Legge sull'informazione e la protezione dei dati (Legge sull'informazione e sulla protezione dei dati, IDG) - Oggetto e Scopo (IDG)

1. Questa legge disciplina la gestione delle informazioni da parte degli organi pubblici.

2. Ha lo scopo di

a. rendere l'azione degli organi pubblici trasparente e in tal modo favorire la libera formazione dell'opinione e l'esercizio dei diritti democratici, salvo che non vi siano preponderanti interessi pubblici o privati contrari, e

b. proteggere i diritti fondamentali delle persone fisiche i cui dati personali sono trattati dagli organi pubblici.

3. Il Consiglio di Stato e il Consiglio di Cantone garantiscono che le istituzioni intercantonali con partecipazione del Basilea Campagna assicurino un livello di protezione dei dati equivalente.

1. Questa legge si applica a tutti gli organi pubblici ai sensi del § 3 comma 1.

2. Non trova applicazione

a. laddove un organo pubblico partecipi alla concorrenza economica agendo secondo il diritto privato.

b. ...

c. ...

2bis. I diritti e le pretese della persona interessata durante procedimenti pendenti di giustizia civile e penale, nonché della giurisdizione costituzionale e amministrativa e durante procedimenti di assistenza giudiziaria in corso, sono disciplinati esclusivamente dal diritto processuale applicabile.

3. Le disposizioni derogatorie e integrative in altre leggi rimangono riservate, purché garantiscano la protezione dei diritti fondamentali delle persone sui cui i dati personali sono trattati dagli organi pubblici ai sensi di questa legge.

1. Gli enti pubblici ai sensi di questa legge sono

a. le unità organizzative del cantone e dei comuni, che svolgono un compito pubblico;

b. le unità organizzative delle persone giuridiche di diritto pubblico cantonale e comunale, che svolgono un compito pubblico;

c. i privati, nella misura in cui ad essi siano stati attribuiti dai cantoni o dai comuni compiti pubblici.

2. Le informazioni ai sensi di questa legge sono tutte le registrazioni che riguardano l'adempimento di un compito pubblico, indipendentemente dalla loro forma di rappresentazione e dal supporto informativo.

3. I dati personali sono informazioni che si riferiscono a una persona fisica identificata o identificabile.

4. I dati personali particolari sono

a. Dati personali il cui trattamento comporta un rischio particolare di violazione dei diritti fondamentali, in particolare informazioni su

1. le opinioni o attività religiose, ideologiche, politiche o sindacali,

2. la salute, il patrimonio genetico (dati genetici), la sfera intima o l'origine etnica,

2bis. disabilità,

3. misure di assistenza sociale,

4. procedimenti e sanzioni amministrativi o penali,

5. dati personali ottenuti con tecniche specifiche riguardanti le caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica, che permettono o confermano l'identificazione univoca di tale persona (dati biometrici).

b. Raccoglimento di informazioni che consentono una valutazione di aspetti essenziali della personalità di una persona fisica (profilo della personalità).

5. Trattare significa qualsiasi manipolazione di informazioni, indipendentemente dai mezzi e dalle procedure utilizzati, in particolare l'acquisizione, la conservazione, la lettura, la modifica, la divulgazione, l'archiviazione, la cancellazione o la distruzione, nonché l'esecuzione di operazioni logiche e/o computazionali con tali informazioni.

6. Divulgare significa rendere accessibili informazioni, come consentirne la visione, trasmetterle o pubblicarle.

7. Il profiling è qualsiasi valutazione di informazioni per analizzare caratteristiche personali essenziali o prevedere sviluppi, in particolare in relazione alle prestazioni lavorative, situazione economica, salute, sfera intima o mobilità.

8. Il responsabile del trattamento su incarico o i responsabili del trattamento su incarico sono la persona privata o l'ente pubblico che trattano le informazioni per conto dell'ente pubblico responsabile del trattamento.

1. L'organo pubblico gestisce il trattamento delle informazioni in modo da poter informare rapidamente, in modo completo e oggettivo.

2. Nel farlo, rispetta i requisiti della Legge sui diritti delle persone con disabilità BL.

1. L'ente pubblico gestisce le sue informazioni secondo le disposizioni sulla tenuta dei documenti ai sensi della legge sull'archiviazione.

