Ordinanza sulla sicurezza informatica e sull'uso dei mezzi informatici (ordinanza sulla sicurezza informatica) (Informatiksicherheitsverordnung) - Oggetto e Scopo

1. Il regolamento stabilisce la procedura, le competenze e le responsabilità nonché l'esecuzione per garantire la sicurezza delle informazioni trattate con mezzi informatici.

2. Esso mira a disciplinare l'uso sicuro ed economico dei mezzi informatici per l'adempimento di compiti legali e la tutela dei diritti della personalità degli utenti.

1. Questo regolamento si applica all'amministrazione cantonale (comprese le scuole cantonali) e ai tribunali. Nella misura in cui sono coinvolti la sicurezza, il funzionamento, la riservatezza e la disponibilità degli strumenti informatici, si applica anche ai membri delle autorità. Sono escluse la Cassa di compensazione di Lucerna, l'Ufficio AI di Lucerna, la Cassa disoccupazione, l'Assicurazione edifici di Lucerna, la Cassa pensioni di Lucerna, l'Istituto statistico Lustat di Lucerna, il Consorzio trasporti di Lucerna, gli ospedali cantonali (Ospedale cantonale di Lucerna, Psichiatria di Lucerna), l'Alta scuola pedagogica di Lucerna, l'Università e l'Alta scuola di Lucerna.

2. Tuttavia, si applica anche alle entità escluse secondo il comma 1 e ad altri uffici, enti, organi e utenti, nella misura in cui utilizzano strumenti informatici del Cantone di Lucerna.

3. Nella misura in cui questo regolamento non disponga diversamente, per gli studenti delle scuole cantonali si applicano per analogia le stesse norme previste per gli altri utenti. Qualora agli studenti vengano forniti dispositivi cantonali con diritti utente ampliati, per questi dispositivi si applicano le disposizioni previste per i dispositivi non cantonali.

4. Nella misura in cui gli uffici, enti, organi e utenti menzionati nei commi 1-3 utilizzino dispositivi non cantonali per l'elaborazione di informazioni del Cantone di Lucerna, per tali dispositivi non si applicano i §§ 4, 7, 8 commi 1 e 2, 9-16, 18, 20, 24 comma 3 e 26.

1. Le informazioni ai sensi del presente regolamento sono dati oggettivi e personali.

2. Il termine mezzi informatici è disciplinato dalla Legge sull'informatica del 7 marzo 2005. I mezzi informatici sono dispositivi, impianti e servizi, come in particolare sistemi informatici, programmi per computer, servizi di comunicazione, che servono alla raccolta, elaborazione, memorizzazione, trasmissione, valutazione, archiviazione o distruzione elettronica delle informazioni.

3. I termini dati personali e organi sono disciplinati dalla Legge sulla protezione dei dati personali (Legge cantonale sulla protezione dei dati) del 2 luglio 1990.

4. Anonimo significa che non è possibile risalire a una singola persona.

5. I dati di registro sono tutti i dati necessari ai fini della sorveglianza e del controllo ai sensi del presente regolamento.

6. Il termine fornitori di servizi è disciplinato dal Regolamento sull'informatica del 17 giugno 2016.

1. I titolari di una raccolta di dati e i gestori di una banca dati centrale sono obbligati a proteggere i mezzi informatici contro la perdita e influenze indesiderate, tutelando le informazioni, in particolare i dati personali, da accessi e manipolazioni non autorizzate.

2. Gli organi sono responsabili nel loro ambito di competenza per

a. la determinazione degli obiettivi di protezione per le informazioni e i mezzi informatici,

b. la classificazione e l'inventariazione delle informazioni e dei mezzi informatici secondo gli obiettivi di protezione,

c. l'elaborazione di un piano di misure per il raggiungimento degli obiettivi di protezione e l'attuazione delle esigenze di sicurezza,

d. la sensibilizzazione degli utenti riguardo alla sicurezza informatica,

e. il controllo della sicurezza informatica.

3. L'ufficio informatico

a. gestisce i progetti di sicurezza informatica,

b. supporta, in collaborazione con i responsabili delle organizzazioni e dell'informatica, gli organi nell'implementazione di una sicurezza informatica e nell'attuazione e controllo delle misure di sicurezza,

c. supervisiona il rispetto dei requisiti tecnici di sicurezza,

d. documenta lo stato della sicurezza informatica del Cantone di Lucerna e informa al riguardo,

e. è il referente per gli organi per questioni di sicurezza informatica.

