Regolamento d'applicazione della legge del 6 novembre 2018 sui mezzi d'identificazione elettronica e il portale sicuro delle prestazioni online dello Stato (RLCyber) - Oggetto (RLCyber)

1. Il presente regolamento ha per oggetto l'applicazione della legge del 6 novembre 2018 sui mezzi di identificazione elettronica e il portale sicuro dei servizi online dello Stato (di seguito LCyber) [A].

1. Il dipartimento responsabile dei sistemi informativi (di seguito: il dipartimento) [B] esegue il presente regolamento. Esso può delegare le proprie competenze e i propri compiti al servizio responsabile dei sistemi informativi (di seguito: il servizio) [B].

2. Qualsiasi entità pubblica o concessionaria designata per decisione del Consiglio di Stato concorre alla realizzazione della procedura di rilascio del mezzo di identificazione elettronica rilasciato dallo Stato (di seguito: MIE) e di accesso al portale sicuro.

3. Il dipartimento stabilisce direttive riguardanti i requisiti minimi di sicurezza, formazione e protezione dei dati personali applicabili alla procedura di rilascio di un MIE e di accesso al portale sicuro.

1. Il Consiglio di Stato riconosce con decisione i mezzi di identificazione elettronica rilasciati da altri fornitori pubblici o concessionari.

2. Questa decisione elenca i fornitori pubblici o concessionari di mezzi di identificazione elettronica riconosciuti.

1. Qualsiasi persona di età pari o superiore a 15 anni può ottenere un MIE se

a. è titolare di un numero AVS;

b. dispone di un indirizzo di posta elettronica personale; e

c. dispone di un mezzo di identificazione ai sensi dell'art. 2a o di un numero di telefono cellulare personale.

1. La domanda di un MIE è avviata presso il servizio al primo accesso al portale sicuro tramite un mezzo di identificazione ai sensi dell'art. 2a o di un modulo elettronico.

2. Una volta avviata la domanda, il richiedente riceve una richiesta di convalida della sua domanda dal servizio. Durante questa convalida, il richiedente indica, in base ai dati richiesti per il mezzo di identificazione utilizzato, il suo numero AVS, la sua data di nascita, il suo indirizzo e-mail personale e il suo numero di telefono cellulare personale.

3. Al ricevimento della domanda tramite un modulo elettronico, il dipartimento rilascia un codice personale e segreto all'indirizzo e-mail indicato dal richiedente, valido per 90 giorni.

4. La domanda vale anche come richiesta di accesso al portale sicuro a titolo personale.

1. Una volta ottenuto il codice personale e segreto, il richiedente si reca personalmente presso un'autorità designata all'articolo 2, capoverso 2, o presso il dipartimento per essere identificato. Il dipartimento può anche offrire la possibilità di identificarsi tramite video, senza spostamento in persona.

2. Il richiedente è munito del suo codice personale e segreto e,

a. per i cittadini svizzeri, di un documento d'identità svizzero valido ai sensi della legge federale del 22 giugno 2001 sui documenti d'identità dei cittadini svizzeri (LDI; RS 143.1); o

b. per le persone di nazionalità straniera, di un documento di legittimazione valido e riconosciuto ai sensi dell'articolo 13, capoverso 1, della legge federale del 16 dicembre 2005 sugli stranieri e l'integrazione (LStrI; RS 142.20) [C] o di un titolo di soggiorno valido rilasciato da un'autorità svizzera di polizia degli stranieri.

3. Se l'identificazione è accertata, il dipartimento rilascia un MIE.

4. Per le persone che non hanno l'esercizio dei diritti civili è necessario il consenso del rappresentante legale.

5. Il servizio disciplina le modalità di verifica del consenso del rappresentante legale nelle condizioni d'uso.

1. L'identificazione di una persona fisica è valida per 5 anni.

2. Prima della scadenza di tale durata, il dipartimento invita il titolare di un MIE a richiedere il suo rinnovo. La procedura di identificazione dell'articolo 5 è applicabile per analogia al rinnovo dell'identificazione del titolare di un MIE.

1. Il titolare di un MIE può in qualsiasi momento richiederne la disattivazione. Invia la sua richiesta al dipartimento, per via elettronica o si presenta personalmente presso una prefettura, munito di uno dei documenti menzionati all'articolo 5, comma 2, lettera a o b.

2. Alla scadenza della durata di validità dell'identificazione, il MIE è temporaneamente bloccato per 6 mesi e, in assenza di rinnovo dell'identificazione del titolare entro questo termine, viene disattivato.

