Ordinanza sull'informazione e la protezione dei dati - Incarico (IDV)

1. L'incarico per il trattamento dei dati personali da parte di unità organizzative o privati, che non sono soggetti alla legge sull'informazione e la protezione dei dati, deve essere conferito per iscritto.

1. Un pool di dati ai sensi del presente regolamento sussiste quando un insieme di informazioni contenente dati personali

a) viene creato per lo scopo di adempiere a compiti da almeno due enti pubblici o da almeno un ente pubblico e un terzo e

b) contiene informazioni provenienti da almeno due enti pubblici o da almeno un ente pubblico e almeno un terzo e

c) le informazioni in esso contenute vengono utilizzate congiuntamente da più enti pubblici e/o terzi, dove gli enti pubblici e/o i terzi che richiedono le informazioni e quelli che le forniscono non devono essere identici.

1. L'accesso al complesso informativo di un data pool presuppone l'esistenza di basi legali secondo le disposizioni del § 9 e del § 21 IDG.

2. Per la costituzione, l'operatività e l'organizzazione di un data pool devono essere create basi legali almeno a livello di regolamento.

3. Esse regolano in particolare

a) * lo scopo del data pool;

b) * il contenuto del data pool;

c) * l'organo pubblico responsabile complessivamente e i suoi compiti (§ 6 comma 2 IDG);

d) * i diritti e i doveri degli organi pubblici o terzi che forniscono le informazioni;

e) * i diritti e i doveri degli organi pubblici o terzi che ricevono le informazioni;

f) * la gestione delle informazioni non più necessarie;

g) * le disposizioni per un trasferimento della gestione a terzi (§ 7 IDG);

h) lo scioglimento del data pool nel rispetto del § 1c di questo regolamento.

1. In caso di scioglimento di un pool di dati, i contenuti informativi in esso contenuti devono essere restituiti agli organi pubblici e/o ai terzi che li hanno forniti.

2. Se la restituzione non è possibile, i contenuti informativi devono essere distrutti in considerazione delle disposizioni dell'articolo 16 IDG.

1. La prova del rispetto delle disposizioni sulla protezione dei dati (§ 6 comma 3 IDG) è fornita tramite una documentazione e comprende

a) una descrizione del trattamento dei dati personali;

b) una rappresentazione della situazione giuridica;

c) una descrizione dei rischi e delle misure correttive;

d) una descrizione dei processi e delle responsabilità.

2. La documentazione può avvenire in un sistema strutturato di gestione della protezione dei dati o della sicurezza delle informazioni.

1. Un alto rischio per i diritti fondamentali delle persone colpite ai sensi del § 12a comma 1 e del § 13 comma 1 lett. b IDG sussiste in particolare quando un progetto per il trattamento dei dati personali

a) * prevede una procedura di accesso;

b) * riguarda dati personali particolari o dati personali soggetti a segreto professionale o d’ufficio;

c) * include un’attività di profilazione;

d) * coinvolge un gran numero di persone;

e) * comprende un trattamento dei dati in outsourcing da parte di terzi all'estero in un paese senza un’adeguata protezione dei dati oppure

f) * prevede la creazione di un pool di dati ai sensi del § 1a.

2. ...

1. Il primo contatto con il responsabile della protezione dei dati avviene in un momento che consente di considerare le sue raccomandazioni derivanti dalla consultazione preliminare nel progetto legislativo o nell'iniziativa.

2. La consultazione preliminare avviene, a seconda delle dimensioni del progetto legislativo o dell'iniziativa, in uno o più passaggi di verifica.

3. Il responsabile della protezione dei dati esegue il rispettivo passo di verifica entro un termine ragionevole e comunica all'ente pubblico il risultato della verifica.

1. Qualora la consultazione preliminare riguardi un progetto per il trattamento di dati personali, l'ente pubblico sottopone al responsabile della protezione dei dati una documentazione contenente tutti i documenti rilevanti per la valutazione, in particolare

a) * una descrizione del progetto;

b) la rappresentazione della situazione giuridica e

c) una panoramica delle misure per prevenire violazioni della personalità.

