Legge sulla protezione dei dati (TG DSG) - Scopo

1. Per la tutela della personalità, questa legge regola il trattamento dei dati da parte degli organi pubblici.

1. Le disposizioni di questa legge si applicano a qualsiasi trattamento dei dati personali, indipendentemente dai mezzi o dai procedimenti utilizzati, a meno che altre leggi non contengano disposizioni specifiche.

2. Sono soggetti alle disposizioni di questa legge, come enti pubblici ai sensi di questa legge

1. lo Stato, i comuni, le organizzazioni di diritto pubblico cantonale con personalità giuridica propria e le persone incaricate di compiti pubblici di queste collettività, che siano membri dell'autorità, funzionari o impiegati, che operino a tempo pieno, part-time, in modo continuativo o temporaneo;

2. le organizzazioni private e le persone fisiche, nella misura in cui siano incaricate di compiti pubblici.

3. Questa legge non si applica alle attività di natura privata.

1. I dati personali sono informazioni riguardanti persone fisiche o giuridiche, qualora queste siano determinate o determinabili.

2. Dati personali particolarmente degni di protezione sono in particolare le informazioni su

1. l'opinione o l'attività religiosa, ideologica o politica;

2. la sfera privata personale;

3. lo stato emotivo, mentale o fisico;

4. misure di assistenza sociale o di tutela di assistenza;

5. reati e le relative pene o misure inflitte.

3. Trattamento di dati personali è qualsiasi operazione con dati personali come la raccolta, la conservazione, l'utilizzo, la modifica, la comunicazione o la distruzione.

4. Collezione di dati è qualsiasi registrazione di dati personali scoperta o scopribile su persone.

1. I dati personali possono essere trattati solo nella misura in cui esiste una base legale per farlo o se ciò serve a un compito legale.

2. I dati personali e il modo in cui vengono trattati devono essere adeguati e necessari per il conseguimento degli obiettivi.

3. I dati personali non possono essere utilizzati o divulgati per uno scopo che, secondo buona fede, sia incompatibile con lo scopo originario.

4. I dati personali particolarmente sensibili possono essere trattati solo se la loro ammissibilità deriva da una base legale espressa o se un compito legale impone il trattamento in modo imperativo oppure se l'interessato acconsente espressamente o il suo consenso può essere presunto, perché richiede prestazioni pubbliche corrispondenti.

1. I dati personali devono essere corretti e completi nella misura in cui lo richiede lo scopo del trattamento.

1. Responsabile della protezione dei dati è chi tratta o fa trattare i dati personali.

2. Se più enti utilizzano dati personali da una raccolta dati comune, deve essere designato un ente che porti la responsabilità principale per la protezione dei dati.

1. I dati personali per le raccolte di dati devono essere raccolti, per quanto possibile, presso la persona interessata stessa.

2. Se i dati personali vengono raccolti in modo sistematico, in particolare tramite questionari, devono essere comunicati la base legale e lo scopo del trattamento. Negli altri casi, tali informazioni devono essere fornite alla persona interrogata se lo richiede, a meno che ciò non comprometta l'adempimento dell'obbligo legale.

1. Il trattamento dei dati personali deve essere preliminarmente esaminato dalle autorità di vigilanza ai sensi del § 17, qualora possa comportare rischi particolari per i diritti e le libertà delle persone interessate.

1. I dati personali possono essere comunicati agli enti pubblici solo se

1. l'ente responsabile è legalmente autorizzato a farlo, oppure

2. l'ente ricevente dimostra di necessitare dei dati personali per adempiere ai suoi compiti legali, oppure

3. l'interessato ha espresso esplicitamente il suo consenso o il suo consenso può essere presunto in base alle circostanze.

1. I dati personali possono essere comunicati a privati, nel rispetto del segreto d'ufficio, solamente se

1. l'organo responsabile è legalmente autorizzato a farlo, oppure

2. l'interessato ha espressamente acconsentito oppure il suo consenso può essere presunto dalle circostanze.

2. I dati personali contenuti in pubblicazioni ufficiali o ufficialmente approvate, accessibili al pubblico, possono essere comunicati solo nella misura e secondo l'ordine in cui sono pubblicati.

3. Il consiglio di governo regola la comunicazione dei dati personali per elenchi telefonici o opere di consultazione simili di interesse generale.

