Legge sulla protezione dei dati, l'informazione e l'archiviazione (DIAG) - Scopo (DIAG)

1. Questa legge disciplina il trattamento dei dati da parte degli organi pubblici, in particolare dei dati personali.

2. Disciplina i diritti pertinenti degli interessati e della collettività e stabilisce i principi per l'archiviazione e la conservazione.

1. La legge si applica al Cantone, ai distretti, ai comuni, alle corporazioni di diritto pubblico e, nella misura in cui svolgono funzioni pubbliche, agli enti di diritto pubblico aventi sede nel Cantone. Essa non si applica alla Banca Cantonale di Appenzello.

2. Se le funzioni pubbliche sono svolte da terzi, la legge si applica mutatis mutandis.

3. I diritti e le pretese nelle procedure pendenti della giustizia civile, penale e amministrativa sono regolati dal rispettivo diritto procedurale. Il trattamento dei dati personali in queste procedure non è soggetto alla supervisione del o della responsabile della protezione dei dati.

1. Gli organi pubblici sono autorità, commissioni, uffici e rappresentanze che agiscono per conto di un'entità, una corporazione o un'istituzione, così come i privati, nella misura in cui svolgono compiti pubblici.

2. Sono considerati organi responsabili gli organi pubblici che assumono la responsabilità per gli obblighi previsti da questa legge.

3. Documenti ufficiali sono documenti gestiti da organi pubblici.

4. I dati sono tutte le registrazioni che servono all'adempimento di compiti pubblici, indipendentemente dalla forma di presentazione e dal supporto dati.

5. I dati personali sono informazioni su persone fisiche determinate o determinabili.

6. Sono particolarmente degni di protezione i dati personali la cui elaborazione comporta un aumentato rischio di violazioni dei diritti fondamentali, in particolare informazioni su

a) opinioni politiche, convinzioni religiose o filosofiche e appartenenza a un'associazione o un'organizzazione politica o di partenariato sociale;

b) l'origine o l'appartenenza etnica;

c) la vita sessuale o l'orientamento sessuale;

d) la salute nonché i dati genetici e biometrici;

e) procedimenti e misure di assistenza sociale e di protezione dei minori e degli adulti;

f) misure e sanzioni amministrative e penali.

7. Le raccolte di dati sono insiemi di dati personali che sono o possono essere organizzati secondo le persone.

8. Il profiling è l'analisi dei dati per esaminare le caratteristiche personali o prevedere sviluppi, in particolare in relazione alle prestazioni lavorative, alla salute, alla sfera intima o alla mobilità. I risultati del profiling sono considerati dati personali particolarmente degni di protezione.

1. Il trattamento dei dati personali comprende, indipendentemente dai mezzi e dai metodi impiegati, ogni forma di gestione degli stessi, in particolare la raccolta, trasmissione, conservazione, utilizzo, modifica, divulgazione, archiviazione e cancellazione delle informazioni.

1. Gli organi pubblici possono trattare i dati personali se ciò è necessario per l'esecuzione del diritto federale o cantonale.

2. Il trattamento di dati personali particolarmente protetti o la profilazione sono consentiti se

a) ciò è previsto dalla legge o è necessario per un compito definito dalla legge, oppure

b) la persona interessata ha già reso i dati generalmente accessibili, oppure

c) la persona interessata ha acconsentito al trattamento o il consenso non può essere ottenuto o può essere ottenuto solo con uno sforzo sproporzionato, ma il trattamento è nel suo interesse.

3. L'organo responsabile deve essere in grado di dimostrare di rispettare le disposizioni sulla protezione dei dati.

4. I dati personali devono essere corretti e adeguati e necessari per l'esecuzione del compito. Non devono essere trattati in violazione dei principi di buona fede.

1. Il trattamento dei dati personali può essere trasferito se

a) esiste una norma generale-astratta o un accordo contrattuale scritto,

b) l'incarico è chiaramente definito e

c) il rispetto delle disposizioni legali è garantito da misure adeguate.

2. L'organismo pubblico incaricante rimane corresponsabile. Un ulteriore trasferimento è possibile solo con il suo consenso scritto.