1. L'obbligo di informazione nell'ambito dell'acquisizione secondo § 15 comma 1 IDG può essere adempiuto in particolare mediante moduli di rilevamento e tramite la consegna di un foglio informativo.

1. In caso di comunicazione dei dati personali per scopi non personali, in particolare per statistiche, ricerca e pianificazione, l'informazione delle persone interessate può essere omessa.

1. Le seguenti aree, dipartimenti e unità di staff designano una consulente o un consulente per la protezione dei dati

a) l'Area dei Servizi alla Popolazione e Migrazione;

b) la Polizia Cantonale;

c) la Procura della Repubblica;

d) l'Ufficio dell'Economia e del Lavoro;

e) l'Assistenza Sociale.

2. Le seguenti istituzioni di diritto pubblico designano una consulente o un consulente per la protezione dei dati

a) le Opere Industriali di Basilea;

b) gli ospedali pubblici;

c) l'Università di Basilea.

1. Il Regolamento per il sistema di videosorveglianza stabilisce in particolare

a) la base giuridica per l'utilizzo della videosorveglianza,

b) quale ente pubblico è responsabile del sistema di videosorveglianza,

c) quale scopo si persegue con l'impiego del sistema di videosorveglianza,

d) quale area è coperta dalla videosorveglianza,

e) quali persone sono soggette alla videosorveglianza,

f) quando il sistema di videosorveglianza è in funzione (orari di funzionamento o condizioni per l'attivazione),

g) quante telecamere vengono utilizzate con o senza possibilità di zoom,

h) se e da chi avviene una valutazione in tempo reale delle riprese,

i) se e a quali condizioni si effettua una registrazione (memorizzazione) delle riprese,

j) a quali condizioni e da chi è consentita una valutazione successiva delle registrazioni,

k) dopo quanto tempo le registrazioni vengono cancellate,

l) quali misure tecniche e organizzative sono adottate per proteggere i dati da elaborazioni non autorizzate, e

m) quali misure sono adottate per valutare l'efficacia della videosorveglianza.

2. L'allegato al Regolamento contiene in particolare

a) un piano situazionale con le posizioni delle telecamere e le aree di ripresa, nonché

b) una rappresentazione dei mezzi con cui viene segnalato l'impiego del sistema di videosorveglianza, in particolare i pittogrammi con l'indicazione dell'ente responsabile.

3. Per i tribunali, i comuni e gli enti e le corporazioni con personalità giuridica propria, la regolamentazione si applica in modo analogo (§ 18 comma 5 IDG).

1. Tutti gli accessi alla zona sorvegliata devono essere segnalati per l'uso della videosorveglianza tramite piktogrammi ben visibili e con l'indicazione dell'ente responsabile.

1. L'ente pubblico sottopone al responsabile della protezione dei dati il progetto di videosorveglianza per una consultazione preliminare ai sensi del § 13 IDG nonché dei §§ 2 e seguenti del presente regolamento.

2. L'ente pubblico presenta al responsabile della protezione dei dati la documentazione necessaria, in particolare

a) spiegazioni su quali altre misure non abbiano finora raggiunto lo scopo,

b) eventualmente, spiegazioni sul perché la durata standard di conservazione di una settimana non sia sufficiente per raggiungere lo scopo concreto e con quali misure tecniche e organizzative si minimizzi il rischio di violazione della personalità, e

c) * la bozza del regolamento, se questa è già disponibile al momento della presentazione per la consultazione preliminare.

1. Qualora si intenda rinnovare un regolamento sulla videosorveglianza, l'ente pubblico presenta la proposta di rinnovo per la consultazione preventiva al responsabile della protezione dei dati almeno tre mesi prima della scadenza del regolamento.

2. La proposta contiene tutte le informazioni rilevanti necessarie per valutare l'efficacia, in particolare per quanto riguarda le seguenti questioni

a) in che misura l'obiettivo prefissato sia stato raggiunto con la videosorveglianza e/o a causa di altri fattori, e

b) in che misura siano possibili o necessarie modifiche rispetto alla configurazione precedente.

