Legge sulla protezione dei dati (legge sulla protezione dei dati, kDSG) (Datenschutzgesetz, kDSG) - Ambito di applicazione

1. Questa legge disciplina il trattamento dei dati delle persone fisiche da parte degli organi pubblici.

2. Si applica alle autorità e uffici cantonali e comunali, nonché ad altri enti e istituzioni di diritto pubblico e a persone, nella misura in cui svolgono compiti pubblici.

3. La legge non si applica a

a. organi pubblici che agiscono secondo il diritto privato;

b.-d. * ...

e. strumenti di lavoro interni all'amministrazione che servono all'uso personale.

4. Si riservano le disposizioni in materia di protezione dei dati nella legislazione di settore, in particolare in merito al trattamento degli atti giudiziari, dei dati dei pazienti e dei dati del controllo degli abitanti.

5. Nei procedimenti di diritto civile, penale e amministrativo, i diritti e le pretese delle persone interessate si conformano al diritto procedurale applicabile. Alle procedure amministrative di primo grado si applicano le disposizioni di questa legge.

1. Laddove questa legge non contenga disposizioni divergenti, si applicano, mutatis mutandis, le disposizioni della legge federale sulla protezione dei dati (LPD).

2. Se gli organi pubblici trattano congiuntamente o con terzi dati personali da una raccolta di dati, il titolare della raccolta di dati ne assume la responsabilità; ciascun organo pubblico rimane responsabile per il proprio ambito.

3. L'organo pubblico deve essere in grado di dimostrare di rispettare le disposizioni in materia di protezione dei dati.

4. Gli organi penali ed esecutivi ai sensi dell'art. 3 n. 7 della direttiva (UE) 2016/680 notificano all'autorità da cui i dati personali provengono, nonché ai destinatari a cui i dati personali sono stati comunicati, le misure correttive adottate, nella misura in cui ciò sia possibile con sforzo proporzionale.

1. I dati personali devono di regola essere raccolti presso la persona interessata o dalla raccolta di dati di un ente pubblico.

2. Un'acquisizione differente dei dati personali è eccezionalmente consentita, nella misura in cui ciò non sia in contrasto con la presente legge.

3. ...

1. Se una valutazione d'impatto sulla protezione dei dati effettuata dalle autorità penali e di esecuzione penale ai sensi dell'articolo 3, punto 7, della direttiva (UE) 2016/680 dimostra che il trattamento previsto dei dati personali comporta elevati rischi per i diritti e le libertà della persona interessata, nonostante le misure previste, l'organismo pianificante deve ottenere preventivamente il parere del responsabile della protezione dei dati.

2. Il responsabile della protezione dei dati comunica all'organismo pianificante, entro due mesi, le sue obiezioni rispetto al trattamento previsto. Questo termine può essere prorogato di un mese in caso di trattamento dei dati complesso.

3. Il responsabile della protezione dei dati può indicare le operazioni di trattamento dei dati che devono essergli sottoposte.

1. Le autorità incaricate dell'applicazione delle pene e dell'esecuzione delle stesse ai sensi dell'art. 3 punto 7 della direttiva (UE) 2016/680 tengono i registri necessari delle loro attività di trattamento dei dati e rendono tali registri disponibili su richiesta della persona incaricata della protezione dei dati.

2-3

...

1. Gli organi competenti per le sanzioni e l'esecuzione delle stesse ai sensi dell'art. 3, paragrafo 7 della Direttiva (UE) 2016/680 designano all'interno della loro unità organizzativa una persona responsabile della protezione dei dati (consulente per la protezione dei dati). La competenza non comprende l'attività giudiziaria dei tribunali e degli altri organi indipendenti di giustizia penale.

2. Il Consiglio di Stato e la Corte Suprema possono designare una persona comune per più unità organizzative.

3. Il consulente per la protezione dei dati esegue anche la valutazione d'impatto sulla protezione dei dati.

1. Gli organi pubblici ai sensi dell'articolo 5 del Regolamento sull'Archivio di Stato offrono all'Archivio di Stato tutti i dati personali di cui non necessitano più costantemente.

1a. Gli organi competenti in materia penale e di esecuzione delle pene ai sensi dell'articolo 3, punto 7, della Direttiva (UE) 2016/680 stabiliscono termini per la conservazione o la valutazione di tutti i dati personali per determinare se siano ancora necessari per l'adempimento dei compiti o se debbano essere offerti all'Archivio di Stato.

