Legge cantonale sulla protezione dei dati personali (Legge cantonale sulla protezione dei dati, KDSG) - Scopo (KDSG)

1. La legge è destinata alla protezione delle persone contro l'elaborazione non autorizzata dei loro dati da parte degli enti pubblici.

1. I dati personali sono informazioni relative a una persona fisica identificata o identificabile.

2. I dati personali particolarmente degni di protezione sono informazioni su persone fisiche per le quali esiste un particolare rischio di violazione dei diritti della personalità e dei diritti fondamentali, in particolare

a. * dati riguardanti le convinzioni religiose, filosofiche o politiche,

b. * dati relativi alla salute, alla sfera intima, al patrimonio genetico o all'appartenenza etnica,

c. * dati ottenuti con procedure tecniche speciali riguardanti le caratteristiche fisiche, fisiologiche o comportamentali di una persona, che permettono o confermano l'identificazione univoca di tale persona (dati biometrici),

d. * dati sulle misure e sanzioni amministrative e penali, nonché misure di assistenza sociale,

e. * raccolte di dati che consentono una valutazione di aspetti essenziali della persona fisica (profilo della personalità).

3. La persona interessata è la persona di cui vengono trattati i dati personali.

4. Il trattamento dei dati personali è, indipendentemente dai mezzi e dalle procedure utilizzate, qualsiasi manipolazione di dati, come la raccolta, l'ottenimento, la conservazione, la registrazione, la raccolta, l'archiviazione su supporti elettronici, l'uso, la modifica, la divulgazione, l'archiviazione, la cancellazione e la distruzione. Divulgare significa trasmettere o rendere accessibili dati personali, in particolare attraverso la concessione di visione, la condivisione o la pubblicazione.

4bis Il profiling è qualsiasi tipo di trattamento automatizzato di dati personali, che consiste nell'uso di tali dati per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere la prestazione lavorativa, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità, il comportamento, la posizione o i movimenti di tale persona fisica.

5. Il collegamento di dati personali di diversi database è qualsiasi integrazione regolare, automatica o manuale dei dati presenti in un database su una persona con dati di un altro database.

6. ...

7. L'organo responsabile è l'organo che, da solo o congiuntamente ad altri organi, decide lo scopo e i mezzi del trattamento dei dati personali.

8. Gli organi sono autorità, uffici e unità amministrative che agiscono per una comunità, e persone private, nella misura in cui sono incaricate di compiti pubblici.

1. La legge si applica a

a. il cantone,

b. i comuni,

c. * altri enti secondo § 1 della legge sulla procedura amministrativa del 3 luglio 1972,

d. * le altre persone e organizzazioni di diritto pubblico e privato a cui sono affidati compiti cantonali.

2. La parte 3 di questa legge non si applica alle note e agli appunti che servono come strumenti per l'adempimento dei compiti.

a. * ...

b. * ...

c. * ...

d. * ...

3. I regolamenti di procedura e di processo disciplinano il trattamento dei dati personali e i diritti delle persone interessate nei procedimenti giudiziari e amministrativi. Alle procedure amministrative di prima istanza si applicano le disposizioni della presente legge.

4. Nella misura in cui gli organi esercitano poteri parlamentari o giudiziari, essi non sono soggetti alla sorveglianza dell'autorità di controllo competente ai sensi del § 22.

5. Nella misura in cui un organo partecipa alla competizione economica e agisce in quel contesto come soggetto di diritto privato, le sue elaborazioni dei dati sono soggette alle disposizioni della legge federale sulla protezione dei dati del 25 settembre 2020. La sorveglianza si conforma ai §§ 22-24b.

6. Restano riservate disposizioni particolari che regolano il trattamento dei dati e, in particolare, i diritti delle persone interessate.

1. Gli organi possono trattare i dati personali solo con mezzi leciti.

2. I dati personali devono essere corretti.

3. Il trattamento dei dati personali deve essere proporzionato.

4. I dati personali non possono essere trattati per uno scopo che, secondo i principi di buona fede, è incompatibile con lo scopo per il quale sono stati originariamente raccolti o comunicati all'autorità.

