Legge sulla protezione dei dati (DSG) - Definizioni (DSG)

1. In questo decreto si intendono

a)* Dati personali: informazioni che si riferiscono a una persona fisica identificata o identificabile;

b) dati personali particolarmente degni di protezione: informazioni su

1. opinioni e attività religiose, filosofiche e politiche. Sono esclusi i dati sull'appartenenza a una comunità religiosa, un'organizzazione o un partito politico, se la persona interessata li ha resi noti volontariamente o è candidata per una carica pubblica;

2.* salute, sfera intima e appartenenza etnica;

2bis.* dati genetici;

2ter.* dati biometrici che identificano in modo univoco una persona fisica;

3. prestazioni e misure di assistenza sociale;

4. procedimenti e sanzioni di natura penale nonché disciplinare;

c)* persona interessata: persona fisica i cui dati personali sono trattati;

d) profilo della personalità: compilazione di dati personali che permette la valutazione della personalità di una persona fisica;

dbis)* profilazione: qualsiasi tipo di trattamento automatizzato di dati personali consistente nell'utilizzare tali dati per valutare determinati aspetti personali riguardanti una persona fisica, in particolare per analizzare o prevedere aspetti relativi a prestazioni lavorative, situazione economica, salute, preferenze personali, interessi, affidabilità, comportamento, ubicazione o spostamenti di tale persona fisica;

e)* trattamento: qualsiasi operazione con i dati personali, indipendentemente dai mezzi e procedure applicate, in particolare l'acquisizione, conservazione, utilizzo, modifica, divulgazione, archiviazione, cancellazione o distruzione di dati personali e l'esecuzione di operazioni logiche o aritmetiche con questi dati personali;

ebis)* violazione della sicurezza dei dati: qualsiasi violazione della sicurezza che, a prescindere dall'intenzionalità o dalla legalità, provoca la perdita, cancellazione, distruzione o alterazione di dati personali o la loro divulgazione o accesso non autorizzato;

f) divulgazione di dati personali: rendere accessibili dati personali e concedere l’accesso, condivisione e pubblicazione;

g) raccolta di dati: insieme di dati personali che è organizzato o può essere organizzato per persone;

h)* organo pubblico: organo, autorità o ufficio di

1. Cantone;

2. ente autonomo di diritto pubblico del Cantone;

3. Comune;

4. impresa autonoma di diritto pubblico del Comune;

5. consorzio di comuni e associazione di scopo;

i) destinatario o destinataria: persona fisica o giuridica che riceve dati personali dall'organo pubblico;

j) ufficio per la protezione dei dati: organo istituito dal Cantone e dal Comune per la supervisione e consulenza in materia di protezione dei dati;

k) base giuridica: decreto con disposizioni generalmente vincolanti, in particolare legge e regolamento. Al regolamento sono equiparate le disposizioni esecutive delle comunità esentate dal referendum facoltativo;

l) legge: decreto che, ai sensi dell'art. 67 della Costituzione cantonale del 10 giugno 2001, è stato esplicitamente o tacitamente accettato dagli aventi diritto di voto, e gli accordi interstatali ai quali, in base al loro contenuto, è attribuito rango costituzionale o legislativo. Alla legge sono equiparati l'ordinamento comunale, nonché il regolamento costitutivo e l'accordo costitutivo.

1. Questo decreto disciplina il trattamento dei dati personali da parte degli enti pubblici.

1bis. I privati sono equiparati agli enti pubblici quando svolgono compiti statali.

2. Non si applica

a) quando l'ente pubblico partecipa alla concorrenza economica senza agire in qualità di autorità sovrana;

b) ai dati personali trattati da una persona fisica in un rapporto di servizio o di mandato con l'ente pubblico per uso esclusivamente personale, purché tali dati non vengano consegnati né resi accessibili ad altre persone;

c)* ...

d) ai dati personali conservati permanentemente dall'archivio competente di Cantone e Comune.

