1 devono essere incluse nel registro delle attività di trattamento dei dati.

1. Ogni persona può richiedere informazioni presso l'autorità competente per la protezione dei dati

a. * sul contenuto del registro delle attività di trattamento dei dati,

b. se i suoi dati personali sono memorizzati in un magazzino di dati; in tal caso, deve fornire prova della sua identità.

2. L'autorità competente per la protezione dei dati e il responsabile competente per l'informatica verificano congiuntamente se i dati personali della persona interessata sono memorizzati nel magazzino di dati e quali organi dispongono dei diritti di accesso o trattamento. All'autorità competente per la protezione dei dati e al responsabile dell'informatica competono i diritti di accesso necessari ai locali e alle apparecchiature dell'operatore, nonché i diritti di accesso e trattamento necessari sui dati personali memorizzati nel magazzino di dati. L'operatore deve fornire tutto il supporto necessario per la verifica.

3. L'autorità competente per la protezione dei dati informa la persona interessata sugli organi coinvolti nel magazzino di dati che sono autorizzati ad accedere ai suoi dati personali o a trattarli. L'autorità competente per la protezione dei dati può limitare, imponendo condizioni o negare questa informazione per prevalenti interessi pubblici o privati di terzi o della persona interessata.

4. La procedura relativa alla richiesta di informazioni sui dati personali esistenti su una persona interessata, così come l’accesso, la rettifica e altri diritti, è disciplinata dalla legge cantonale sulla protezione dei dati. Su richiesta della persona interessata, l'autorità competente per la protezione dei dati avvia la procedura presso gli organi autorizzati ad accedere o a trattare i suoi dati personali.

5. Le autorità di vigilanza per la protezione dei dati e i responsabili dell'informatica sono tenuti alla riservatezza riguardo ai dati personali di cui vengono a conoscenza.

1. La parte 2 di questa legge si applica, mutatis mutandis, all'istituzione e all'operazione delle procedure su richiesta. Restano salve le disposizioni sulla pubblicazione e il registro.

1. L'esternalizzazione dei servizi informatici è consentita, a condizione che vengano rispettate le norme sulla protezione dei dati e le disposizioni di questa legge. Le disposizioni di natura finanziaria rimangono riservate.

2. L'esternalizzazione richiede un accordo scritto che regoli almeno i seguenti punti

a. Contenuto del servizio,

b. Rispetto del segreto d'ufficio e degli obblighi di riservatezza speciale,

c. Responsabilità,

d. Tecniche utilizzate, comprese sviluppo e manutenzione,

e. Diritti di accesso e di ingresso,

f. Concetto di sicurezza e cancellazione dei dati,

g. Localizzazione dell'hardware e del trattamento dei dati,

h. Diritti di controllo,

i. Coinvolgimento di terzi,

j. Archiviazione,

k. Restituzione e cancellazione dei dati in caso di risoluzione del contratto.

3. L'ente esternalizzante garantisce tramite misure organizzative o tecniche, oltre a disposizioni contrattuali, che l'adempimento dei compiti statali sia assicurato anche in caso di mancato rispetto degli accordi da parte del contraente o di cessazione delle attività commerciali.

1. L'esternalizzazione dei servizi informatici di interesse superiore o strategico richiede l'autorizzazione del Consiglio di Governo.

2. Gli altri progetti di esternalizzazione devono essere preventivamente comunicati all'autorità competente.

1. L'appaltatore, inclusi i suoi dipendenti e ausiliari, è tenuto ad assumere gli obblighi di segretezza d'ufficio, professionale e speciale nonché a rispettare le disposizioni sulla protezione dei dati e la sicurezza informatica, a cui è vincolato l'ente esternalizzante.

2. Egli deve garantire all'ente esternalizzante, all'autorità di vigilanza competente per la protezione dei dati nonché al controllo finanziario l'accesso ai locali e agli impianti, e i diritti di accesso necessari ai dati pertinenti, e supportarli adeguatamente.

1. L'organismo responsabile è considerato il titolare della raccolta di dati.

2. Se nei confronti del contraente vengono esercitati diritti di controllo conformemente alla normativa sulla protezione dei dati, quest'ultimo deve indirizzare la persona interessata all'organismo appaltante e astenersi dall'effettuare un trattamento sostanziale delle richieste.

1. L'organizzazione informatica del Cantone di Lucerna comprende l'informatica aziendale e l'informatica dei dipartimenti.

