Legge sulla protezione dei dati personali (LPrD) - Ma (LPRD)

1. La presente legge mira a proteggere le persone contro l'uso improprio dei dati personali che le riguardano.

1. La designazione delle funzioni si applica indifferentemente alle donne e agli uomini.

1. La presente legge si applica a qualsiasi trattamento di dati delle persone fisiche o giuridiche.

2. Sono assoggettati alla presente legge le seguenti entità

a. il Gran Consiglio;

b. il Consiglio di Stato e la sua amministrazione;

c. l'Ordine giudiziario e la sua amministrazione;

cbis. la Corte dei conti;

d. i comuni, nonché le intese, associazioni, federazioni, frazioni e agglomerati di comuni;

e. le persone fisiche e giuridiche alle quali il Cantone o un comune affida compiti pubblici, nell'esecuzione dei suddetti compiti.

f. il Ministero pubblico;

g. il Consiglio della magistratura.

3. La presente legge non si applica

a. alle deliberazioni del Gran Consiglio e dei consigli generali e comunali;

b. ai procedimenti civili, penali o amministrativi;

c. ai dati personali trattati in applicazione della legge federale sui servizi di informazione.

1. Ai fini della presente legge si intende per

1. Dato personale, qualsiasi informazione che si riferisce a una persona identificata o identificabile;

2. Dato sensibile, qualsiasi dato personale relativo

- alle opinioni o attività religiose, filosofiche, politiche o sindacali, nonché all'origine etnica;

- alla sfera intima della persona, in particolare al suo stato psichico, mentale o fisico;

- alle misure e agli aiuti individuali derivanti dalla legislazione sociale;

- alle azioni penali o amministrative e alle relative sanzioni.

3. Profilo della personalità, l'assemblaggio di dati che consente di valutare le caratteristiche essenziali della personalità di una persona fisica;

4. Interessato, qualsiasi persona fisica o giuridica i cui dati sono trattati;

5. Trattamento di dati personali, qualsiasi operazione o insieme di operazioni, compiute o meno con l'ausilio di processi automatizzati e applicate a dati personali, quali la raccolta, la registrazione, l'organizzazione, la conservazione, l'adattamento o la modifica, l'estrazione, la consultazione, l'uso, la comunicazione, la diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l'interconnessione, nonché il blocco, la cancellazione o la distruzione;

6. Comunicazione, l'atto di rendere i dati accessibili, in particolare trasmetterli, pubblicarli, autorizzarne la consultazione o fornire informazioni;

7. Archivio, qualsiasi insieme strutturato di dati personali accessibili secondo criteri determinati, indipendentemente dal fatto che tale insieme sia centralizzato, decentralizzato o ripartito in modo funzionale o geografico;

8. Titolare del trattamento, la persona fisica o giuridica, l'autorità pubblica, il servizio o qualsiasi altro organismo che, da solo o congiuntamente con altri, determina il contenuto e le finalità dell'archivio;

9. Responsabile del trattamento, la persona fisica o giuridica, l'autorità pubblica o qualsiasi altro organismo che tratta dati personali per conto del titolare del trattamento;

10. Procedura di richiamo, modalità di comunicazione automatizzata dei dati attraverso la quale i destinatari decidono autonomamente la comunicazione dei dati, previa autorizzazione del titolare del trattamento;

11. Destinatario, la persona fisica o giuridica, di diritto privato o di diritto pubblico, che riceve la comunicazione di dati, che sia o meno un terzo. Le autorità che possono ricevere comunicazioni di dati nell'ambito di una particolare missione d'inchiesta non sono tuttavia considerate destinatari;

12. Entità, le entità descritte all'articolo 3, capoverso 2 della presente legge;

13. Legge in senso formale, le leggi in senso formale adottate dal Gran Consiglio o, a livello comunale, i regolamenti adottati dai consigli generali e comunali;

14. Videosorveglianza dissuasiva, videosorveglianza cui si ricorre per prevenire la commissione di infrazioni in un determinato luogo.

1. I dati personali possono essere trattati solo se

a. una base giuridica lo autorizza oppure

b. il loro trattamento serve all'adempimento di un compito pubblico.