3. Nei procedimenti pendenti di diritto civile, penale e amministrativo giudiziario, così come nei procedimenti di assistenza giudiziaria pendenti, i diritti e le pretese sono disciplinati dal rispettivo diritto processuale.

1. Non si applicano nell'ambito della statistica cantonale

a) l'art. 4 cpv. 1 del presente decreto nell'uso di dati per scopi statistici;

b) l'art. 4 cpv. 2 del presente decreto sulla rilevazione indiretta di dati statistici secondo la legge sulla statistica.

1. Chi tratta o fa trattare dati personali è responsabile del rispetto della protezione dei dati.

2. Se diversi organi pubblici trattano dati personali di una raccolta di dati, designano l'organo responsabile del rispetto della protezione dei dati. In caso di disaccordo, decide l'ufficio specializzato cantonale per la protezione dei dati.

3. L'organo pubblico ha l'onere della prova per quanto riguarda il rispetto delle disposizioni sulla protezione dei dati.

1. L'ente pubblico tratta i dati personali in conformità allo scopo stabilito nella base giuridica, indicato al momento della raccolta o evidente dalle circostanze.

2. Garantisce che la raccolta dei dati personali e lo scopo del loro trattamento siano riconoscibili per la persona interessata e che i dati personali siano corretti e, in conformità all'uso, completi.

3. Adotta misure organizzative e tecniche per la protezione dei dati dalla perdita e dal furto, così come dall'accesso e dal trattamento non autorizzati.

1. Il trattamento dei dati personali è consentito quando esiste una base giuridica o il trattamento è necessario per l'adempimento di un compito legale.

2. Il trattamento di dati personali particolarmente meritevoli di protezione, profili della personalità e profilazione è consentito quando

a) la legge prevede il trattamento oppure

b) il trattamento è indispensabile per l'adempimento di un compito legale oppure

c) la persona interessata

1. ha dato il proprio consenso esplicito caso per caso dopo essere stata informata dello scopo e della natura del trattamento previsto oppure

2. ha reso i suoi dati generalmente accessibili.

1. L'organo pubblico comunica, in caso di raccolta sistematica di dati personali tramite questionario o altre forme di indagine su un gran numero di persone

a) lo scopo e la base legale del trattamento;

b) l'autorità o il servizio coinvolto nella raccolta;

c) le categorie dei destinatari dei dati personali raccolti.

1. L'organo pubblico anonimizza i dati personali che tratta per uno scopo non personale, in particolare per statistica, pianificazione e ricerca, non appena lo scopo del trattamento consente l'anonimizzazione.

2. Si assicura che, al momento della divulgazione del risultato, siano escluse deduzioni sulle persone interessate.

3. Può cedere a un altro organo pubblico o a terzi i dati personali per il trattamento a fini non personali, a condizione che il destinatario offra garanzie e si impegni per iscritto a

a) rispettare gli obblighi di cui ai paragrafi 1 e 2 di questa disposizione;

b) non divulgare i dati personali.

1. L'organo pubblico redige anticipatamente una valutazione d'impatto sulla protezione dei dati quando un trattamento può comportare un rischio elevato per i diritti fondamentali della persona interessata. Se sono previsti più procedimenti di trattamento simili, può essere redatta una valutazione comune.

2. Il rischio elevato deriva, in particolare nell'uso di nuove tecnologie, dalla natura, dalla portata, dalle circostanze e dallo scopo del trattamento. Si verifica in particolare

a) nel trattamento su larga scala di dati personali particolarmente sensibili o di profili della personalità;

b) in un'attività di profilazione.

3. La valutazione d'impatto sulla protezione dei dati contiene una descrizione del trattamento previsto, una valutazione dei rischi per i diritti fondamentali della persona interessata, nonché le misure per la tutela dei diritti fondamentali.