2. Il Consiglio di Stato designa gli organi dell'informatica e ne determina i compiti fondamentali, le funzioni e le competenze.

3. L'informatica dei dipartimenti è di competenza dei dipartimenti, della Cancelleria di Stato e del Tribunale cantonale, nel rispetto delle direttive strategiche dell'informatica aziendale.

1. I mezzi informatici devono essere protetti contro la perdita e le interferenze indesiderate dall'organo responsabile o dal gestore di una banca dati centrale. I dati personali devono essere protetti da accessi non autorizzati e da elaborazioni non autorizzate.

2. Gli organi dell'informatica supportano gli organi responsabili e i gestori di banche dati centrali nella definizione e nell'attuazione delle misure di sicurezza.

1. Gli uffici, i tribunali e le altre autorità soggette al campo di applicazione ai sensi del § 2 comma 2, classificano i dati e i mezzi informatici e, in base a tale classificazione, stabiliscono gli obiettivi di protezione. Essi elaborano un piano di misure per il raggiungimento degli obiettivi di protezione.

2. Gli obiettivi di protezione e il piano di misure devono essere periodicamente verificati.

3. Il Consiglio di Governo disciplina i dettagli.

1. Tutte le utenti e gli utenti sono personalmente responsabili per l'utilizzo degli strumenti informatici nel rispetto dell'ordinamento giuridico vigente e di questa legge. Gli strumenti informatici non devono essere utilizzati in modo abusivo.

2. Il Consiglio di governo disciplina l'utilizzo degli strumenti informatici sul posto di lavoro e indica i casi di utilizzo abusivo.

3. Per le misure di controllo e sorveglianza si applicano i seguenti principi

a. Le misure di controllo e sorveglianza sono principalmente destinate alla verifica e alla garanzia della sicurezza tecnica, della funzionalità e della disponibilità degli strumenti informatici.

b. Tutti gli accessi a Internet e l'intero traffico e-mail degli utenti vengono registrati (loggati). Il contenuto delle e-mail non può essere letto senza il consenso degli utenti interessati. Questo principio può essere derogato solo se è indispensabile per l'adempimento dei compiti statali.

c. I dati di registro devono essere analizzati in forma anonima.

d. Le analisi personalizzate sono eccezionalmente consentite, a condizione che la sicurezza tecnica, la funzionalità o la disponibilità degli strumenti informatici siano seriamente minacciate e ciò sia indispensabile per risolvere le anomalie. Queste analisi non devono riguardare il contenuto delle e-mail e degli accessi Internet.

e. In caso di sospetto fondato di abuso degli strumenti informatici, dopo un annuncio scritto, sono possibili analisi personalizzate che riguardino anche il contenuto delle e-mail e degli accessi Internet.

f. Gli strumenti tecnici di sorveglianza e controllo, nonché i blocchi dei filtri, sono consentiti ad eccezione dei cosiddetti programmi di spionaggio.

4. Il Consiglio di governo disciplina i dettagli, in particolare la procedura di controllo. Può prevedere, in particolare, il ricorso a controlli di plausibilità anonimizzati per una durata di utilizzo limitata di volta in volta.

1. Il Consiglio di Stato determina l'autorità competente secondo il § 5 comma 2 e il § 14 comma 2.

2. Nei comuni, il consiglio comunale determina l'autorità competente.

1. I seguenti decreti sono modificati conformemente all'allegato[4]

a. Legge sulla protezione dei dati personali (Legge sulla privacy) del 2 luglio 1990[5],

b. Legge sulla polizia cantonale del 27 gennaio 1998[6].

1. Chiunque violi le disposizioni dei §§ 4 comma 3, 6 comma 4, 10 comma 1 e 15 comma 1 è punito con una multa fino a 5000 franchi.

2. Il Consiglio di Stato può prevedere, attraverso un regolamento, multe fino a 3000 franchi per le violazioni delle disposizioni di § 20 o delle disposizioni regolamentari emanate in base a tale norma.

3. In luogo della punizione, può essere adottata una misura, purché l'offensore acconsenta. Questa consiste in un corso di istruzione sulla protezione dei dati a spese dell'offensore.

4. Il incaricato alla protezione dei dati organizza il corso di istruzione sulla protezione dei dati, il quale può essere impartito da terzi.

5. Rimangono riservate le disposizioni del Codice penale svizzero.

1. La legge entra in vigore il 1º luglio 2005. È soggetta a referendum facoltativo.