2. I dati sensibili possono essere trattati solo se

a. una legge in senso formale lo prevede espressamente,

b. l'adempimento di un compito chiaramente definito in una legge in senso formale lo esige assolutamente, oppure

c. la persona interessata vi ha acconsentito o ha reso i suoi dati accessibili a chiunque.

1. I dati devono essere trattati solo per lo scopo indicato al momento della loro raccolta, come risulta dalla legge o dall'adempimento della funzione pubblica pertinente.

1. Il trattamento dei dati personali deve essere conforme al principio di proporzionalità.

1. La raccolta dei dati personali deve essere riconoscibile per la persona interessata.

1. Le entità soggette alla presente legge garantiscono che i dati personali trattati siano esatti.

1. Il responsabile del trattamento adotta misure appropriate per garantire la sicurezza dei file e dei dati personali, in particolare contro la loro perdita, distruzione, nonché qualsiasi trattamento illecito.

1. I dati personali devono essere distrutti o resi anonimi non appena non sono più necessari per l'esecuzione del compito per il quale sono stati raccolti.

2. Restano riservate le disposizioni legali specifiche relative alla conservazione dei dati, in particolare per il loro archivio, o effettuate a fini storici, statistici o scientifici.

1. Quando il trattamento dei dati personali richiede il consenso della persona interessata, quest'ultima esprime un consenso valido solo se manifesta la propria volontà liberamente e dopo essere stata debitamente informata. Nel caso in cui si trattino dati sensibili e profili della personalità, il suo consenso deve inoltre essere esplicito.

1. Il titolare del trattamento informa l'interessato di ogni raccolta di dati personali che lo riguardano.

2. Le informazioni fornite all'interessato sono le seguenti

a. l'identità del titolare del trattamento;

b. la finalità del trattamento per il quale i dati sono raccolti;

c. nel caso in cui sia prevista la comunicazione dei dati, le categorie dei destinatari dei dati;

d. il diritto di accesso ai dati;

e. la possibilità di rifiutare di fornire i dati richiesti e le conseguenze di tale rifiuto.

3. Se i dati non sono raccolti presso l'interessato, il titolare del trattamento deve fornire per iscritto a quest'ultimo le informazioni elencate nel precedente capoverso, al più tardi al momento della registrazione dei dati, a meno che ciò non si riveli impossibile, non richieda sforzi sproporzionati o che la registrazione o la comunicazione non siano espressamente previste dalla legge.

1. Il titolare del trattamento può differire, limitare o persino negare l'informazione, nella misura in cui

a. la legge lo preveda espressamente;

b. lo esiga un interesse pubblico o privato preponderante;

c. l'informazione o la comunicazione del dato rischi di compromettere un'istruzione penale o un'altra procedura istruttoria, oppure

d. l'informazione richiesta non possa oggettivamente essere fornita.

2. Non appena il motivo che giustifica la restrizione del dovere di informazione viene meno, il titolare del trattamento deve fornire l'informazione, a meno che ciò non sia impossibile o non richieda sforzi sproporzionati.

1. I dati personali possono essere comunicati dagli enti soggetti alla presente legge quando

a. una disposizione legale ai sensi dell'articolo 5 lo prevede;

b. il richiedente dimostra di averne bisogno per l'adempimento dei propri compiti legali;

c. il richiedente privato giustifica un interesse preponderante alla comunicazione che prevale su quello della persona interessata a che i dati non siano comunicati;

d. la persona interessata ha espresso il proprio consenso o le circostanze permettono di presumerlo;

e. la persona interessata ha reso i dati personali accessibili a chiunque e non si è formalmente opposta alla loro comunicazione; oppure

f. il richiedente rende verosimile che la persona interessata rifiuti il proprio consenso unicamente allo scopo di impedirgli di far valere pretese giuridiche o altri interessi legittimi; in tal caso, la persona interessata è invitata, nella misura del possibile, a esprimersi, prima della comunicazione dei dati.