2. Gli organi pubblici distruggono i dati personali designati dall'Archivio di Stato come non degni di archiviazione, a meno che tali dati

a. siano anonimi e continuino ad essere utilizzati per scopi ufficiali o statistici;

b. debbano essere conservati per motivi probatori o di sicurezza.

3. Per gli organi pubblici comunali si applicano mutatis mutandis i paragrafi 1 e 2.

1. Luoghi accessibili al pubblico possono essere sorvegliati con apparecchiature tecniche per la protezione delle persone e delle cose, se

a. la sorveglianza viene resa riconoscibile in modo adeguato;

b. i dati personali memorizzati vengono cancellati al massimo entro 100 giorni oppure, entro questo termine, consegnati alla polizia con una querela o una denuncia penale e

c. * la persona incaricata della protezione dei dati è stata informata anticipatamente sull'introduzione di una sorveglianza.

2. L'installazione di dispositivi di sorveglianza è disposta da quell'ente pubblico al quale spetta il diritto d'uso o la sovranità sul luogo da sorvegliare.

1. I dati personali e i dati di persone giuridiche, inclusi i dati particolarmente sensibili, possono essere trattati dagli organi pubblici in sistemi elettronici di informazione, gestione degli affari e archiviazione dei dati, qualora essi servano a

a. trattare affari;

b. organizzare flussi di lavoro;

c. determinare se i dati riguardanti una specifica persona siano trattati;

d. facilitare l'accesso ai documenti ufficiali;

e. adempiere ai compiti legali.

2. L'accesso ai dati personali e ai dati di persone giuridiche, inclusi i dati particolarmente sensibili, può essere concesso ad altri organi pubblici o a terzi, qualora esista una base legale necessaria per la divulgazione.

1. Il Consiglio di Stato è competente, a livello cantonale, per quegli atti, disposizioni e decisioni che, secondo la legislazione federale sulla protezione dei dati, spettano al Consiglio federale a livello federale.

2. Emette le disposizioni esecutive necessarie per l'attuazione. Può in particolare disciplinare i seguenti ambiti in dettaglio

a. * Trattamento, acquisizione, divulgazione, conservazione, forme particolari di trattamento nel quadro del diritto federale (Art. 2 cpv. 1 di questa legge);

b. Responsabilità nell'elaborazione congiunta di dati da parte di più enti pubblici (Art. 2 cpv. 2 di questa legge);

c. * Requisiti minimi per la sicurezza dei dati (Art. 8 LPD);

d. * ...

e. * Modalità del diritto di accesso (Art. 25-29 LPD);

f. * Diritto a misure (Art. 41 LPD);

g. * Atti ufficiali a pagamento;

h. * Prova della protezione dei dati (Art. 2 cpv. 3 di questa legge);

i. * Registro delle attività di trattamento dei dati (Art. 5 di questa legge);

j. * Persona di consulenza per la protezione dei dati (Art. 5a di questa legge);

k. * Sistemi di informazione, gestione degli affari e archiviazione dei dati (Art. 7a di questa legge);

l. * Contenuto e portata della valutazione d'impatto sulla protezione dei dati (Art. 22 LPD).

3. Il Tribunale superiore emette, nel suo ambito di supervisione, i regolamenti necessari per l'attuazione, in particolare quelli per gli organi penali ed esecutivi conformemente all'Art. 3 n. 7 della Direttiva (UE) 2016/680.

4. Il Consiglio di Stato e il Tribunale superiore possono dichiarare applicabili ad altri enti pubblici le normative per gli organi penali ed esecutivi conformemente all'Art. 3 n. 7 della Direttiva (UE) 2016/680.

1. Il Consiglio cantonale elegge per la durata del mandato costituzionale una persona quale incaricato per la protezione dei dati, nonché un sostituto.

2. L'incaricato per la protezione dei dati svolge il proprio compito in maniera indipendente e autonoma; le disposizioni degli artt. 21 e seguenti della legge sull'organizzazione giudiziaria concernenti l'amministrazione giudiziaria si applicano per analogia.

3. Egli è soggetto alla vigilanza del Consiglio cantonale. Amministrativamente è attribuito a un dipartimento o alla Cancelleria di Stato.

4. L'incaricato, il sostituto e i loro collaboratori sono soggetti alle stesse disposizioni di riservatezza dell'organo pubblico che tratta i dati; ciò vale anche dopo la cessazione della funzione.

5. Il Consiglio di Stato può, nel rispetto del diritto di elezione e di vigilanza del Consiglio cantonale, assegnare, mediante accordo, i compiti dell'incaricato per la protezione dei dati a una persona o ente idoneo di un altro cantone oppure istituire, insieme ad altri cantoni, un organo comune per tali compiti.

