Ordinanza cantonale sulla protezione dei dati (KDSV) - Elaborazione Non Autorizzata (KDSV)

1. Il trattamento dei dati personali è non autorizzato se viola le disposizioni della Legge Cantonale sulla Protezione dei Dati Personali (Legge Cantonale sulla Protezione dei Dati, LCPD) del 2 luglio 1990, il diritto costituzionale scritto e non scritto della Confederazione o del Cantone, o l'ordinamento giuridico restante.

1. Il trattamento dei dati personali è proporzionato quando

a. le modalità di trattamento e il contenuto dei dati personali sono idonei a consentire l'adempimento del compito pubblico o, con riserva del § 5 comma 2b KDSG, a facilitarlo, e

b. tra le diverse modalità di trattamento e categorie di dati personali possibili, vengono scelte quelle che tutelano maggiormente la personalità della persona interessata; le impostazioni tecniche predefinite devono essere configurate in modo che il trattamento sia limitato al minimo necessario per lo scopo di utilizzo.

1. L'accesso libero e non supervisionato ai locali in cui vengono trattati i dati personali è consentito solo alle persone nell'ambito dei loro doveri di servizio.

2. Gli organi determinano le persone autorizzate a trattare i dati personali e i loro diritti di accesso. L'accesso ai dati personali deve essere limitato al gruppo di persone che necessita dei dati per svolgere le proprie mansioni.

2bis. Gli organi stabiliscono le ulteriori misure tecniche e organizzative per il rispetto della protezione dei dati, compresa la sicurezza dei dati. Le misure devono essere previste sin dalla pianificazione del trattamento dei dati e i dati personali devono essere in particolare protetti da visualizzazioni, modifiche, cancellazioni e trasmissioni non autorizzate.

3. Nell'uso di strumenti informatici devono essere osservate le disposizioni del regolamento sulla sicurezza informatica del 22 novembre 2016.

4. Ogni trattamento di dati derivanti da banche dati collegate deve essere registrato. I registri degli accessi possono essere visionati solo dal responsabile della protezione dei dati o, in caso di sospetto di violazione delle norme dell'ordinamento giuridico, dall'autorità investigativa. Questi registri devono essere conservati per sei mesi o comunque entro la conclusione di una procedura penale, civile o amministrativa, e successivamente distrutti.

1. L'organo responsabile deve poter dimostrare il rispetto delle disposizioni in materia di protezione dei dati. Può fornire la prova in particolare attraverso

a. Regolamenti interni e altre determinazioni generali relative ai processi aziendali e all'organizzazione operativa,

b. Istruzioni relative al trattamento dei dati e alla gestione dei dati personali, compresa la cancellazione e l'archiviazione,

c. Concetti di sicurezza informatica e protezione dei dati secondo l'articolo 9 del Regolamento di sicurezza informatica,

d. Concetti per l'accesso alle informazioni e agli strumenti informatici secondo l'articolo 13 del Regolamento di sicurezza informatica,

e. Rapporti per garantire la sicurezza dei dati personali, in particolare dopo incidenti di protezione dei dati (articolo 6b),

f. Valutazioni d'impatto sulla protezione dei dati (articolo 6c),

g. Registri, in particolare il registro delle attività di trattamento dei dati (articolo 9),

h. Altra documentazione e mezzi di supporto per un'elaborazione sicura dei dati.

2. La documentazione disponibile secondo il comma 1 deve essere messa a disposizione del responsabile per la protezione dei dati su richiesta.

1. L'organo responsabile adotta misure correttive in caso di trattamenti di dati non autorizzati e valuta il rischio di violazioni della personalità e dei diritti fondamentali. Gli incidenti di protezione dei dati devono essere documentati.

2. Un alto rischio ai sensi del § 7 comma 1 KDSG esiste in particolare quando sono coinvolti dati personali particolarmente sensibili o un gran numero di persone, oppure quando il possibile danno per le persone coinvolte è grave.

