Ordinanza d'applicazione generale della legge sulle banche dati di riferimento e sull'armonizzazione dei registri (OgBDR) - Scopo (AVGRDB)

1. Il presente regolamento stabilisce le disposizioni generali di attuazione del GRDB.

1. Il presente regolamento disciplina

a) la struttura, la gestione, la manutenzione, la trasmissione e l'archiviazione dei dati delle banche dati di riferimento (di seguito: RDB) nonché il loro ciclo di vita;

b) i ruoli dei centri di coordinamento amministrazione e statistica, del responsabile della protezione dei dati e della comunicazione pubblica (di seguito: responsabile della protezione dei dati) nonché del servizio competente per l'informatica;

c) i diritti e i doveri in relazione alle RDB, i titolari dei registri amministrativi e i fornitori dei dati di origine;

d) la governance e le norme di controllo riguardanti l'accesso, la manutenzione e l'utilizzo delle RDB nonché l'accesso ai dati delle RDB;

e) i collegamenti e le modalità per l'uso comune dei dati tra le RDB;

f) le tariffe per l'accesso ai dati delle RDB;

g) l'organizzazione, il funzionamento, la fornitura di risorse e il budget del centro di competenza RDB.

2. Il contenuto di ciascuna RDB è disciplinato da un regolamento specifico.

1. Il presente regolamento si applica alla banca dati di riferimento Persone Fisiche (in seguito: RDB-PF), alla banca dati di riferimento Imprese e Aziende (in seguito: RDB-IA), alla banca dati di riferimento Edifici e Abitazioni (in seguito: RDB-EA), alle banche dati sorgenti nonché ai registri amministrativi che costituiscono le RDB.

1. Si applicano le definizioni ai sensi dell'Articolo 4 RGDB.

2. Ai sensi del presente regolamento si intende per

a) Accesso di gruppo: accesso che definisce l'ambito e le condizioni di accesso di un'unità organizzativa o di un'unità consumatrice a un RDB;

b) Accesso a utente singolo: accesso che stabilisce i diritti di accesso individuale di un dipendente di un'unità con accesso di gruppo;

c) Accesso amministrativo: accesso che stabilisce l'ambito di accesso e i diritti di accesso di un amministratore per un RDB per un'unità con accesso di gruppo;

d) Utente: persona fisica con diritti di accesso individuale o diritti di accesso amministrativo;

e) dati supplementari: dati aggiuntivi indispensabili per la raccolta di dati amministrativi o statistici;

f) Responsabile del registro: persona incaricata della gestione dei dati di un registro specifico, della sua completezza, attualità e qualità dei dati contenuti;

g) Registrazione: registrazione che conserva la visibilità, la tracciabilità e il momento di un evento.

1. Il presente regolamento costituisce la base per il centro di competenza RDB (di seguito: CRDB) ai sensi dell'articolo 8 GRDB.

2. Il Consiglio di Stato nomina i membri del consiglio direttivo del CRDB, che si compone almeno dei rappresentanti delle diverse unità di coordinamento dell'amministrazione. Esso designa tra i membri del consiglio il presidente.

3. Il CRDB utilizza le risorse delegate dagli uffici.

4. Il CRDB stabilisce, insieme all’ufficio a cui è amministrativamente connesso, gli obiettivi individuali e valuta la loro realizzazione.

5. Il CRDB si organizza autonomamente. Si riunisce almeno due volte l'anno con i rappresentanti delle unità produttive, i rappresentanti delle unità di coordinamento della statistica, nonché con il rappresentante dell'ufficio responsabile dell'informatica. Non appena un punto relativo alla gestione del ciclo di vita dei dati è all'ordine del giorno, l'archivista cantonale partecipa di diritto alla riunione.

6. Il CRDB elabora un budget, istituisce un monitoraggio e redige una relazione annuale sui compiti affidati.

1. Il KRDB ha i seguenti compiti

a) garantire l'istituzione, l'attuazione e il mantenimento delle procedure per l'accesso ai RDB;

b) sorvegliare la gestione dei dati da parte delle sedi di coordinamento amministrazione o statistica;

c) ricevere le richieste di informazioni relative ai RDB e coordinare le loro risposte;

d) coordinare e sorvegliare i collegamenti tra i RDB;

e) assumere la direzione dei progetti relativi ai RDB;

f) garantire la trasmissione delle richieste di accessi di gruppo al responsabile della protezione dei dati;

g) garantire che al responsabile della protezione dei dati siano messi a disposizione ogni anno gli accessi di gruppo;

h) assicurarsi che le sedi di coordinamento amministrazione mantengano aggiornato l'elenco degli accessi;

i) garantire la gestione e il controllo del budget;

j) controllare la riscossione delle tariffe in relazione ai RDB;

k) coordinare i compiti svolti dalle risorse ad esso delegate e partecipare alla valutazione annuale;

l) garantire una gestione conforme del ciclo di vita dei dati.