2. L'alinea 1 è applicabile anche alle informazioni trasmesse su richiesta in virtù della legge sull'informazione [B].

3. Le autorità possono comunicare spontaneamente dati personali nel quadro dell'informazione al pubblico, in virtù della legge sull'informazione [B], a condizione che la comunicazione risponda a un interesse pubblico o privato prevalente su quello della persona interessata.

1. **I dati possono essere resi accessibili mediante una procedura di appello tra le entità soggette alla legge alle condizioni dell'articolo 15. I dati sensibili o i profili della personalità possono essere resi accessibili mediante una procedura di appello solo se una legge in senso formale o un regolamento lo prevede.**

2. **I dati non possono essere resi accessibili a persone private mediante una procedura di appello se non previsto da una legge in senso formale o da un regolamento. I dati sensibili o i profili della personalità possono essere resi accessibili solo se una legge in senso formale lo prevede espressamente.**

1. La comunicazione verso un paese terzo di dati personali oggetto di trattamento, o destinati ad esserlo, può avere luogo solo se il paese terzo in questione assicura un livello di protezione adeguato.

2. Il comma precedente non è applicabile

a. se la persona interessata ha prestato il proprio consenso, che deve in ogni caso essere esplicito;

b. se la comunicazione di dati è necessaria all'esecuzione di un contratto tra la persona interessata e il responsabile del trattamento o all'esecuzione di misure precontrattuali adottate su richiesta della persona interessata;

c. se la comunicazione è necessaria per la conclusione o l'esecuzione di un contratto concluso o da concludere, nell'interesse della persona interessata, tra il responsabile del trattamento e un terzo;

d. se la comunicazione è, nel caso specifico, indispensabile sia per la salvaguardia di un interesse pubblico, sia per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria;

e. se la comunicazione è, nel caso specifico, necessaria per proteggere la vita o l'integrità fisica della persona interessata;

f. se la comunicazione avviene da un registro pubblico che, in virtù di disposizioni legislative o regolamentari, è destinato all'informazione del pubblico o di chiunque dimostri un interesse legittimo, nella misura in cui le condizioni legali per la consultazione sono soddisfatte nel caso particolare;

g. se garanzie sufficienti, in particolare contrattuali, permettono di assicurare un livello di protezione adeguato all'estero.

1. Il trattamento di dati può essere affidato a un terzo alle seguenti condizioni cumulative

a. il trattamento da parte di un terzo è previsto dalla legge o da un contratto;

b. il responsabile del trattamento è legittimato a trattare egli stesso i dati interessati;

c. nessuna obbligazione legale o contrattuale di mantenere il segreto lo vieta.

2. Il terzo è responsabile della sicurezza dei dati che tratta.

1. Il Responsabile cantonale della protezione dei dati e dell'informazione (di seguito: il Responsabile) tiene un registro dei dossier, che è pubblico e accessibile online.

2. Il Consiglio di Stato stabilisce le norme applicabili alla tenuta del registro [C].

1. Le entità soggette alla presente legge sono tenute a informare senza indugio il Responsabile in caso di qualsiasi progetto volto a costituire un nuovo archivio contenente dati personali.

2. Il Consiglio di Stato stabilisce le informazioni da fornire al momento dell'annuncio dell'archivio.

1. I file possono essere operativi non appena il Delegato è stato informato della loro costituzione.

1. Non devono essere dichiarati, se non contengono dati sensibili o non costituiscono un profilo della personalità

a. i file contenenti unicamente informazioni accessibili al pubblico;

b. i file di registrazione della corrispondenza;

c. i file di indirizzi;

d. i file effimeri la cui durata non eccede un anno.

1. Le entità citate nell'articolo 3, comma 2 possono installare un sistema di videosorveglianza dissuasiva, con o senza sistema di registrazione, su dominio pubblico o sul loro patrimonio destinato alla realizzazione di un compito pubblico, nel rispetto dei principi e delle prescrizioni della presente legge.

1bis. Gli scopi di un sistema di videosorveglianza dissuasiva sono di garantire la sicurezza delle persone e dei beni, di evitare la perpetrazione di reati in un determinato luogo e di contribuire alla persecuzione e repressione dei reati.

