Legge sulla protezione dei dati personali nell'ambito dell'applicazione dell'acquis di Schengen in materia penale (LPrDS) - Ambito di applicazione (LPRDS)

1. La presente legge riguarda la protezione delle persone fisiche in relazione al trattamento dei dati personali ai fini della prevenzione e dell'individuazione delle infrazioni penali, delle indagini e delle azioni giudiziarie in materia o dell'esecuzione delle sanzioni penali nel contesto dell'applicazione dell'acquis di Schengen e nell'ambito dell'applicazione degli accordi internazionali conclusi con l'Unione europea o con gli Stati legati alla Svizzera da uno degli accordi di associazione a Schengen (Stati Schengen).

2. La presente legge non si applica ai diritti delle persone interessate nel contesto di procedimenti in corso presso tribunali federali o cantonali o nel contesto di procedimenti in corso regolati dal codice di procedura penale [A] o dalla legge del 20 marzo 1981 sulla cooperazione giudiziaria in materia penale internazionale [B], né nel contesto della protezione contro le minacce alla sicurezza pubblica e alla prevenzione di tali minacce; questi sono disciplinati dal diritto processuale applicabile.

1. Per dati genetici si intendono le informazioni relative al patrimonio genetico di una persona ottenute tramite un'analisi genetica, incluso il profilo del DNA.

2. Per dati biometrici si intendono i dati personali risultanti da un trattamento tecnico specifico e relativi alle caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica, che consentono o confermano la sua identificazione univoca.

3. Per profilazione si intende qualsiasi forma di trattamento automatizzato di dati personali che consiste nell'utilizzare tali dati per valutare determinati aspetti personali relativi a una persona fisica, in particolare per analizzare o prevedere elementi riguardanti la situazione economica, la salute, le preferenze personali, gli interessi, il comportamento, la localizzazione o gli spostamenti di tale persona.

4. Per decisione individuale automatizzata si intende qualsiasi decisione presa esclusivamente sulla base di un trattamento automatizzato di dati personali, inclusa la profilazione, che ha effetti giuridici sulla persona interessata o che la influenza in modo significativo.

5. I dati genetici o biometrici sono dati sensibili ai sensi della legge dell'11 settembre 2007 sulla protezione dei dati personali [C] (LPrD).

6. Il Garante, ai sensi della presente legge, è colui istituito dalla LPrD [C].

7. Per violazione della sicurezza dei dati si intende qualsiasi infrazione della sicurezza, indipendentemente dal fatto che sia intenzionale o illecita, che comporta la perdita di dati personali, la loro modifica, cancellazione o distruzione, o ancora la loro divulgazione o un accesso non autorizzato. La violazione può essere causata da un terzo, ma il suo autore può anche essere un collaboratore che supera le proprie competenze o che mostra negligenza. La violazione della sicurezza dei dati può comportare una perdita di controllo della persona interessata sui propri dati o un uso improprio degli stessi. Può anche originare una violazione della personalità, ad esempio causando la divulgazione di informazioni che la persona desiderava mantenere segrete.

1. Il responsabile del trattamento informa l'interessato di qualsiasi decisione individuale automatizzata che lo riguardi, prima dell'adozione di tale decisione; qualifica tale decisione come tale.

2. Se l'interessato lo richiede, il responsabile del trattamento gli offre la possibilità di far valere il proprio punto di vista. L'interessato può esigere che la procedura applicata gli venga comunicata e che la decisione sia riesaminata da una persona fisica.

3. Il comma 2 del presente articolo non si applica quando l'interessato dispone di un ricorso giurisdizionale contro la decisione.

1. I responsabili del trattamento sono tenuti a implementare, fin dalla progettazione del trattamento, misure tecniche e organizzative affinché il trattamento rispetti le prescrizioni di protezione dei dati e in particolare i principi stabiliti dalla presente legge.

2. Le misure tecniche e organizzative devono essere appropriate tenendo conto, in particolare, dello stato della tecnica, del tipo di trattamento, della sua portata, nonché del rischio che il trattamento dei dati in questione presenta per i diritti fondamentali delle persone interessate.

3. I responsabili del trattamento sono tenuti, attraverso impostazioni predefinite appropriate, a garantire che il trattamento sia limitato al minimo richiesto dalla finalità perseguita.

1. È necessaria una base legale formale per fondare un metodo di trattamento suscettibile di ledere i diritti fondamentali o una profilazione.

2. Una base legale formale non è necessaria se

a. esiste un'esigenza di protezione della vita o dell'integrità corporea dell'interessato o di un terzo, oppure

b. l'interessato ha reso i suoi dati personali accessibili a chiunque, oppure

c. l'interessato non si è opposto espressamente al trattamento.