1. Le utilizzatrici e gli utilizzatori sono personalmente responsabili per l'uso dei loro mezzi informatici nel quadro dell'ordinamento giuridico vigente e del presente regolamento.

2. In particolare, essi sono responsabili affinché presso il loro posto di lavoro e nel loro ambito di competenza vengano rispettati i requisiti corrispondenti per garantire la protezione dei dati e la sicurezza delle informazioni.

1. I Dipartimenti, la Cancelleria di Stato e i tribunali, nonché gli organi, le unità e le corporazioni esclusi ai sensi del § 2 paragrafo 1 e ulteriori organi, a condizione che utilizzino i mezzi informatici del Cantone di Lucerna, assicurano che gli utenti siano istruiti sul corretto uso dei mezzi informatici e informati regolarmente.

2. Hanno il potere di emanare istruzioni riguardanti l'uso dei mezzi informatici per il loro ambito di competenza. Tali istruzioni devono essere comunicate al responsabile cantonale per la sicurezza informatica.

3. Al fine di ridurre i rischi legati a errori umani, furto, frode o abuso di informazioni e mezzi informatici, sensibilizzano gli utenti alla sicurezza informatica. Assicurano che comprendano le loro responsabilità riguardo agli obiettivi di protezione e siano regolarmente informati sulle normative e procedure interne all'organizzazione relative alla sicurezza informatica.

1. Per le informazioni e i mezzi informatici valgono i seguenti obiettivi di protezione

a. * Disponibilità: le informazioni e i mezzi informatici devono essere disponibili quando necessario,

b. * Riservatezza: le informazioni devono essere accessibili solo ai soggetti autorizzati,

c. * Integrità: le informazioni e i mezzi informatici non devono essere modificati in modo non autorizzato o involontario; le informazioni devono essere complete e corrette,

d. * Tracciabilità: le informazioni devono essere trattate in modo tracciabile.

2. Gli organi e il servizio informatico sono autorizzati a perfezionare gli obiettivi di protezione nel loro ambito di competenza e a emanare ulteriori direttive.

1. Gli organi classificano le informazioni e i mezzi informatici secondo i seguenti criteri

a. * Disponibilità: requisiti bassi, requisiti aumentati, requisiti elevati e requisiti molto elevati,

b. Riservatezza: pubblico, interno, riservato e segreto,

c. * Integrità: requisiti bassi, requisiti aumentati e requisiti elevati,

d. * Tracciabilità: requisiti bassi, requisiti aumentati e requisiti elevati.

2. L'ufficio informatico mette a disposizione degli organi una guida per la classificazione. Gli organi e l'ufficio informatico sono autorizzati a perfezionare le classificazioni per il loro ambito di competenza e a emanare istruzioni supplementari, in particolare per la gestione delle informazioni classificate da parte degli utenti.

3. Le informazioni riservate e segrete, in particolare i dati personali degni di particolare protezione e i profili di personalità, devono essere trasmesse solo in forma criptata e memorizzate sui dispositivi finali. Il responsabile della protezione dei dati può autorizzare eccezioni per la memorizzazione dei dati personali e dei profili di personalità sui dispositivi finali.

1. In tutti i progetti per nuove applicazioni e sistemi che gestiscono informazioni riservate o segrete, deve essere elaborato un concetto di sicurezza delle informazioni e protezione dei dati. L'ufficio informatico vigila sull'attuazione dei requisiti tecnici di sicurezza concordati nei progetti.

2. L'ufficio informatico pianifica i progetti cantonali di sicurezza informatica. Supporta gli organi nella progettazione e nell'installazione di un'informatica sicura.

1. Il piano delle misure serve al raggiungimento degli obiettivi di protezione e al rispetto dei requisiti di sicurezza nell'ambito di competenza degli organi. Le singole misure si orientano ai requisiti di sicurezza nella seconda parte del presente regolamento. In ciò, occorre tenere in considerazione il principio di proporzionalità, lo stato della tecnica e i mezzi disponibili.