3. Il MIE è disattivato al decesso del titolare.

4. Sono riservate le decisioni del dipartimento basate sull'articolo 8 comma 3, LCyber [A].

5. La disattivazione del MIE comporta la cessazione di tutti gli accessi del titolare al portale sicuro.

1. Il titolare di un MIE accede al portale sicuro sin dalla concessione di tale MIE, senza richiesta aggiuntiva.

2. L'entità in possesso di un numero di identificazione delle imprese (di seguito: IDE) ai sensi della legge federale del 18 giugno 2010 sul numero di identificazione delle imprese (LIDE; RS 431.03) [D] che desidera accedere al portale sicuro presenta una domanda elettronica tramite un modulo elettronico. Agisce tramite una persona fisica titolare di un MIE e dotata di poteri di rappresentanza per richiedere l'accesso al portale sicuro e gestire tale accesso (di seguito il referente).

1. O Deputado refere o número de identificação das empresas da entidade que dispõe de um IDE que ele representa, bem como a base dos seus poderes de representação. O departamento define os documentos que permitem atestar os poderes de representação do Deputado.

2. O Deputado, além disso, valida os seus poderes de representação junto das autoridades competentes no sentido do artigo 2.º.

3. Uma vez validados os poderes de representação, o departamento envia por correio postal um código pessoal e secreto, válido por 90 dias, para o endereço da entidade que dispõe de um IDE. O Deputado da entidade que dispõe de um IDE finaliza o pedido indicando este código pessoal e secreto no portal seguro.

4. Se as condições de acesso forem satisfeitas, o departamento concede acesso ao portal seguro à entidade que dispõe de um IDE. O Deputado é associado à entidade que dispõe de um IDE.

1. L'autenticazione dell'utente è necessaria per accedere al portale sicuro. È richiesta ad ogni connessione al portale sicuro.

2. L'autenticazione avviene tramite il MIE.

1. Ogni persona fisica titolare di un MIE e ogni entità che dispone di un IDE e che beneficia dell'accesso al portale sicuro dispone di un account utente.

2. Se il titolare del MIE dispone di accesso a più account utente, indica a ogni accesso a quale account desidera accedere. L'autenticazione effettuata durante un accesso al portale sicuro consente di accedere a un solo account alla volta.

3. Dopo 30 mesi senza connessione al portale sicuro, l'utente viene avvisato che il suo account sarà disattivato entro un termine di 6 mesi. In assenza di una nuova connessione del titolare entro tale termine, l'account viene disattivato.

1. Il dipartimento stabilisce le condizioni d'uso del portale sicuro. Può modificarle in qualsiasi momento. La modifica entra in vigore al momento della sua pubblicazione sul portale sicuro.

2. Al suo primo accesso, l'utente è informato dei diritti e degli obblighi relativi all'uso del portale sicuro che derivano dalla legislazione e dalle condizioni d'uso in vigore.

1. Il referente è responsabile della gestione dell'accesso al portale sicuro dell'entità titolare di un IDE.

2. A lui spetta il compito di definire i ruoli degli eventuali titolari di un MIE che devono disporre di un accesso all'account utente e ai dati dell'entità titolare di un IDE, e in particolare di

a. designare e revocare le persone autorizzate ad agire per conto dell'entità titolare di un IDE, definendo per ciascuna le prestazioni online alle quali hanno accesso;

b. designare e revocare i rappresentanti dell'entità titolare di un IDE e definire i loro poteri di rappresentanza, precisando per ciascuno le prestazioni online alle quali hanno accesso;

c. delegare i compiti menzionati alle lettere a e b.

3. I ruoli definiti sul portale sicuro sono limitati alle sole azioni effettuate sullo stesso.

4. La creazione dei ruoli sul portale sicuro non equivale a una conferma della validità dei rapporti di rappresentanza interessati.

1. L'entità in possesso di un IDE può in qualsiasi momento richiedere un cambio di referente. Essa inoltra la sua richiesta al dipartimento, per via elettronica. Il dipartimento stabilisce i documenti che permettono di attestare i poteri di rappresentanza del referente.

2. L'entità in possesso di un IDE specifica nella sua richiesta se il referente precedentemente registrato deve mantenere o meno l'accesso al conto dell'entità IDE.

3. Il dipartimento procede al cambio di referente una volta che i poteri di rappresentanza sono stati convalidati dalle autorità competenti ai sensi dell'articolo 2.

1. L'utente può autorizzare per via elettronica uno o più altri utenti a rappresentarlo e ad accedere ai servizi online del portale sicuro in suo nome e per suo conto.

2. Il rappresentato determina l'estensione dei poteri di rappresentanza e, in particolare, i servizi online e i dati ai quali concede accesso al rappresentante, nonché il destinatario delle comunicazioni elettroniche.