2. …

3. …

4. L'installazione del sistema di videosorveglianza deve costituire il mezzo più adeguato per raggiungere il fine perseguito. Devono essere adottate tutte le misure per limitare le ingerenze sulle persone interessate.

5. …

6. …

7. Il Consiglio di Stato precisa le condizioni summenzionate.

1. Prima della sua messa in funzione, l'installazione di un sistema di videosorveglianza deve essere oggetto di una richiesta di autorizzazione da parte del responsabile del trattamento. Vale lo stesso per qualsiasi modifica successiva del sistema.

2. L'autorità competente può richiedere il parere del Garante prima di prendere una decisione. Il Garante riceve una copia della decisione.

3. Se un sistema non soddisfa più le condizioni legali, l'autorizzazione viene revocata.

4. Il Garante pubblica un elenco delle installazioni di videosorveglianza dissuasiva che sono state autorizzate.

5. Il Consiglio di Stato specifica, attraverso un regolamento, la procedura di autorizzazione.

1. Quando la richiesta proviene da un'entità cantonale, l'autorità competente è il capo del dipartimento da cui dipende l'entità interessata.

2. Quando la richiesta proviene da un'entità comunale, l'autorità competente è il prefetto del distretto.

3. Quando la richiesta proviene da un ente di diritto pubblico cantonale o da una persona giuridica alla quale il cantone ha affidato compiti pubblici, l'autorità competente è l'organo supremo dell'ente.

1. Il Preposto ha la qualità per ricorrere contro una decisione di autorizzazione presso il Tribunale cantonale.

2. Il responsabile del trattamento ha la qualità per ricorrere contro una decisione di rifiuto di autorizzazione presso il Tribunale cantonale.

1. Il titolare del trattamento deve segnalare in modo visibile l'esistenza del sistema di videosorveglianza nei dintorni immediati di quest'ultimo.

2. Queste informazioni includono i dati di contatto del titolare del trattamento e menzionano il diritto di accesso alle immagini interessate.

1. A meno che un'autorità non disponga la loro conservazione nell'ambito di una procedura penale, le immagini registrate devono essere distrutte automaticamente dopo un periodo di sette giorni, o in caso di danno alle persone o ai beni, dopo un massimo di cento giorni.

1. L'esercizio di un impianto di videosorveglianza può essere delegato a un terzo alle condizioni dell'articolo 18.

2. La delega è oggetto di una decisione di autorizzazione in applicazione della procedura prevista agli articoli 22a e 22b.

3. Il responsabile del trattamento esegue controlli regolari per assicurarsi che le condizioni legali siano rispettate.

1. Se le esigenze specifiche di un'entità menzionata all'articolo 3, comma 2, lettere a a c-bis lo giustificano, l'autorità competente può rilasciare un'autorizzazione di principio, detta autorizzazione quadro, che consente all'entità beneficiaria di installare e gestire, alle condizioni definite dall'autorizzazione quadro, diverse installazioni di videosorveglianza.

2. Per ogni installazione di un sistema di videosorveglianza, l'entità cantonale beneficiaria di un'autorizzazione quadro informa l'autorità competente e il Responsabile.

3. Il Consiglio di Stato specifica in un regolamento le condizioni di concessione di un'autorizzazione quadro.

1. Il responsabile del trattamento adotta misure di sicurezza appropriate al fine di proteggere i dati registrati o trasferiti sulle reti informatiche e di evitare qualsiasi trattamento illecito degli stessi. Limita in particolare l'accesso ai dati e ai locali che li contengono.

2. Deve installare e mantenere un sistema di registrazione automatica che consenta di controllare gli accessi alle immagini.

1. L'accesso alle immagini è limitato alle persone designate dal responsabile del trattamento, nonché a coloro che possono invocare un diritto di accesso ai propri dati, ai sensi del capitolo VI.

2. Il responsabile del trattamento definisce la procedura da seguire per le operazioni tecniche di gestione dei sistemi e dei dati informatici legati alla videosorveglianza.

3. Al fine di ottenere mezzi di prova, le immagini registrate possono essere analizzate in caso di denuncia penale, querela penale o indizi concreti della commissione di un atto punibile penalmente.