2. Il piano delle misure include per ogni misura le seguenti indicazioni

a. Obiettivo di protezione e ambito di applicazione (riguardo ai mezzi informatici e alla classificazione),

b. Contenuto,

c. Costi,

d. Responsabilità,

e. Fasi di attuazione e scadenze,

f. Rischio residuo,

g. Documentazione (prova dell'attuazione e dell'efficacia della misura).

1. Gli organi controllano almeno annualmente, nell'ambito delle loro competenze, gli obiettivi di protezione e la classificazione delle informazioni e dei mezzi informatici, nonché il rispetto dei requisiti di sicurezza e l'adeguatezza delle misure di sicurezza. Presentano una relazione ai responsabili organizzativi e informatici e al responsabile cantonale per la sicurezza delle informazioni, adattando il piano delle misure se necessario. La verifica deve essere effettuata immediatamente se cambiano i compiti, l'organizzazione o i mezzi informatici impiegati da un organo. Gli organi possono inoltre far verificare gli obiettivi di protezione e la classificazione, così come le misure adottate, nel loro ambito di competenza da un'entità esterna indipendente qualificata.

2. Le misure di sicurezza e i concetti di emergenza per informazioni e mezzi informatici con la classificazione «segreto» o con requisiti molto elevati di disponibilità devono essere verificati annualmente dagli organi o da un'entità esterna indipendente.

3. Il/la responsabile per la protezione dei dati controlla periodicamente la sicurezza, le misure e la loro attuazione per i dati personali.

4. Le disposizioni contenute nel presente regolamento riguardanti la classificazione e il trattamento delle informazioni e dei mezzi informatici classificati valgono solo nella misura in cui non siano in contrasto con le disposizioni superiori di diritto federale e cantonale sulla riservatezza delle informazioni e dei mezzi informatici.

1. Per prevenire la perdita, il danneggiamento e l'abuso di informazioni e strumenti informatici e per prevenire l'interruzione delle attività aziendali, gli edifici, i locali e le apparecchiature devono essere protetti contro le minacce alla sicurezza e i rischi ambientali.

1. L'accesso alle informazioni e ai mezzi informatici, nonché la concessione e la modifica delle autorizzazioni, devono essere regolati dagli organi attraverso un concetto di accesso.

2. Le aree di sicurezza devono essere protette da adeguati controlli d'accesso per garantire che l'accesso sia concesso solo a persone autorizzate.

3. Le password degli utenti per i mezzi informatici devono essere assegnate agli utenti (dipendenti, appaltatori e utenti terzi) dagli organi attraverso una procedura regolamentata e controllabile. Gli utenti devono essere informati della loro responsabilità nel mantenere controlli d'accesso efficaci, in particolare riguardo all'uso della password secondo la direttiva relativa alla politica delle password, e sulla sicurezza dei dispositivi degli utenti.

4. I diritti di accesso privilegiati, così come i diritti di accesso a informazioni e mezzi informatici classificati come confidenziali e segreti, possono essere concessi solo nella misura necessaria per l'esercizio del rispettivo ruolo. Tali accessi devono essere registrati e i diritti di accesso devono essere periodicamente verificati.

5. Nell'ambito delle singole funzioni di un sistema o di un'applicazione, i rispettivi requisiti per la verifica dell'identità dell'utente o del sistema devono essere formulati direttamente e rappresentati di conseguenza nei sistemi e nelle applicazioni.

6. Per l'autenticazione dell'utente si deve utilizzare fondamentalmente il registro centrale degli utenti.

1. I diritti di accesso e di ingresso degli utenti, dei contraenti o degli utenti terzi devono essere immediatamente revocati dagli organi competenti nel caso in cui il loro impiego, il loro contratto o un accordo di utilizzo corrispondente sia terminato. Se cambiano il rapporto di impiego, il contratto o l'accordo di utilizzo, i diritti di accesso e di ingresso devono essere immediatamente adeguati.

1. Le informazioni degli organi cantonali devono essere scambiate principalmente tramite la rete di comunicazione dati del Cantone di Lucerna (LUnet).

2. I collegamenti a mezzi informatici, reti e applicazioni interni o esterni all'amministrazione richiedono l'autorizzazione degli organi interessati. Con un partner esterno, le misure di sicurezza prescritte dal Servizio informatico devono essere concordate per iscritto. La conformità alle esigenze di sicurezza e l'adeguatezza delle misure di sicurezza devono essere verificate regolarmente dagli organi interessati in base al rischio.