1. La responsabilità per la gestione delle informazioni spetta all'organo pubblico che elabora le informazioni per adempiere ai propri compiti previsti dalla legge.

2. Se più organi pubblici elaborano un insieme comune di informazioni, essi disciplinano tra di loro la responsabilità e stabiliscono quale organo pubblico detiene la responsabilità complessiva.

3. L'organo pubblico responsabile deve essere in grado di dimostrare all'autorità di vigilanza sulla protezione dei dati che rispetta le disposizioni sulla protezione dei dati.

4. Il Consiglio di governo regola i dettagli per l'amministrazione cantonale, mentre il Consiglio comunale regola i dettagli per l'amministrazione comunale. Qualora i comuni non emanino regolamenti propri, si applicano quelli previsti per l'amministrazione cantonale.

1. L'ente pubblico può trasferire il trattamento delle informazioni a una responsabile del trattamento incaricata o a un responsabile del trattamento incaricato, se

a. non vi è disposizione legale o accordo contrattuale contrario e

b. si garantisce che le informazioni siano trattate solo nella modalità in cui l'ente pubblico sarebbe autorizzato a farlo.

2. L'ente pubblico rimane responsabile del trattamento delle informazioni ai sensi di questa legge.

3. La responsabile del trattamento incaricata o il responsabile del trattamento incaricato non può trasferire il trattamento delle informazioni a un'altra responsabile del trattamento incaricata o a un altro responsabile del trattamento incaricato senza il previo consenso scritto dell'ente pubblico committente.

1. L'organo pubblico protegge le informazioni tramite adeguate misure organizzative e tecniche da perdita, furto nonché da elaborazione e presa di conoscenza illecite.

2. Le misure da adottare sono determinate dalla natura dell'informazione, dalla natura e dallo scopo dell'uso e dallo stato attuale della tecnica.

3. Il Consiglio di Governo regola i dettagli.

1. Un ente pubblico può trattare i dati personali quando

a. esiste una base legale a riguardo oppure

b. ciò è necessario per l'adempimento di un compito legale.

2. Dati personali particolari possono essere trattati e una profilazione può essere effettuata solo quando

a. la liceità risulta espressamente da una legge oppure

b. ciò è necessario per l'adempimento di un compito espressamente descritto nella legge.

3. Il trattamento dei dati personali deve avvenire secondo buona fede e deve essere proporzionale.

4. I dati personali possono essere trattati solo per il tempo necessario all'adempimento del compito legale.

1. Il Consiglio di Stato può, previa consultazione preliminare (§ 12) con il parere dell'ufficio di vigilanza sulla protezione dei dati (§ 35), autorizzare il trattamento di dati personali sensibili prima dell'entrata in vigore di una legge, se

a. i compiti che rendono necessario tale trattamento sono disciplinati da una legge, e

b. vengono adottate misure sufficienti per prevenire violazioni della personalità, e

c. l'attuazione pratica di un trattamento dei dati richiede imperativamente una fase di prova prima dell'entrata in vigore della legge.

2. L'attuazione pratica di un trattamento dei dati può richiedere imperativamente una fase di prova, se l'adempimento di un compito

a. richiede innovazioni tecniche, i cui effetti devono prima essere valutati, o

b. richiede misure organizzative o tecniche significative, la cui efficacia deve prima essere verificata, in particolare nella collaborazione con organi pubblici della Confederazione e di altri cantoni e privati, o

c. richiede la divulgazione di dati personali sensibili a terzi mediante una procedura di accesso.

3. I progetti pilota devono essere limitati a un massimo di 5 anni.

4. Ogni progetto pilota deve essere valutato.

5. Il Consiglio di Stato disciplina le modalità del trattamento dei dati in un'ordinanza.

1. I dati personali devono essere corretti e, nella misura in cui lo richiede lo scopo dell'uso, completi.

2. Chi tratta i dati personali deve accertarsi della loro correttezza.

3. Devono essere adottate tutte le misure appropriate affinché i dati che sono, in considerazione dello scopo della loro raccolta o elaborazione, errati o incompleti, vengano corretti o distrutti.

1. I dati personali possono essere trattati solo per lo scopo per cui sono stati raccolti, a meno che non vi sia una base legale che preveda espressamente un ulteriore utilizzo o la persona interessata acconsenta in un caso specifico.