1. Sono considerati come divulgazione di dati nella procedura di recupero

a) la divulgazione di dati tramite un'interfaccia utente (accesso online),

b) la messa a disposizione di dati tramite un servizio web e

c) la messa a disposizione periodica e automatizzata di elenchi.

1. La comunicazione dei dati personali tramite procedura di richiamo richiede un'autorizzazione da parte del titolare dei dati, ovvero dall'organo pubblico responsabile ai sensi dell'articolo 6 IDG.

2. L'autorizzazione deve essere sottoposta alla consultazione preliminare del responsabile della protezione dei dati.

3. Se l'organo responsabile ha a sua volta ottenuto i dati personali, ai quali si riferisce la richiesta, completamente o parzialmente tramite procedura di richiamo, non è autorizzato a trasmetterli tramite la stessa procedura senza il consenso dell'organo pubblico da cui ha ottenuto i dati personali richiesti.

1. Per la presentazione della domanda o l'autorizzazione ai sensi del § 9b comma 1 e 2 devono essere utilizzati i modelli standard cantonali.

2. In casi giustificati è possibile derogare a tale regolamentazione.

1. Se i dati personali devono essere divulgati per uno scopo non personale, prima della loro diffusione è necessario ottenere una dichiarazione di impegno scritta da parte del destinatario o della destinataria ai sensi dell'articolo 22, commi 2 e 4, IDG.

2. La dichiarazione di impegno include in particolare

a) informazioni dettagliate sul destinatario o sulla destinataria,

b) una descrizione concreta dello scopo del trattamento dei dati,

c) il procedimento pianificato e la modalità di trattamento dei dati,

d) informazioni sulle misure intese a proteggere le informazioni,

e) l'impegno ad anonimizzare o pseudonimizzare i dati personali non appena il fine del trattamento lo consente, e

f) l'obbligo di divulgare le valutazioni solo in modo tale che non sia possibile risalire a persone coinvolte.

3. Se i dati personali vengono divulgati a privati, la dichiarazione include inoltre il riferimento alla minaccia di pena di cui all'articolo 51, comma 2, IDG e gli obblighi

a) di non trattare i dati personali per altri scopi,

b) di non inoltrare i dati personali a terzi, e

c) di garantire che i dati personali non vengano divulgati, in particolare, a persone non autorizzate.

4. Il destinatario o la destinataria deve essere obbligato a far sì che tutte le persone incaricate del trattamento dei dati e che abbiano accesso alle informazioni non anonimizzate firmino una dichiarazione di impegno altrettanto rigorosa e la presentino, su richiesta, all'ente pubblico.

1. L'organo pubblico può fare riferimento all'elenco degli Stati, territori, settori specifici in uno Stato e organizzazioni internazionali nell'Allegato 1 del Regolamento federale sulla protezione dei dati (Regolamento sulla protezione dei dati, RPD) del 31 agosto 2022, per determinare se la legislazione di uno Stato ricevente garantisce una protezione adeguata ai sensi dell'articolo 23 lettera a IDG.

2. Se, nel caso di una divulgazione di dati a un destinatario o una destinataria in uno Stato la cui legislazione non garantisce una protezione adeguata, si intende garantire la protezione tramite accordi contrattuali ai sensi dell'articolo 23 lettera b IDG, l'organo pubblico deve informare in anticipo il o la responsabile della protezione dei dati sulle misure di sicurezza concordate.

1. Ogni persona interessata può richiedere all'ente pubblico di correggere i dati personali errati o, se la correzione non è possibile, di distruggerli.

2. Se l'ente pubblico contesta l'erroneità, spetta ad esso dimostrare la correttezza dei dati personali, salvo che le informazioni corrispondenti non provengano dalla stessa persona interessata.