3. Il Servizio informatico è responsabile della sicurezza del LUnet. Può stabilire restrizioni nell'uso per garantire la disponibilità generale del LUnet.

4. Il Servizio informatico è responsabile della sicurezza dei punti di transito della rete.

1. Lo scambio di informazioni tra tutte le strutture di comunicazione deve avvenire secondo le procedure e i metodi stabiliti dall'Ufficio Informatica.

2. I fornitori di servizi adottano misure di protezione adeguate per prevenire accessi non autorizzati, abusi e alterazioni delle informazioni durante lo scambio di dati. La protezione deve essere garantita anche durante lo scambio oltre i confini organizzativi.

3. I partecipanti alla comunicazione sono personalmente responsabili di garantire che, nella comunicazione attraverso LUnet, siano rispettati i rispettivi requisiti di riservatezza.

1. Le informazioni e i supporti elettronici devono essere conservati in modo che non siano visibili a persone non autorizzate. Gli utenti devono archiviare e sistemare le informazioni secondo le istruzioni vigenti, in modo ordinato e centralizzato, sulle applicazioni e sui sistemi predisposti e adeguati, affinché siano disponibili e regolarmente salvaguardati.

2. L'ufficio informatico deve essere coinvolto tempestivamente in tutti i progetti che includono l'archiviazione temporanea o permanente di informazioni del Cantone di Lucerna su sistemi di terze parti.

1. Il prestatore di servizi garantisce che le informazioni e il software siano salvati a intervalli regolari.

2. Il prestatore di servizi è responsabile di garantire che la funzionalità delle copie di backup dei dati sia testata regolarmente. Nell'archiviazione elettronica, egli assicura l'affidabilità e l'autenticità delle informazioni con misure organizzative e tecniche adeguate.

3. Gli organi sono responsabili dello sviluppo e dell'attuazione di piani per affrontare, nella misura necessaria, interruzioni e malfunzionamenti dei processi aziendali critici e per assicurare la disponibilità dei mezzi informatici in collaborazione con il prestatore di servizi.

1. Supporti di dati difettosi o da smaltire sono

a. o consegnati all'Ufficio Informatica; quest'ultimo garantisce che tutte le informazioni e i software con licenza siano distrutti in modo irreversibile e che i supporti siano smaltiti in modo sicuro ed ecologico, oppure

b. distrutti secondo le direttive dell'Ufficio Informatica.

1. I fornitori di servizi gestiscono infrastrutture in grado di individuare l'intrusione e la diffusione di software dannoso e, per quanto possibile, di prevenirle.

1. Per l'elaborazione delle informazioni del cantone di Lucerna devono essere utilizzati, in linea di principio, solo strumenti informatici cantonali. Le scuole cantonali non sono soggette a questa regolamentazione.

2. Nell'uso di strumenti informatici cantonali bisogna osservare quanto segue

a. Devono essere impiegati solo strumenti informatici cantonali approvati dagli organi competenti.

b. Gli strumenti informatici devono essere utilizzati, in linea di principio, solo per l'adempimento di compiti di servizio.

c. L'uso degli strumenti informatici cantonali per scopi privati non deve complicare o limitare l'operatività del servizio e non deve compromettere la sicurezza.

d. Dall'uso privato degli strumenti informatici cantonali non può derivare alcun diritto legale sulla disponibilità delle infrastrutture del cantone di Lucerna e delle informazioni private.

e. I nomi utente e le password sono personali e non trasferibili. Le password devono essere mantenute segrete.

3. L'uso di dispositivi non cantonali deve essere autorizzato dal responsabile organizzativo e informatico competente. A tal riguardo si applica quanto segue

a. L'ufficio informatico stabilisce, in una direttiva, i servizi informatici utilizzabili con strumenti informatici cantonali e dispositivi non cantonali.

b. La direttiva deve essere periodicamente aggiornata secondo lo stato dell'arte della tecnica e necessita dell'approvazione del comitato dei responsabili organizzativi (OVG).

c. L'ufficio informatico declina ogni responsabilità per eventuali informazioni non cantonali archiviate sull'infrastruttura del cantone di Lucerna.

d. I nomi utente e le password sono personali e non trasferibili. Le password devono essere mantenute segrete.