2. Un ente pubblico può trattare dati personali per uno scopo non personale, a condizione che essi vengano anonimizzati non appena lo scopo del trattamento lo consenta; dalle analisi non devono emergere deduzioni che permettano di risalire a persone interessate.

1. L'autorità pubblica responsabile verifica, per ogni progetto di trattamento dei dati personali, se presumibilmente esista un alto rischio per i diritti fondamentali delle persone interessate.

2. Se presumibilmente esista un alto rischio, deve essere effettuata una valutazione d'impatto sulla protezione dei dati.

3. La valutazione d'impatto sulla protezione dei dati deve contenere almeno

a. una descrizione generale delle operazioni di trattamento previste;

b. una valutazione dei rischi per i diritti fondamentali delle persone interessate; nonché

c. una descrizione e valutazione delle misure correttive pianificate, delle garanzie, delle misure di sicurezza e delle procedure mediante le quali si intende garantire la protezione dei diritti fondamentali delle persone interessate e dimostrare la conformità alle disposizioni sulla protezione dei dati.

1. L'organo pubblico responsabile presenta per una consultazione preventiva all'autorità di controllo sulla protezione dei dati (§ 35)

a. * Progetti di regolamentazione che riguardano il trattamento di dati personali, e

b. * Iniziative per il trattamento di dati personali che, a causa della natura del trattamento o dei dati da trattare, probabilmente porteranno a un elevato rischio per i diritti fondamentali delle persone interessate.

2. L'autorità di controllo sulla protezione dei dati può stabilire criteri per le operazioni di trattamento che devono essere sottoposte a consultazione preventiva.

1. L'organo pubblico progetta i sistemi informatici in modo tale che non vengano raccolti dati personali o che ne vengano raccolti il meno possibile.

2. In particolare, si deve fare uso delle possibilità di anonimizzazione e pseudonimizzazione, nella misura in cui ciò sia possibile e lo sforzo sia proporzionato all'obiettivo di protezione perseguito.

1. L'organo pubblico responsabile informa adeguatamente la persona interessata su ogni acquisizione di dati; tale obbligo d'informazione si applica anche quando i dati vengono acquisiti presso terzi.

2. Al fine di garantire un'elaborazione trasparente dei dati e affinché la persona interessata possa far valere i propri diritti, le informazioni comprendono almeno indicazioni su

a. * l'organo pubblico responsabile, compresi i dati di contatto;

b. * i dati trattati o le categorie di dati trattati;

c. * tutte le informazioni disponibili sull'origine dei dati personali, qualora non siano stati raccolti presso la persona interessata;

d. * la base giuridica e lo scopo dell'elaborazione;

e. * i destinatari dei dati o le categorie di destinatari dei dati, qualora i dati vengano comunicati a terzi; e

f. * i diritti della persona interessata.

3. L'obbligo di informazione viene meno se

a. * la persona interessata dispone già delle informazioni di cui al paragrafo 2;

b. * l'elaborazione dei dati personali è espressamente prevista dalla legge; oppure

c. * l'informazione non è possibile o è possibile solo con uno sforzo sproporzionato.

4. La divulgazione delle informazioni può essere limitata alle stesse condizioni previste per l'accesso ai propri dati personali.

1. I dati personali non più necessari, che vengono valutati dall'autorità competente in base alla legge sull'archiviazione come non meritevoli di archiviazione, devono essere distrutti dall'ente pubblico.

2. Per tutti i patrimoni informativi che contengono dati personali, devono essere stabiliti termini per la valutazione riguardo alla necessità di utilizzare ancora tali dati per l'adempimento dei compiti, o se devono essere archiviati o distrutti.

1. Si verifica una violazione della protezione dei dati quando la sicurezza è compromessa in modo tale che

a. i dati personali trattati vengono distrutti irreversibilmente o persi, modificati o divulgati in modo involontario o illecito; oppure

b. persone non autorizzate ottengono accesso a tali dati personali.

2. L'organismo pubblico responsabile segnala senza indebito ritardo una violazione della protezione dei dati all'autorità di controllo della protezione dei dati (§ 35).

3. Il responsabile del trattamento dei dati incaricato informa immediatamente l'organismo pubblico committente di una violazione della protezione dei dati.

4. Non sussiste un obbligo di notifica da parte dell'organismo pubblico se la violazione della protezione dei dati presumibilmente non comporta un rischio per i diritti fondamentali della persona interessata. L'autorità di controllo della protezione dei dati può stabilire criteri per le violazioni della protezione dei dati che devono essere segnalate.