1. L'ente pubblico sottopone alla consultazione preliminare dell'Ufficio per la protezione dei dati

a) i progetti normativi che riguardano la protezione dei dati;

b) le iniziative per il trattamento di dati personali che comportano un alto rischio per i diritti fondamentali delle persone interessate.

2. La consultazione preliminare avviene di norma entro due settimane dal ricevimento della richiesta, al massimo entro sei settimane.

3. L'Ufficio per la protezione dei dati designa le operazioni di trattamento essenziali che devono essere sottoposte alla sua attenzione.

1. L'ente pubblico può trasferire il trattamento dei dati personali a terzi, se il trasferimento non è escluso da leggi o regolamenti e se i terzi incaricati offrono garanzie per un trattamento conforme alle normative sulla protezione dei dati.

2. Garantisce il rispetto della protezione dei dati e in particolare stabilisce che i dati personali

a) siano trattati solo come l'ente pubblico stesso sarebbe autorizzato a fare;

b) siano trattati in conformità con le disposizioni legali applicabili all'ente pubblico;

c) siano protetti da perdita e furto, nonché dall'acquisizione e dal trattamento non autorizzati.

3. Verifica attraverso controlli regolari appropriati che la protezione dei dati sia rispettata. Se rileva il mancato rispetto degli obblighi ai sensi del paragrafo 2 di questa norma o violazioni di altre disposizioni sulla protezione dei dati, annulla il trasferimento.

4. Il trasferimento ulteriore del trattamento dei dati richiede il previo consenso scritto dell'ente pubblico committente.

1. L'ente pubblico notifica all'ufficio competente per la protezione dei dati una violazione della sicurezza dei dati il più rapidamente possibile, qualora tale violazione comporti presumibilmente un elevato rischio per i diritti fondamentali della persona interessata.

2. Nella notifica, indica almeno la natura della violazione della sicurezza dei dati, le sue conseguenze e le misure adottate o previste per porre rimedio alla violazione.

3. Il terzo che tratta dati personali per conto dell'ente pubblico notifica a quest'ultimo una violazione della sicurezza dei dati il più rapidamente possibile.

4. L'ente pubblico informa la persona interessata qualora sia necessario per la sua protezione o su richiesta dell'ufficio competente per la protezione dei dati.

5. Può limitare, posticipare o rinunciare all'informazione alla persona interessata se

a) ciò è necessario a causa di interessi preponderanti di terzi;

b) ciò è necessario a causa di preponderanti interessi pubblici, in particolare per salvaguardare la sicurezza interna o esterna della Svizzera;

c) la comunicazione dell'informazione può compromettere un'indagine, un'inchiesta o un procedimento amministrativo o giudiziario;

d) l'informazione è impossibile o richiede uno sforzo sproporzionato; oppure

e) l'informazione alla persona interessata è garantita in modo comparabile tramite un annuncio pubblico.

1. L'organo pubblico offre all'archivio competente del Cantone o del Comune, entro un termine ragionevole, i dati personali di cui non ha più bisogno. Fatte salve disposizioni speciali riguardanti l'archiviazione.

2. L'organo pubblico distrugge immediatamente i dati personali che l'archivio competente ha indicato come non meritevoli di archiviazione. Sono esclusi i dati personali la cui distruzione potrebbe ledere interessi degni di protezione della persona interessata.

3. Si può rinunciare alla distruzione se i dati personali

a) sono anonimizzati;

b) vengono anonimizzati dall'organo pubblico immediatamente dopo la comunicazione dell'archivio competente.

1. Le autorità giudiziarie e la polizia mantengono un registro delle loro attività di trattamento.

2. Il registro contiene almeno

a) l’identificazione dell'ente pubblico;

b) la finalità del trattamento;

c) una descrizione delle categorie di persone interessate e delle categorie di dati personali trattati;

d) le categorie di destinatari;

e) la durata di conservazione dei dati personali o i criteri per determinare tale durata;

f) una descrizione generale delle misure atte a garantire la sicurezza dei dati;

g) se i dati vengono divulgati all'estero, l'indicazione dello Stato e le garanzie per la divulgazione dei dati personali secondo la legislazione federale sulla protezione dei dati.