1. I dati personali possono essere trasmessi a destinatari soggetti alla giurisdizione di stati o organizzazioni che non sono parti contraenti della Convenzione per la protezione delle persone rispetto al trattamento automatizzato dei dati personali solo se questi stati o organizzazioni forniscono una protezione adeguata per il trasferimento di dati previsto.

2. Fatte salve le disposizioni relative al consenso della persona interessata nel singolo caso e all'art. 2 par. 2 del Protocollo aggiuntivo dell'8 novembre 2001 all'accordo secondo il paragrafo 1.

1. La divulgazione di dati personali può essere limitata o soggetta a condizioni per importanti interessi pubblici o privati meritevoli di tutela.

1. Se i dati personali sono trattati per scopi non personali, in particolare per scopi di statistica, pianificazione, scienza o ricerca, non possono essere ulteriormente utilizzati o divulgati in modo personale e i risultati non devono essere comunicati in modo tale da permettere deduzioni sugli interessati.

2. L'ente responsabile può divulgare dati personali a privati, a condizione che sia ulteriormente garantito che non siano divulgati a terzi e che sia assicurata la protezione dei dati.

3. Qualora i dati personali siano trattati esclusivamente per scopi non personali, non si applicano il § 4 comma 3, il § 8 e il § 9.

1. Se i dati personali sono trattati da terzi, la protezione dei dati ai sensi di questa legge deve essere garantita dall'organo responsabile tramite contratto o disposizione.

2. Senza un'autorizzazione espressa, il terzo può utilizzare i dati personali solo per l'organo responsabile e divulgarli solo a quest'ultimo.

1. Chi tratta dati personali assicura la loro adeguata protezione contro perdita, sottrazione, trattamento non autorizzato o accesso non autorizzato.

1. Gli spazi pubblicamente accessibili possono essere sorvegliati con apparecchiature tecniche per la protezione di persone e beni, se

1. la sorveglianza è resa evidente in modo adeguato,

2. i dati personali registrati vengono cancellati dopo 100 giorni o consegnati alla polizia con una denuncia entro questo termine, e

3. gli organi di controllo conformi al § 17 sono stati informati previamente dell'introduzione di una sorveglianza.

2. L'installazione di dispositivi di sorveglianza è disposta dall'organo pubblico cui spetta il diritto di utilizzo o l'autorità sul luogo da sorvegliare.

3. L'organo pubblico responsabile assicura che i dati personali siano protetti dall'accesso di persone non autorizzate. Regolamenta l'autorizzazione di accesso.

1. L'organo responsabile tiene un registro delle raccolte di dati da esso istituite.

2. Il registro contiene per ciascuna raccolta di dati informazioni sulla base giuridica, lo scopo e i mezzi del trattamento, il tipo e la provenienza dei dati personali, gli organi coinvolti nella raccolta di dati nonché i destinatari abituali dei dati personali.

3. Non vengono inserite nel registro le raccolte di dati che

1. esistono solo per breve tempo;

2. sono pubblicate legittimamente;

3. sono gestite dalla polizia o da altri organi di perseguimento penale in procedimenti singoli;

4. sono esclusivamente strumenti di lavoro personali e non vengono utilizzate diversamente.

1. Il Cantone tiene un registro centrale delle sue raccolte di dati.

2. I comuni e le altre corporazioni di diritto pubblico tengono un proprio registro centrale.

1. L'organo responsabile stabilisce per ciascuna raccolta di dati quando i dati personali devono essere distrutti.

2. Fatte salve le disposizioni della legge sulla gestione dei documenti e sull'archiviazione.

1. Il Consiglio di Stato nomina un incaricato della protezione dei dati e della trasparenza, il quale svolge i suoi compiti in modo indipendente.

2. Questo incaricato sorveglia il trattamento dei dati da parte di

1. organi del Cantone nonché enti e istituti di diritto pubblico cantonale,

2. persone private e organi di organizzazioni private, nella misura in cui sono a loro assegnati compiti pubblici cantonali.

3. I Comuni designano propri organi di vigilanza.

1. Il Responsabile della Protezione dei Dati e della Trasparenza ha i seguenti compiti

1. monitora il rispetto delle disposizioni sulla protezione dei dati;

2. consiglia le persone interessate sui loro diritti;

3. media tra le persone interessate e gli organi responsabili;

4. * consiglia gli organi in materia di protezione dei dati e di sicurezza dei dati;

5. * esercita i compiti a lui assegnati dalla legge sul principio di trasparenza.