5. L'organismo pubblico informa le persone interessate, se le circostanze lo richiedono o se l'autorità di controllo della protezione dei dati lo esige.

6. Inoltre, la notifica alle persone interessate può essere completamente o parzialmente omessa o posticipata, qualora sia applicabile una limitazione ai sensi del § 27.

1. L'organo pubblico può far esaminare e valutare le proprie procedure, la propria organizzazione e le proprie attrezzature tecniche da un organismo indipendente e riconosciuto al fine di garantire la qualità dell'elaborazione delle informazioni.

1. L'ente pubblico informa il pubblico sulle sue attività e su questioni di interesse generale.

2. Sono di interesse generale le informazioni che riguardano questioni di interesse pubblico e che sono significative per la formazione dell'opinione e la tutela dei diritti democratici della popolazione.

3. L'ente pubblico fornisce informazioni sulla sua struttura, sulle sue competenze e sulle persone di contatto.

4. L'ente pubblico può informare sui procedimenti pendenti se ciò è necessario per correggere o prevenire notizie errate o se in un caso particolarmente grave o notevole è necessario informare immediatamente.

5. Il Consiglio di Governo regola le attività informative per l'amministrazione cantonale. Le informazioni sono fornite in modo oggettivo, semplice ed economico e preferibilmente tramite Internet.

1. L'ente pubblico divulga i dati personali quando

a. una base legale lo impone o autorizza, oppure

b. ciò è necessario per l'adempimento di un compito legale, oppure

c. in casi particolari, la persona interessata ha dato espressamente il consenso o, qualora non sia in grado di farlo, la divulgazione è nel suo interesse e si può presumere in buona fede che sarebbe stata concessa.

2. I dati personali possono essere resi accessibili tramite una procedura di recupero solo se la base legale lo prevede espressamente.

1. L'ente pubblico comunica dati personali sensibili o i risultati di un profiling quando

a. una legge lo impone o autorizza espressamente oppure

b. ciò è necessario per l'adempimento di un compito definito espressamente dalla legge oppure

c. nel singolo caso la persona interessata ha dato consenso esplicito o, se non è in grado di farlo, la comunicazione è nel suo interesse e il consenso può essere ragionevolmente presunto.

2. Attraverso una procedura di accesso, i dati personali sensibili possono essere resi accessibili solo se una legge lo prevede espressamente.

1. L'organo pubblico può divulgare dati personali per uno scopo non personale, a condizione che ciò non sia escluso da una disposizione speciale sulla riservatezza.

2. Il destinatario o la destinataria deve impegnarsi a

a. anonimizzare o pseudonimizzare i dati personali non appena lo scopo del trattamento lo consente;

b. divulgare le valutazioni solo in modo tale da non permettere deduzioni sulle persone interessate.

3. I dati personali vengono divulgati ai privati solo se si impegnano, in aggiunta, a non trattare i dati per altri scopi, a non cederli a terzi e ad assicurare la protezione dei dati.

1. Gli organi pubblici possono comunicare dati personali ad altri organi o privati che non sono soggetti alla giurisdizione di uno Stato aderente alla Convenzione del Consiglio d'Europa sulla protezione delle persone rispetto al trattamento automatizzato di dati personali, solo se

a. la legislazione dello Stato ricevente assicura un'adeguata protezione;

b. un'adeguata protezione è garantita da accordi contrattuali;

c. ciò è essenziale, in casi particolari, sia per il mantenimento di un interesse pubblico prevalente, sia per l'accertamento, l'esercizio o l'esecuzione di rivendicazioni legali in tribunale, oppure

d. in casi particolari, la persona interessata ha espressamente acconsentito o, se incapace di farlo, la comunicazione è nel suo interesse e il suo consenso può essere ragionevolmente presunto in buona fede.

2. Restano salve le disposizioni legali sullo scambio e l'ulteriore trattamento di dati personali nell'ambito del Sistema d'informazione Schengen (SIS).

1. Le autorità di perseguimento penale, giurisdizione penale e esecuzione delle pene mantengono un registro completo dei loro procedimenti in cui sono trattati dati personali.

2. Il registro deve essere facilmente accessibile al pubblico, in particolare attraverso reti di dati pubbliche.

3. Il consiglio di governo disciplina nel regolamento il contenuto del registro e le eccezioni all'obbligo di pubblicazione.