1. L'entità delle informazioni contenute nel RDB è stabilita nel GRDB.

2. La tipologia delle informazioni contenute nel RDB è specificata nei regolamenti specifici.

3. Il Consiglio di Stato può prescrivere la raccolta di dati supplementari ai sensi dell'articolo 7, comma 2 e dell'articolo 10, comma 4 del GRDB, prevedendoli nei regolamenti specifici. Le autorità sono obbligate a trasmettere i dati supplementari al RDB.

4. Le informazioni relative agli accessi e alla loro registrazione costituiscono parte integrante dei dati del RDB.

1. Le unità produttive trasmettono sistematicamente le modifiche dei loro dati all'RDB attraverso un'interfaccia appropriata.

2. I titolari dei registri e delle banche dati fonte sono responsabili dell'esattezza, completezza e attualità dei loro dati. Se le modifiche non sono possibili, informano immediatamente l'ufficio di coordinamento amministrativo.

3. L'ufficio di coordinamento amministrativo garantisce la ricezione dei dati trasmessi dalle banche dati fonte, la loro durata, aggiornamento e conformità rispetto all'RDB.

4. Il dipartimento responsabile per l'informatica assicura la conformità tecnica e di sicurezza dell'ingresso dei dati.

1. Le banche dati di origine possono avere lo stato "attivo" o "passivo".

2. Sono attive quando la trasmissione dei dati al RDB è approvata, e passive quando la trasmissione dei dati al RDB è respinta.

3. Le banche dati di origine attive sono elencate nei regolamenti specifici.

4. L'ufficio di coordinamento amministrativo mantiene per ogni RDB un elenco aggiornato delle banche dati di origine attive, del titolare o dei titolari dei registri connessi, nonché delle tipologie e della portata dei dati utilizzati.

1. Le banche dati attive delle fonti trasmettono gli aggiornamenti dei loro dati conformemente all'articolo 8 almeno settimanalmente.

2. In caso contrario, il servizio competente per l'informatica lo segnala al responsabile del registro interessato e informa l'ufficio di coordinamento dell'amministrazione.

1. Il Consiglio di Stato stabilisce le condizioni per l'ammissione delle applicazioni e i termini per l'adempimento supplementare. Esso stabilisce nei regolamenti di attuazione quali applicazioni devono essere certificate.

2. L'KRDB può richiedere ai registratori di far certificare le loro applicazioni se la regolarità o la qualità delle trasmissioni non corrisponde agli standard previsti.

3. La responsabilità della certificazione delle applicazioni spetta all'ufficio incaricato dell'informatica. Quest'ultimo stabilisce gli standard tecnologici e di sicurezza per la fornitura dei dati sorgente.

4. I fornitori di soluzioni IT per i dati sorgente possono richiedere l'approvazione della loro soluzione, purché soddisfino i requisiti stabiliti.

1. La richiesta di attivazione retroattiva di una banca dati sorgente viene sottoposta al capo del dipartimento dall'ufficio di coordinamento amministrativo, mentre il KRDB e il responsabile della protezione dei dati forniscono il loro parere preliminare.

2. La richiesta di attivazione comprende

a) la portata dei dati trasmessi;

b) la modalità di trasmissione;

c) le procedure di trasmissione dei dati;

d) la prova che la banca dati sorgente aggiuntiva è necessaria per il funzionamento del RDB.

3. Prima dell'entrata in servizio, l'attivazione di una banca dati sorgente deve essere sottoposta a una verifica di conformità tecnica e di sicurezza.

4. In caso di approvazione, il KRDB e il responsabile della protezione dei dati vengono informati sulla banca dati sorgente attivata.

1. Accesso ai dati è concesso a

a) le unità;

b) gli utenti.

2. Ogni richiesta di accesso deve includere una prova motivata e documentata da parte di un'unità organizzativa o un'unità consumatrice.

3. Al KRDB viene messa a disposizione una lista aggiornata degli accessi e delle richieste specifiche di accesso per ogni RDB.

4. Gli utenti vengono informati della registrazione dei loro accessi.

5. Un accesso approvato consente anche l'accesso alle banche dati sorgente delle rispettive RDB secondo le condizioni stabilite nella concessione.