1. I dati personali possono essere trattati per scopi non personali, in particolare per la ricerca, la pianificazione e la statistica, se

a) vengono anonimizzati non appena lo scopo del trattamento lo consente, e

b) il risultato viene pubblicato in modo tale da non permettere deduzioni sulle persone interessate.

2. I dati personali possono essere ceduti anche a privati per uno scopo non personale, purché venga garantito il rispetto delle disposizioni di questa norma e la riservatezza.

1. Se un trattamento dei dati comporta probabilmente un aumento del rischio per la personalità o i diritti fondamentali della persona interessata, l'organismo responsabile effettua preventivamente una valutazione d'impatto sulla protezione dei dati.

2. Questa contiene almeno

a) una descrizione generale delle operazioni di trattamento pianificate,

b) una valutazione delle possibili compromissioni della personalità e dei diritti fondamentali delle persone interessate e

c) una rappresentazione e valutazione delle misure pianificate per la protezione dei diritti fondamentali delle persone interessate, che sono previste per ridurre il rischio di violazione della personalità e dei diritti fondamentali delle persone interessate.

1. I dati personali devono essere adeguatamente protetti contro l'elaborazione non autorizzata mediante misure tecniche e organizzative.

2. La responsabilità per la protezione e la sicurezza dei dati spetta all'ente che elabora o fa elaborare tali dati.

3. Se più enti elaborano un insieme di dati comuni, la responsabilità ricade principalmente sul titolare di detto insieme. Ogni ente resta responsabile per il proprio ambito di competenza.

1. I dati personali non più necessari devono essere anonimizzati o eliminati.

1. I dati personali possono essere raccolti in modi diversi rispetto alle persone interessate solo in presenza di circostanze particolari.

1. I dati personali possono essere raccolti in luoghi accessibili al pubblico con dispositivi tecnici per la protezione di persone e cose, se

a) la sorveglianza è resa riconoscibile in modo adeguato,

b) i dati personali memorizzati sono cancellati entro e non oltre 100 giorni o, entro questo termine, consegnati alle autorità di perseguimento penale con una denuncia penale e

c) il o la responsabile della protezione dei dati è informato/a della sorveglianza.

2. L'uso di dispositivi di sorveglianza è ordinato dal massimo organo esecutivo dell'ente, corporazione o istituto a cui compete il diritto d'uso o la sovranità sul luogo da sorvegliare.

1. L'organo responsabile informa le persone interessate riguardo

a) la raccolta dei dati personali,

b) la base giuridica,

c) il tipo di dati,

d) lo scopo del trattamento e

e) i loro diritti.

2. Comunica le persone coinvolte nella raccolta dei dati nonché eventuali destinatari e destinatari dei dati personali.

3. L'obbligo di informazione viene meno se il trattamento dei dati personali è previsto per legge, se la persona interessata è già a conoscenza delle informazioni o se fornire le informazioni sarebbe possibile solo con uno sforzo sproporzionato.

1. I dati personali possono essere divulgati quando e nella misura in cui sono soddisfatte le condizioni legali per la loro elaborazione.

2. I dati non particolarmente degni di protezione possono inoltre essere divulgati a

a) enti pubblici, se ciò è indispensabile per l'adempimento di un compito legale, in particolare per l'esercizio di un dovere di sorveglianza;

b) privati, se questi ultimi dimostrano un interesse meritevole di protezione che prevale sugli interessi della riservatezza.

3. La commissione di stato può regolare quanto necessario per la divulgazione di dati agli enti pubblici.

1. Il controllo degli abitanti può comunicare ai privati, su richiesta, i seguenti dati personali

a) Nome, cognome, data di nascita e indirizzo; in caso di trasferimento, anche il nuovo indirizzo;

b) ulteriori dati, purché non si tratti di dati personali particolarmente protetti e venga comprovato un interesse legittimo.

2. Se i dati personali sono utilizzati esclusivamente per scopi non commerciali, possono essere comunicati in modo ordinato.

3. I dati personali contenuti in pubblicazioni ufficiali o autorizzati ufficialmente accessibili al pubblico possono essere comunicati nella misura e nella forma in cui sono pubblicati.

1. I dati personali possono essere comunicati ad enti pubblici all'estero, se anche lì è garantita una protezione adeguata dei dati.

