Legge sulla protezione dei dati (Legge cantonale sulla protezione dei dati, kDSG) - Scopo (LPCD)

1. Questo legge mira a proteggere la personalità e i diritti fondamentali delle persone i cui dati vengono trattati.

1. Questo legge si applica al trattamento dei dati delle persone fisiche e giuridiche da parte degli organi cantonali e comunali.

2. Essa non si applica a

1. le azioni non sovrane degli organi durante la partecipazione alla concorrenza economica;

2. i negoziati su cui decidono gli aventi diritto al voto o il Gran Consiglio;

3. processi civili pendenti, procedimenti penali così come procedimenti di diritto pubblico e amministrativo, con esclusione dei procedimenti amministrativi di prima istanza;

4. i registri pubblici del traffico giuridico privato;

5. gli atti amministrativi interni come quaderni e agende che servono come strumenti di lavoro personali.

3. Per le persone private e gli organi federali si applicano le disposizioni della DSG.

1. I seguenti termini significano

1. Dati personali (Dati): tutte le informazioni che si riferiscono a una persona fisica identificata o identificabile;

2. persone interessate: persone fisiche o giuridiche sui cui dati vengono trattati;

3. dati particolarmente sensibili: dati relativi a

a) opinioni o attività religiose, ideologiche, politiche o sindacali;

b) salute, sfera intima o appartenenza razziale;

c) misure di assistenza sociale;

d) procedimenti e sanzioni amministrative o penali;

4. Profilo della personalità: una raccolta di dati che consente la valutazione di aspetti essenziali della personalità di una persona fisica;

5. Trattamento: qualsiasi operazione sui dati, indipendentemente dai mezzi e dalle procedure utilizzati, in particolare la raccolta, la conservazione, l'uso, la modifica, la divulgazione, l'archiviazione o la distruzione dei dati;

6. Divulgazione: rendere accessibili i dati, come consentire la consultazione, la trasmissione o la pubblicazione;

7. Raccolta di dati: qualsiasi insieme di dati organizzato in modo tale che i dati siano accessibili secondo le persone interessate;

8. Organi

a) autorità o uffici amministrativi del cantone, dei comuni e delle associazioni di comuni, nonché enti e istituzioni pubbliche autonome cantonali e comunali di diritto pubblico;

b) persone, nella misura in cui siano incaricate di compiti pubblici da parte di autorità o uffici amministrativi ai sensi della lett. a;

9. Titolare della raccolta di dati: organi che decidono lo scopo e il contenuto della raccolta di dati;

10. Legge in senso formale

a) decreti e decisioni ai sensi dell'art. 3 lett. j DSG;

b) leggi cantonali, regolamenti comunali e tutti gli altri decreti cantonali e comunali soggetti a referendum.

1. I dati possono essere trattati solo in modo lecito.

2. Il loro trattamento deve avvenire secondo buona fede ed essere proporzionato.

3. I dati possono essere trattati solo per lo scopo che

1. è stato indicato al momento della raccolta;

2. è evidente dalle circostanze; o

3. è previsto dalla legge.

4. La raccolta dei dati e, in particolare, la finalità del loro trattamento devono essere riconoscibili dalla persona interessata.

5. Se per il trattamento dei dati è necessario il consenso della persona interessata, tale consenso è valido solo se fornito volontariamente dopo un'adeguata informazione. Nel trattamento di dati particolarmente sensibili o di profili della personalità, il consenso deve inoltre essere esplicito.

1. Chiunque tratti i dati è tenuto a verificarne l'esattezza.

2. Ogni persona interessata può richiedere la rettifica dei dati inesatti.

1. I dati non possono essere comunicati all'estero se ciò comporta un grave rischio per la personalità delle persone interessate, in particolare quando manca una legislazione che garantisca una protezione adeguata.

2. In assenza di una legislazione che garantisca una protezione adeguata, i dati possono essere comunicati all'estero solo se

1. garanzie sufficienti, in particolare attraverso un contratto, assicurano una protezione adeguata all'estero;

2. la persona interessata ha dato il suo consenso caso per caso;

3. la comunicazione è, in casi particolari, essenziale per salvaguardare un interesse pubblico prevalente o per l'accertamento, l'esercizio o la difesa di pretese legali dinanzi al tribunale;

4. la comunicazione è, in casi particolari, necessaria per proteggere la vita o l'integrità fisica della persona interessata;

5. la persona interessata ha reso i dati generalmente accessibili e non ha espressamente vietato la loro elaborazione.