1. Ogni persona ha diritto di accesso alle informazioni detenute da un ente pubblico ai sensi del § 3 comma 1 lett. a e b, ad eccezione dei documenti che non sono stati completati.

2. Nei procedimenti amministrativi e nei procedimenti di ricorso amministrativo pendenti, il diritto di accesso alle informazioni è disciplinato dalla normativa procedurale pertinente.

1. Ogni persona ha il diritto di sapere se un ente pubblico possiede dati personali che la riguardano e, se del caso, di accedere a tali dati personali.

2. L'accesso comprende

a. le informazioni di cui al § 14 comma 2 e

b. tutti i dati personali relativi alla persona richiedente.

1. Ogni persona interessata può richiedere all'ente pubblico che esso, gratuitamente

a. rettifichi i dati personali errati o, qualora la rettifica non sia possibile, li distrugga;

b. cessi l'elaborazione illecita dei dati personali;

c. elimini le conseguenze dell'elaborazione illecita dei dati personali;

d. attesti per iscritto l'illegalità dell'elaborazione dei dati personali.

2. Se l'ente pubblico contesta l'erroneità, esso ha l'onere di provare l'esattezza dei dati personali.

3. Se per natura dei dati non è possibile provare né l'esattezza né l'erroneità dei dati personali, in particolare quelli che contengono una valutazione del comportamento umano, la persona interessata può richiedere l'inserimento di una replica.

1. La persona interessata può chiedere per iscritto all'organo pubblico responsabile di bloccare la divulgazione dei propri dati personali.

2. La divulgazione è consentita nonostante il blocco, se

a. l'organo pubblico è legalmente obbligato a divulgare o

b. la divulgazione è necessaria per l'adempimento di un compito legale oppure

c. la persona che richiede la divulgazione dimostra in modo credibile che i dati personali sono necessari per far valere i propri diritti legali.

1. Ogni persona può segnalare all'autorità di controllo sulla protezione dei dati (§ 35) fatti da cui risulti che un organismo pubblico o un responsabile del trattamento delegato o una responsabile del trattamento delegata, nella gestione dei dati personali che la riguardano, violi le disposizioni in materia di protezione dei dati.

2. La persona che effettua la segnalazione non gode dei diritti di una parte, ma deve ricevere, entro un massimo di 3 mesi, informazioni sui risultati o sullo stato delle indagini.

1. L'organo pubblico deve rifiutare o rinviare, in tutto o in parte, la comunicazione di o l'accesso alle informazioni in casi individuali, qualora sussista un obbligo legale di segretezza speciale o un interesse pubblico o privato prevalente che vi si opponga.

2. Un interesse pubblico prevalente sussiste in particolare quando la divulgazione o l'accesso all'informazione

a. compromette la sicurezza dello Stato o la sicurezza pubblica o

b. pregiudica i rapporti con un altro cantone, con la Confederazione o con l'estero o

c. compromette il libero processo di formazione dell'opinione e della volontà degli organi pubblici o

d. compromette la posizione nei negoziati o

e. compromette l'esecuzione conforme agli obiettivi di misure concrete dell'autorità, in particolare misure di polizia.

3. Un interesse privato prevalente sussiste in particolare quando

a. la divulgazione o l'accesso all'informazione pregiudica la protezione della sfera privata oppure

b. la divulgazione o l'accesso all'informazione rivela segreti professionali, di fabbricazione o commerciali o viola diritti d'autore oppure

c. la divulgazione di o l'accesso a informazioni è richiesto per informazioni che sono state comunicate volontariamente all'organo pubblico da terzi e per le quali è stata garantita la riservatezza.

4. L'accesso ai dati personali propri può inoltre essere limitato in particolare nel caso di dati personali contenuti in cartelle cliniche e atti del settore medico e sociale, nonché dell'esecuzione penale e delle misure, qualora sia necessario a causa degli interessi della persona che richiede l'accesso.

1. Se l'accesso ai dati personali detenuti da un ente pubblico non deve essere negato in tutto o in parte ai sensi del § 27, questi dati personali devono essere resi anonimi prima di concedere l'accesso.