2. In assenza di una legislazione che garantisca una protezione adeguata, la comunicazione è consentita se

a) garanzie adeguate, in particolare contrattuali, prevedono una protezione adeguata all'estero oppure

b) la persona interessata ha acconsentito nel singolo caso o ha reso i dati generalmente e senza riserve accessibili.

3. In singoli casi, la comunicazione è consentita se è imprescindibile per

a) la tutela di un rilevante interesse pubblico,

b) l'accertamento, l'esercizio o la difesa di pretese legali in sede giudiziaria oppure

c) la protezione della vita o dell'integrità fisica della persona interessata.

1. Il Cantone gestisce un registro pubblico centrale con le collezioni sui dati personali.

2. Il registro contiene

a) la denominazione della raccolta di dati,

b) le categorie degli interessati e il loro numero,

c) lo scopo della raccolta e la base giuridica,

d) il tipo di informazioni,

e) l'organismo responsabile della raccolta dei dati,

f) i destinatari o le destinatarie regolari dei dati personali e

g) il tipo di trattamento.

3. Le raccolte di dati registrate e le modifiche sostanziali effettuate devono essere regolarmente comunicate al o alla responsabile della protezione dei dati.

1. Ogni persona può richiedere, con dimostrazione di un interesse meritevole di tutela, che determinati dati personali che la riguardano siano bloccati.

2. Nonostante l'esistenza di un blocco, i dati personali possono essere divulgati previa possibilità di replica da parte della persona interessata, se

a) esiste un obbligo legale di divulgazione,

b) l'adempimento di un compito sarebbe altrimenti compromesso oppure

c) la persona ricevente dimostra in modo credibile che i dati sono necessari per far valere i propri diritti legali oppure che il blocco è stato ottenuto in modo abusivo.

1. Ogni persona può richiedere al titolare di una collezione di dati che

a) i dati personali inesatti che la riguardano siano rettificati,

b) venga cessato il trattamento indebito di dati personali,

c) venga accertata l'illiceità di un trattamento illecito,

d) vengano eliminate le conseguenze del trattamento illecito e

e) i dati corrispondenti siano cancellati o bloccati.

2. Se l'ente contesta l'inesattezza dei dati personali, spetta a esso l'onere della prova della correttezza. La persona interessata deve cooperare nei limiti della ragionevolezza nella chiarificazione.

3. Se non è possibile dimostrare né la correttezza né l'inesattezza dei dati personali, deve essere apposto un'annotazione sui dati corrispondenti e il trattamento deve essere limitato, se del caso.

1. Se i dati personali trattati sono stati cancellati, modificati o divulgati involontariamente o illecitamente, o resi accessibili a persone non autorizzate, l'organismo responsabile lo segnala al responsabile della protezione dei dati.

2. In accordo con il responsabile della protezione dei dati, la segnalazione deve essere fatta anche alle persone interessate e ai destinatari dei dati personali.

3. Si può rinunciare a una segnalazione se l'incidente non mette a rischio i diritti fondamentali delle persone interessate o se gli interessi di riservatezza pubblici o privati prevalgono. Non è inoltre necessaria nei confronti dei destinatari dei dati se non è possibile o è possibile solo con uno sforzo sproporzionato.

4. L'organismo responsabile comunica le modifiche sostanziali relative ai dati personali agli incaricati del trattamento; questi a loro volta riferiscono prontamente all'organismo responsabile eventuali trattamenti non autorizzati di dati personali.

1. La Commissione di Stato nomina, sotto riserva di approvazione da parte del Gran Consiglio, una persona esperta in materia di protezione dei dati come Responsabile della protezione dei dati per un mandato di quattro anni. È possibile la rielezione.

2. Il o la Responsabile della protezione dei dati è indipendente e non soggetto/a a direttive.

3. Il Gran Consiglio è autorizzato a trasferire la funzione del o della Responsabile della protezione dei dati a un ufficio per la protezione dei dati inter-cantonale o extra-cantonale.