5. Se la finalità del trattamento lo consente, come per la ricerca scientifica, la compilazione di statistiche e simili, i dati personali devono essere anonimizzati in modo tale che la persona interessata non sia più identificabile o determinabile.

1. Gli organi possono trattare dati personali se

a. * esiste una base giuridica a tal proposito oppure

b. * ciò è necessario per l'adempimento di compiti per i quali esiste una base giuridica.

2. Possono trattare dati personali particolarmente sensibili o effettuare un profiling, se

a. una legge formale lo prevede espressamente,

b. è indispensabile per un compito descritto in una legge formale,

c. il Consiglio di Stato lo autorizza perché è nell’interesse della persona interessata, oppure se

d. la persona interessata ha acconsentito nel caso specifico o ha reso generalmente accessibili i suoi dati personali.

3. Gli organi possono accedere ai dati ottenuti tramite collegamenti se sono autorizzati a trattare i dati in ogni singolo database interessato. Il Consiglio di Stato disciplina i requisiti ulteriori per i collegamenti di dati personali.

1. Il collegamento dei dati personali di diverse banche dati è consentito solo se è garantito che tutte le persone che elaborano i dati possano trattare esclusivamente i dati di cui necessitano tipicamente e regolarmente per il loro lavoro.

2. In casi eccezionali, i dati possono essere ottenuti sia dalla persona autorizzata ad accedere o tramite una procedura automatizzata di recupero, a condizione che l'accesso possa essere registrato e controllato dall'organo responsabile e dall'incaricato per la protezione dei dati.

1. Ogni ente che tratta o fa trattare dati personali è responsabile per la protezione dei dati.

1bis L'ente responsabile garantisce il rispetto della protezione dei dati mediante misure tecniche e organizzative. Tali misure devono essere adeguate in particolare allo stato della tecnica, alla natura e all'entità del trattamento dei dati, nonché ai rischi che il trattamento comporta per i diritti delle persone interessate.

2. Può affidare il trattamento di dati personali a un altro ente o a terzi, se

a. non vi è alcuna disposizione legale o accordo contrattuale contrario,

b. è garantito che i dati personali siano trattati solo nella modalità in cui lo stesso ente responsabile potrebbe trattarli; in particolare, il trattamento di dati personali non può essere affidato a ulteriori incaricati del trattamento senza il previo consenso scritto dell'ente responsabile.

3. Se più enti trattano dati personali provenienti da uno o più insiemi di dati, essi regolano la responsabilità.

4. Il Consiglio di Stato disciplina i dettagli mediante regolamento.

1. Gli organi responsabili segnalano al responsabile della protezione dei dati senza indugio i trattamenti non autorizzati di dati, in particolare in caso di perdita, falsificazione, sottrazione e presa di conoscenza da parte di terzi non autorizzati, qualora questi comportino prevedibilmente un elevato rischio per la personalità o i diritti fondamentali delle persone interessate.

1bis. Informano le persone interessate quando ciò è necessario per la loro protezione o se richiesto dal responsabile della protezione dei dati, e, se necessario, altri organi e terze parti. L'informazione può essere limitata, rinviata o omessa se ciò è richiesto da interessi pubblici prevalenti o se l'informazione comporta un onere sproporzionato.

2. Il Consiglio di Stato può emanare ulteriori disposizioni.

1. L'organo responsabile esamina l'impatto sulla protezione dei dati nei progetti di trattamento dei dati. Se sussiste un rischio elevato per la personalità o i diritti fondamentali delle persone interessate, l'organo effettua una valutazione d'impatto sulla protezione dei dati.

2. Se dalle indagini risulta che il previsto trattamento dei dati comporterebbe un alto rischio per la personalità o i diritti fondamentali delle persone interessate, nonostante siano previste delle misure, l'organo deve ottenere il parere del o della responsabile della protezione dei dati. Il responsabile esprime una raccomandazione entro un termine ragionevole e propone misure adeguate.

