Legge sulla protezione dei dati (Datenschutzgesetz) - Scopo

1. Questa legge è destinata a proteggere i diritti fondamentali delle persone, i cui dati sono trattati da enti pubblici.

1. Ente pubblico (Organo) è colui che svolge funzioni pubbliche del cantone, dei comuni o di enti e istituzioni di diritto pubblico.

2. Dati personali (Dati) sono informazioni riguardanti una persona fisica o un'associazione di persone (persona interessata), nella misura in cui questa sia identificata o identificabile.

3. Dati personali particolarmente sensibili sono dati riguardanti

a) opinioni e attività religiose, ideologiche o politiche,

b) la sfera intima, la salute, l'origine etnica, nonché dati genetici o biometrici,

c) procedure e misure in materia di protezione dei minori e degli adulti, assistenza sociale e diritto penale.

4. Un profilo della personalità è una raccolta di dati che consente una valutazione degli aspetti essenziali della personalità di una persona fisica.

5. Un trattamento di dati personali è qualsiasi interazione con dati, come l'acquisizione, la conservazione, l'utilizzo, la modifica, la comunicazione o la distruzione.

5bis. Il profiling è il trattamento automatizzato di dati per valutare aspetti essenziali di una persona fisica, in particolare per analizzare o prevedere la sua prestazione lavorativa, la situazione economica, la salute, le preferenze personali, gli interessi, l'affidabilità, il comportamento, il luogo in cui si trova o i cambiamenti di posizione.

6. Una raccolta di dati è una collezione di dati che è o può essere organizzata secondo la persona interessata.

1. Questa legge si applica, salvo che il diritto federale o particolare del cantone prevalga, a qualsiasi trattamento di dati, indipendentemente dai mezzi e dai metodi utilizzati.

2. Sono soggetti alla legge tutti gli organi, ad eccezione di quelli delle corporazioni ecclesiastiche; sono riservati l'Art. 8 cpv. 3 e l'Art. 15.

1. Gli organi possono trattare dati quando e finché ciò è necessario per l'adempimento di un compito legale.

2. I dati particolarmente degni di protezione e i profili della personalità possono essere trattati solo se è indispensabile per il compito chiaramente definito in una legge formale. Questo vale anche, in senso analogo, per qualsiasi attività di profilazione.

3. I dati non possono essere trattati in modo contrario alla buona fede e solo per lo scopo indicato al momento della raccolta, palesemente evidente dalle circostanze o prescritto dalla legge.

4. Fatte salve le disposizioni speciali in materia di archiviazione.

1. I dati devono essere corretti.

1. La responsabilità della protezione dei dati spetta all'ente che tratta o fa trattare i dati per l'adempimento dei suoi compiti.

2. Se più enti trattano i dati di una raccolta di dati, deve essere designato un ente che assuma la responsabilità principale.

1. L'organo responsabile è obbligato a informare le persone interessate in modo adeguato sull'acquisizione dei dati; l'obbligo di informazione sussiste anche quando i dati sono acquisiti da terzi.

2. L'obbligo di informazione comprende le indicazioni necessarie per poter esercitare i diritti previsti da questa legge. Tra queste rientrano almeno

a) l'identità e i dati di contatto dell'organo responsabile;

b) la base giuridica e lo scopo del trattamento dei dati;

c) le categorie dei dati trattati;

d) la cerchia dei destinatari, nel caso in cui i dati vengano divulgati;

e) i dati di contatto dell'organo di controllo della protezione dei dati.

3. L'obbligo di informazione è escluso quando

a) la persona interessata è già in possesso delle informazioni pertinenti;

b) dalla base giuridica del trattamento dei dati risulta chiaro quali dati vengono trattati e per quale scopo;

c) l'informazione richiede uno sforzo sproporzionato o altrimenti prevalgono interessi pubblici superiori.

1. Prima di qualsiasi trattamento sistematico dei dati personali, l'organo responsabile valuta il rischio di una possibile compromissione dei diritti fondamentali delle persone interessate e lo limita, per quanto possibile e ragionevole, attraverso misure tecniche e organizzative.

2. Se il rischio di compromissione dei diritti fondamentali è elevato, in particolare a causa della natura, portata, circostanze o finalità del trattamento, è necessario documentare la valutazione d'impatto e le misure e presentarle all'organo di controllo della protezione dei dati per una consultazione preliminare.

3. La documentazione contiene almeno una descrizione generale delle operazioni di trattamento pianificate, una valutazione dei rischi e una presentazione e valutazione delle misure.