3. Può modificare o revocare tali autorizzazioni in qualsiasi momento.

4. Ogni autorità interessata definisce, per i servizi online che offre, se ammette la rappresentanza online, nell'ambito tecnico previsto dal servizio.

1. **L'utente è tenuto ad aggiornare sul portale sicuro i propri dati di conto, l'indirizzo di posta elettronica di contatto, l'elenco dei suoi rappresentanti autorizzati nonché l'estensione dei poteri di rappresentanza di ciascuno di essi.**

2. **Lo stesso obbligo vale per il referente riguardo ai dati di conto relativi all'entità titolare di un IDE, al suo indirizzo di posta elettronica di contatto e ai ruoli concessi alle persone autorizzate e rappresentanti conformemente all'articolo 13.**

3. **Il referente è inoltre tenuto a segnalare la cancellazione dell'entità titolare di un IDE dal registro IDE.**

1. L'utente può in qualsiasi momento rinunciare al suo accesso al portale sicuro. Invia la sua rinuncia al dipartimento, per via elettronica, o si reca personalmente presso una prefettura munito di uno dei documenti menzionati nell'articolo 5, comma 2, lettera a o b.

2. L'accesso dell'utente termina con il decesso dello stesso.

3. La cessazione dell'accesso dell'utente persona fisica comporta la disattivazione del MIE del titolare.

1. Il rappresentante dell'entità titolare di un IDE può annunciare in qualsiasi momento che l'entità rinuncia al suo accesso. Egli invia una rinuncia al dipartimento, per via elettronica o si reca personalmente presso una prefettura munito di uno dei documenti menzionati all'articolo 5, comma 2, lettera a o b.

2. Quando termina l'accesso del rappresentante, il dipartimento informa l'entità titolare di un IDE e richiede la designazione di un nuovo rappresentante. Gli viene concesso un termine per designare un nuovo rappresentante. Se l'entità IDE non designa un nuovo rappresentante entro questo termine, il dipartimento revoca l'accesso dell'entità titolare di un IDE.

3. L'accesso dell'utente termina al momento dell'annuncio di cancellazione dell'entità titolare di un IDE dal registro IDE da parte del rappresentante o, in assenza di tale annuncio, dopo tre anni di inattività del conto utente.

1. Se la cessazione dell'accesso avviene nel corso di una procedura, l'autorità competente prosegue la procedura senza ricorrere al portale sicuro, tramite mezzi non elettronici. Si riservano le normative speciali.

1. Il dipartimento informa il titolare di un MIE e l'utente dei dati personali raccolti al momento della richiesta di ottenimento di un MIE, così come al primo accesso dell'utente al portale.

1. Le persone autorizzate ai sensi dell'articolo 4, comma 1, lettera h LCyber per accedere ai dati del conto, ai metadati e ai dati di contenuto degli utenti sul portale sicuro sono soggette a un obbligo di riservatezza riguardo all'accesso ai dati degli utenti.

2. Ogni accesso ai dati di un utente è registrato dal servizio per una durata di 18 mesi (storico degli accessi).

3. In caso di richiesta di un utente mirante a consultare lo storico degli accessi ai suoi dati, il dipartimento gli comunica questo storico senza menzionare l'identità delle persone autorizzate ai sensi dell'articolo 4, comma 1, lettera h LCyber [A] che hanno avuto accesso ai dati.

1. Dopo aver consultato il Responsabile cantonale della protezione dei dati, il dipartimento può autorizzare il trattamento di dati personali da parte del servizio se ciò risulta indispensabile per realizzare un progetto pilota o preparare un'applicazione durante la procedura di adozione o adeguamento della base legale necessaria per tale trattamento.

2. Il servizio trasmette, al più tardi due anni dopo l'attuazione della fase di prova, un rapporto di valutazione al dipartimento. In questo rapporto, propone la continuazione o l'interruzione del trattamento.

1. I MIE rilasciati dal servizio ai rappresentanti dei comuni prima dell'entrata in vigore della LCyber [A] sono riconosciuti come validamente rilasciati, a condizione che il titolare rispetti le condizioni personali dell'articolo 3.

2. Il consenso del rappresentante legale è necessario per le persone che non hanno l'esercizio dei diritti civili al momento dell'entrata in vigore del presente regolamento.

3. L'identificazione del titolare deve essere rinnovata entro un termine di 5 anni dalla data di rilascio del MIE. La procedura degli articoli 5 e 6 è applicabile per analogia.

1. Il dipartimento è incaricato dell'esecuzione del presente regolamento che entra in vigore il 1° dicembre 2020.