3. L'autorità di vigilanza deve essere informata delle garanzie ai sensi del paragrafo 2 cifra 1.

1. I dati devono essere protetti contro l'elaborazione non autorizzata mediante misure tecniche e organizzative adeguate.

2. Il Consiglio di Stato emana disposizioni sui requisiti minimi per la sicurezza dei dati.

1. **La titolare o il titolare di una raccolta di dati è obbligato a informare la persona interessata sull'acquisizione di dati particolarmente sensibili o profili della personalità. Tale obbligo di informazione sussiste anche quando i dati sono acquisiti presso terzi.**

2. Alla persona interessata devono essere almeno comunicati

1. la titolare o il titolare della raccolta di dati;

2. lo scopo del trattamento dei dati;

3. le categorie dei destinatari dei dati, se è prevista una comunicazione dei dati.

3. Se i dati non sono acquisiti presso la persona interessata, l'informazione deve avvenire al più tardi all'inizio della memorizzazione dei dati o, se si rinuncia alla memorizzazione, al momento della prima comunicazione a terzi.

4. L'obbligo di informazione della titolare o del titolare della raccolta di dati viene meno se la persona interessata è già stata informata o, nei casi di cui al comma 3, se

1. la memorizzazione o la comunicazione dei dati è espressamente prevista da una legge in senso formale;

2. l'informazione non è possibile o lo è solo con un dispendio sproporzionato.

1. Il trattamento dei dati può essere trasferito a terzi tramite accordo o legge quando

1. i dati vengono trattati solo nel modo in cui la committente o il committente stesso sarebbe autorizzato a farlo;

2. nessun obbligo di riservatezza legale o contrattuale lo vieta.

2. La committente o il committente deve accertarsi, in particolare, che il terzo garantisca la sicurezza dei dati.

1. La responsabilità per la protezione dei dati spetta all'ente che tratta o fa trattare i dati nell'adempimento dei propri compiti legali.

2. Se più enti trattano dati da una raccolta comune, in primo luogo la responsabilità ricade sul titolare della raccolta di dati; ciascun ente rimane responsabile per la propria area.

3. Al titolare della raccolta di dati deve essere consentito effettuare controlli sul rispetto delle disposizioni in materia di protezione dei dati presso gli altri enti.

1. Gli organi possono trattare dati se esiste una base legale a tale scopo.

2. I dati particolarmente sensibili e i profili della personalità possono essere trattati solo se una legge in senso formale lo prevede espressamente o, in via eccezionale, quando

1. è indispensabile per un compito chiaramente definito in una legge in senso formale;

2. il Consiglio di Governo lo autorizza caso per caso, poiché i diritti della persona interessata non sono in pericolo;

3. la persona interessata ha acconsentito caso per caso o ha reso generalmente accessibili i propri dati e non ha espressamente vietato il trattamento.

1. In caso di rilevamenti sistematici, in particolare mediante questionari, le autorità comunicano lo scopo e la base giuridica del trattamento, le categorie dei soggetti coinvolti nella raccolta dei dati, nonché i destinatari dei dati.

1. Gli organi possono divulgare dati se esistono le basi legali ai sensi dell'art. 11 o quando

1. i dati sono indispensabili in un caso specifico per la destinataria o il destinatario per adempiere al suo compito legale;

2. la persona interessata ha acconsentito caso per caso;

3. la persona interessata ha reso i suoi dati generalmente accessibili e non ha espressamente vietato la divulgazione; oppure

4. la destinataria o il destinatario dimostra in modo credibile che la persona interessata rifiuta il consenso o blocca la divulgazione per impedire l'esercizio di diritti legali o la tutela di altri interessi degni di protezione; alla persona interessata deve essere data opportunità di esprimere la propria opinione, se possibile.

2. Se esiste un'autorizzazione o un obbligo legale a questo proposito o se l'organo destinatario dei dati dimostra di avere il diritto di trattare i dati richiesti, soggetto alle disposizioni di riservatezza, i dati possono essere resi accessibili agli organi pubblici anche tramite una procedura di recupero. I dati particolarmente degni di protezione e i profili di personalità possono essere resi accessibili tramite una procedura di recupero solo se una legge in senso formale lo prevede espressamente.