1. La richiesta per un accesso di gruppo a una RDB e ai dati include

a) l'ambito;

b) la durata;

c) il/i tipo/i di accesso;

d) l'applicazione di terze parti che l'unità desidera connettere, la modalità di registrazione e la modalità di tracciamento;

e) la base legale che consente l'accesso a un'unità;

f) la prova ai sensi dell'Articolo 12 paragrafo 2.

2. La richiesta per un accesso di gruppo viene presentata all'ufficio di coordinamento responsabile della gestione della RDB in questione.

3. L'autorizzazione per un accesso di gruppo viene concessa dal capo del dipartimento responsabile per l'ufficio di coordinamento in questione e entra in vigore, salvo parere contrario dell'incaricato della protezione dei dati, entro 20 giorni. In caso di opinioni divergenti, decide il Consiglio di Stato.

1. La domanda di accesso singolo a un RDB e ai dati nell'ambito di un accesso di gruppo autorizzato include

a) l'ambito;

b) la durata;

c) il/i tipo/i di accesso;

d) l'identità del dipendente;

e) la prova ai sensi dell'articolo 12, comma 2.

2. La domanda di accesso singolo viene presentata al centro di coordinamento dell'amministrazione del RDB interessato.

3. Il centro di coordinamento dell'amministrazione rilascia le autorizzazioni per gli accessi singoli.

1. La domanda per un accesso amministratore a una RDB e ai dati nell'ambito di un accesso di gruppo approvato include

a) l'ambito;

b) la durata;

c) il/i tipo/i di accesso e i diritti estesi;

d) l'identità del dipendente;

e) la prova ai sensi dell'articolo 12, comma 2.

2. La domanda per un accesso amministratore viene presentata all'Ufficio di coordinamento amministrazione della RDB interessata.

3. L'autorizzazione per un accesso amministratore viene concessa dal capo del dipartimento responsabile per l'Ufficio di coordinamento amministrazione interessato.

1. L'ufficio competente per l'informatica fornisce annualmente l'elenco degli accessi autorizzati e il registro degli accessi.

2. L'ufficio di coordinamento amministrativo esegue il controllo annuale degli accessi autorizzati e del registro degli accessi.

3. L'elenco degli accessi di gruppo viene messo a disposizione del responsabile della protezione dei dati per un'eventuale verifica annuale.

1. Le autorizzazioni per gli accessi di gruppo sono revocate o modificate non appena le condizioni che ne giustificavano l'accesso non sussistono più o si verifica un utilizzo improprio.

2. L'entità consumatrice, in possesso di un'autorizzazione di accesso, deve segnalare immediatamente all'unità amministrativa di coordinamento qualsiasi evento che possa mettere in discussione la sua autorizzazione per un accesso di gruppo.

3. L'entità consumatrice deve comunicare il più rapidamente possibile all'unità amministrativa di coordinamento qualsiasi cambiamento nelle condizioni per un accesso individuale o se tali condizioni non sono più presenti.

1. Una volta concesso l'accesso dell'utente singolo o l'accesso amministrativo, il dipendente diventa l'utente autorizzato.

2. L'utente si impegna ad accedere ai dati del RDB unicamente nell'ambito dell'esecuzione delle sue mansioni.

3. Per qualsiasi utilizzo dei dati del RDB che vada oltre l'esecuzione dei compiti dell'utente, l'utente è personalmente responsabile. Fatte salve le disposizioni della legge sul personale dello Stato del Vallese nonché tutte le altre disposizioni cantonali o federali applicabili.

1. L'unità responsabile delle statistiche ha accesso a tutte le RDB a fini statistici.

2. Le persone autorizzate responsabili della statistica cantonale ricevono un accesso individuale alle RDB, qualora sia necessario per l'esercizio delle loro funzioni.

3. L'unità responsabile delle statistiche può confrontare i dati, purché li anonimizzi.

1. L'interrogazione dei dati del RDB da parte dell'utente avviene tramite uno strumento sicuro, in grado di gestire i permessi e i diritti di accesso.

2. L'ufficio responsabile per l'informatica fornisce uno strumento di interrogazione, ne assicura il funzionamento e garantisce il rispetto degli standard tecnologici e di sicurezza dello strumento.

3. L'ufficio responsabile per l'informatica assicura la registrazione dei log degli accessi all'applicazione RDB.

1. Le applicazioni di terze parti possono collegarsi a un RDB secondo l'ambito stabilito nell'autorizzazione per l'accesso di gruppo.

2. L'applicazione di terze parti deve soddisfare i requisiti di registrazione e sicurezza stabiliti per il RDB in questione.