1. I dati possono essere comunicati ad altri organi se

a) l'organo responsabile è legalmente obbligato o autorizzato a farlo,

b) il destinatario ha bisogno dei dati nel singolo caso per adempiere ai compiti legali, oppure

c) la persona interessata ha espresso esplicitamente il suo consenso o il suo consenso può essere presunto dalle circostanze.

2. I dati particolarmente sensibili possono essere comunicati solo se

a) l'organo responsabile è obbligato o autorizzato a farlo sulla base di una chiara base giuridica,

b) per il destinatario i dati sono indispensabili nel singolo caso per adempiere a un compito chiaramente definito dalla legge, oppure

c) la persona interessata ha espresso esplicitamente il suo consenso.

3. Se il destinatario non è soggetto a questa legge, i dati possono essere comunicati solo se è garantito che il trattamento avvenga secondo i principi di questa legge.

1. I dati possono essere comunicati a privati se

a) l'organo responsabile è legalmente obbligato o autorizzato a farlo oppure

b) la persona interessata ha espresso il suo consenso esplicito o il suo consenso può essere presunto in base alle circostanze.

2. I dati particolarmente sensibili possono essere comunicati solo se

a) l'organo responsabile è obbligato o autorizzato a farlo in base a un chiaro fondamento giuridico oppure

b) la persona interessata ha espresso il suo consenso esplicito.

1. Il controllo degli abitanti comunica ai privati, su richiesta, il nome, il cognome, l'indirizzo e l'arrivo e la partenza di una persona in casi singoli.

2. Comunica in casi singoli, su richiesta, la data di nascita, lo stato civile, il luogo di origine e la professione, se la richiedente o il richiedente dimostra un interesse degno di protezione.

3. Può comunicare sistematicamente tali dati, se è assicurato che vengano utilizzati esclusivamente per scopi ideali degni di protezione e non vengano trasmessi a terze persone.

1. La persona interessata può richiedere il blocco della divulgazione dei suoi dati a terzi.

2. La divulgazione è consentita nonostante il blocco, se

a) l'organo responsabile è legalmente obbligato a farlo oppure

b) nella richiesta viene dimostrato in modo credibile che il blocco è avvenuto in maniera abusiva.

1. I dati possono essere divulgati in pubblicazioni accessibili al pubblico, quando

a) non viene compromesso alcun interesse degno di tutela della persona interessata e questa, dopo essere stata informata in precedenza, non ha presentato opposizione preventiva alla pubblicazione oppure

b) l'organo responsabile è legalmente obbligato o autorizzato a farlo.

1. La divulgazione dei dati può essere limitata, subordinata a condizioni o rifiutata a causa di prevalenti interessi pubblici o di interessi meritevoli di tutela della persona interessata.

1. I dati personali non possono essere comunicati all'estero se ciò comporterebbe una grave minaccia per la personalità delle persone interessate, in particolare perché manca una legislazione che garantisca una protezione adeguata.

2. In assenza di una legislazione che garantisca una protezione adeguata, i dati personali possono essere comunicati all'estero solo se

a) garanzie sufficienti, in particolare attraverso un contratto, garantiscono un'adeguata protezione all'estero;

b) la persona interessata ha acconsentito caso per caso;

c) la comunicazione è indispensabile caso per caso per salvaguardare un interesse pubblico prevalente o per l'accertamento, l'esercizio o l'attuazione di diritti legali in sede giudiziaria;

d) la comunicazione è necessaria caso per caso per proteggere la vita o l'integrità fisica della persona interessata;

e) la persona interessata ha reso i dati generalmente accessibili e non ha vietato espressamente un trattamento.

1. L'organo può, indipendentemente dall'art. 4, commi 2 e 4, nonché dagli artt. 8 a 11, trattare dati per uno scopo non personale, in particolare per statistiche, pianificazione e ricerca, se

a) i dati sono anonimizzati non appena lo stato della lavorazione lo consente, e

b) i risultati della lavorazione sono divulgati in modo tale da non permettere deduzioni sull'identità della persona coinvolta.

1. L'elaborazione dei dati può essere affidata a terzi, a meno che non vi sia una disposizione legale o contrattuale che lo impedisca. Il terzo può elaborare i dati solo nel modo in cui l'ente incaricante stesso sarebbe autorizzato a farlo.

2. L'ente incaricante si assicura, prima dell'affidamento, che il terzo sia in grado di garantire la sicurezza dei dati. Garantisce la protezione dei dati attraverso obblighi, accordi o in altro modo.