4. Il responsabile del trattamento può trasmettere le immagini registrate solo alle autorità incaricate di perseguire l'infrazione penale.

1. Oltre al rispetto delle condizioni poste nella sezione precedente, l'installazione di un sistema di videosorveglianza sul dominio pubblico e sul patrimonio destinato alla realizzazione di un compito pubblico comunale o intercomunale richiede l'adozione di un regolamento comunale o intercomunale.

2. Le immagini registrate dal sistema di videosorveglianza possono essere utilizzate solo secondo le modalità, le condizioni e le finalità stabilite nel regolamento che lo istituisce.

3. Tale regolamento non può derogare alle condizioni minime stabilite dalla legge.

1. L'installazione di un sistema di videosorveglianza all'interno o nelle immediate vicinanze di un istituto scolastico comunale o intercomunale richiede, oltre all'autorizzazione prevista all'articolo 22a, l'approvazione del dipartimento competente per la formazione.

1. Gli istituti penitenziari possono installare un sistema di videosorveglianza di sicurezza.

2. Il Consiglio di Stato stabilisce le condizioni da rispettare per quanto riguarda l'utilizzo di un sistema di videosorveglianza di sicurezza.

3. Inoltre, le disposizioni del presente capitolo non si applicano alla videosorveglianza negli istituti penitenziari.

1. Le entità soggette alla presente legge hanno il diritto di trattare dati personali e di comunicarli a fini di ricerca, di pianificazione o statistici, alle seguenti condizioni

a. sono resi anonimi non appena lo scopo del loro trattamento lo consente;

b. il destinatario comunica i dati a terzi solo con il consenso dell'entità che glieli ha trasmessi;

c. i risultati del trattamento sono pubblicati in una forma che non consente di identificare le persone interessate.

2. Gli articoli 5, 6, 15 della presente legge non sono applicabili.

3. Per il resto, è applicabile la legge cantonale sulla statistica [D].

1. Ogni persona ha, in ogni momento, libero accesso ai dati che la riguardano.

2. Può anche richiedere al responsabile del trattamento la conferma che nessun dato che la riguarda è stato raccolto.

3. La persona che esercita il suo diritto deve giustificare la propria identità.

4. Nessuno può rinunciare in anticipo al diritto di accesso.

1. La domanda riguardante la comunicazione di dati personali non è soggetta ad alcun requisito di forma. Essa deve tuttavia contenere indicazioni sufficienti a permettere di identificare il dato in questione.

2. La comunicazione dei dati avviene sul posto o per iscritto, salvo disposizione contraria.

3. Con il consenso del richiedente, la comunicazione può avvenire anche oralmente.

4. La comunicazione dei dati è, di regola, gratuita.

5. Il responsabile del trattamento che risponde alla domanda può riscuotere un emolumento

a. quando la comunicazione richiede un lavoro importante;

b. in caso di richieste ripetitive;

c. quando è richiesta una copia.

6. Il Consiglio di Stato fissa la tariffa degli emolumenti.

1. Il responsabile del trattamento risponde entro trenta giorni a partire dalla data di ricezione della richiesta da parte dell'entità interessata.

1. Il titolare del trattamento può limitare la consultazione, o addirittura rifiutarla, se

a. la legge lo prevede espressamente;

b. un interesse pubblico o privato preponderante lo esige;

c. essa è impossibile o richiede sforzi sproporzionati.

2. Il diritto di accesso ai dati medici è disciplinato dalla legge sulla salute pubblica [E].

3. Non appena il motivo che giustifica la restrizione del diritto di accesso viene meno, il titolare del trattamento deve fornire l'informazione.

1. Ogni persona ha il diritto di opporsi alla comunicazione dei dati personali che la riguardano, se rende verosimile un interesse degno di protezione.

2. Il titolare del trattamento respinge o revoca l'opposizione

a. se la comunicazione è espressamente prevista da una disposizione legale;

b. se la comunicazione è indispensabile per l'adempimento dei compiti pubblici del destinatario dei dati e prevale sugli interessi della persona interessata.