3. In caso di trattamento di dati personali su incarico, il registro contiene

a) informazioni sull'identità del terzo e dell'ente pubblico committente;

b) informazioni sulle categorie di trattamenti eseguiti su incarico dell'ente pubblico;

c) se possibile, una descrizione generale delle misure atte a garantire la sicurezza dei dati;

d) se i dati vengono divulgati all'estero, l'indicazione dello Stato e le garanzie per la divulgazione dei dati personali secondo la legislazione federale sulla protezione dei dati.

4. L'ente pubblico comunica il registro all'ufficio specializzato per la protezione dei dati.

1. La comunicazione dei dati personali è consentita quando

a) esiste una base giuridica oppure

b) la persona interessata ha dato il consenso oppure

c) la comunicazione è nell'interesse della persona interessata e il suo consenso non può essere ottenuto oppure

d) esiste un sostanziale interesse pubblico che prevale sull'interesse legittimo della persona interessata alla riservatezza dei dati personali, oppure

e) la destinataria o il destinatario dimostra un interesse legittimo che prevale sull'interesse legittimo della persona interessata alla riservatezza dei dati personali.

2. L'organismo pubblico comunica i dati personali a un'autorità federale, di un altro cantone o a un altro organismo pubblico, quando la destinataria o il destinatario ha bisogno dei dati personali per l'adempimento di un compito legale.

1. L'ente pubblico limita la divulgazione dei dati personali o la subordina a condizioni, quando

a) particolari disposizioni sulla protezione dei dati lo richiedono oppure

b) lo richiedono interessi pubblici o privati degni di protezione.

1. La divulgazione di dati personali particolarmente degni di protezione e di profili della personalità è ammissibile se

a) la legge prevede la divulgazione oppure

b) la persona interessata ha acconsentito oppure

c) la divulgazione è nell'interesse della persona interessata e il suo consenso non può essere ottenuto.

2. L'organo pubblico divulga dati personali particolarmente degni di protezione e profili della personalità a un'autorità federale, di un altro cantone o a un altro organo pubblico se i dati personali sono indispensabili per il destinatario o la destinataria ai fini dell'adempimento di un compito legale a loro assegnato.

1. L'ente pubblico può comunicare su richiesta nome, cognome, data di nascita, indirizzo, nonché trasferimento nel cantone o nel comune e il trasferimento dal cantone o dal comune, se la destinataria o il destinatario offre garanzie e si impegna per iscritto a utilizzare i dati personali esclusivamente per scopi di utilità pubblica o ideali meritevoli di protezione e a non divulgarli ulteriormente.

1. La divulgazione di dati personali mediante procedura di richiamo è ammissibile se prevista da una base legale.

2. La divulgazione di dati personali particolarmente sensibili mediante procedura di richiamo è ammissibile se prevista dalla legge.

1. La comunicazione di dati personali all'estero è disciplinata in modo appropriato dalle disposizioni della legislazione federale sulla protezione dei dati.

2. L'organo pubblico informa l'ufficio competente per la protezione dei dati prima della comunicazione circa le garanzie richieste dalla legislazione federale, qualora lo Stato non sia elencato nella lista degli Stati con una legislazione sulla protezione dei dati adeguata, pubblicata dall'Incaricato federale della protezione dei dati e della trasparenza.

3. L'ufficio cantonale per la protezione dei dati raccoglie informazioni sulla protezione dei dati all'estero presso l'Incaricato federale della protezione dei dati e della trasparenza. Fornisce le informazioni

a) agli organi pubblici del suo ambito di competenza;

b) agli uffici delle comunità affinché siano trasmesse agli organi pubblici del loro ambito di competenza.