3. Un'ulteriore trasmissione da parte del terzo richiede il previo consenso scritto dell'ente incaricante.

1. Chi tratta i dati, li protegge mediante misure tecniche e organizzative contro la perdita, il furto, nonché l'accesso e il trattamento non autorizzati.

1. Nel caso in cui una violazione della sicurezza dei dati provochi la perdita, distruzione, alterazione dei dati o l'accesso non autorizzato ai dati, l'ente responsabile ne informa immediatamente l'autorità di controllo della protezione dei dati e notifica i destinatari dei dati coinvolti. Se non vi è alcun rischio per l'integrità dei diritti fondamentali, l'obbligo di notifica viene meno.

2. L'ente responsabile informa la persona interessata d'accordo con l'autorità di controllo della protezione dei dati qualora sia necessario per la sua protezione o altrimenti appaia opportuno per tutelare i diritti fondamentali.

3. L'informazione alla persona interessata può essere limitata o omessa se prevalgono interessi di riservatezza pubblici o privati.

4. Se la violazione della sicurezza dei dati avviene durante l'elaborazione da parte di una terza persona, quest'ultima deve informare immediatamente l'ente mandante. L'ente responsabile procede quindi conformemente ai paragrafi 1 a 3.

1. Gli organi verificano annualmente i loro dati. I dati non più necessari vengono offerti all'archivio competente per l'archiviazione. Qualora quest'ultimo rinunci alla conservazione secondo le disposizioni in materia di archivistica, i dati devono essere distrutti entro un anno.

1. Il Cantone, i comuni e gli enti e istituti di diritto pubblico mantengono ciascuno un registro centrale delle loro raccolte di dati.

2. Gli organi del Cantone tengono un registro delle raccolte di dati esistenti nel loro ambito di responsabilità.

3. I registri sono pubblici e contengono per ciascuna raccolta di dati indicazioni su

a) la natura e la provenienza dei dati,

b) la base giuridica, lo scopo e i mezzi del trattamento,

c) l'organo responsabile,

d) i destinatari regolari dei dati o delle copie, nonché

e) il diritto di accesso alle raccolte di dati.

4. L'indicazione della pubblicità dei registri centrali del Cantone e dei comuni, così come il luogo in cui possono essere consultati, deve essere pubblicata annualmente dagli organi nei loro organi di pubblicazione ufficiale.

1. Non vengono registrate le raccolte di dati che

a) non sono progettate per durare nel tempo,

b) sono solo copie o strumenti di elaborazione, oppure

c) sono utilizzate esclusivamente come strumenti di lavoro personali da individui singoli.

1. Ogni persona può prendere visione dei registri delle raccolte di dati.

1. L'organo responsabile fornisce a ogni persona informazioni sui dati che la riguardano e che sono trattati in una specifica raccolta di dati e le concede l'accesso a tali dati.

2. Chi richiede informazioni o accesso deve provare la sua identità.

3. Le informazioni sono fornite in una forma comprensibile al pubblico e, su richiesta, per iscritto.

1. Le informazioni e l'accesso possono essere limitati o negati qualora lo richiedano prevalenti interessi pubblici o interessi legittimi di terzi.

2. Se la fornitura di informazioni alla persona interessata potrebbe causarle un grave svantaggio, queste possono essere fornite a una persona autorizzata a riceverle.

3. La limitazione o il rifiuto di informazioni e accesso deve essere motivato.

1. La persona interessata e chiunque dimostri di avere un interesse legittimo possono richiedere la rettifica di dati inesatti.

2. Se l'organo contesta l'inesattezza dei dati, spetta ad esso provare l'esattezza. La persona interessata deve collaborare all'accertamento nella misura in cui sia ragionevole.

3. Se non si può provare né l'esattezza né l'inesattezza, l'organo appone una relativa annotazione sui dati.

1. La persona interessata e chiunque altro dimostri un interesse meritevole di tutela, può richiedere che

a) l'elaborazione illecita dei dati venga interrotta,

b) i dati raccolti, conservati o utilizzati in modo illecito vengano distrutti o che le conseguenze dell'elaborazione illecita vengano altrimenti eliminate oppure

c) venga accertata l'illiceità di un'elaborazione.

1. L'organo responsabile decide in merito alle richieste ai sensi degli articoli 21 fino a 24. Le disposizioni devono essere trasmesse all'organo di controllo della protezione dei dati. I destinatari dei dati coinvolti devono essere informati delle correzioni e di altre misure.

2. La procedura e la tutela giuridica sono disciplinate dalla legge sulla giustizia amministrativa. L'organo di controllo della protezione dei dati è autorizzato a presentare ricorsi.