3. Se, per la natura dei dati, non è possibile dimostrare né la correttezza né l'erroneità dei dati personali, in particolare di quelli che contengono una valutazione del comportamento umano o che l'ente pubblico ha ricevuto da un altro ente pubblico o da una terza persona, la persona interessata può richiedere l'inserimento di una dichiarazione di controparte.

4. Se un ente pubblico respinge la richiesta di correzione di dati personali errati, lo comunica al richiedente, su richiesta, in forma di un provvedimento impugnabile.

1. Se un organismo pubblico respinge la richiesta di inibizione di un trattamento illecito, di eliminazione delle conseguenze di un trattamento illecito, in particolare di cancellazione dei dati, o di accertamento dell'illiceità di un trattamento di dati personali, esso lo comunica alla persona richiedente, su richiesta, sotto forma di un provvedimento impugnabile.

1. L'organo pubblico che ha eseguito il blocco garantisce che altri organi pubblici, che da esso ricevono i dati personali interessati dal blocco, vengano informati del blocco.

2. Se la persona interessata richiede la revoca del blocco, lo comunica per iscritto all'organo pubblico.

3. L'organo pubblico segnala il diritto di blocco

a) tramite una comunicazione scritta sui moduli con i quali raccoglie dati,

b) tramite un avviso sul sito web per le raccolte di dati online, e

c) tramite indicazioni nelle pubblicazioni che informano sulle raccolte di dati.

1. Il Consiglio di Stato regola l'attività informativa in relazione alle sue decisioni nel suo regolamento interno.

2. I tribunali, i comuni e le altre corporazioni nonché gli enti autonomi regolano la loro attività informativa autonomamente.

1. L'elenco delle procedure in cui vengono trattati i dati personali contiene per ciascuna procedura almeno le seguenti indicazioni

a) la denominazione della procedura,

b) la base giuridica per il trattamento dei dati,

c) l'organismo pubblico responsabile e

d) lo scopo del trattamento dei dati.

1. Si considera non completata una registrazione in particolare quando

a) non è ancora stata firmata dal creatore o dalla creatrice,

b) non è ancora stata consegnata dal creatore o dalla creatrice al destinatario o alla destinataria,

c) si trova in fase di bozza,

d) il testo scritto a mano o digitalmente è corredato di cancellature o annotazioni, oppure

e) serve come nota di lavoro informale.

1. Quando un organo pubblico redige rapporti contenenti informazioni da tutelare destinati al consiglio di governo, assegna tali rapporti a uno dei seguenti livelli di classificazione a seconda del grado della loro riservatezza

a) segreto;

b) confidenziale.

1bis. Anche altre informazioni degne di tutela possono essere classificate.

2. Quando i supporti informativi vengono fisicamente raggruppati in un'opera collettiva, è necessario verificare se e in che misura questa debba essere classificata o assegnata a un livello di classificazione superiore.

1. Sono classificati come segreti in particolare

a) le informazioni la cui conoscenza può compromettere gravemente la sicurezza pubblica o la sicurezza degli individui, o altrimenti causare gravi danni,

b) le informazioni la cui conoscenza può mettere in pericolo la capacità operativa degli organi pubblici, in particolare del Gran Consiglio e del Consiglio di Stato, e

c) i supporti informativi che contengono informazioni rilevanti per il corso delle azioni delle società in cui il Cantone o i comuni partecipano.

2. Le informazioni sono inoltre classificate come segrete quando

a) tale classificazione è richiesta a causa di obblighi legali o contrattuali di riservatezza, oppure

b) si basano su documenti che sono stati attribuiti a un livello di classificazione comparabile da autorità straniere, federali o cantonali e comunali.