3. Il Consiglio di Governo disciplina i dettagli tramite regolamento.

1. Gli ulteriori organi determinati dal Consiglio di Stato mediante regolamento e il tribunale cantonale designano un consulente o una consulente per la protezione dei dati.

2. Il consulente o la consulente per la protezione dei dati

a. supporta il personale delle unità organizzative che trattano dati personali nel rispetto delle disposizioni sulla protezione dei dati,

b. si occupa delle necessarie valutazioni d'impatto sulla protezione dei dati secondo il § 7a,

c. è la persona di riferimento per il delegato o la delegata alla protezione dei dati.

3. Il Consiglio di Stato può obbligare gli altri enti pubblici a designare un consulente o una consulente per la protezione dei dati.

1. Gli organi raccolgono dati personali principalmente presso la persona interessata e solo, se circostanze particolari lo richiedono, presso terzi.

2. La persona da intervistare deve poter riconoscere che vengono raccolti dati personali, a meno che non venga seriamente compromesso o reso impossibile l'adempimento dell'incarico pubblico.

3. L'organo informa la persona dell'esistenza di un obbligo di informazione e, se del caso, delle conseguenze di una violazione di tale obbligo.

4. Informa la persona riguardo

a. * l'organo responsabile della raccolta dei dati e comunica i suoi dati di contatto,

b. * la base giuridica e lo scopo della raccolta dei dati,

c. * i dati personali trattati o le categorie di dati trattati,

d. * la durata della conservazione dei dati personali o i criteri per la determinazione della durata di conservazione,

e. * i destinatari dei dati personali o le categorie di destinatari, qualora i dati debbano essere comunicati a terzi,

f. * i diritti della persona interessata.

5. Si può rinunciare all'informazione se

a. il trattamento dei dati è previsto dalla legge oppure

b. la persona interessata ha già le informazioni secondo il paragrafo 4 oppure

c. l'informazione alla persona interessata non è possibile o è possibile solo con uno sforzo sproporzionato.

1. Ferme restando le obbligazioni particolari di segretezza, un organo può comunicare dati personali ad altri organi se

a. un atto normativo lo obbliga o autorizza, oppure

b. gli organi che richiedono i dati personali dimostrano in modo credibile di rispettare i requisiti degli articoli 4 e 5.

2. Il controllo degli abitanti concede ad altri organi l'accesso ai dati personali in suo possesso e fornisce loro informazioni; per quanto riguarda gli organi svizzeri, può omettere di verificare se rispettano i requisiti degli articoli 4 e 5.

3. Se tra due organi non esiste un accordo sulla divulgazione dei dati personali richiesti, l'organo superiore decide, e nel caso di organi cantonali di pari livello, decide l'organo comune di livello successivo.

1. Fatte salve particolari obblighi di segretezza, un organo può comunicare dati personali a persone o organizzazioni private se

a. una norma giuridica lo obbliga o autorizza oppure

b. la persona interessata ha acconsentito o si può presumere il suo consenso in base alle circostanze.

2. Dati personali provenienti da pubblicazioni ufficiali generalmente accessibili possono essere comunicati da un organo su richiesta nella misura e con le modalità con cui sono stati pubblicati.

3. Il Consiglio di Governo regola la comunicazione di dati personali per elenchi di indirizzi e altri repertori, così come per pubblicazioni in relazione ad altri procedimenti di interesse generale.

1. Il controllo degli abitanti comunica, su richiesta, a persone fisiche e organizzazioni private che dimostrino un interesse degno di tutela, il nome, cognome, sesso, data di nascita e indirizzo.

2. Nella misura in cui queste informazioni non siano sufficienti per tutelare l'interesse degno di protezione, essa fornisce anche informazioni sulla professione e titolo di individui, stato civile, luogo d'origine, cittadinanza e capacità legale di agire, così come sul luogo e la data di arrivo e partenza.

3. Il comune di residenza può, tramite regolamento o ordinamento comunale, stabilire che, anche in assenza di dimostrazione di un interesse degno di protezione, i dati personali di cui al paragrafo 1 possano essere pubblicati o resi noti su richiesta a scopi politici, culturali, sociali, di beneficenza e scientifici.