1. Le persone che hanno un interesse degno di protezione possono esigere dal titolare del trattamento che egli

a. si astenga dal procedere a un trattamento illecito di dati;

b. elimini gli effetti di un trattamento illecito di dati;

c. constati il carattere illecito di un trattamento di dati;

d. ripari le conseguenze di un trattamento illecito di dati.

2. Ove opportuno, esse possono chiedere al titolare del trattamento di

a. rettificare, distruggere i dati o renderli anonimi;

b. pubblicare o comunicare a terzi la decisione o la rettifica.

3. Se né l'esattezza né l'inesattezza di un dato può essere stabilita, il titolare del trattamento aggiunge al dato la menzione del suo carattere litigioso.

1. Per qualsiasi richiesta fondata sulla presente legge, in particolare sugli articoli da 25 a 29, il titolare del trattamento emette una decisione contenente i motivi che l'hanno indotto a non darvi seguito.

2. Il titolare del trattamento invia una copia della sua decisione al Garante.

1. L'interessato può ricorrere al Preposto, o direttamente al Tribunale cantonale.

2. Inoltre, la legge sulla procedura amministrativa [F] è applicabile alle decisioni emesse in virtù della presente legge, nonché ai ricorsi contro dette decisioni.

1. Non appena è investito del ricorso, il Preposto lo notifica al responsabile del trattamento.

2. Il Preposto tenta la conciliazione al fine di portare le parti a un accordo. A tal fine dispone dei mezzi descritti all'articolo 38 della presente legge.

3. Se la conciliazione viene raggiunta, la questione è archiviata.

4. In caso di fallimento della conciliazione, il Preposto emette una decisione che notifica al responsabile del trattamento e all'interessato.

5. Il responsabile del trattamento e l'interessato possono ricorrere al Tribunale cantonale entro un termine di 30 giorni dalla notifica.

1. La procedura è gratuita.

2. Un emolumento può essere percepito in caso di richiesta abusiva.

3. …

1. Il Preposto è nominato dal Consiglio di Stato, per un periodo di 6 anni.

2. Il suo mandato è rinnovabile.

1. Il Preposto esercita la propria attività in modo indipendente.

2. Il Consiglio di Stato decide del suo affiliazione amministrativa.

3. Il Preposto è tenuto al segreto d'ufficio.

1. Il Preposto vigila sull'applicazione delle disposizioni relative alla protezione dei dati.

2. A tal fine, dispone dei mezzi previsti all'articolo 38 della presente legge.

3. Se ritiene che le disposizioni sulla protezione dei dati siano state violate, il Preposto trasmette una raccomandazione all'entità interessata, al fine di modificare o cessare il trattamento in questione.

4. L'entità interessata prende posizione per iscritto. Se la raccomandazione del Preposto non è seguita, quest'ultimo può portare la questione davanti al dipartimento o all'entità interessata, per decisione.

5. Il Preposto può ricorrere contro la decisione resa conformemente al comma precedente, così come contro la decisione resa dall'autorità competente (articolo 30). Si applica la legge sulla procedura amministrativa [F].

6. I rapporti di audit stabiliti dal Preposto in applicazione delle disposizioni che precedono sono comunicati al Presidente del Consiglio di Stato e al Presidente della Commissione di gestione del Gran Consiglio.

1. Oltre alla sorveglianza menzionata qui sopra, l'Incaricato

a. promuove la protezione dei dati nel Cantone;

b. informa i titolari del trattamento sui requisiti previsti in materia di protezione dei dati;

c. informa le persone interessate sui diritti derivanti dalla presente legge;

d. è consultato in sede di elaborazione di leggi, regolamenti, direttive o altre norme che implicano il trattamento di dati personali;

e. interviene, su richiesta dei titolari del trattamento o delle persone interessate, al fine di risolvere questioni soggette alla presente legge, fatto salvo il ricorso previsto dagli articoli 30 a 33 della presente legge;

f. può essere consultato sui progetti relativi all'installazione di sistemi di videosorveglianza e dispone in materia di un diritto di ricorso, conformemente agli articoli 22 e seguenti della presente legge;

g. tiene aggiornato il Registro dei trattamenti istituito all'articolo 19 della presente legge;

h. collabora con le altre autorità competenti in materia di protezione dei dati degli altri Cantoni, della Confederazione o dell'estero.