1. Il responsabile della protezione dei dati ha i seguenti compiti e competenze

a) Monitoraggio degli sviluppi rilevanti per la protezione dei dati personali,

b) Verifica campionaria autonoma o su segnalazione delle persone interessate del rispetto delle disposizioni sulla protezione dei dati,

c) Sensibilizzazione della popolazione, in particolare delle persone vulnerabili, in riferimento alla protezione dei dati,

d) Consulenza agli organi pubblici e alle persone interessate in materia di protezione dei dati e formulazione di raccomandazioni per il trattamento dei dati personali,

e) Esame preliminare dei metodi di trattamento che potrebbero lesione la personalità di un numero elevato di persone,

f) Gestione di denunce di supervisione da parte delle persone interessate in materia di protezione dei dati, con obbligo di informare sul risultato o lo stato degli accertamenti entro tre mesi,

g) Pareri su leggi e progetti, nella misura in cui siano rilevanti per la protezione dei dati, nonché su misure tecniche e organizzative per garantire la protezione dei dati,

h) Facoltà di contestare decisioni e presentare reclami nel campo della protezione dei dati e di presentare segnalazioni di vigilanza contro violazioni,

i) Collaborazione con le autorità per la protezione dei dati degli altri cantoni, della Confederazione e dell'estero per l'adempimento dei compiti di controllo,

j) Presentazione annuale del bilancio, che la commissione cantonale inoltra inalterato al Gran Consiglio, e

k) Relazione annuale alla commissione cantonale per il Gran Consiglio.

2. Gli organi responsabili sono obbligati a fornire al responsabile della protezione dei dati informazioni sul trattamento dei dati e consentire l'accesso ai propri documenti.

3. Se un organo non segue le raccomandazioni, il responsabile della protezione dei dati può, se l'interesse all'applicazione è considerevole, emanare una disposizione.

1. L'organo pubblico responsabile sottopone all'attenzione del responsabile della protezione dei dati i progetti normativi che riguardano la protezione dei dati e le operazioni di trattamento dei dati personali che comportano il rischio di compromettere i diritti fondamentali, così come le valutazioni d'impatto sulla protezione dei dati, per una consultazione preliminare tempestiva.

2. Il responsabile della protezione dei dati può redigere un elenco delle operazioni di trattamento che devono essere sottoposte a una consultazione preliminare.

1. Il pubblico deve essere informato sulle attività importanti e sulle questioni di interesse generale in forma adeguata e, per quanto possibile, rispettando gli interessi legittimi di terzi.

2. L'informazione viene solitamente fornita tramite assemblee pubbliche di orientamento, pubblicazioni ufficiali, comunicati stampa o disponibilità su Internet.

3. L'informazione non viene divulgata se è legalmente vietata o se sussistono prevalenti interessi pubblici o privati contrari.

4. Si può fornire informazione su procedimenti pendenti se necessario per correggere o evitare notizie false o in casi particolarmente gravi o che destano scalpore. Restano salve disposizioni contrarie ai sensi del diritto procedurale applicabile.

1. Su richiesta è possibile consultare i documenti ufficiali esistenti.

2. Non vi è alcun diritto alla preparazione dei dati ufficiali per la consultazione.

1. Nessun diritto di accesso ai documenti ufficiali esiste, nella misura in cui

a) regolamenti divergenti in altri decreti o interessi pubblici o privati preponderanti si oppongano,

b) si tratti di fascicoli fiscali o

c) si tratti di verbali di riunioni non pubbliche; le riunioni degli organi pubblici sono considerate non pubbliche, a meno che non siano espressamente dichiarate pubbliche.

2. Nessun accesso è inoltre concesso a dati che

a) vengono utilizzati commercialmente da un'autorità,

b) si riferiscono a posizioni negoziali,

c) sono ancora in lavorazione, ad esempio in procedimenti non conclusi o nella preparazione di decisioni, o

d) sono destinati all'uso personale, in particolare note di lavoro.

1. Se è possibile tenere adeguatamente conto di preminenti interessi pubblici o privati mediante un impegno ragionevole attraverso l'anonimizzazione dei dati o l'eliminazione di parti, viene concessa una corrispondente visione parziale o un'informazione riassuntiva.

2. Se non è possibile tenere adeguatamente conto degli interessi opposti con un impegno ragionevole altrimenti, la visione o l'informazione possono essere concesse con condizioni.

3. Le corporazioni e gli istituti possono concedere il diritto di visione in modo tale da dover dimostrare un interesse particolare.

4. Ulteriori restrizioni possono derivare anche dalla natura dell'incarico o da decreti speciali, ad esempio nel campo medico.

