Ordinanza relativa alla legge sull'informazione e sulla protezione dei dati (Ordinanza sull'informazione e sulla protezione dei dati, IDV) - Prevalenza del Regolamento sulla Sicurezza delle Informazioni (IDV)

1. Gli articoli 2-7 del presente regolamento si applicano a tutti i trattamenti di dati e a tutti i sistemi informatici ai quali non si applica il regolamento sulla sicurezza delle informazioni (VIS) o per i quali non sono ancora state stabilite misure di sicurezza ai sensi dell'articolo 1 VIS.

1. Gli organi pubblici sono responsabili della sicurezza dei patrimoni informativi da essi trattati. Essi designano una persona responsabile dell'attuazione della protezione dei dati personali.

2. Gli organi pubblici garantiscono, con misure organizzative e tecniche adeguate, la riservatezza, la disponibilità e l'esattezza dei dati.

3. Le misure da adottare ai sensi del § 8 IDG tengono conto dei rischi legati al trattamento dei dati per i diritti della personalità delle persone interessate.

4. Gli organi responsabili verificano periodicamente l'adeguatezza delle misure di sicurezza adottate nella loro organizzazione e le adattano allo stato attuale della tecnica.

5. L'assegnazione della responsabilità complessiva (§ 6 comma 2 IDG) è determinata in particolare in base ai seguenti aspetti

a. la possibilità per un organo pubblico coinvolto di decidere sul contenuto e lo scopo del patrimonio dati comune;

b. la disponibilità esclusiva delle risorse umane e finanziarie assegnate a un organo pubblico coinvolto, per garantire il trattamento legittimo dei dati e la sicurezza delle informazioni.

6. La prova del rispetto delle disposizioni in materia di protezione dei dati (§ 6 comma 3 IDG) è fornita attraverso la documentazione che comprende in particolare

a. le basi legali per il trattamento dei dati personali,

b. i rischi e le misure correttive,

c. i processi nonché

d. le responsabilità.

7. La documentazione ai sensi del comma 6 deve avvenire in un sistema di gestione della protezione dei dati strutturato, se l'organo pubblico tratta dati personali particolari o dati personali soggetti a obblighi di segretezza disciplinati da leggi speciali.

1. Alle persone non autorizzate è vietato l'accesso ai locali in cui vengono trattati dati personali o informazioni riservate.

1. L'organo pubblico responsabile (§ 6 IDG) assicura, sia nella fase di progettazione sia durante il funzionamento dei sistemi informatici e delle applicazioni, che solo le persone autorizzate possano accedere ai sistemi informatici e ai database.

2. L'accesso a un sistema informatico è consentito solo tramite l'uso di password personali, che devono essere cambiate periodicamente e mantenute segrete, o tramite un'altra forma di autenticazione.

1. Trattamenti dei dati che comprendono dati personali devono essere archiviati e protetti in modo tale da poter essere ricostruiti, se necessario.

1. L'elaborazione elettronica dei dati personali (in particolare la preparazione/esecuzione e la programmazione/esecuzione) deve essere generalmente suddivisa in modo tale che nessuna persona possa gestire tutte le funzioni importanti da sola.

1. L'organo pubblico responsabile (§ 6 IDG) sensibilizza i propri collaboratori, i responsabili del trattamento degli incarichi e i terzi autorizzati all'accesso alle questioni di sicurezza delle informazioni e garantisce che essi conoscano le proprie responsabilità.

1. Se l'ente pubblico fornisce regolarmente dati personali a fini statistici all'Ufficio per i Dati e le Statistiche, informa la persona interessata al momento della raccolta dei dati.

1. Gli incarichi per il trattamento di dati personali da parte di unità organizzative o privati che non sono soggetti alla Legge sull'informazione e protezione dei dati (IDG) devono essere conferiti per iscritto.

2. L'organo pubblico responsabile garantisce, mediante misure organizzative o tecniche e contrattualmente, che l'adempimento delle funzioni statali sia assicurato anche senza interferenze significative, qualora il soggetto incaricato del trattamento dei dati non rispetti l'accordo scritto o cessi l'attività commerciale.

1. Un alto rischio per i diritti fondamentali delle persone interessate ai sensi del § 12 comma 1 lett. b IDG sussiste in particolare quando il trattamento dei dati

a. prevede una procedura di accesso, oppure

b. riguarda dati personali particolari (§ 3 comma 4 IDG), oppure

c. è associato all'impiego di nuove tecnologie, oppure

d. interessa un gran numero di persone, oppure

e. è effettuato da più organi pubblici.