1. Il governo può, dopo aver ottenuto il parere dell'autorità competente per la protezione dei dati, autorizzare in via sperimentale il trattamento automatizzato di dati personali particolarmente sensibili o profili della personalità prima dell'emanazione di una legge, se

a) i compiti che rendono necessario tale trattamento sono disciplinati da una legge;

b) sono adottate misure sufficienti per prevenire violazioni della personalità;

c) l'attuazione pratica di un trattamento dei dati richiede obbligatoriamente una fase di prova prima dell'emanazione della legge.

2. L'attuazione pratica di un trattamento dei dati può richiedere obbligatoriamente una fase di prova quando

a) l'adempimento di un compito richiede innovazioni tecniche le cui conseguenze devono essere inizialmente valutate oppure

b) l'adempimento di un compito richiede misure organizzative o tecniche significative la cui efficacia deve essere inizialmente verificata, in particolare nella collaborazione tra enti pubblici, oppure

c) richiede la trasmissione di dati personali particolarmente sensibili o profili della personalità in una procedura di consultazione.

3. Il governo designa l'ente pubblico responsabile per l'attuazione del progetto pilota e regola le modalità del trattamento automatizzato dei dati in un regolamento.

1. L'organo pubblico competente presenta al governo una relazione di valutazione al più tardi entro due anni dall'inizio del progetto pilota.

2. Propone la continuazione o la cessazione del progetto pilota.

3. Il progetto pilota viene cessato, se entro cinque anni dal suo inizio non è diventata legalmente valida una legge che comprenda la base giuridica necessaria.

1. L'ente pubblico fornisce alla persona interessata, su richiesta generalmente scritta e contro prova d'identità, informazioni sui dati personali trattati che la riguardano. Le informazioni sono generalmente fornite per iscritto.

2. Su richiesta della persona interessata, concede il diritto di consultare i dati personali.

1. L'organo pubblico rifiuta l'informazione e l'accesso, li limita o li associa a condizioni, nella misura in cui prevalgano interessi pubblici o privati meritevoli di protezione di terzi, o se una legge in senso formale lo prevede.

1. Il trattamento della richiesta di informazione e ispezione è generalmente gratuito.

1. La persona interessata ha diritto a che l'ente pubblico corregga gratuitamente i dati personali errati. Se né l'esattezza né l'inesattezza possono essere dimostrate, l'ente pubblico appone un'annotazione corrispondente sui dati personali e ne limita l'elaborazione.

2. La persona interessata ha diritto a che l'ente pubblico

a) cessi l'elaborazione illecita dei dati personali, cancelli i dati errati e ne blocchi la divulgazione a terzi;

abis) accerti l'illegalità di un'elaborazione;

ater) elimini le conseguenze di un'elaborazione illecita;

b) distrugga i dati personali elaborati illecitamente.

3. L'ente pubblico informa i destinatari dei dati personali errati o illecitamente elaborati sulle misure adottate. L'informazione può essere omessa se non è possibile o è possibile solo con uno sforzo sproporzionato.

1. L'ente pubblico informa la persona interessata sull'acquisizione di dati personali presso le autorità o terzi.

1. L'obbligo d'informazione non si applica, quando

a) la persona interessata è già in possesso delle informazioni ai sensi dell'art. 20a di questo decreto;

b) il trattamento dei dati personali è espressamente previsto per legge oppure

c) l'informazione non è possibile o è possibile solo con uno sforzo sproporzionato.

2. La trasmissione delle informazioni può essere limitata alle stesse condizioni previste per il diritto all'informazione ai sensi dell'art. 18 di questo decreto.

1. L'organo pubblico sospende, su richiesta, la divulgazione dei dati personali se la persona interessata ha un interesse degno di protezione.

1. L'organo pubblico comunica i dati personali nonostante il blocco, se

a) esiste un obbligo legale di divulgazione o

b) l'adempimento di un compito legale sarebbe reso impossibile oppure

c) la destinataria o il destinatario dimostrano in modo convincente che il blocco è stato ottenuto in modo abusivo.