3-4

1. Il Consiglio cantonale elegge una persona esperta in materia di protezione dei dati come organo di controllo cantonale indipendente e non soggetto ad istruzioni. L'elezione avviene per un mandato di quattro anni; la rielezione è permessa.

1bis. L'organo di controllo della protezione dei dati non può svolgere alcuna altra attività pubblica o privata che potrebbe compromettere l'indipendenza o il prestigio della carica.

2. L'organo di controllo della protezione dei dati cantonale esercita la sorveglianza sull'applicazione di questa legge da parte del Cantone, dei comuni e degli enti e istituti di diritto pubblico. I costi sono a carico del Cantone.

2bis. Il Consiglio cantonale stabilisce il compenso dell'organo di controllo della protezione dei dati mediante un accordo di prestazione. Può prevedere, in alternativa all'accordo di prestazione, un inquadramento ai sensi del diritto del personale del Cantone; l'indipendenza dell'organo di controllo della protezione dei dati non deve esserne pregiudicata.

3. Il Consiglio cantonale è autorizzato a trasferire il compito dell'organo di controllo della protezione dei dati a un ufficio di protezione dei dati inter-cantonale.

1. L'organo di controllo sulla protezione dei dati

a) vigila sul rispetto delle disposizioni in materia di protezione dei dati,

b) * informa il pubblico sulla protezione dei dati e consiglia le persone interessate sui loro diritti,

c) * gestisce le denunce riguardanti la violazione delle disposizioni sulla protezione dei dati,

d) * consiglia gli organi pubblici su questioni di protezione dei dati e può emettere raccomandazioni generali sul trattamento dei dati personali,

e) * esamina preventivamente i metodi di trattamento quando esiste un alto rischio di compromettere i diritti fondamentali,

ebis) * esprime pareri sui decreti che sono rilevanti per la protezione dei dati,

f) * collabora per adempiere ai compiti di controllo con gli organi di controllo degli altri cantoni, della Confederazione e dell'estero e segue gli sviluppi tecnici e legali rilevanti per la protezione dei dati personali,

g) * individua le risorse umane e materiali necessarie e richiede al Consiglio cantonale i crediti necessari nell’ambito del preventivo,

h) * riferisce al Consiglio cantonale annualmente sulle sue attività.

2-4

...

1. L'organo di controllo della protezione dei dati avvia d'ufficio o su segnalazione un'indagine, qualora vi siano indizi di violazione delle disposizioni sulla protezione dei dati. Esso può vietare o limitare temporaneamente un trattamento dei dati per la durata dell'indagine.

2. Gli organi responsabili e i loro incaricati sono tenuti a fornire informazioni all'organo di controllo della protezione dei dati e a garantire l'accesso a tutti i documenti e dati necessari per l'indagine. L'organo di controllo della protezione dei dati può richiedere dimostrazioni dei trattamenti dei dati e raccogliere informazioni presso i destinatari dei dati.

3. L'organo di controllo della protezione dei dati informa il segnalante entro tre mesi sugli esiti o sullo stato dell'indagine.

1. Se l'autorità di controllo della protezione dei dati rileva una violazione sostanziale delle disposizioni in materia di protezione dei dati, essa decide in modo vincolante le misure correttive adeguate e concede all'organo responsabile un termine ragionevole per la loro attuazione. Può in particolare ordinare che i dati personali siano cancellati o distrutti o che i trattamenti dei dati siano modificati o interrotti.

2. L'autorità di controllo della protezione dei dati informa l'autorità di vigilanza dell'organo responsabile sulle misure correttive ordinate.

3. I provvedimenti relativi a misure correttive possono essere impugnati mediante ricorso presso il Tribunale superiore, conformemente alle disposizioni del VRPG.

1. L'informazione, la concessione di accesso, la rettifica e il blocco dei dati avvengono gratuitamente.

2. Una tassa può essere richiesta se

a) il trattamento di una domanda richiede uno sforzo sproporzionato oppure

b) la domanda è stata presentata con malizia.

3. Rimane riservata l'applicazione di tariffe particolari per altre operazioni.

1. I comuni e gli enti e istituti di diritto pubblico devono redigere i loro registri centrali entro e non oltre un anno dall'entrata in vigore di questa legge.

1. Con l'entrata in vigore viene abrogato l'art. 9 del regolamento sull'insediamento e il soggiorno degli svizzeri.

2. Questa legge è soggetta a referendum facoltativo.

3. Il Consiglio di Stato determina l'entrata in vigore.