3. Gli organi rifiutano la divulgazione, la limitano o la subordinano a condizioni quando richiesto da

1. interessi pubblici sostanziali o interessi della persona interessata evidentemente degni di protezione; oppure

2. obblighi legali di riservatezza o disposizioni specifiche sulla protezione dei dati.

1. L'ufficio controllo abitanti può comunicare a terzi su richiesta

1. Informazioni singole su nome, cognome, sesso e indirizzo attuale (in caso di trasferimento, data e luogo di trasferimento) senza alcuna condizione; la richiesta e l'informazione possono avvenire per iscritto o verbalmente;

2. Informazioni singole su data di nascita, stato civile, luogo d'origine, nazionalità e luogo di provenienza, nella misura in cui venga dimostrato un interesse degno di protezione; la richiesta e l'informazione avvengono per iscritto;

3. Informazioni collettive su nome, cognome, sesso, data di nascita, indirizzo attuale e persone trasferite in un determinato periodo, nella misura in cui

a) venga dimostrato un interesse;

b) i dati vengano utilizzati per uno scopo ideale;

c) la persona fisica o giuridica richiedente abbia residenza o sede nel cantone.

2. Le informazioni collettive possono essere divulgate ordinate in base a una o più delle caratteristiche sopra menzionate. La richiesta e l'informazione avvengono per iscritto. I richiedenti devono impegnarsi con firma a utilizzare i dati esclusivamente per lo scopo indicato e a non divulgarli ulteriormente.

3. ...

1. Una persona interessata, che dimostri un interesse legittimo, può richiedere alla titolare o al titolare della raccolta dati di bloccare la divulgazione di determinati dati.

2. L'organo rifiuta il blocco o lo revoca se

1. esiste un obbligo legale di divulgazione;

2. l'adempimento del suo compito sarebbe altrimenti compromesso.

1. Gli organi possono trattare dati per scopi non personali, in particolare per ricerca, pianificazione e statistica, quando

1. i dati sono anonimizzati non appena lo scopo del trattamento lo consente;

2. il destinatario o la destinataria trasmette i dati solo con il consenso dell'organo;

3. i risultati sono pubblicati in modo che le persone interessate non siano identificabili.

2. Non è necessario soddisfare i requisiti delle seguenti disposizioni

1. Art. 4 comma 3 sullo scopo del trattamento;

2. Art. 11 comma 2 sui fondamenti giuridici per il trattamento di dati particolarmente sensibili e profili di personalità;

3. Art. 13 comma 1 sulla comunicazione dei dati.

1. Luoghi accessibili al pubblico possono essere sorvegliati con dispositivi tecnici, come in particolare dispositivi di registrazione delle immagini, per la protezione di persone e beni, se

1. la sorveglianza è resa riconoscibile in modo adeguato;

2. i dati memorizzati sono cancellati entro e non oltre 30 giorni o entro tale termine sono consegnati alla polizia con una richiesta di procedimento penale o una denuncia penale;

3. l'ufficio di vigilanza è stato informato preventivamente dell'introduzione della sorveglianza.

2. L'uso di dispositivi tecnici può essere disposto dall'istanza che detiene il diritto di utilizzo o la giurisdizione sul luogo da sorvegliare.

1. Se i dati non sono più necessari per l'adempimento di compiti legali o per scopi probatori o di sicurezza, devono essere distrutti, a meno che non siano da archiviare secondo le disposizioni della legislazione sugli archivi.

1. Il cantone, i comuni, le associazioni comunali, nonché le corporazioni e gli enti autonomi di diritto pubblico cantonali e comunali tengono ciascuno un registro pubblico delle raccolte di dati dei loro organi.

2. L'ufficio di vigilanza tiene

1. il registro del cantone;

2. un registro centrale delle altre raccolte di dati registrate.

3. Può impartire istruzioni agli altri obbligati alla tenuta del registro. Le modifiche nel registro devono essere comunicate all'ufficio di vigilanza.