1. L'organo pubblico emette un provvedimento quando respinge una domanda presentata dalla persona interessata per l'esecuzione dei suoi diritti.

1. Il cantone istituisce l'ufficio cantonale per la protezione dei dati, competente per l'amministrazione statale e per gli enti di diritto pubblico autonomi.

2. Il comune istituisce l'ufficio comunale per la protezione dei dati, competente per gli uffici amministrativi del comune e per le aziende comunali di diritto pubblico autonome.

3. Può, mediante accordo con un altro comune, designare come competente per sé l'ufficio comunale per la protezione dei dati di quest'ultimo.

1. Il comune può, mediante accordo con altri comuni, istituire un ufficio comunale comune. L'accordo determina

a) il comune di riferimento amministrativo responsabile;

b) il criterio di ripartizione per il finanziamento delle spese dell'ufficio comunale.

2. Il governo può obbligare i comuni a istituire un ufficio comunale comune, qualora un efficace adempimento dei compiti e un uso economico dei mezzi lo richiedano. Esso stabilisce il comune di riferimento e il criterio per la ripartizione delle spese dell'ufficio comunale, se i comuni non trovano accordo.

3. Per l'associazione dei comuni o l'unione dei comuni, l'ufficio comunale competente è quello del comune membro in cui si trova la sede dell'associazione.

1. L'Ufficio per la Protezione dei Dati svolge i suoi compiti in modo indipendente e autonomo.

2. È amministrativamente assegnato

a) nel Cantone al dipartimento o alla cancelleria di Stato designato dal governo tramite regolamento;

b) nel Comune al consiglio del Comune o alla sede municipale.

1. La supervisione viene esercitata da

a) la commissione del consiglio cantonale responsabile della supervisione del governo e dell'amministrazione statale sull'ufficio cantonale per la protezione dei dati;

b) l'ufficio cantonale per la protezione dei dati sull'ufficio comunale per la protezione dei dati.

1. Il governo sceglie il/la responsabile dell'ufficio cantonale per la protezione dei dati per una durata di mandato di quattro anni. Può risolvere il suo rapporto di servizio prima della scadenza del mandato in caso di violazione dei doveri d'ufficio o di insufficienza professionale. L'elezione e la risoluzione del rapporto di servizio richiedono l'approvazione della presidenza del consiglio cantonale.

2. Il consiglio nomina il/la responsabile dell'ufficio comunale per la protezione dei dati per una durata di mandato di quattro anni. Può revocare la nomina in caso di violazione dei doveri d'ufficio o di insufficienza professionale. La nomina e la revoca richiedono l'approvazione della commissione di controllo degli affari.

3. Se più comuni istituiscono un ufficio comunale comune, regolano la procedura e la competenza per la nomina del/dei responsabile e per la revoca, nonché l'approvazione tramite un organo indipendente nell'accordo.

3bis. Il/la responsabile dell'ufficio per la protezione dei dati si astiene da tutte le azioni incompatibili con i compiti dell'ufficio e non esercita durante il mandato alcuna altra attività remunerata o non remunerata incompatibile con l'ufficio.

4. Il/la responsabile dell'ufficio per la protezione dei dati assume il personale nel quadro del bilancio preventivo.

5. Il rapporto di servizio del/dei responsabile e del personale dell'ufficio cantonale per la protezione dei dati è regolato dalla legge sul personale del 25 gennaio 2011.

1. L'Ufficio per la protezione dei dati elabora autonomamente la propria sezione del bilancio preventivo.

2. Il governo, nei comuni il consiglio, comunica nella bozza del bilancio preventivo destinata al consiglio cantonale, nei comuni destinata al parlamento comunale o all'assemblea dei cittadini, se il bilancio preventivo elaborato dall'Ufficio per la protezione dei dati è stato adottato senza modifiche. Eventuali scostamenti vengono giustificati.