3. Gli incidenti di protezione dei dati ad alto rischio devono essere notificati al responsabile della protezione dei dati non oltre tre giorni dal loro riconoscimento. La notifica deve contenere almeno informazioni su

a. il tipo di violazione della sicurezza dei dati,

b. la categoria dei dati personali e delle persone coinvolte nonché, se possibile, il numero delle persone coinvolte,

c. gli effetti probabili per le persone coinvolte,

d. le misure di protezione attuate o pianificate o le misure per rimediare alle conseguenze della violazione della sicurezza dei dati.

4. Gli incaricati al trattamento dei dati devono segnalare gli avvenimenti ai sensi del comma 1 all'organo responsabile.

5. Il responsabile della protezione dei dati fornisce una procedura di notifica. Egli o ella può fornire all'organo responsabile raccomandazioni per valutazioni del rischio.

1. L'organo responsabile effettua una valutazione delle conseguenze per la protezione dei dati personali nei progetti di trattamento dei dati, in particolare in occasione dell'introduzione e dello sviluppo tecnico di strumenti informatici. Valuta il rischio di violazioni della personalità e dei diritti fondamentali.

2. Un alto rischio ai sensi del § 7a paragrafo 1 KDSG esiste in particolare quando per il trattamento dei dati sono previste nuove forme tecniche di elaborazione, un profiling o una procedura di accesso, o quando dati personali particolarmente meritevoli di protezione vengono elaborati su larga scala o da più organi in banche dati collegate.

3. La valutazione dell'impatto sulla protezione dei dati contiene informazioni su

a. il trattamento dei dati,

b. i rischi per la personalità e i diritti fondamentali delle persone interessate e la loro valutazione,

c. le misure tecniche e organizzative previste per ridurre i rischi di violazione della personalità e dei diritti fondamentali delle persone interessate.

4. Ci si può astenere dalla valutazione dell'impatto sulla protezione dei dati e dalla consultazione preventiva nella misura in cui la partecipazione del responsabile o dei responsabili della protezione dei dati ai sensi del paragrafo 3 sia garantita nell'organizzazione del progetto dell'iniziativa o nel processo di consultazione per un atto normativo.

1. Il Pubblico Ministero, la Polizia di Lucerna e, per il settore dell'esecuzione penale, il Servizio Militare, Protezione Civile e Esecuzione Penale designano un consulente per la protezione dei dati o una consulente per la protezione dei dati. Le altre unità amministrative cantonali possono designare un consulente per la protezione dei dati o una consulente per la protezione dei dati.

2. Il nome e i dati di contatto del consulente per la protezione dei dati o della consulente per la protezione dei dati devono essere comunicati e pubblicati al o alla responsabile della protezione dei dati.

3. Il o la responsabile per la protezione dei dati si occupa della formazione dei consulenti e delle consulenti per la protezione dei dati.

1. Salvo che una disposizione di legge non lo imponga o lo autorizzi, i dati personali trattati dalla polizia al di fuori di procedimenti penali pendenti per la prevenzione o il perseguimento di reati, possono essere comunicati a organi non di polizia o a terzi solo su richiesta scritta e solo con il consenso del capo del Dipartimento di giustizia e sicurezza. Nella richiesta deve essere dimostrato che sono soddisfatte le condizioni di cui al § 9 comma 1b rispettivamente § 10 comma 1b KDSG.

2. Per la comunicazione di determinati dati personali, il capo del Dipartimento di giustizia e sicurezza può delegare la sua competenza a dare il consenso ai comandanti di polizia.

1. L'anonimizzazione dei dati personali per la divulgazione in applicazione del principio di trasparenza comprende la modifica dei dati personali, inclusa l'informazione relativa alle condizioni personali, in modo tale che le informazioni non possano essere più associate a una persona fisica identificata o identificabile, oppure lo possano solo con uno sforzo sproporzionato.