4. Nell'uso di dispositivi non cantonali bisogna osservare quanto segue

a. Per i dispositivi non cantonali, l'ufficio informatico emette direttive.

b. L'ufficio informatico stabilisce in una direttiva i requisiti per i dispositivi che accedono, decide i dispositivi autorizzati e verifica il rispetto dei requisiti tecnici.

c. Gli utenti devono essere informati che, per motivi di sicurezza, le informazioni e il software sui loro dispositivi possono essere cancellati.

d. Gli utenti devono garantire che i loro dispositivi non cantonali non costituiscano un rischio per la sicurezza e l'integrità dell'infrastruttura del cantone di Lucerna.

e. L'uso di dispositivi non cantonali non deve complicare o limitare l'operatività del servizio.

1. Per l'utilizzo sicuro dei supporti di memorizzazione mobile e dei mezzi informatici, devono essere emesse istruzioni specifiche dall'ufficio informatico. In particolare, le istruzioni devono prevedere che le informazioni siano protette da accessi non autorizzati e stabilire quali informazioni possono essere memorizzate sui supporti di memorizzazione mobile e sui mezzi informatici.

2. Gli utenti che utilizzano un posto di lavoro mobile devono attenersi alle istruzioni e alle direttive di sicurezza vigenti. Se svolgono compiti sovrani, ciò deve avvenire in esclusione del pubblico nei luoghi di lavoro prescritti dagli organi competenti.

1. Le utilizzatrici e i utilizzatori dei mezzi informatici del Cantone di Lucerna sono obbligati a segnalare immediatamente al responsabile organizzativo e informatico competente qualsiasi evento osservato o sospetto o vulnerabilità che possa comportare un rischio per

a. la sicurezza tecnica, il corretto funzionamento e la disponibilità dei mezzi informatici,

b. gli obiettivi di protezione secondo l'articolo 7 di questo regolamento, oppure

c. l'uso economico dei mezzi informatici.

2. Gli eventi o le vulnerabilità connessi a dati personali devono essere notificati dai responsabili organizzativi e informatici competenti all'incaricato o incaricata della protezione dei dati.

3. I responsabili organizzativi e informatici competenti devono predisporre una procedura che permetta una reazione rapida, pianificata ed efficace agli eventi rilevanti per la sicurezza. Per le informazioni e i mezzi informatici con disponibilità 24 ore su 24, 7 giorni su 7, deve essere elaborato un piano di emergenza speciale.

1. Le informazioni riservate e segrete, in particolare i dati personali particolarmente sensibili, non devono essere trasmesse tramite e-mail senza cifratura.

2. Resta riservato l'invio di informazioni riservate e segrete, in particolare dei dati personali particolarmente sensibili, senza cifratura, nella misura in cui i proprietari dei dati riservati e, per quanto riguarda i dati personali, le persone interessate abbiano espressamente acconsentito.

3. L'uso privato di Internet e della posta elettronica è consentito in misura limitata. Deve essere ridotto al minimo e di norma dovrebbe avvenire al di fuori dell'orario di lavoro.

1. È considerato abuso qualsiasi utilizzo dei mezzi informatici che

a. viola il presente regolamento,

b. viola altre disposizioni dell'ordinamento giuridico,

c. lede i diritti di terzi.

2. Sono considerati abusi, in particolare, i seguenti atti intenzionali

a. Configurazione, collegamento o installazione di mezzi informatici in contrasto con le disposizioni di questo regolamento,

b. Accesso con una password utente di terzi,

c. Utilizzo dei servizi informatici in contrasto con le istruzioni vigenti,

d. Manipolazione dei mezzi informatici del Cantone, in particolare modifiche alle impostazioni di configurazione predefinite,

e. Sfruttamento di configurazioni errate,

f. Misure per disturbare il funzionamento di computer o reti,

g. Creazione, memorizzazione, esecuzione e diffusione di programmi di controllo remoto, spionaggio e virus (ad es. virus, cavalli di Troia, vermi o script),

h. Invio di e-mail con intenti ingannevoli o molesti e invii di massa privati,

i. Accesso a informazioni con contenuti razzisti, sessisti, pornografici o che glorificano la violenza nonché la loro raccolta, elaborazione, memorizzazione e trasmissione, ove tali atti non vengano effettuati nell'ambito di un incarico professionale,

j. Copia illegale di informazioni o software di qualsiasi tipo,

k. Messa a disposizione, diffusione e uso illegale di opere protette da diritti d'autore di qualsiasi genere (in particolare film, musica e foto).