1. L'Ufficio per la protezione dei dati

a) verifica, su denuncia, di propria iniziativa o in base al programma di verifica da essa stabilito, il rispetto delle disposizioni sulla protezione dei dati. Alla persona denunciante deve essere comunicata la modalità di conclusione entro tre mesi;

b) consiglia gli organi pubblici e le persone interessate in materia di protezione dei dati;

c) può richiedere al governo, nei comuni al consiglio, l'emanazione di istruzioni relative a misure tecniche e organizzative per garantire la protezione dei dati;

d) esprime un parere sul progetto di regolamenti che

1. contengono disposizioni sulla protezione dei dati;

2. disciplinano aspetti rilevanti per la protezione dei dati;

e) partecipa a progetti che riguardano la protezione dei dati o che hanno riferimenti alla protezione dei dati;

f) sensibilizza gli organi pubblici sui loro obblighi legali in materia di protezione dei dati e il pubblico sulle questioni relative alla protezione dei dati;

g) collabora, per adempiere alle proprie funzioni, con gli organi di altri cantoni, della Confederazione e dell'estero che svolgono le medesime funzioni.

1bis. Sono esclusi dalla supervisione dell'Ufficio per la protezione dei dati secondo il paragrafo 1 lettera a di questa disposizione

a) Consiglio cantonale e governo, parlamento comunale e consiglio nonché tribunali, nella misura in cui agiscono in qualità giudiziaria;

b) Elaborazioni di dati in procedimenti pendenti di diritto civile, penale e amministrativo giudiziario, nonché in procedimenti di assistenza giudiziaria pendenti.

2. L'ufficio cantonale per la protezione dei dati consiglia gli uffici comunali per la protezione dei dati.

3. Esprime un parere riguardo l'elaborazione automatizzata prevista di dati personali nel progetto pilota, prima del rilascio dell'autorizzazione ai sensi dell'art. 16a di questo provvedimento.

1. L'adempimento dei compiti del servizio competente per la protezione dei dati è di norma gratuito per la persona interessata.

2. Il servizio competente per la protezione dei dati può trasferire i costi alla persona interessata o non agire in casi manifestamente infondati o sproporzionatamente frequenti.

1. La sezione specializzata per la protezione dei dati è autorizzata a visualizzare i dati indispensabili per l'adempimento delle sue funzioni, inclusi i dati personali particolarmente sensibili e i profili della personalità, dalle raccolte di dati dell'ente pubblico.

1. L'organo pubblico assiste l'ufficio competente per la protezione dei dati nell'adempimento delle sue funzioni, soddisfacendo le sue richieste in particolare

a) fornendo informazioni;

b) presentando documenti e consentendo l'accesso ai documenti;

c) spiegando la procedura per il trattamento dei dati personali;

d) dimostrando il trattamento dei dati personali;

e) fornendo informazioni specialistiche.

2. È esentato dal segreto d'ufficio.

1. L'Ufficio per la Protezione dei Dati emette raccomandazioni e le sottopone all’organismo pubblico per una dichiarazione scritta

a) quando rileva carenze nel trattamento dei dati personali;

b) in caso di trattamento previsto di dati personali che comporta rischi particolari per la protezione dei diritti fondamentali.

1. L'ufficio cantonale specializzato per la protezione dei dati può richiedere al dipartimento competente o alla cancelleria di Stato l'adozione di misure, qualora l'ente pubblico non intenda attuare le raccomandazioni o lo faccia solo parzialmente, o non fornisca una dichiarazione entro il termine stabilito. Se il dipartimento competente, la cancelleria di Stato o un ente autonomo di diritto pubblico del Cantone agisce come ente pubblico, la richiesta deve essere indirizzata al governo.

