Legge sui mezzi d'identificazione elettronica e il portale protetto delle prestazioni online dello Stato (LCyber) - Oggetto (LCyber)

1. La presente legge stabilisce le condizioni e la procedura per il rilascio di un mezzo di identificazione elettronica da parte dello Stato, nonché le condizioni di organizzazione, gestione e utilizzo del portale sicuro dei servizi online dello Stato (di seguito: il portale sicuro).

1. Si intende per

a. portale sicuro: il dispositivo globale di comunicazione elettronica sicura che lo Stato mette a disposizione degli utenti al fine di consentire loro l'accesso a prestazioni online;

b. prestazioni online: i servizi offerti dallo Stato agli utenti per il tramite del portale sicuro;

c. mezzo di identificazione elettronica: gli elementi elettronici utilizzati per l'identificazione e l'autenticazione di una persona fisica;

d. dati di identificazione personale: l'insieme di dati che consente allo Stato di rilasciare un mezzo di identificazione elettronica, in particolare i nomi e i cognomi, la data di nascita, la copia del documento d'identità, l'indirizzo di domicilio, l'indirizzo di posta elettronica, il numero di assicurato AVS;

e. utente: la persona fisica o l'entità che dispone di un numero di identificazione delle imprese ai sensi della legge federale del 18 giugno 2010 sul numero di identificazione delle imprese [A] (qui di seguito: un'entità che dispone di un NIF) che beneficia di un accesso al portale sicuro;

f. dati di account: i dati relativi alla procedura di accesso al portale sicuro, alla creazione e al mantenimento dell'account dell'utente, in particolare, per l'utente persona fisica, i suoi dati di identificazione personale e, per l'utente entità che dispone di un NIF, il numero di identificazione dell'impresa, la sua ragione sociale o il suo nome, il suo indirizzo di domicilio o di sede, il numero di assicurato AVS, la data di nascita e l'indirizzo di posta elettronica delle persone abilitate a rappresentarla;

g. dati di contenuto: i dati intrinseci alle richieste e comunicazioni, comprese le decisioni, trasmesse tra l'utente e lo Stato tramite il portale sicuro;

h. metadati: i dati che descrivono le caratteristiche formali dei dati di contenuto transitanti sul portale sicuro, in particolare il loro autore, titolo, destinatario, data e ora.

1. Il rilascio di un mezzo di identificazione elettronica da parte dello Stato e l'accesso al portale sicuro sono gratuiti.

2. Un emolumento può essere prelevato quando l'accesso al portale sicuro avviene con un altro mezzo di identificazione elettronica diverso da quello rilasciato dallo Stato.

1. Il Dipartimento preposto ai sistemi d'informazione (di seguito: il Dipartimento) [B] è l'autorità competente per l'esecuzione della legge, in particolare per

a. rilasciare, gestire e disattivare i mezzi di identificazione elettronica;

b. concedere l'accesso al portale sicuro a un utente;

c. esercitare la sorveglianza sul portale sicuro;

d. assicurare l'organizzazione amministrativa del portale sicuro;

e. sviluppare l'infrastruttura tecnica del portale sicuro e assicurarne la manutenzione;

f. garantire la sicurezza del portale sicuro;

g. emanare le condizioni d'utilizzo del portale sicuro;

h. designare le persone autorizzate ad accedere ai dati dell'utente conformemente all'articolo 13, capoversi 2 e 3 della presente legge;

i. adottare ogni decisione in applicazione della presente legge.

2. Il Dipartimento può affidare l'esecuzione dei suoi compiti al servizio preposto ai sistemi d'informazione (di seguito: il servizio) [B].

3. Il Consiglio di Stato può prevedere che altri servizi e autorità cantonali concorrano alla realizzazione della procedura di rilascio dei mezzi di identificazione elettronica e di accesso al portale sicuro.

1. Per l'esecuzione dei compiti loro conferiti dalla presente legge, le autorità competenti ai sensi dell'articolo 4 sono autorizzate a utilizzare sistematicamente il numero d'assicurato AVS

a. delle persone che richiedono il rilascio statale di un mezzo d'identificazione elettronico;

b. dei titolari di un mezzo d'identificazione elettronico rilasciato dallo Stato;

c. degli utenti.

1. Al fine di consentire le verifiche d'identità e di poteri di rappresentanza necessarie all'esecuzione della presente legge, nonché un controllo di sicurezza continuo degli scambi tramite il portale protetto, le autorità competenti ai sensi dell'articolo 4 possono accedere

a. ai dati figuranti nel registro cantonale delle persone, ad eccezione di quelli relativi alla detenzione in un istituto penitenziario e all'appartenenza a una comunità religiosa;

b. ai dati figuranti nel registro cantonale delle imprese.

2. I dati indicati al capoverso 1 sono resi loro accessibili tramite una procedura di richiamo.

3. Il Consiglio di Stato può autorizzare l'accesso ad altri registri o banche dati se ciò si rivela necessario all'esecuzione della presente legge.

1. All'inizio della procedura, le autorità competenti ai sensi dell'articolo 4 sensibilizzano chiunque richieda un mezzo di identificazione elettronica o faccia domanda per diventare utente del portale sicuro sulle buone pratiche in materia di sicurezza informatica e protezione dei dati personali.

1. Il Consiglio di Stato determina le condizioni personali da soddisfare e la procedura da seguire per ottenere un mezzo di identificazione elettronica rilasciato dallo Stato.