3. I supporti informativi che contengono informazioni classificate come segreti devono essere numerati.

1. Sono classificate come riservate in modo particolare le informazioni,

a) la cui conoscenza può compromettere la sicurezza pubblica o quella degli individui o causare danni in altro modo,

b) la cui conoscenza può compromettere la libera formazione dell'opinione e della volontà degli organi pubblici, in particolare del Gran Consiglio e del Consiglio di Stato, oppure

c) la cui conoscenza può compromettere l'attuazione di misure amministrative specifiche,

d) che contengono dati personali speciali secondo il § 3 comma 4 IDG o informazioni su relazioni familiari o condizioni finanziarie di individui,

e) che riguardano contributi finanziari a privati, sui quali non vi è alcun diritto legale,

f) che contengono segreti commerciali, professionali o industriali, oppure

g) che riguardano procedimenti di ricorso e segnalazioni in materia di vigilanza.

2. Le informazioni sono inoltre classificate come riservate quando

a) tale classificazione è richiesta da obblighi di riservatezza legali o contrattuali, oppure

b) si basano su documenti attribuiti da autorità estere, federali o cantonali e comunali a un livello di classificazione comparabile.

3. I detentori di informazioni classificate come riservate possono essere numerati.

1. La classificazione deve essere limitata a un periodo di tempo determinato, quando è prevedibile il momento in cui cesserà l'interesse alla protezione.

1. Le informazioni classificate possono essere divulgate o rese accessibili solo alle persone che devono esserne a conoscenza.

1. In caso di dati personali particolari e risultati di una profilazione, si presume che l'interesse privato della persona interessata prevalga sull'interesse di una terza persona all'accesso.

1. Non esiste alcun diritto di accesso alle bozze di deliberazione e ai rapporti che i dipartimenti e la cancelleria dello Stato redigono in vista delle deliberazioni del consiglio di governo.

2. Fatte salve disposizioni divergenti nei regolamenti comunali, questa restrizione del diritto di accesso vale anche per le bozze di deliberazione e i rapporti che vengono redatti in previsione delle deliberazioni del consiglio comunale.

1. L'ente pubblico che concede l'accesso conserva una copia del documento d'identità negli atti, quando deve richiedere un documento ai sensi del § 31 comma 2 IDG, poiché l'identità della persona richiedente non è stabilita in modo inequivocabile.

1. A un altro organo pubblico è di norma concesso un termine di sette giorni per esprimere un parere su una richiesta di accesso alle informazioni.

2. A una terza persona è di norma concesso un termine di quattordici giorni per esprimere un parere su una richiesta di accesso alle informazioni; se non perviene alcun parere entro il termine, viene concessa una proroga di massimo quattordici giorni.

3. In assenza di pareri pervenuti, l'organo pubblico decide sulla base dei documenti disponibili.

1. In caso di richieste di accesso da parte di operatori dei media, è necessario, laddove possibile, tenere conto dell'urgenza temporale della pubblicazione delle notizie.

1. Il lavoro fino a un'ora è gratuito.

2. Per il lavoro a partire dalla seconda ora verrà addebitata una tariffa di CHF 100 all'ora.

1. Per la riproduzione sono previste le seguenti tariffe

a) per la creazione di fotocopie o copie elettroniche, per pagina: CHF 1,

dalla 40ª pagina, per pagina: CHF 0.50,

b) per copie elettroniche su supporto dati leggibile da macchina, oltre all'eventuale costo per pagina secondo lett. a, per supporto: CHF 20,

c) per ogni cassetta audio, registrata dall'organismo pubblico: CHF 20,

d) per le duplicazioni che devono essere eseguite da fornitori di servizi esterni: secondo preventivo.

1. La Cancelleria di Stato è responsabile dell'attuazione del principio di trasparenza negli affari del Consiglio di Governo e tratta, in questo contesto, le richieste di accesso all'informazione.

2. Inoltre, la Cancelleria di Stato ha i seguenti compiti

a) coordina l'attuazione del principio di trasparenza negli affari interdipartimentali,

b) trasmette le richieste che riceve, che non riguardano affari dell'intero Consiglio di Governo, alla competenza degli uffici responsabili, e

c) elabora inoltre le basi per l'attività informativa dell'intera amministrazione cantonale e supporta gli organi pubblici nell'attuazione del principio di trasparenza.

3. I dipartimenti, i tribunali, i comuni e le altre corporazioni, nonché le istituzioni autonome, organizzano autonomamente l'attuazione del principio di trasparenza.