1. Il registro contiene per ogni raccolta di dati informazioni su

1. il titolare o la titolare della raccolta di dati;

2. la base giuridica;

3. lo scopo, i mezzi e il procedimento del trattamento dei dati;

4. la tipologia e la provenienza dei dati;

5. i destinatari regolari dei dati;

6. altri organi coinvolti nella raccolta di dati;

7. il luogo di conservazione delle copie.

2. Non sono da inserire nel registro le raccolte di dati che

1. sono gestite solo per un breve periodo;

2. sono pubblicate legittimamente;

3. rappresentano raccolte di dati ausiliarie.

1. Ogni persona può consultare i registri.

1. Ogni persona può richiedere alla titolare o al titolare di una raccolta di dati informazioni riguardo all'esistenza o al trattamento di dati che la riguardano.

2. La titolare o il titolare della raccolta di dati deve comunicare alla persona interessata

1. tutti i dati presenti nella raccolta che la riguardano, inclusi i dati disponibili sull'origine;

2. lo scopo ed eventualmente le basi giuridiche del trattamento nonché le categorie dei dati trattati, delle persone coinvolte nella raccolta e dei destinatari dei dati.

3. I dati relativi alla salute possono essere comunicati alla persona interessata dalla titolare o dal titolare della raccolta di dati tramite una dottoressa o un dottore da essa o esso designato.

4. Se la titolare o il titolare della raccolta di dati fa trattare i dati da terzi, resta comunque obbligata o obbligato a fornire le informazioni richieste. Il terzo è obbligato a fornire informazioni, se non comunica l’identità della titolare o del titolare, o se questa o questo non ha residenza nel cantone.

5. L'informazione deve di regola essere fornita per iscritto, sotto forma di stampa o fotocopia.

6. Nessuno può rinunciare anticipatamente al diritto di ottenere informazioni.

1. Il titolare della raccolta di dati può rifiutare, limitare o rinviare l'informazione ai sensi dell'art. 8 o la comunicazione ai sensi dell'art. 22 nella misura in cui

1. una legge in senso formale lo preveda;

2. sia necessario a causa di prevalenti interessi pubblici o privati;

3. l'informazione o la comunicazione comprometta lo scopo di un'indagine penale o di un altro procedimento investigativo.

1. Chiunque abbia un interesse degno di protezione può esigere dal titolare della raccolta di dati che egli o ella

1. cessi il trattamento illecito dei dati;

2. elimini le conseguenze di un trattamento illecito;

3. accerti l'illiceità del trattamento.

2. Se non si può provare né la correttezza né l'incorrettezza dei dati, l'organo deve apporre un'apposita annotazione.

3. L'interessato può in particolare richiedere che l'organo

1. rettifichi, distrugga i dati o blocchi la comunicazione a terzi;

2. comunichi la sua decisione, in particolare la rettifica, distruzione, blocco o annotazione sulla contestazione a terzi.

1. Se l'istanza di informazione o di soddisfacimento di un diritto ai sensi dell'art. 24 non viene completamente accolta e la persona interessata lo richiede, l'ente emette una decisione impugnabile.

2. Questa deve essere inoltre comunicata all'autorità di vigilanza.

1. Il Consiglio di governo elegge per la durata del mandato costituzionale un incaricato o un'incaricata per la protezione dei dati come autorità di vigilanza.

2. L'autorità di vigilanza svolge i suoi compiti in modo indipendente ed è amministrativamente assegnata alla Cancelleria di Stato.

3. Il Consiglio di governo può conferire i compiti dell'autorità di vigilanza a un'istituzione di un altro cantone o istituire un'autorità di vigilanza comune con altri cantoni.

1. L'autorità di vigilanza è l'organo di controllo ai sensi dell'art. 37 comma 2 DSG e

1. sorveglia l'osservanza delle disposizioni sulla protezione dei dati da parte degli organi, effettuando controlli d'ufficio o su segnalazione;

2. consiglia gli organi su questioni relative alla protezione dei dati;

3. fornisce alle persone interessate informazioni sui loro diritti;

4. media tra gli organi e le persone interessate in tutte le dispute relative alla protezione dei dati;

5. esprime precocemente pareri su decreti e progetti che possono coinvolgere aspetti della protezione dei dati, in particolare ai fini di un controllo preventivo in caso di trattamento dati previsto con rischi particolari per i diritti e le libertà delle persone;

6. informa gli organi su questioni essenziali riguardanti la protezione dei dati;

7. pubblica pareri e considerazioni;

8. collabora con organi di controllo di altri cantoni, della Confederazione e dell'estero;

9. presenta annualmente un rapporto al Consiglio di Stato, che viene reso accessibile al pubblico.