3. Per garantire la sicurezza dei mezzi informatici, è consentito al o alla referente cantonale per la sicurezza delle informazioni utilizzare strumenti e metodi riconosciuti per l'analisi delle vulnerabilità. Egli o ella può incaricare un ente esterno per tale analisi. Il responsabile del servizio informatico deve essere informato in anticipo della verifica prevista.

1. In caso di emergenza di servizio, se non è possibile ottenere preventivamente il consenso dall’utente interessato o dall’utente interessata, si può presentare una richiesta ai responsabili delle organizzazioni e dell’informatica, al direttore o alla direttrice del servizio informatico, ai loro sostituti o al responsabile cantonale della sicurezza informatica, affinché, sotto la supervisione del responsabile cantonale della sicurezza informatica o del suo sostituto, sia possibile accedere alla casella di posta o ai file della cartella personale dell’utente per ottenere informazioni di servizio urgentemente necessarie. È vietato accedere a sottocartelle contrassegnate come private, a e-mail o file chiaramente privati o contrassegnati come tali. L’utente interessato o l’utente interessata deve essere informato per iscritto dal direttore o dalla direttrice del servizio informatico riguardo all'operazione.

**1. Le misure e le attività di sorveglianza e controllo degli strumenti informatici servono principalmente a verificare e garantire**

a. la sicurezza tecnica,

b. la funzionalità,

c. la disponibilità degli strumenti informatici.

**2. Le misure di sorveglianza e controllo servono inoltre a**

a. la verifica e la garanzia degli obiettivi di protezione secondo il § 7 di questo regolamento,

b. la prevenzione dell'abuso degli strumenti informatici,

c. la prova personale dell'abuso degli strumenti informatici,

d. la garanzia dell'uso economico degli strumenti informatici.

1. Gli organi e l'ufficio dell'informatica hanno il compito di sorvegliare e controllare i mezzi informatici nel loro ambito di competenza.

2. Gli organi competenti possono delegare l'esecuzione di compiti nel settore della sorveglianza e del controllo ad altri organi o a terzi indipendenti. Il responsabile dell'ufficio informatica e il responsabile della protezione dei dati devono essere informati tempestivamente dagli organi prima della delega.

1. I mezzi informatici sono protetti, nella misura in cui sia economicamente e tecnicamente sensato, con adeguate misure tecniche e organizzative da influenze indesiderate, disturbi tecnici e uso improprio. L'efficacia delle misure tecniche è garantita con software di monitoraggio del sistema e tramite l'analisi dei dati di protocollo.

2. Le e-mail, inclusi gli allegati, e le informazioni contrassegnate come private non possono essere lette senza il previo consenso delle persone interessate.

3. È vietata la creazione e l'analisi dei dati di protocollo con lo scopo esclusivo di ottenere profili di utilizzo personali dei mezzi informatici. Sono escluse le analisi quando si rilevano disturbi che mettono seriamente in pericolo la sicurezza tecnica, la funzionalità o la disponibilità dei mezzi informatici, nonché le analisi in caso di fondato sospetto di abuso dei mezzi informatici o in caso di eventi di natura penale.

4. Gli strumenti tecnici di sorveglianza e controllo, nonché i filtri, sono consentiti.

5. I dati di protocollo assicurati e archiviati possono essere utilizzati solo nel rispetto delle disposizioni di legge.

6. I dati di protocollo possono essere consegnati a terzi solo in forma anonima. Se è essenziale per garantire la sicurezza tecnica, la funzionalità o la disponibilità dei mezzi informatici, si può eccezionalmente rinunciare all'anonimizzazione. Prima della consegna dei dati di protocollo a terzi, deve essere concluso un accordo di riservatezza con questi ultimi.

1. I responsabili dell'organizzazione e dell'informatica, il direttore o la direttrice della divisione informatica, il loro sostituto o la loro sostituta e il o la responsabile cantonale per la sicurezza delle informazioni possono disporre singole valutazioni anonime per verificare l'adempimento degli scopi delle misure di sorveglianza e controllo. I responsabili del sistema impiegati sono incaricati di eseguire le valutazioni anonime ordinate e le valutazioni nell'ambito del loro incarico di servizio. Le valutazioni possono essere effettuate dal dipartimento informatico o da terzi, manualmente o automaticamente mediante software speciali.