2. Se non è possibile o non è completamente possibile rendere anonimi i dati, l'ente pubblico può concedere l'accesso ai dati personali non anonimi se

a. esiste un interesse pubblico prevalente all'accesso ai dati personali non anonimi oppure

b. sono soddisfatte le condizioni per la divulgazione dei dati personali (§ 18 e seguenti).

1. Chi intende ottenere l'accesso alle informazioni ai sensi dei §§ 23 e 24 deve presentare una richiesta scritta o orale, specificando con sufficiente precisione l'informazione desiderata.

2. La persona che presenta una richiesta di accesso ai propri dati personali deve dimostrare la propria identità, a meno che la sua identità non sia indiscutibilmente accertata dall'ente pubblico richiesto.

1. Se una richiesta si riferisce esclusivamente a informazioni già pubbliche e disponibili in modo appropriato, l'ente pubblico non prende in considerazione la richiesta, facendo riferimento alla fonte.

2. Se sono coinvolti interessi di terzi o di altri enti pubblici ai sensi del § 27, l'ente pubblico dà a queste persone o enti la possibilità di esprimere il loro parere entro un termine ragionevole, a meno che, anche senza parere, non sia chiaro che l'accesso deve essere negato in tutto o in parte.

1. Se non vi sono ostacoli all’accesso alle informazioni, l'organo pubblico concede alla persona richiedente l'accesso.

2. Se, in seguito al suo esame o alle opinioni ottenute, l'organo pubblico considera la possibilità di respingere completamente o parzialmente la domanda di accesso, comunica questa intenzione alla persona richiedente.

3. Se l'organo pubblico considera la possibilità di accettare la domanda di accesso contrariamente alle opinioni ottenute, comunica questa intenzione alle persone terze interessate o ad altri organi pubblici.

4. Entro 30 giorni dal ricevimento della comunicazione ai sensi dei paragrafi 2 e 3, la persona richiedente e la persona terza possono richiedere all'organo pubblico l'emissione di una decisione impugnabile.

1. L'organo pubblico garantisce l'accesso alle informazioni, mediante

a. la consegna delle informazioni per iscritto, in forma di copie o su supporti informatici oppure

b. la comunicazione orale delle informazioni con il consenso della persona richiedente o concedendo a quest'ultima la consultazione diretta delle informazioni sul posto.

2. A una richiesta di accesso formulata oralmente, l'organo pubblico può comunicare le informazioni alla persona richiedente in forma orale.

1. L'organo pubblico deve, entro 30 giorni dal ricevimento della richiesta, fornire alla persona richiedente

a. l'accesso alle informazioni,

b. una comunicazione ai sensi del § 31 comma 2, oppure,

c. se il termine non può essere rispettato, comunicare con indicazione dei motivi, entro quando sarà disponibile la decisione.

1. Di norma, non vengono addebitate tasse per la procedura di accesso alle informazioni.

2. È possibile richiedere una tassa adeguata in base al lavoro svolto, ma in nessun caso per l'accesso ai propri dati personali

a. in procedimenti complessi, come in situazioni complicate o in caso di anonimizazzioni estese di informazioni;

b. nella realizzazione di copie o altri supporti di dati per la persona richiedente.

3. L'ente pubblico informa la persona richiedente se la richiesta comporta costi significativi; in tal caso, può richiedere un anticipo sui costi prima di continuare l'elaborazione della richiesta.

4. Qualora le informazioni siano adatte per un uso commerciale, può essere applicata una tariffa basata sul mercato.

5. Il Consiglio di governo emana un tariffario delle tasse.

1. Il Cantone gestisce un ufficio di controllo indipendente sotto il nome di «L'Incaricata della Protezione dei Dati» o «L'Incaricato della Protezione dei Dati».

2. Può gestire l'ufficio di controllo insieme ad altri Cantoni in base a un trattato statale.

1. L'ufficio di controllo adempie ai suoi compiti in modo indipendente dalle direttive.

2. Non sono soggetti all'ufficio di controllo

a. i membri del consiglio del distretto e il consiglio del distretto e il consiglio del governo come autorità;

b. i trattamenti di dati in procedimenti pendenti di giurisdizione civile e penale, di giurisdizione costituzionale e amministrativa, così come in procedimenti di assistenza giudiziaria pendenti.