2. Inoltre, l'Incaricato conosce dei ricorsi previsti all'articolo 31 della presente legge.

1. Nell'ambito dei suoi compiti, l'Incaricato può

a. accedere ai dati oggetto di trattamento e raccogliere tutte le informazioni necessarie all'adempimento dei suoi compiti;

b. rendere un preavviso previamente all'attuazione di un archivio;

c. chiedere al responsabile del trattamento di limitare o cessare immediatamente, in via temporanea o definitiva, il trattamento di dati personali, qualora interessi degni di protezione dell'interessato lo richiedano.

1. Il responsabile del trattamento è tenuto ad assistere il Responsabile (Préposé) nell'adempimento delle sue funzioni. A tal fine, gli fornisce le informazioni o i documenti necessari e gli consente di accedere ai propri locali.

2. Il segreto d'ufficio non può essere opposto al Responsabile.

3. Anche i terzi sono tenuti a fornire le informazioni richieste dal Responsabile.

1. Il Relatore redige ogni anno un rapporto di attività.

2. Questo rapporto è pubblico. Esso contiene, in particolare, informazioni sulle raccomandazioni previste all'articolo 36, comma 3, indirizzate nell'anno, e, se del caso, sulle azioni intraprese dal Relatore in applicazione dell'articolo 36, commi 4 e 5.

3. Il Relatore può redigere, in qualsiasi momento, un rapporto speciale, d'ufficio o su richiesta del Gran Consiglio o del Consiglio di Stato.

1. Ogni persona che abbia rivelato intenzionalmente, in maniera illecita, dati personali o sensibili di cui sia venuta a conoscenza nell'esercizio delle proprie funzioni, sarà punita con una multa.

2. È passibile della stessa pena la persona che abbia rivelato intenzionalmente, in maniera illecita, dati personali o sensibili di cui sia venuta a conoscenza nell'ambito delle attività che svolge per conto di persone obbligate a mantenere il segreto.

3. L'obbligo di riservatezza persiste oltre la conclusione dei rapporti di lavoro.

3bis. Chi installa un sistema di videosorveglianza senza averne previamente richiesto l'autorizzazione o chi gestisce un sistema di videosorveglianza senza rispettare le condizioni legali sarà punito con la multa.

4. È fatto salvo il diritto penale federale.

1. Ogni trattamento dei dati deve conformarsi alla presente legge, in particolare in materia di legalità, entro cinque anni dalla sua entrata in vigore.

2. …

3. Ogni sistema di videosorveglianza dissuasiva installato dalle entità cantonali, dagli enti di diritto pubblico e dalle persone giuridiche a cui il cantone ha affidato compiti pubblici, deve conformarsi alle disposizioni del capitolo IV della presente legge entro un anno dall'entrata in vigore della legge del 5 giugno 2018 che modifica la legge dell'11 settembre 2007 sulla protezione dei dati personali; tuttavia, le norme relative alla durata di conservazione delle immagini sono immediatamente applicabili.

4. Qualsiasi modifica di un sistema di videosorveglianza comunale, autorizzato prima dell'entrata in vigore della legge del 5 giugno 2018 che modifica la legge dell'11 settembre 2007 sulla protezione dei dati personali, è soggetta alla procedura di autorizzazione prevista al capitolo IV della presente legge.

1. Le richieste di autorizzazione presentate prima dell'entrata in vigore della legge del 5 giugno 2018 che modifica la presente legge, e per le quali non è stata ancora presa una decisione di autorizzazione, sono soggette alla procedura degli articoli 22 e seguenti della legge dell'11 settembre 2007 sulla protezione dei dati personali.

1. La legge del 25 maggio 1981 sui file informatici e la protezione dei dati personali è abrogata.

1. Il Consiglio di Stato è incaricato dell'esecuzione della presente legge. Ne pubblicherà il testo conformemente all'articolo 84, comma 1, lettera a) della Costituzione cantonale e ne fisserà, tramite decreto, la data di entrata in vigore.