4. Ogni persona interessata può chiedere al controllo degli abitanti di bloccare la divulgazione dei propri dati personali senza fornire giustificazioni; tuttavia, il blocco è inefficace se il controllo degli abitanti è obbligato per legge a comunicarli oppure se il richiedente dimostra in modo credibile che la mancata divulgazione ostacolerebbe il perseguimento di diritti degni di tutela nei confronti della persona interessata.

1. Prima che gli organi, nell'ambito delle disposizioni delle loro comunità riguardanti il principio di pubblicità, possano consentire l'accesso alle informazioni ufficiali, verificano se tali informazioni contengano dati personali.

2. I dati personali devono essere possibilmente anonimizzati dall'organo in modo tale che le persone interessate non possano essere né determinate né determinabili. L'articolo 10, comma 2, si applica per analogia.

3. Se l'anonimizzazione non è possibile, l'organo può consentire l'accesso alle informazioni ufficiali, se sono soddisfatte le condizioni delle disposizioni sul principio di pubblicità e le persone interessate hanno dato il loro consenso o se il loro consenso può essere presunto in base alle circostanze.

4. Resta salvo l'accesso anche senza consenso, qualora l'interesse pubblico alle informazioni ufficiali prevalga sull'interesse alla riservatezza dei dati personali di terzi. Le persone interessate devono essere ascoltate. Per i dati personali particolarmente degni di protezione, si presume che l'interesse privato delle persone interessate prevalga sull'accesso.

5. Il Consiglio di governo disciplina i dettagli mediante un regolamento.

1. Un organo può limitare, imporre condizioni o rifiutare la divulgazione di dati personali per prevalenti interessi pubblici, per prevalenti interessi privati di terzi o della persona interessata.

1. I dati personali non possono essere comunicati all'estero se ciò comporta un grave rischio per la personalità delle persone interessate, in particolare in assenza di una legislazione che garantisca una protezione adeguata.

2. In mancanza di una legislazione che garantisca una protezione adeguata, i dati personali possono essere comunicati all'estero solo se

a. garanzie sufficienti, in particolare tramite contratto, assicurano una protezione adeguata all'estero,

b. la persona interessata ha acconsentito nel singolo caso,

c. il trattamento è strettamente connesso alla conclusione o all'esecuzione di un contratto e riguarda dati personali del partner contrattuale,

d. la comunicazione è nel singolo caso indispensabile per salvaguardare un interesse pubblico prevalente o per l'accertamento, l'esercizio o l'applicazione di diritti legali in tribunale,

e. la comunicazione è nel singolo caso necessaria per proteggere la vita o l'integrità fisica della persona interessata,

f. la persona interessata ha reso generalmente accessibili i dati e non ha espressamente vietato un trattamento.

3. Il o la delegata alla protezione dei dati deve essere informato/a delle garanzie secondo il paragrafo 2a.

4. Il consiglio governativo può emanare ulteriori regolamenti.

1. Qualora un organo non necessiti presumibilmente più di un insieme di dati, questi sono archiviati o distrutti secondo le disposizioni applicabili.

2. ...

3. Il consiglio di governo può emanare ulteriori disposizioni. In particolare, può stabilire termini di cancellazione e misure per la verifica periodica della necessità degli insiemi di dati personali.

1. Gli organi designati dall'autorità amministrativa superiore della comunità e il tribunale cantonale tengono un registro delle attività di trattamento dei dati nel loro ambito di competenza.

2. Il registro è pubblico. Esso indica almeno

a. * i dati di contatto,

b. * la base legale e lo scopo del trattamento dei dati,

c. * le categorie delle persone interessate e dei dati personali trattati,

d. * le categorie dei destinatari.

3. Il Consiglio di Stato disciplina i dettagli tramite regolamento.

1. Ogni persona può richiedere oralmente o per iscritto al soggetto responsabile di sapere se esistono dati personali su di essa. Deve identificarsi in modo adeguato.

a. * ...

b. * ...