3. Il consiglio del distretto esercita la supervisione generale sull'ufficio di controllo.

4. L'ufficio di controllo è amministrativamente assegnato alla cancelleria statale.

1. L'ufficio di vigilanza cantonale è diretto da una persona esperta in materia di protezione dei dati ("Il Responsabile della Protezione dei Dati" / "La Responsabile della Protezione dei Dati").

2. Egli o ella è eletto/a dal Consiglio del Cantone su proposta del Consiglio di Stato per un mandato. Il Consiglio del Cantone è vincolato alla proposta di nomina.

1. Il Responsabile della protezione dei dati è responsabile, nell'ambito del credito di bilancio approvato dal Consiglio di Stato, per le assunzioni e le promozioni degli altri dipendenti dell'ufficio di vigilanza.

1. Per la gestione del bilancio dell'ufficio di sorveglianza si applica la legislazione in materia di bilancio finanziario, nella misura in cui questa legge non contenga disposizioni specifiche.

2. Il/La Responsabile della protezione dei dati

a. dispone con competenza propria dei crediti di bilancio approvati dal Consiglio di Stato;

b. decide con competenza propria sulle eccedenze di credito e sui trasferimenti di credito;

c. approva con competenza propria le spese per le quali il Consiglio di Stato non è competente;

d. si occupa di un controllo adeguato.

3. Le richieste di credito supplementare dell'ufficio di sorveglianza sono presentate al Consiglio di Stato senza modifiche.

4. Il Consiglio di Governo può presentare al Consiglio di Stato una proposta di modifica delle richieste di credito supplementare dell'ufficio di sorveglianza.

1. L'organo di vigilanza elabora il proprio piano dei compiti e finanziario.

2. Il consiglio di governo adotta il piano dei compiti e finanziario dell'organo di vigilanza senza modifiche in quello del Cantone.

3. Esso può presentare al consiglio regionale una proposta di modifica del piano dei compiti e finanziario dell'organo di vigilanza.

1. L'Autorità di Vigilanza

a. controlla, secondo un programma di verifica autonomamente stabilito, l'applicazione delle disposizioni relative alla gestione delle informazioni;

b. * prende posizione su progetti normativi e altre iniziative presentate per la consultazione preventiva (§ 12);

c. consiglia gli organi pubblici su questioni relative alla gestione delle informazioni;

d. consiglia le persone interessate sui loro diritti;

e. media tra le persone interessate e gli organi pubblici;

f. esprime pareri su regolamenti rilevanti per la gestione delle informazioni o la protezione dei dati;

g. * tratta le notifiche di vigilanza (§ 26a) e informa i notificatori sul risultato o lo stato delle indagini;

h. * sensibilizza gli organi pubblici sui loro obblighi in materia di protezione dei dati e il pubblico sulle questioni di protezione dei dati e trasparenza;

i. * segue gli sviluppi rilevanti per la protezione dei dati personali e il principio di trasparenza.

1. L'autorità di vigilanza può, presso gli organi pubblici, i responsabili del trattamento su mandato e le terze persone che hanno ricevuto dati personali da un organo pubblico, indipendentemente da eventuali obblighi di riservatezza, richiedere per iscritto o verbalmente informazioni sul trattamento dei dati, prendere visione di tutta la documentazione, effettuare ispezioni e farsi dimostrare i trattamenti.

2. Gli organi pubblici, i responsabili del trattamento su mandato e le terze persone sono obbligati a sostenere l'autorità di vigilanza nell'adempimento dei suoi compiti. Essi collaborano in particolare all'accertamento dei fatti.

3. I rapporti che l'autorità di vigilanza redige o fa redigere nell'ambito dell'attività di controllo, insieme ai materiali su cui si basano, non sono pubblici ai sensi del § 23 comma 1.

1. Qualora gli interessi legittimi di una persona coinvolta siano chiaramente minacciati o violati, l'autorità di vigilanza invita l'ente pubblico o la sua autorità superiore a prendere immediatamente le misure provvisorie necessarie.

1. L'autorità di vigilanza può formulare raccomandazioni sul trattamento delle informazioni.

2. L'ente pubblico al quale è rivolta la raccomandazione deve, di norma, dichiarare entro 4 settimane all'autorità di vigilanza se intende seguire la raccomandazione.

1. Se un organo pubblico dichiara di non voler seguire la raccomandazione dell'organo di vigilanza, o in effetti non la segue, l'organo di vigilanza, nella misura in cui l'interesse all'attuazione è rilevante, può emettere la sua raccomandazione o parti di essa come direttiva sotto forma di decisione.