1. ...

2. La persona incaricata per la protezione dei dati

a. sorveglia l'applicazione delle norme sulla protezione dei dati;

b. * consiglia gli organi pubblici e le persone interessate su questioni di protezione dei dati;

b1. * sensibilizza gli organi pubblici sui loro obblighi in materia di protezione dei dati e il pubblico sui problemi legati alla protezione dei dati;

c. esprime pareri su progetti di decreti e su misure di grande importanza per la protezione dei dati;

d. rende conto delle sue attività.

3. La persona incaricata per la protezione dei dati svolge questi compiti in particolare

a. eseguendo controlli presso gli organi pubblici;

b. * esprimendo pareri nell'ambito delle consultazioni preliminari;

c. * trattando le osservazioni e le notifiche che riguardano la protezione dei dati;

d. * ...

e. collaborando con gli organi di controllo di altri cantoni, della Confederazione e dell’estero;

f. * redigendo un rapporto d'attività a beneficio del Consiglio cantonale.

4. La persona incaricata per la protezione dei dati può pubblicare rilievi e misure importanti nel campo della protezione dei dati.

1. La persona incaricata della protezione dei dati è autorizzata, indipendentemente da eventuali obblighi di riservatezza, presso gli enti pubblici o i terzi incaricati

a. a richiedere tutte le informazioni necessarie per l'adempimento del mandato di controllo riguardanti i dati e il loro trattamento;

b. a prendere visione di tutte le raccolte di dati, documenti e atti;

c. a effettuare ispezioni;

d. a farsi dimostrare i trattamenti.

2. Può avvalersi di esperti per singoli incarichi.

3. Gli enti pubblici sono obbligati a supportare la persona incaricata della protezione dei dati nell'adempimento del suo compito.

1. Esclusioni dalla vigilanza della persona incaricata della protezione dei dati

a. il Gran Consiglio;

b. il Consiglio di Stato;

c. le autorità giudiziarie nell'ambito della loro attività giurisdizionale;

d. il Pubblico Ministero nell'ambito della sua attività nel procedimento penale;

e. gli altri organi pubblici cantonali e comunali nell'ambito della loro attività giurisdizionale.

1. Il procedimento è disciplinato dalla Legge sull'Amministrazione dello Stato.

1. Qualora la richiesta di una persona, in particolare per informazioni, accesso o soddisfacimento di un diritto ai sensi dell'articolo 25 della Legge federale sulla protezione dei dati, non venga soddisfatta integralmente, l'ente pubblico emette una decisione impugnabile, se la persona interessata lo richiede.

2. La decisione deve essere comunicata anche al responsabile della protezione dei dati, al quale spetta il diritto di ricorso.

1. La persona incaricata della protezione dei dati agisce d'ufficio o su segnalazione.

2. Essa chiarisce i fatti di propria iniziativa.

3. Se l'accertamento dimostra che sono state violate disposizioni sulla protezione dei dati, la persona incaricata della protezione dei dati propone all'organo pubblico opportune misure. L'autorità superiore deve essere informata.

4. Se la proposta non viene accettata integralmente, la persona incaricata della protezione dei dati può, in caso di violazioni significative della protezione dei dati, emettere una decisione impugnabile. Nei confronti del tribunale superiore e del tribunale amministrativo non può essere emessa nessuna decisione.

5. Sia l'organo pubblico sia la persona incaricata della protezione dei dati hanno il diritto di ricorso. L'organo pubblico competente per la presentazione del ricorso si determina analogamente all'art. 10 cpv. 1 e le istanze di ricorso da adire si determinano secondo l'art. 10 cpv. 3 della legge sul principio di trasparenza.

1. Accesso e ispezione da parte dell'interessato sono generalmente gratuiti.

1. Con multa o reclusione fino a tre anni è punito chi

a. come terzo elabora dati personali per conto di un ente pubblico e ne fa un uso contrario al mandato o li divulga;

b. come terzo riceve dati personali da un ente pubblico per scopi non personali e ne fa un uso improprio o li divulga.

2. Inoltre, si applicano le disposizioni della legge sul diritto penale cantonale.

1. Le disposizioni si applicano ai trattamenti dei dati effettuati dopo l'entrata in vigore di questa legge.

2. Il trattamento delle raccolte di dati esistenti deve essere adeguato alla nuova normativa entro due anni dall'entrata in vigore di questa legge.

1. ...

1. Il Consiglio di governo determina quando questa legge entrerà in vigore. È soggetta a referendum facoltativo.