2. Il soggetto deve fornire alla persona interessata almeno le seguenti informazioni

a. * i dati personali disponibili su di lei,

b. * la base giuridica e lo scopo del trattamento dei dati,

c. * per quanto possibile, la provenienza dei dati personali e gli eventuali destinatari in caso di trasmissione,

d. * la durata della conservazione dei dati personali o i criteri per determinare tale durata,

e. * i suoi diritti, in particolare quello di correggere i dati personali inesatti.

3. L'informazione viene fornita, su richiesta, in forma comprensibile sia oralmente che per iscritto. Fintanto che i mezzi e le procedure di trattamento lo consentono, deve essere concessa l'accesso ai dati personali.

4. Se l'informazione o l’accesso non possono essere concessi direttamente alla persona interessata perché ciò potrebbe pesarle troppo o ci sono altri motivi importanti contrari, può essere concessa a una persona di sua fiducia.

5. I diritti di controllo riguardanti i dati personali conservati nelle banche dati centrali sono disciplinati dalla Legge sull'informatica del 7 marzo 2005[4].

1. Un ente può limitare, condizionare o rifiutare la divulgazione di dati personali per prevalenti interessi pubblici o prevalenti interessi privati di terzi o della persona interessata.

1. Ogni persona può richiedere all'organo responsabile la rettifica di dati personali inesatti che la riguardano.

2. Se l'organo contesta l'inesattezza, deve dimostrare la correttezza dei dati personali. La persona interessata deve collaborare, nei limiti del possibile, all'accertamento.

3. Se né la correttezza né l'inesattezza dei dati personali, in particolare di quelli che contengono una valutazione, può essere dimostrata, la persona interessata può far registrare una annotazione corrispondente.

1. Ogni persona può richiedere all'organo responsabile che

a. venga cessata una gestione illecita di dati personali,

b. i dati personali trattati senza autorizzazione siano cancellati o distrutti o che le conseguenze siano altrimenti eliminate.

2. Se la persona interessata dimostra un interesse degno di protezione,

a. deve essere stabilita l'illiceità di un trattamento da parte dell'organo responsabile,

b. la decisione dell'organo interpellato deve essere comunicata agli organi e terzi da essa designati,

c. può richiedere all'organo responsabile di limitare il trattamento di determinati dati personali e in particolare di bloccare la comunicazione di determinati dati personali.

3. L'organo può rifiutare il blocco se

a. la comunicazione è prevista per legge oppure

b. il blocco mette a rischio l'adempimento del compito legale dell'organo.

1. Qualora l'organo interpellato non accolga la richiesta di informazione, accesso, rettifica o adempimento di un diritto ai sensi del § 18, emette una decisione.

2. ...

1. L'esercizio dei diritti di controllo è gratuito. Il Consiglio di governo regola le eccezioni. Può prevedere spese in particolare quando ciò comporta un onere sproporzionato.

1. Il Gran Consiglio nomina, su proposta del Consiglio di Stato, un incaricato o un'incaricata per la protezione dei dati per una durata del mandato di quattro anni. La rielezione è possibile.

1bis. In occasione della prima nomina dell'incaricato o dell'incaricata, il Consiglio di Stato stabilisce il quadro salariale e lo sviluppo salariale.

1ter. Il Consiglio di Stato può risolvere il rapporto di lavoro per motivi importanti prima della scadenza del mandato. La risoluzione per motivi importanti richiede l'approvazione della direzione del Gran Consiglio.

2. L'incaricato o l'incaricata è professionalmente autonomo e indipendente; amministrativamente, egli o ella è assegnato alla Cancelleria di Stato.

3. ...

1. È eleggibile come incaricato o incaricata della protezione dei dati una persona qualificata in questioni di protezione dei dati.

2. Egli o ella non deve esercitare alcun altro incarico pubblico.

3. L'organo competente della comunità può autorizzare un'occupazione secondaria, purché questa non comprometta l'esercizio dell'incarico, in particolare l'indipendenza del titolare dell'incarico.