4. I dipartimenti dell'amministrazione cantonale designano un ufficio incaricato dell'attuazione del principio di trasparenza a livello dipartimentale e che funge da interlocutore per la Cancelleria di Stato.

1. I dipartimenti dell'amministrazione cantonale comunicano annualmente alla Cancelleria dello Stato, per il rapporto di gestione, quanto segue

a) il numero delle domande di accesso all'informazione presentate per iscritto nell'anno di riferimento,

b) il numero delle domande accettate e di quelle respinte, in tutto o in parte, per iscritto, e

c) eventi particolari in relazione alla concessione dell'accesso all'informazione.

2. La Cancelleria dello Stato mette a disposizione del o della responsabile della protezione dei dati le informazioni per la relazione secondo il § 50 IDG.

1. I comuni comunicano al responsabile della protezione dei dati la creazione o la soppressione di un'autorità di vigilanza comunale.

1. Regolamento sul mercato dei dati

Il Regolamento sul mercato dei dati del 12 luglio 2005 è modificato come segue

2. Regolamento sulla sicurezza informatica (RSI)

Il Regolamento sulla sicurezza informatica (RSI) del 9 aprile 2002 è modificato come segue

3. Regolamento sugli archivi e l'archiviazione (Regolamento sugli archivi e l'archiviazione)

Il Regolamento sugli archivi e l'archiviazione (Regolamento sugli archivi e l'archiviazione) del 13 ottobre 1998 è modificato come segue

4. Regolamento sull'accoglienza dei bambini in case e famiglie affidatarie

Il Regolamento sull'accoglienza dei bambini in case e famiglie affidatarie del 9 settembre 1997 è modificato come segue

5. Regolamento sul catasto (ROGB)

Il Regolamento sul catasto (ROGB) del 16 dicembre 2003 è modificato come segue

6. Regolamento sul servizio medico nella protezione civile

Il Regolamento sul servizio medico nella protezione civile del 15 settembre 1992 è modificato come segue

7. Regolamento sulla legge relativa alla cura diurna dei bambini (Regolamento sulla cura diurna, RCD)

Il Regolamento sulla legge relativa alla cura diurna dei bambini (Regolamento sulla cura diurna, RCD) del 25 novembre 2008 è modificato come segue

8. Regolamento sul riconoscimento delle istituzioni per la promozione dell'integrazione degli adulti invalidi (Regolamento di riconoscimento)

Il Regolamento sul riconoscimento delle istituzioni per la promozione dell'integrazione degli adulti invalidi (Regolamento di riconoscimento) del 16 ottobre 2007 è modificato come segue

9. Regolamento sull'armonizzazione e coordinamento delle prestazioni sociali dipendenti dal bisogno (Regolamento SoHaV)

Il Regolamento sull'armonizzazione e coordinamento delle prestazioni sociali dipendenti dal bisogno (Regolamento SoHaV) del 25 novembre 2008 è modificato come segue

1. Con l'entrata in vigore del presente regolamento, viene abrogato il regolamento sulla videosorveglianza (Regolamento sulla videosorveglianza) del 4 gennaio 2005.

1. I progetti di ampliamento di trattamenti di dati, che al momento dell’entrata in vigore del IDG sono già in corso, devono essere sottoposti al o al responsabile della protezione dei dati per il controllo preliminare solo se, attraverso l’ampliamento, è soddisfatta una delle condizioni previste dal § 2 comma 1 di questo regolamento.

1. Per i sistemi di trattamento dei dati esistenti, la prova della conformità alle disposizioni sulla protezione dei dati ai sensi del § 6 comma 3 IDG nonché del § 1d del presente regolamento deve essere fornita entro il 31 dicembre 2029.

1. Questo regolamento deve essere pubblicato; esso entra in vigore contemporaneamente alla legge sull'informazione e sulla protezione dei dati (legge sulle informazioni e sulla protezione dei dati) del 9 giugno 2010.