1. Il primo contatto con l'Autorità di Controllo per la protezione dei dati deve avvenire in un momento che consenta all'ente pubblico responsabile di considerare ancora l'esito della consultazione preliminare.

2. La consultazione preliminare si svolge, a seconda della portata del progetto, in un'unica fase di esame o in più fasi di esame.

3. L'Autorità di Controllo per la protezione dei dati effettua ciascuna fase di esame entro un termine ragionevole e comunica all'ente pubblico l'esito dell'esame.

1. La documentazione da presentare dall'organismo pubblico all'autorità di controllo della protezione dei dati contiene tutti i documenti rilevanti per la valutazione, in particolare

a. la descrizione del progetto (inclusi i processi e le procedure),

b. la base giuridica per il trattamento dei dati e

c. una panoramica delle misure per prevenire violazioni della personalità.

1. L'elenco degli archivi informatici contenenti dati personali deve includere almeno le seguenti indicazioni per ciascun archivio

a. la denominazione dell'archivio informatico,

b. la base giuridica per il trattamento dei dati,

c. lo scopo del trattamento dei dati e

d. l'organismo pubblico responsabile.

1. La Cancelleria dello Stato attua il principio di trasparenza negli affari dell'intero Consiglio di Governo.

2. Le direzioni dell'amministrazione cantonale, la Cancelleria dello Stato, i tribunali, i comuni e altre corporazioni, nonché le aziende cantonali e comunali autonome attuano il principio di trasparenza in modo autonomo.

3. Le direzioni dell'amministrazione cantonale e la Cancelleria dello Stato designano ciascuna un ufficio incaricato dell'attuazione del principio di trasparenza nella direzione rispettiva e nella Cancelleria dello Stato.

4. La Cancelleria dello Stato emana direttive per l'attuazione del principio di trasparenza nell'ambito della comunicazione delle direzioni.

5. Le direzioni dell'amministrazione cantonale comunicano annualmente alla Cancelleria dello Stato

a. il numero delle domande di accesso all'informazione presentate per iscritto nell'anno di riferimento,

b. il numero delle domande approvate e di quelle in tutto o in parte respinte per iscritto, e

c. eventuali incidenti particolari in relazione alla concessione dell'accesso all'informazione.

6. La Cancelleria dello Stato mette le informazioni a disposizione dell'autorità di vigilanza sulla protezione dei dati per la relazione ai sensi del § 47 IDG.

1. Le richieste di accesso alle informazioni devono essere trattate

a. dall'organismo pubblico che elabora le informazioni o le fa elaborare da terzi;

b. nel caso di perizie interne ed esterne, dall'organismo pubblico che ha commissionato la perizia.

2. Per la gestione delle richieste di accesso alle informazioni relative agli affari del Consiglio di Governo nel suo complesso, è competente la Cancelleria dello Stato.

3. Qualora la richiesta riguardi chiaramente informazioni che vengono elaborate da un altro organismo pubblico o fatte elaborare da terzi, la richiesta sarà inoltrata all'organismo pubblico competente, informando la persona richiedente. Ciò è particolarmente rilevante nel caso in cui l'organismo pubblico interrogato disponga sì dell'informazione richiesta, ma non l'abbia creata, commissionata, né ricevuta come destinatario principale.

4. Se la richiesta riguarda informazioni di diversi organismi pubblici, questi ultimi devono coordinarsi riguardo al trattamento della richiesta.

1. Un documento è considerato non completato, in particolare, quando

a. l'autrice o l'autore non lo ha ancora firmato;

b. l'autrice o l'autore non lo ha ancora consegnato alla destinataria o al destinatario;

c. si trova in fase di bozza;

d. il testo scritto a mano o in formato elettronico presenta cancellature o annotazioni;

e. serve da appunto di lavoro informale.

1. Le raccolte di dati devono essere strutturate in modo tale che la persona interessata possa esercitare il proprio diritto di accesso e il diritto di rettifica.

1. L'organo pubblico segnala il diritto di opposizione attraverso

a. un avviso scritto su moduli con cui raccoglie i dati;

b. un avviso sul sito web per acquisizioni di dati online;

c. avvisi in pubblicazioni che informano sulle raccolte dati.

2. L'organo pubblico che ha eseguito il blocco garantisce che altri organi pubblici, che ricevono dati personali bloccati da esso, siano informati del blocco.