1. L'autorità di vigilanza può, indipendentemente da eventuali disposizioni di segretezza, ottenere informazioni dagli organi sulla gestione dei dati, prendere visione delle collezioni di dati, documenti e fascicoli e farsi dimostrare la gestione dei dati. Può avvalersi di esperte ed esperti esterni per compiti specifici.

2. È soggetta alle stesse disposizioni di segretezza dell'organo che gestisce i dati, anche dopo la cessazione dell'esercizio professionale.

3. Gli organi sono obbligati a supportare l'autorità di vigilanza nell'adempimento dei suoi compiti.

1. Se le indagini della sede di controllo rivelano che le norme sulla protezione dei dati sono state violate, essa raccomanda al titolare della raccolta di dati di modificare o cessare il trattamento.

2. Essa comunica le sue raccomandazioni

1. alle autorità o agli uffici amministrativi

a) del Cantone alla direzione competente o alla Cancelleria di Stato;

b) dei Comuni al consiglio amministrativo;

c) delle associazioni comunali al consiglio direttivo;

d) degli enti e istituzioni pubbliche autonome di diritto cantonale e comunale alla direzione generale;

2. alle persone, nella misura in cui siano incaricate di compiti pubblici, l'istanza da informare secondo il punto 1.

1. Se una raccomandazione non viene seguita o viene respinta, l'autorità di vigilanza può presentare la questione all'istanza competente per la decisione.

2. La decisione viene comunicata alla persona interessata e all'autorità di vigilanza sotto forma di disposizione.

1. Le disposizioni basate sull’Articolo 25 e Articolo 30 in combinato disposto con l’Articolo 29 comma 2 cifra 1 lett. a-c possono essere impugnate con ricorso al Consiglio di Stato entro 20 giorni dalla notificazione.

2. Le restanti disposizioni e le decisioni in merito al ricorso del Consiglio di Stato possono essere impugnate con ricorso al Tribunale Amministrativo entro 20 giorni dalla notificazione.

1. L'autorità di vigilanza può esperire i mezzi di ricorso previsti dal diritto cantonale.

1. Gli organi e l'ufficio di vigilanza non impongono tasse per le richieste di persone che esercitano i diritti di controllo a loro spettanti secondo questa legge.

2. Può essere richiesta una tassa fino a un massimo di Fr. 1'000.- alle persone richiedenti nei casi di

1. Richieste che richiedono un grande sforzo;

2. Richieste ripetute o presentate in modo abusivo.

3. È fatta salva l'obbligatorietà di una tassa secondo la legislazione sulle tariffe per la divulgazione di dati a terzi, a meno che essa non serva esclusivamente a scopi ideali.

1. Con una multa fino a Fr. 100'000.- è punito

1. chi non utilizza le informazioni collettive ai sensi dell'art. 14 cpv. 1 n. 3 per scopi ideali o le divulga a terzi;

2. chi utilizza impropriamente i dati forniti per scopi non personali ai sensi dell'art. 16 o li divulga a terzi.

1. I registri delle raccolte di dati devono essere creati entro un anno dall'entrata in vigore della presente legge.

2. Le raccolte di dati devono essere adeguate alla nuova normativa entro due anni dall'entrata in vigore della presente legge. Il Consiglio di Stato può prorogare questo termine per singole raccolte di dati per motivi importanti.

1. La legge del 27 aprile 1980 sull'insediamento degli svizzeri è modificata come segue: ...

1. La legge del 3 giugno 1998 sul rapporto di lavoro di diritto pubblico (Legge sul personale) viene modificata come segue: ...

1. Il Regolamento del 12 giugno 1975 sull’Archivio di Stato è modificato come segue: ...

1. La legge del 26 aprile 1987 sulla polizia (Legge sulla polizia) è modificata come segue: ...

1. Il Consiglio di Stato emana le disposizioni necessarie per l'esecuzione di questa legge.

1. Questa legge è soggetta a referendum facoltativo.

2. Il Consiglio del governo stabilisce la data di entrata in vigore.