1. I responsabili del trattamento tengono un registro delle attività di trattamento.

2. I registri dei responsabili del trattamento contengono almeno le seguenti indicazioni

a. il nome del responsabile del trattamento;

b. la finalità del trattamento;

c. una descrizione delle categorie di interessati e delle categorie di dati personali trattati;

d. le categorie di destinatari;

e. la durata di conservazione dei dati personali o, se ciò non è possibile, i criteri per determinare la durata di conservazione;

f. nella misura del possibile, una descrizione generale delle misure volte a garantire la sicurezza dei dati;

g. lo Stato terzo o l'organismo internazionale cui sono comunicati dati personali, nonché le garanzie di protezione dei dati personali previste.

1. Quando il trattamento previsto è suscettibile di comportare un rischio elevato per i diritti fondamentali dell'interessato, il titolare del trattamento procede preliminarmente a una valutazione d'impatto sulla protezione dei dati personali. Se prevede di effettuare più operazioni di trattamento simili, può stabilire una valutazione d'impatto comune.

2. L'esistenza di un rischio elevato dipende, in particolare in caso di utilizzo di nuove tecnologie, dalla natura, dall'estensione, dalle circostanze e dalla finalità del trattamento. Un tale rischio sussiste in particolare nei seguenti casi

a. il trattamento di dati sensibili o di profili della personalità su larga scala;

b. la profilazione.

3. La valutazione d'impatto contiene una descrizione del trattamento previsto, una valutazione dei rischi per i diritti fondamentali dell'interessato, nonché le misure previste per tutelarli.

1. Il responsabile del trattamento consulta il Garante, preliminarmente al trattamento, quando l'analisi d'impatto relativa alla protezione dei dati rivela che il trattamento presenterebbe un rischio elevato per i diritti fondamentali della persona interessata se il responsabile del trattamento non adottasse misure per attenuare tale rischio.

2. Il Garante comunica al responsabile del trattamento le sue obiezioni riguardanti il trattamento previsto entro un termine di due mesi. Questo termine può essere esteso di un mese, quando si tratta di un trattamento di dati complesso.

3. Se il Garante ha obiezioni riguardo al trattamento previsto, propone al responsabile del trattamento misure appropriate.

1. Il titolare del trattamento annuncia senza indugio all'Incaricato i casi di violazione della sicurezza dei dati che comportano verosimilmente un rischio elevato per i diritti fondamentali dell'interessato.

2. L'annuncio deve indicare almeno la natura della violazione della sicurezza dei dati, le sue conseguenze e le misure adottate o previste per rimediarvi.

3. Il responsabile del trattamento annuncia senza indugio al titolare del trattamento ogni caso di violazione della sicurezza dei dati.

4. Il titolare del trattamento informa l'interessato quando ciò è necessario per la sua protezione o quando l'Incaricato lo esige.

5. Il titolare del trattamento può limitare l'informazione dell'interessato, differirla o rinunciarvi, nei seguenti casi

a. gli interessi preponderanti di un terzo lo esigono;

b. un interesse pubblico preponderante, in particolare il mantenimento della sicurezza interna o esterna del Cantone o della Svizzera, lo esige;

c. l'informazione dell'interessato è suscettibile di compromettere un'inchiesta, un'istruzione o un procedimento amministrativo o giudiziario;

d. l'obbligo di informare è impossibile da rispettare o richiede sforzi sproporzionati;

e. l'informazione dell'interessato è garantita in modo equivalente da una comunicazione pubblica.

1. I titolari del trattamento designano un consulente per la protezione dei dati. Possono designare un consulente comune.

2. Il consulente per la protezione dei dati deve soddisfare le seguenti condizioni

a. possiede le conoscenze professionali necessarie;

b. non esercita attività incompatibili con i suoi compiti di consulente per la protezione dei dati.

3. Il consulente per la protezione dei dati esercita in particolare i seguenti compiti

a. consiglia i titolari del trattamento;

b. promuove l'informazione e la formazione dei collaboratori;

c. concorre all'applicazione delle prescrizioni relative alla protezione dei dati e propone misure qualora appaia che le prescrizioni relative alla protezione dei dati siano state violate.

1. Chiunque abbia un interesse legittimo può esigere dal responsabile del trattamento

a. che si astenga dal procedere a un trattamento illecito;

b. che elimini gli effetti di un trattamento illecito;

c. che constati il carattere illecito di un trattamento.

2. Il richiedente può in particolare esigere che il responsabile del trattamento

a. rettifichi i dati personali, li cancelli o li distrugga;

b. pubblichi o comunichi a terzi la sua decisione riguardante in particolare la rettifica, la cancellazione o la distruzione dei dati, l'opposizione a una comunicazione o la menzione del carattere controverso dei dati personali prevista al capoverso 4 del presente articolo.

3. Invece di cancellare o distruggere i dati personali, il responsabile del trattamento limita il trattamento nei casi seguenti

a. l'esattezza dei dati è contestata dall'interessato e la loro esattezza o inesattezza non può essere stabilita;

b. interessi preponderanti di un terzo lo esigono;

c. un interesse pubblico preponderante, in particolare la sicurezza interna o esterna del Cantone o della Svizzera, lo esige;

d. la cancellazione o la distruzione dei dati è suscettibile di compromettere un'inchiesta, un'istruzione o un procedimento amministrativo o giudiziario.