2. L'interesse pubblico alle informazioni ufficiali può eccezionalmente prevalere sull'interesse alla riservatezza dei dati personali, in particolare quando

a. la divulgazione serve un particolare interesse informativo pubblico, in particolare riguardo a eventi di grande rilevanza nell'amministrazione, oppure

b. la persona interessata ha un rapporto giuridico o di fatto con la comunità che le procura vantaggi significativi, in particolare attraverso l'erogazione di contributi statali.

3. I termini per ottenere il consenso o per udire le persone interessate secondo il § 11a commi 3 e 4 KDSG sono generalmente di 10 giorni.

1. Sulla pubblicazione dei dati personali possono essere divulgati

a. per gli elenchi telefonici e opere di consultazione simili: nome, cognome, titolo, azienda e indirizzo di persone e società di persone, nonché la loro proprietà immobiliare al luogo di residenza o sede;

b. * per il registro dei detentori di veicoli e delle detentrici di navi: nome, cognome o ragione sociale e indirizzo di titolari di una targa di controllo;

c. per l'annuario di Stato, elenchi delle autorità e opere di consultazione simili: nome, cognome, titolo, professione, anno di nascita, indirizzo, luogo di origine nonché funzione di persone che sono o sono state nel servizio pubblico;

d. per riviste e altre pubblicazioni periodiche e comunicazioni: dati personali in relazione a nascite, decessi, pubblicazioni e matrimoni secondo la misura del regolamento sullo stato civile.

2. Fatte salve le restrizioni sui dati personali ai sensi del § 11 comma 4 KDSG e altre eccezioni legalmente ammesse alla pubblicazione.

3. Non sussiste alcun diritto legale alla divulgazione dei dati personali ai sensi del comma 1.

1. L'organo notificatore informa il responsabile o la responsabile della protezione dei dati, prima della comunicazione transfrontaliera, delle garanzie secondo il § 12a comma 2a KDSG. Se l'informazione preventiva non è possibile, essa deve avvenire immediatamente dopo la comunicazione.

2. L'obbligo di informazione si considera assolto per tutte le comunicazioni effettuate sotto le stesse garanzie, a condizione che le categorie dei destinatari, lo scopo del trattamento e le categorie dei dati rimangano invariati.

3. L'organo notificatore adotta misure adeguate per garantire che il destinatario rispetti le garanzie.

1. Il Pubblico Ministero, la Polizia del Cantone di Lucerna e, per quanto concerne l'ambito dell'esecuzione penale, la Direzione Militari, Protezione Civile ed Esecuzione Penale mantengono un registro completo delle procedure in cui vengono trattati i dati personali.

2. Pubblicano sul loro sito web le informazioni minime secondo il § 14 comma 2 KDSG.

3. Il registro può includere informazioni aggiuntive riguardanti

a. l'effettuazione di profilazioni,

b. la comunicazione di dati personali all'estero,

c. i termini di cancellazione,

d. misure tecniche ed organizzative di trattamento dati ai sensi del § 6.

4. Se il trattamento di dati personali è affidato ad un altro organo o a terzi, l'organo responsabile assicura che l'incaricato del trattamento dei dati crei il registro delle attività di trattamento dei dati.

1. La richiesta della persona interessata per l'accesso ai dati personali della polizia deve essere presentata per iscritto al comando della Polizia di Lucerna.

2. Qualora l'accesso ai sensi del § 19 comma 2 della legge venga negato, la decisione può stabilire che non vi siano dati personali da trattare sui quali è necessario fornire informazioni.

1. L'accesso ai dati personali, l'informazione sui dati personali nonché la loro rettifica o eliminazione sono di norma gratuiti.

2. Possono essere addebitati dei costi se il trattamento di una richiesta richiede un carico amministrativo sproporzionato o se la persona interessata esamina ripetutamente gli stessi dati o chiede informazioni sugli stessi.

1. I registri delle attività di trattamento dei dati ai sensi del § 9 devono essere creati entro il 1° settembre 2022.

1. Il regolamento entra in vigore il 1º marzo 1991. Deve essere pubblicato.