3. L'ufficio competente per l'informatica stabilisce le modalità per i collegamenti tra le applicazioni di terze parti e il RDB.

4. L'aggiornamento dei dati dell'applicazione di terze parti può avvenire tramite

a) la sottoscrizione delle notifiche RDB;

b) la replica dei dati in un database interno all'interno dell'applicazione di terze parti;

c) la richiesta in tempo reale dei dati RDB senza memorizzazione di tali dati.

5. L'unità consumatrice garantisce che l'applicazione di terze parti autorizzata nell'ambito del proprio accesso di gruppo soddisfi sempre i requisiti del paragrafo 2 e deve, in caso di non conformità, informare immediatamente l'ufficio di coordinamento amministrativo.

6. Se l'applicazione di terze parti non soddisfa più i requisiti di registrazione e sicurezza, il collegamento al RDB verrà immediatamente interrotto e l'autorizzazione per l'accesso di gruppo modificata.

7. L'ufficio competente per l'informatica tiene un registro delle applicazioni di terze parti con accesso al RDB, nel quale precisa le modalità di connessione.

1. L'ufficio responsabile dell'informatica assegna a ciascun utente un nome utente univoco, al quale sono associati i suoi diritti e autorizzazioni.

2. I dati relativi agli accessi individuali degli utenti o degli amministratori sono personali e non possono essere ceduti o trasferiti.

3. I nomi utente e i diritti e le autorizzazioni ad essi connessi vengono conservati in conformità con le disposizioni emanate dalla funzione responsabile della sicurezza delle informazioni dello Stato del Vallese.

4. Il centro di coordinamento amministrativo si occupa della gestione amministrativa dei nomi utente degli utenti del relativo RDB.

1. I dati di un RDB possono essere condivisi con un altro RDB secondo le modalità stabilite nell'articolo 29 GRDB.

2. La creazione e l'entrata in funzione di un nuovo collegamento tra i RDB sono autorizzate dal responsabile della protezione dei dati, dopo che l'ufficio di coordinamento amministrativo ha presentato una richiesta convalidata dal capo del dipartimento responsabile degli uffici di coordinamento e che il KRDB ha fornito un parere preliminare.

3. La richiesta di creazione di un collegamento include

a) l'indicazione dei RDB da collegare;

b) la modalità di confronto;

c) le specifiche tecniche del collegamento;

d) le procedure operative di controllo e sicurezza che garantiscono la segmentazione delle informazioni.

4. Il nuovo collegamento autorizzato è comunicato al KRDB.

1. Gli utenti possono scaricare i file necessari per l'esecuzione dei loro compiti contenenti dati del RDB, a condizione che siano stati autorizzati a scaricarli.

2. L'uso dei dati scaricati è riservato esclusivamente all'utente per l'adempimento dei compiti a lui assegnati.

3. Gli utenti si assicurano di esercitare particolare attenzione nell'uso dei dati trasmessi e garantiscono la sicurezza e la riservatezza dei dati.

1. Se durante il controllo e la verifica dell'aggiornamento delle banche dati di origine trasmesse alla RDB pertinente vengono riscontrate delle discrepanze, queste devono essere, se possibile, corrette dalla banca dati di origine nel più breve tempo possibile. L'aggiornamento del registro della banca dati di origine a seguito di una modifica dei dati della RDB deve essere autorizzato dal titolare di tale registro.

2. Gli utenti che riscontrano errori e/o discrepanze nei dati informano, se possibile, il Servizio di Coordinamento Amministrativo.

3. Il Servizio di Coordinamento Amministrativo analizza, condivide e monitora le correzioni degli errori e/o delle discrepanze rilevate.

1. Le unità di coordinamento amministrativo assumono i seguenti compiti per il RDB di loro competenza

a) Collaborazione con il KRDB;

b) Verifica della consegna dei dati da parte dei detentori dei registri;

c) Gestione dei dati, vale a dire riguardante la qualità e l'attualità dei dati;

d) Analisi, trasmissione e verifica delle correzioni dei dati;

e) Ricezione e trattamento delle richieste di accesso;

f) Concessione di autorizzazioni per accessi individuali;

g) Controllo annuale degli accessi autorizzati e del registro degli accessi o dell'amministratore;

h) Monitoraggio delle modifiche o revoche degli accessi di gruppo, individuali o amministrativi;

i) Gestione amministrativa dei nomi utente degli utenti;

j) Tenuta di un registro aggiornato delle banche dati sorgente attive, del detentore o dei detentori dei registri collegati nonché delle tipologie e dell'estensione dei dati utilizzati per ciascun RDB;

k) Trasmissione di una richiesta per l'attivazione successiva di una banca dati sorgente al capo del dipartimento;

l) Trattamento delle richieste di informazioni per la parte di loro competenza;

m) Correzione di dati errati in un RDB su richiesta.