1. Il Responsabile della protezione dei dati dispone dei crediti approvati nel preventivo con propria competenza.

2. È competente per tutte le decisioni relative al diritto del personale che riguardano i suoi collaboratori, in particolare per l'instaurazione, la modifica e la cessazione dei rapporti di lavoro. Per il resto, si applicano le disposizioni della legge sul personale del 26 giugno 2001.

1. Il o la Responsabile della protezione dei dati

a. monitora il rispetto delle disposizioni sulla protezione dei dati,

b. * segue gli sviluppi rilevanti e consiglia gli organi responsabili sulle questioni relative alla protezione dei dati,

c. * fornisce alle persone interessate informazioni sui loro diritti e gestisce le segnalazioni di vigilanza entro un termine ragionevole,

cbis. * emette raccomandazioni agli organi in merito al trattamento dei dati,

d. * ...

e. * presenta pareri in materia di protezione dei dati, su richiesta degli organi decisori o delle autorità di ricorso, nei procedimenti pendenti e nelle procedure di consultazione su bozze di decreti normativi,

f. * informa gli organi e il pubblico su questioni essenziali riguardanti la protezione dei dati,

g. si occupa dell'istruzione del personale degli organi sulla protezione dei dati,

h. * esprime pareri sui trattamenti dei dati che comportano un alto rischio di violazione dei diritti della personalità e dei diritti fondamentali delle persone interessate,

i. pubblica pareri,

j. collabora con gli organi di controllo degli altri cantoni, della Confederazione e dell'estero,

k. * ...

2. ...

3. Il o la Responsabile presenta al Consiglio di Stato un resoconto annuale sui punti di attività principali dell'ufficio di vigilanza. Fornisce inoltre il rapporto sulle attività alla commissione di vigilanza e controllo, nonché alla commissione di pianificazione e finanze del Consiglio del Cantone, e lo pubblica su Internet. Il Consiglio di Stato e il Consiglio del Cantone prendono atto del rapporto.

1. Gli organi responsabili sono tenuti a sostenere il responsabile della protezione dei dati nell'adempimento delle sue funzioni.

2. Il responsabile, indipendentemente da eventuali disposizioni di riservatezza, può ottenere informazioni scritte e orali dagli organi sul trattamento dei dati personali, accedere a tutti i dati e ad ulteriori documenti e far dimostrare il trattamento dei dati personali.

3. Se l'indagine rivela che sono state violate le disposizioni sulla protezione dei dati, il responsabile può formulare una raccomandazione. L’organo deve dichiarare se intende rispettare la raccomandazione.

4. Se l’organo non rispetta la raccomandazione, il responsabile può disporre le misure corrispondenti. Restano salve le disposizioni temporanee.

5. Il responsabile può divulgare le conoscenze acquisite durante la sua attività, fatte salve le particolari disposizioni di riservatezza, solo nella misura in cui ciò sia necessario per l’adempimento delle sue funzioni. L'obbligo di riservatezza continua anche dopo la cessazione del rapporto di lavoro.

1. Chiunque tratti dati personali per conto di terzi e si comporti intenzionalmente in modo contrario al mandato, è punito su querela con una multa.

1. L'impugnazione delle decisioni adottate in applicazione di questa legge si regola, inclusi i costi del procedimento, secondo la legge sulla procedura amministrativa.

2. Le decisioni del o della delegata per la protezione dei dati sono impugnabili mediante ricorso amministrativo presso il Tribunale cantonale. Sono legittimati a ricorrere gli organi interessati. Il Tribunale cantonale ha anche la facoltà di controllo discrezionale.

1. La prima elezione del o della Responsabile per la Protezione dei Dati per la durata del mandato secondo il § 22 comma 1 ha luogo il 1° gennaio 2022 per il resto del periodo di mandato 2019-2023. L'attuale titolare del mandato esercita la funzione fino al 31 dicembre 2021 e può essere rieletto.

1. La legge entra in vigore il 1º gennaio 1991. È soggetta a referendum facoltativo.