2. Il dipartimento competente, la cancelleria di Stato o il governo dispone l'adozione di misure, ad eccezione dei casi in cui l'ente pubblico emetti una decisione nei confronti della persona interessata.

3. La protezione giuridica è disciplinata dalla legislazione sulla procedura amministrativa. L'ufficio cantonale specializzato per la protezione dei dati ha il diritto di presentare ricorso.

1. L'Ufficio comunale per la protezione dei dati può richiedere al consiglio l'adozione di provvedimenti qualora l'organo pubblico non voglia attuare o attui solo parzialmente le raccomandazioni, oppure non fornisca una risposta entro il termine stabilito. Se il consiglio, un'associazione comunale o un ente comunale autonomo di diritto pubblico agisce come organo pubblico, la richiesta deve essere indirizzata al dipartimento competente.

2. Il consiglio o il dipartimento competente dispone i provvedimenti, eccetto nei casi in cui l'organo pubblico emetta un provvedimento nei confronti della persona interessata.

3. La tutela giuridica è disciplinata dalla legislazione in materia di diritto amministrativo. L'Ufficio comunale per la protezione dei dati ha diritto di ricorso e di presentare reclamo.

1. L'Ufficio per la protezione dei dati può emettere un provvedimento in caso di gravi violazioni della sicurezza dei dati, qualora sia prevedibile che l'ente pubblico rifiuterà una raccomandazione o non vi darà seguito.

2. L'ente pubblico può impugnare il provvedimento entro quattordici giorni mediante ricorso presso la Commissione dei ricorsi amministrativi.

3. Se l'ente pubblico è un tribunale superiore, può impugnare il provvedimento entro quattordici giorni mediante reclamo presso il Tribunale amministrativo.

1. L'ufficio specializzato per la protezione dei dati presenta annualmente un rapporto al governo, nei comuni al consiglio o presso l'ufficio comunale specializzato istituito congiuntamente ai consigli coinvolti, riguardo a

a) l'applicazione della legislazione sulla protezione dei dati e il rispetto della protezione dei dati;

b) l'ambito e i punti chiave dell'attività di verifica;

c) le constatazioni e la loro valutazione.

2. L'ufficio cantonale specializzato per la protezione dei dati riferisce annualmente al consiglio cantonale riguardo alla propria attività. Il consiglio cantonale prende atto del rapporto.

1. L'Ufficio Specializzato per la Protezione dei Dati gestisce il registro delle raccolte di dati presenti nel suo ambito di competenza.

2. La tenuta del registro delle raccolte di dati presso privati che svolgono compiti statali è di competenza

a) dell'Ufficio Specializzato Cantonale per la Protezione dei Dati per l'esecuzione di compiti cantonali;

b) dell'Ufficio Specializzato Comunale per la Protezione dei Dati per l'esecuzione di compiti comunali.

1. Il registro informa in particolare su

a) Base giuridica e scopo;

b) Mezzi di trattamento;

c) Tipo e origine dei dati personali;

d) Terzi autorizzati a inserire e modificare i dati;

e) Destinatari abituali.

2. Il registro delle collezioni di dati deve essere aggiornato periodicamente, ma almeno annualmente.

3. È pubblico.

1. L'organismo pubblico notifica al competente ufficio per la protezione dei dati le modifiche

a) nella composizione delle raccolte di dati da esso gestite;

b) delle circostanze rilevanti per il contenuto del registro.

2. Esso notifica

1. le nuove raccolte di dati prima della loro apertura;

2. le altre modifiche annualmente all'inizio dell'anno solare successivo.

1. Su richiesta viene punito con una multa

a) chi elabora dati personali per conto dell'ente pubblico e si comporta deliberatamente in modo contrario al mandato;

b) chi utilizza o divulga dati personali, che gli sono stati comunicati dall'ente pubblico ai sensi dell'art. 14 di questo decreto, per scopi impropri o non conformi.

1. Il governo determina l'inizio dell'esecuzione del presente decreto.