2. Può riconoscere i mezzi di identificazione elettronica rilasciati da altri fornitori pubblici o concessionari.

3. Il rifiuto del rilascio di un mezzo di identificazione elettronica da parte dello Stato o la sua disattivazione è oggetto di una decisione.

1. Il titolare di un mezzo di identificazione elettronica rilasciato dallo Stato deve mantenerlo strettamente riservato.

2. Adotta le misure necessarie e ragionevoli in considerazione delle circostanze per prevenirne un uso improprio. Questi obblighi gli vengono ricordati al momento del rilascio di un mezzo di identificazione elettronica.

3. In caso di uso improprio di un mezzo di identificazione elettronica rilasciato dallo Stato, o qualora vi siano motivi per temerlo, le autorità competenti ai sensi dell'articolo 4 possono disattivarlo senza previa richiesta del titolare. In tal caso, le autorità competenti informano il titolare.

1. L'utilizzo del portale sicuro per accedere a un servizio dello Stato è facoltativo, salvo eccezioni previste dal Consiglio di Stato.

1. Il titolare di un mezzo di identificazione elettronica e l'entità dotata di un IDE, per il tramite delle persone abilitate a vincolarlo e titolari di un mezzo di identificazione elettronica, possono fare richiesta di diventare utenti del portale sicuro.

2. Il Consiglio di Stato determina la procedura e le condizioni di accesso al portale sicuro.

3. Se un utente viola le condizioni di utilizzo del portale sicuro, il suo accesso può essere limitato, sospeso o revocato.

4. Il rifiuto, la limitazione, la sospensione o la revoca dell'accesso al portale sicuro sono oggetto di una decisione.

1. Le autorità competenti ai sensi dell'articolo 4 sono autorizzate a trattare

a. i dati di identificazione personale;

b. i dati di account, nonché i dati di contenuto e i metadati legati alla gestione dell'accesso degli utenti al portale sicuro;

c. i dati relativi a una procedura di rifiuto o di disattivazione del mezzo di identificazione elettronica rilasciato dallo Stato, o relativi a una procedura di limitazione, sospensione o revoca dell'accesso al portale sicuro;

2. Esse limitano il trattamento dei dati menzionati al capoverso 1 a quanto strettamente necessario per l'esecuzione dei compiti loro assegnati dalla legge.

3. I dati menzionati al capoverso 1 sono distrutti cinque anni dopo la disattivazione del mezzo di identificazione elettronica rilasciato dallo Stato o il rifiuto del suo rilascio, rispettivamente cinque anni dopo che l'accesso dell'utente è terminato.

1. L'utente ha accesso ai dati del conto, ai dati di contenuto e ai metadati che lo riguardano durante il loro periodo di conservazione.

2. Le persone autorizzate ai sensi dell'articolo 4, comma 1, lettera h, possono accedere ai dati del conto e ai metadati dell'utente nell'ambito delle loro funzioni.

3. L'utente può autorizzare l'accesso ai dati di contenuto che lo riguardano alle persone autorizzate ai sensi dell'articolo 4, comma 1, lettera h, specialmente quando deve essere guidato nell'uso del portale sicuro o quando segnala al dipartimento un'anomalia di funzionamento o di contenuto. È richiesto un consenso esplicito.

1. I dati del conto dell'utente sono conservati sul portale sicuro fino alla fine del suo accesso.

2. I dati di contenuto scambiati tra l'utente e lo Stato e i metadati relativi sono conservati sul portale sicuro durante il trattamento da parte dell'autorità competente della richiesta di prestazione online e per diciotto mesi dopo la chiusura della procedura, ma al più tardi fino alla fine dell'accesso dell'utente. I dati di contenuto e i metadati relativi alle decisioni sono conservati sul portale sicuro per diciotto mesi dopo la loro notifica, ma al più tardi fino alla fine dell'accesso dell'utente.

3. I dati menzionati nei commi 1 e 2 sono distrutti sul portale al termine della loro durata di conservazione rispettiva.

4. L'autorità competente ai sensi del comma 2 decide sulle richieste di comunicazione dei dati di contenuto e dei metadati relativi.

1. Lo Stato non risponde dei danni causati dall'impossibilità di utilizzare un mezzo di identificazione elettronica che ha rilasciato o di accedere al portale sicuro e di utilizzarlo.

2. Inoltre, si applica la legge del 16 maggio 1961 sulla responsabilità dello Stato, dei comuni e dei loro agenti (LRECA) [C].

1. L'utente sopporta tutti i rischi derivanti dall'utilizzo da parte di terzi del suo mezzo di identificazione elettronica.

2. È il solo responsabile della protezione e del buon funzionamento del suo sistema informatico.

1. Il Consiglio di Stato emana le disposizioni di attuazione della presente legge.

1. Il Consiglio di Stato presenterà al Gran Consiglio un rapporto di valutazione riguardante l'attuazione della presente legge entro i 5 anni successivi alla sua entrata in vigore.

2. Tale rapporto sarà accompagnato da un progetto di decreto che introdurrà misure qualora gli obiettivi della legge, così come definiti nell'esposizione dei motivi, non siano raggiunti.

1. Le condizioni personali che devono soddisfare le persone fisiche per ottenere un mezzo di identificazione elettronica rilasciato dallo Stato e quelle per diventare utenti del portale sicuro saranno identiche nei tre anni successivi all'entrata in vigore della presente legge.

1. Il Consiglio di Stato è incaricato dell'esecuzione della presente legge. Ne pubblicherà il testo conformemente all'articolo 84, comma 1, lettera a) della Costituzione cantonale e ne fisserà, tramite decreto, la data di entrata in vigore.