2. Il Responsabile della Protezione dei Dati e della Trasparenza collabora per adempiere ai compiti di controllo con le autorità di sorveglianza dei comuni, dei cantoni, della confederazione e dell'estero.

3. È tenuto al medesimo obbligo di riservatezza in merito ai dati personali acquisiti nell'esercizio delle sue funzioni come l'organo responsabile.

4. Rende conto della sua attività al Consiglio di Stato e lo informa periodicamente, insieme al pubblico, su importanti constatazioni e valutazioni, nonché sugli effetti delle disposizioni sulla protezione dei dati.

1. Il Garante della protezione dei dati e della trasparenza può

1. nonostante eventuali obblighi di riservatezza, condurre indagini, raccogliere tutte le informazioni necessarie sull'elaborazione dei dati per adempiere al compito di controllo, prendere visione di tutti i documenti, effettuare sopralluoghi e farsi dimostrare le elaborazioni;

2. far bloccare, cancellare o distruggere i dati, vietare un'elaborazione dei dati o impartire istruzioni all'organo responsabile in merito all'elaborazione dei dati;

3. presentare un ricorso contro le decisioni basate su questa legge presso il dipartimento competente o contro le decisioni dei dipartimenti presso il tribunale amministrativo;

4. presentare una denuncia penale in caso di violazioni della legge sulla protezione dei dati.

2. Gli organi responsabili devono sostenere il Garante della protezione dei dati e della trasparenza.

1. Chiunque può consultare i registri delle raccolte di dati.

1. Chiunque ha il diritto di richiedere al responsabile dell'organismo l'accesso ai dati che lo riguardano, contenuti in una raccolta di dati presente nel registro.

1. L'accesso alla documentazione e l'eventuale fornitura di informazioni sono, in linea di principio, gratuiti.

2. Se la concessione dell'accesso o la fornitura di un'informazione causa un impegno amministrativo sproporzionato, possono essere addebitati dei costi.

1. L'accesso ai dati personali può essere limitato o rifiutato se lo richiedono importanti interessi pubblici o privati meritevoli di protezione.

2. Se non è possibile concedere l'accesso al richiedente perché troppo gravoso, può essere reso possibile a una persona di sua fiducia.

3. Nella misura in cui la concessione dell'accesso comporterebbe un onere amministrativo sproporzionato o i dati personali vengono elaborati esclusivamente per scopi non personalizzati, l'accesso può essere limitato o rifiutato, a meno che il richiedente non dimostri in modo plausibile un interesse meritevole di protezione.

1. Chi dimostra un proprio interesse può richiedere la rettifica dei dati personali inesatti.

2. Se l'organo responsabile contesta l'inesattezza, gli spetta l'onere della prova per dimostrare la correttezza dei dati personali, a meno che non sia ragionevolmente aspettabile che il richiedente fornisca la prova contraria.

3. Se, per la natura dei dati, non è possibile provare né la correttezza né l'inesattezza dei dati personali, in particolare per quanto riguarda i giudizi di valore, la persona interessata può richiedere l'inserimento di una dichiarazione di replica.

1. Un interessato può esigere dall'organo responsabile che

1. un trattamento illecito di dati personali venga sospeso o evitato,

2. i dati personali che sono stati raccolti, conservati o utilizzati illecitamente vengano distrutti e vengano eliminate le conseguenze del trattamento illecito,

3. sia accertata l'illegalità di un trattamento.

1. Chi rende verosimile un interesse degno di protezione può chiedere all'organo responsabile di bloccare la divulgazione di determinati dati personali.

2. Il blocco può essere revocato se

1. una legge prescrive la divulgazione oppure

2. il blocco rende impossibile il compimento del compito legale dell'organo responsabile.

1. Contro le decisioni basate su questa legge è possibile presentare ricorso presso il dipartimento competente in materia.

2. Le decisioni dei dipartimenti e dell'Incaricato della protezione dei dati e della trasparenza sono soggette a ricorso al tribunale amministrativo.

1. Chi tratta dati personali per conto di terzi e li utilizza o divulga intenzionalmente in modo contrario all'incarico è punito, su richiesta, con una multa.

1. Questa legge entra in vigore in una data da stabilire dal Consiglio di Stato, successivamente all'approvazione da parte del popolo.