2. Nessuna direttiva può essere emessa nei confronti del Tribunale cantonale.

3. L'organo di vigilanza può emettere direttamente una direttiva, se si prevede che l'organo pubblico rifiuterà una raccomandazione o non la seguirà.

4. L'organo pubblico al quale è diretta la direttiva può contestarla con un reclamo secondo gli artt. 27 e ss. della Legge sul procedimento amministrativo presso il Consiglio di Stato.

5. Gli istituti di diritto pubblico cantonale presentano il loro reclamo direttamente al Tribunale cantonale.

6. L'organo di vigilanza è legittimato a ricorrere contro le decisioni in merito ai reclami del Consiglio di Stato.

1. L'autorità di vigilanza collabora, per l'adempimento delle sue funzioni, con gli organi dei comuni, degli altri cantoni, della Confederazione e dell'estero, che svolgono le stesse funzioni.

1. La responsabile o il responsabile e i collaboratori dell'ufficio di sorveglianza sono soggetti, riguardo alle informazioni di cui vengono a conoscenza durante la loro attività, allo stesso obbligo di segretezza dell'ente pubblico che elabora i dati.

2. L'obbligo di segretezza continua anche dopo la cessazione della funzione.

1. L'autorità di vigilanza presenta periodicamente all'autorità elettorale una relazione sull'entità e i punti principali delle attività, nonché su importanti constatazioni e valutazioni.

2. La relazione viene pubblicata.

1. Il comune può gestire un proprio ufficio di vigilanza per l'area comunale.

2. Se decide di non farlo o se l'ufficio di vigilanza comunale non soddisfa i requisiti di indipendenza, diventa competente l'ufficio di vigilanza cantonale.

3. Il responsabile comunale e eventuali altri collaboratori non possono ricoprire ulteriori funzioni amministrative all'interno del comune.

4. I §§ 40-47 si applicano in modo analogo all'ufficio di vigilanza comunale nel suo ambito di competenza.

1. Chiunque come terza persona incaricata ai sensi del § 7 utilizzi intenzionalmente o per negligenza dati personali per sé o per altri, o li divulghi ad altri senza esplicita autorizzazione dell'ente pubblico incaricante, sarà punito con una multa.

2. Chiunque, in violazione dell'obbligo di cui al § 20 comma 3, trasmetta intenzionalmente o per negligenza a terzi dati personali ricevuti da un ente pubblico per l'elaborazione per uno scopo non personale, sarà punito con una multa.

1. Sono modificati

1. Legge cantonale sulla statistica: La Legge cantonale sulla statistica del 21 febbraio 2008 è modificata come segue: ...

2. Legge sulle iscrizioni e sui registri: La Legge sulle iscrizioni e sui registri (ARG) del 19 giugno 2008 è modificata come segue: ...

3. Legge del Consiglio regionale: La Legge del 21 novembre 1994 sull'organizzazione e la gestione del Consiglio regionale (Legge del Consiglio regionale, LCR) è modificata come segue: ...

4. Legge sull'organizzazione amministrativa: La Legge del 6 giugno 1983 sull'organizzazione del Consiglio di Stato e dell'amministrazione cantonale (Legge sull'organizzazione amministrativa) è modificata come segue: ...

5. Legge sul personale: La Legge del 25 settembre 1997 sui rapporti di lavoro dei dipendenti del Cantone (Legge sul personale) è modificata come segue: ...

6. Legge sugli archivi: La Legge dell'11 maggio 2006 sull'archiviazione (Legge sugli archivi) è modificata come segue: ...

7. Legge comunale: La Legge del 28 maggio 1970 sull'organizzazione e l'amministrazione dei comuni (Legge comunale) è modificata come segue: ...

8. Legge sulla polizia: La Legge sulla polizia del 28 novembre 1996 è modificata come segue: ...

1. La legge del 7 marzo 1991 sulla protezione dei dati personali (Legge sulla protezione dei dati) è abrogata.

1. Entro 2 anni dall'entrata in vigore di questa legge devono essere pubblicati gli elenchi dei dati informativi con dati personali ai sensi del § 22.

2. Il Consiglio di Governo può prorogare il termine di un anno su richiesta motivata.

1. Il Consiglio di Stato decide l'entrata in vigore di questa legge.