4. Se l'esattezza o l'inesattezza di un dato personale non può essere stabilita, vi aggiunge la menzione del suo carattere controverso.

5. La procedura è retta dalla legge del 28 ottobre 2008 sulla procedura amministrativa [D] (LPA).

1. **Il Responsabile** apre d'ufficio o su denuncia un'inchiesta contro il responsabile del trattamento o il subappaltatore se indizi fanno pensare che un trattamento di dati personali potrebbe essere contrario a disposizioni di protezione dei dati.

2. Egli può rinunciare ad aprire un'inchiesta quando la violazione delle prescrizioni di protezione dei dati è di scarsa importanza.

3. Il responsabile del trattamento o il subappaltatore fornisce al Responsabile tutte le informazioni e i documenti che gli sono necessari per l'inchiesta.

4. Se la persona interessata è l'autore della denuncia, il Responsabile la informa delle decisioni adottate in seguito a essa e del risultato di un'eventuale inchiesta.

1. Qualora il titolare del trattamento o il responsabile del trattamento non rispetti il proprio obbligo di collaborazione, il Preposto può, nell'ambito della procedura d'inchiesta, ordinare in particolare

a. l'accesso a tutte le informazioni, i documenti, i registri delle attività e i dati personali necessari per l'inchiesta;

b. l'accesso ai locali e agli impianti;

c. l'audizione di testimoni;

d. delle perizie.

2. Può altresì ordinare misure provvisorie per la durata dell'inchiesta.

1. Se vengono violate disposizioni sulla protezione dei dati, il Garante può ordinare la messa in conformità, la sospensione o la cessazione totale o parziale del trattamento, nonché la cancellazione o la distruzione totale o parziale dei dati personali.

2. Egli può sospendere o vietare la comunicazione di dati personali all'estero se essa è contraria alle disposizioni legali applicabili in materia di comunicazione di dati personali a uno Stato terzo o a un organismo internazionale.

3. Quando il titolare del trattamento o il responsabile del trattamento ha adottato, durante l'indagine, le misure necessarie al ripristino di una situazione conforme alle prescrizioni della protezione dei dati, il Garante può limitarsi a pronunciare un avvertimento.

4. Le parti coinvolte nella procedura d'indagine, compresi i titolari del trattamento, hanno il diritto di ricorrere, anche contro le decisioni sull'effetto sospensivo o le misure provvisorie.

1. Il Preposto può scambiare informazioni o dati personali con un'autorità di uno Stato Schengen incaricata della protezione dei dati personali per l'adempimento dei rispettivi compiti legali in materia di protezione dei dati, a condizione che siano soddisfatte le seguenti condizioni

a. la reciprocità in materia di assistenza amministrativa è garantita;

b. le informazioni e i dati personali scambiati sono utilizzati solo nell'ambito del procedimento legato alla protezione dei dati personali alla base della richiesta di assistenza amministrativa;

c. l'autorità destinataria si impegna a non divulgare i segreti professionali, commerciali o di fabbricazione;

d. le informazioni e i dati personali sono comunicati a terzi solo con il previo accordo dell'autorità che li ha trasmessi;

e. l'autorità destinataria si impegna a rispettare gli oneri e le restrizioni d'uso richiesti dall'autorità che le ha trasmesso le informazioni e i dati personali.

2. Per motivare la sua richiesta di assistenza amministrativa o per dare seguito a una richiesta di assistenza amministrativa dell'autorità richiedente, il Preposto può comunicare in particolare le seguenti indicazioni

a. il nome del servizio responsabile del trattamento, del responsabile del trattamento o di qualsiasi altro organo terzo partecipante al trattamento;

b. le categorie di persone interessate;

c. l'identità delle persone interessate quando la sua comunicazione è indispensabile per l'adempimento dei compiti legali del Preposto o di un'autorità di uno Stato Schengen incaricata della protezione dei dati;

d. i dati personali o le categorie di dati personali trattati;

e. le finalità dei trattamenti;

f. i destinatari o le categorie di destinatari;

g. le misure tecniche e organizzative.

3. Prima di trasmettere a un'autorità di uno Stato Schengen incaricata della protezione dei dati informazioni suscettibili di contenere segreti professionali, di fabbricazione o commerciali, esso informa le persone detentrici di tali segreti e le invita a prendere posizione, a meno che ciò non si riveli impossibile o non richieda sforzi sproporzionati.

1. In assenza di una disposizione speciale prevista dalla presente legge, si applica la legge cantonale sulla protezione dei dati personali [C] (LPrD); è riservata l'applicabilità di altre leggi.

2. La legge sulla procedura amministrativa [D] (LPA) si applica inoltre specificamente alla procedura da seguire riguardante l'applicazione degli articoli da 11 a 14 della presente legge.

1. Il Consiglio di Stato è incaricato dell'esecuzione della presente legge. Ne pubblicherà il testo conformemente all'articolo 84, comma 1, lettera a), della Costituzione cantonale e ne fisserà, mediante decreto, l'entrata in vigore.