1. Gli organi pubblici possono, su richiesta, fornire informazioni generali sull'attività ufficiale, in particolare su fatti già pubblicati.

2. Di regola, le informazioni vengono fornite nella stessa forma della richiesta.

3. Non sussiste alcun diritto a ottenere le informazioni desiderate.

1. Ogni persona può richiedere informazioni sui dati personali che la riguardano contenuti in una raccolta di dati.

2. Si deve concedere l'accesso a tali dati, qualora la procedura di trattamento lo permetta.

3. Se l'accesso ai dati personali comporta probabili gravi svantaggi per la persona interessata, l'accesso può essere concesso, se necessario, a una persona di fiducia che informi la persona interessata in modo adeguato.

4. Le informazioni e l'accesso possono essere limitati se importanti interessi pubblici o privati meritevoli di tutela lo richiedono.

1. Le richieste di visione o informazione devono essere presentate per iscritto e firmate.

2. I documenti di cui si richiede la visione devono essere descritti il più precisamente possibile, almeno quanto basta affinché siano individuabili dall'ente.

3. Se si desidera l'accesso a serie di documenti di grande volume, l'ente pubblico può richiedere che venga effettuata una limitazione ai documenti relativi a un determinato fatto.

4. Le richieste sono trattate dall'organo supremo della corporazione, ente o istituzione. Questo può stabilire un'altra competenza per il trattamento.

5. Le richieste di informazioni generali possono essere presentate senza domanda scritta presso l'ufficio competente per materia.

1. La visione è solitamente concessa mediante

a) fornitura dei documenti in loco,

b) consegna di copie oppure

c) invio elettronico.

2. Non sussiste alcun diritto ad una specifica forma di visione.

1. Qualora venga rifiutato l'accesso o la comunicazione di dati personali o l'ispezione di documenti ufficiali, è possibile richiedere una procedura di conciliazione presso il Garante per la protezione dei dati entro 30 giorni dalla notifica del rifiuto.

2. Se dopo la conclusione della procedura di conciliazione persiste il rifiuto, l'ente pubblico emette una decisione su semplice richiesta scritta.

1. Gli organi pubblici sono obbligati a garantire e archiviare in modo ordinato i dati ufficiali, nella misura in cui questi siano rilevanti per il pubblico, la trasparenza delle azioni statali o la trasmissione del patrimonio culturale.

2. Essi sono tenuti a offrire i dati all'Archivio di Stato.

1. Per il materiale d'archivio si applica un termine di protezione di 30 anni; se contiene dati personali particolarmente sensibili, si applica un termine di protezione di 90 anni.

2. Durante il termine di protezione, si applica in modo analogo il diritto di accesso ai documenti ufficiali, dopodiché il materiale d'archivio diventa pubblico.

1. I dati che non vengono inviati all'archivio statale devono essere conservati per tutto il tempo in cui sono rilevanti per l'adempimento della funzione pubblica.

2. Fatte salve le scadenze legali di conservazione.

1. La commissione regionale disciplina ulteriormente l'archiviazione e può anche stabilire quanto necessario per la conservazione.

2. Può derogare alle disposizioni del titolo sulla protezione dei dati.

1. Per prestazioni e servizi vengono riscosse tasse in base al lavoro e al costo del materiale causato, nonché alle spese anticipate sostenute.

2. Nei seguenti casi non vengono riscosse tasse, salvo condotte abusive e risarcimento delle spese anticipate

a) semplici informazioni orali;

b) informazioni e accesso ai propri dati;

c) prestazioni del o della responsabile della protezione dei dati.

3. Il Gran Consiglio disciplina quanto necessario; può stabilire tariffe forfettarie e prevedere riduzioni o esenzione dai costi per casi speciali.

1. Salvo laddove la presente legge non preveda una diversa competenza, il Gran Consiglio disciplina quanto necessario per l'esecuzione.

1. I passaggi di lavorazione in corso possono essere completati secondo la legislazione vigente.

2. Le informazioni legalmente acquisite, per le quali il nuovo diritto prevede disposizioni differenti, possono essere conservate.

3. Il diritto di accesso ai documenti ufficiali si applica ai documenti che sono stati creati o ricevuti da un organo pubblico dopo l'entrata in vigore.

1. Questa legge entra in vigore il 1º gennaio 2020.