2. Le valutazioni anonime per garantire la sicurezza tecnica, la funzionalità o la disponibilità dei mezzi informatici sono consentite senza limitazioni.

1. I segretari e le segretarie dei dipartimenti competenti, il cancelliere o la cancelliera di Stato, il presidente o la presidente del Tribunale cantonale, il capo o la capa del servizio informatico e il responsabile o la responsabile cantonale della sicurezza delle informazioni possono, in via eccezionale, disporre singole analisi di dati personali per garantire la sicurezza tecnica, la funzionalità o la disponibilità dei mezzi informatici, qualora vi sia una seria minaccia e le analisi dei dati personali siano indispensabili per risolvere i problemi.

2. In caso di sospetto fondato di abuso dei mezzi informatici, i segretari e le segretarie dei dipartimenti, il cancelliere o la cancelliera di Stato e il presidente o la presidente del Tribunale cantonale possono, in via eccezionale, disporre singole analisi di dati personali, che possono riguardare anche il contenuto delle e-mail e gli accessi a Internet. Le persone coinvolte e il responsabile o la responsabile della protezione dei dati devono essere informati preventivamente per iscritto in merito alle analisi dei dati personali che riguardano il contenuto delle e-mail e gli accessi a Internet.

3. Il capo o la capa del servizio informatico è responsabile dell'esecuzione delle analisi di dati personali. Le analisi possono essere eseguite manualmente o mediante software specifico.

4. Al responsabile o alla responsabile della protezione dei dati e alle persone coinvolte deve essere fornito un rapporto successivo alle analisi effettuate. Alle persone coinvolte devono essere comunicati i risultati delle analisi che le riguardano, salvo quando tali analisi siano parte di un'indagine o di un procedimento penale e vi si applichi il codice di procedura penale.

1. I dati di protocollo vengono conservati per un periodo minimo di sei mesi e massimo di due anni oppure fino al completamento di un procedimento penale, civile o amministrativo.

2. I protocolli personali e i dati di protocollo vengono conservati per sei mesi o fino al completamento di un procedimento penale, civile o amministrativo e successivamente distrutti in modo irreversibile.

3. Dopo la scadenza del periodo di conservazione, i dati di protocollo vengono eliminati. I dati di archivio, backup e sicurezza non ne sono influenzati.

4. I dati di archivio, backup e sicurezza possono essere utilizzati esclusivamente entro i termini secondo i paragrafi 1 e 2 al fine di controllo e monitoraggio del comportamento degli utenti.

1. Il Consiglio di Stato e il Presidente o la Presidente del Tribunale cantonale sono responsabili della verifica dell'esecuzione di questo regolamento mediante la valutazione dei dati di protocollo.

2. L'autorità competente secondo il paragrafo 1 può, attraverso il Direttore o la Direttrice del Dipartimento informatico, far eseguire controlli anonimi di plausibilità (campioni) su un periodo di utilizzo passato o futuro limitato, ai sensi delle condizioni di cui al § 30, al fine di controllare l'esecuzione di questo regolamento.

3. Se esiste un sospetto fondato di abuso dei mezzi informatici, l'autorità competente secondo il paragrafo 1 può, ai sensi delle condizioni di cui al § 31, far eseguire valutazioni personali dei dati di protocollo.

1. In caso di violazione dell'ordinamento giuridico in relazione all'uso dei mezzi informatici e in caso di violazione del presente regolamento, possono essere adottate le sanzioni previste dal diritto del personale, nella misura in cui sia applicabile il diritto del personale del Cantone di Lucerna alle persone interessate.

2. Nei confronti degli apprendisti delle scuole cantonali che, in relazione all'uso dei mezzi informatici, violano l'ordinamento giuridico o il presente regolamento, possono essere adottate misure previste dal diritto educativo.

3. Restano riservati il perseguimento penale e l'esercizio dei diritti giuridici civili.

1. L'attuazione dei §§ 15 comma 4, 20 e 32 comma 1 deve essere completata entro il 31 dicembre 2018.

2. L'attuazione dei §§ 8 comma 3 e 24 comma 1 deve essere completata entro il 31 dicembre 2022.