3. Se la persona interessata richiede la revoca del blocco, ne dà comunicazione scritta all'organo pubblico.

1. Per i dati personali sensibili (§ 3 comma 4 IDG) si presume che l'interesse privato della persona interessata prevalga sull'interesse di una terza persona all'accesso.

1. Non sussiste alcun diritto di accesso alle bozze di delibera e ai rapporti, nonché alle relazioni interne amministrative o pareri e altre manifestazioni di opinione analoghe preparate dalle direzioni e dalla cancelleria di Stato, nonché dal servizio legale del Consiglio di Stato e del Consiglio cantonale, in vista della decisione del Consiglio di Stato.

2. Lo stesso vale, mutatis mutandis, anche per le bozze di delibera e i rapporti, nonché le relazioni interne amministrative o i pareri e altre manifestazioni di opinione analoghe preparate in vista della decisione del Consiglio comunale, purché il comune non abbia emanato disposizioni divergenti.

1. La richiesta di accesso alle informazioni può essere presentata oralmente o per iscritto e non deve essere motivata.

2. L'organo pubblico può fornire informazioni oralmente su richieste orali.

3. La richiedente o il richiedente deve fornire le informazioni ragionevolmente necessarie per consentire all'organo pubblico di identificare il documento ufficiale richiesto.

4. L'organo pubblico può richiedere una domanda scritta quando

a. la richiesta orale è poco chiara o ampia, oppure

b. è necessaria un'audizione di terzi interessati ai sensi del § 30 paragrafo 2 IDG per la trattazione della domanda, oppure

c. devono essere effettuate approfondite indagini per la valutazione degli interessi, oppure

d. la trattazione della domanda è associata a uno sforzo particolare.

5. L'organo pubblico può richiedere che la richiedente o il richiedente precisi la domanda; avvisa che non sarà dato seguito alla domanda se la precisazione necessaria per identificare il documento richiesto non viene fornita entro un termine di 20 giorni.

6. Se la precisazione richiesta non è fornita, l'organo pubblico comunica per iscritto alla richiedente o al richiedente che la domanda non sarà trattata.

1. L'organo pubblico acquisisce una copia del documento d'identità agli atti, qualora sia necessario richiedere un documento, perché l'identità della persona richiedente non sia stabilita senza ombra di dubbio.

1. Di norma, il termine per presentare osservazioni a una richiesta di accesso alle informazioni è

a. 7 giorni per altri enti pubblici interessati dalla richiesta;

b. 14 giorni per terze persone interessate dalla richiesta; se non viene presentata alcuna osservazione entro il termine, viene concesso un termine supplementare di al massimo 14 giorni.

2. Se non viene presentata alcuna osservazione, l'ente pubblico competente per la concessione dell'accesso decide sulla base dei documenti a sua disposizione.

1. Nel trattare le richieste di accesso da parte dei rappresentanti dei media, bisogna, ove possibile, tener conto dell'urgenza temporale della copertura giornalistica.

1. L'onere di lavoro per la procedura di accesso alle informazioni è gratuito fino a 1 ora.

2. Per l'onere di lavoro a partire dalla 2ª ora viene addebitata una tariffa oraria di CHF 100.

3. L'ente pubblico informa la persona richiedente quando l'onere di lavoro prevedibilmente supera 1 ora e indica i costi approssimativi; contemporaneamente stabilisce un termine per comunicare se si intende mantenere la richiesta.

1. Per la creazione di copie o di altri supporti dati vengono addebitate le seguenti tariffe

a. per la produzione di fotocopie o di copie elettroniche (se i documenti non sono già disponibili in formato elettronico) per pagina CHF 1.-; a partire dalla 40ª pagina per pagina CHF 0.50;

b. per copie elettroniche su supporto dati leggibile da macchina, oltre all'eventuale prezzo per pagina secondo la lett. a., per supporto dati CHF 20.-;

c. per ogni cassetta audio, registrata dall'ente pubblico, CHF 20.-;

d. per duplicazioni che devono essere realizzate da fornitori di servizi esterni, previa offerta.

1. Il Regolamento dell'11 marzo 2008 sulla Sicurezza delle Informazioni (RIS) è modificato come segue: ...

1. Il regolamento del 13 agosto 1991 relativo alla legge sulla protezione dei dati viene abrogato.

1. Il presente regolamento entra in vigore il 1° gennaio 2013.