1. Gli uffici di coordinamento statistico sono i referenti cantonali dell'Ufficio federale di statistica per il loro rispettivo RDB.

2. Garantisce

a) il coordinamento della fornitura di dati statistici all'Ufficio federale di statistica;

b) la trasmissione degli errori riscontrati al titolare del registro, qualora tali informazioni non siano trasmesse dall'Ufficio federale di statistica.

1. L'ufficio responsabile dell'informatica è responsabile di

a) garantire il corretto funzionamento e la sicurezza tecnica del RDB;

b) determinare i requisiti tecnici per la connessione e la trasmissione dei dati in collaborazione con la funzione di sicurezza dell'informazione;

c) fornire annualmente l'elenco degli accessi autorizzati e il registro degli accessi;

d) mettere a disposizione lo strumento di interrogazione;

e) garantire il funzionamento e il rispetto degli standard tecnologici e di sicurezza dello strumento di interrogazione;

f) assicurare la registrazione degli accessi all'applicazione RDB;

g) definire le modalità per le connessioni tra le applicazioni di terze parti e il RDB;

h) mantenere un registro delle applicazioni di terze parti con accesso al RDB e specificare le modalità di connessione;

i) assegnare a ciascun utente un nome utente univoco al quale sono collegati i suoi diritti e permessi;

j) garantire la conformità tecnica e di sicurezza dell'immissione dei dati;

k) assicurare l'archiviazione dei dati secondo le Best Practices applicabili all'IT;

l) supportare l'ufficio di coordinamento amministrativo nello svolgimento delle sue funzioni.

1. Nell'ambito del presente regolamento, il responsabile della protezione dei dati ha i seguenti compiti e responsabilità

a) Fornire pareri, esaminando l'applicazione delle disposizioni sulla protezione dei dati e sul principio di trasparenza;

b) Emettere disposizioni, esaminando l'applicazione delle disposizioni sulla protezione dei dati e sul principio di trasparenza;

c) Su richiesta, controllare l'applicazione delle disposizioni sulla protezione dei dati e sul principio di trasparenza.

2. Inoltre, si fa riferimento alle disposizioni sulla protezione dei dati.

1. Ogni persona può presentare una richiesta di informazioni per i fascicoli che la riguardano e visionare i dati correlati.

2. La richiesta di informazioni si limita all'ambito di un'unica RDB.

3. La richiesta di informazioni è indirizzata all'Ufficio di Coordinamento Amministrativo.

4. Le richieste di informazioni vengono elaborate entro i termini legali.

5. La risposta a una richiesta di informazioni può essere limitata ai sensi della legge sulla protezione dei dati.

1. Ogni persona, i cui dati sono registrati in un RDB, può richiedere alla Postazione di Coordinamento Amministrativo la rettifica dei dati errati.

2. La Postazione di Coordinamento Amministrativo informa la persona delle correzioni effettuate.

1. La cancellazione dei dati obsoleti dal RDB, nonché delle credenziali di accesso, avviene almeno una volta all'anno, con l'elaborazione di un apposito protocollo.

2. I dati che vengono confrontati o che, nell'ambito di compiti statistici, consentono la creazione di profili personali, vengono cancellati al termine delle operazioni di valutazione.

1. L'ammontare delle tariffe da riscuotere dal KRDB per la consultazione dei dati del RDB è stabilito in applicazione analogica del GTar e in base al volume dei dati trasferiti.

2. La tariffa di base deve essere fissata ai sensi dell'articolo 23 del GTar.

3. Per ogni singolo file trasmesso, verrà applicata una tariffa aggiuntiva tra 2 e 5 centesimi.

1. La multa prevista dall'articolo 31 della GRDB è inflitta dal Consiglio di Stato.

2. Sono fatte salve le sanzioni derivanti da altre disposizioni legislative.

1. Il procedimento è disciplinato, fatto salvo disposizioni particolari, dalla legge sul procedimento amministrativo e sul contenzioso amministrativo.

1. Il presente regolamento di esecuzione sostituisce, a partire dalla sua entrata in vigore, le disposizioni che revoca e a cui si fa riferimento nella legislazione vigente.

2. Alle autorità viene concesso, a partire dall'entrata in vigore del presente regolamento, un termine di due anni per conformarsi alle disposizioni dei regolamenti relativi al GRDB. Il Consiglio di Stato può prorogare tale termine di anno in anno. [1]