Legge sull'informazione e la protezione dei dati - Oggetto e Scopo (IDG)

1. Questa legge disciplina la gestione delle informazioni da parte degli organi pubblici.

2. Essa si prefigge di

a) rendere trasparenti le azioni degli organi pubblici e, in tal modo, promuovere la libera formazione dell'opinione e l'esercizio dei diritti democratici, salvo che non vi siano preponderanti interessi pubblici o privati contrari, e

b) * proteggere i diritti fondamentali delle persone fisiche, i cui dati personali sono trattati dagli organi pubblici.

1. Questa legge si applica a tutti gli organi pubblici secondo il § 3 comma 1.

2. Non si applica, nella misura in cui un organo pubblico partecipa alla concorrenza economica agendo secondo il diritto privato. Per l'elaborazione dei dati personali è applicabile la legge federale sulla protezione dei dati (LPD) del 19 giugno 1992. La sorveglianza è esercitata dal o dalla responsabile della protezione dei dati secondo i §§ 37 ss., salvo per gli organi pubblici che partecipano esclusivamente alla concorrenza economica agendo secondo il diritto privato.

a) * ...

b) * ...

c) * ...

2bis. Nei procedimenti pendenti di giustizia civile e penale, nonché di giustizia costituzionale e amministrativa, i diritti e le pretese della persona interessata, l'obbligo di informazione dell'organo pubblico durante la raccolta di dati personali, la divulgazione dei dati personali ai partecipanti al procedimento, l'informazione del pubblico e il diritto generale del pubblico all'accesso alle informazioni sono regolati esclusivamente dalla normativa procedurale applicabile.

3. Disposizioni divergenti e integrative in altre leggi rimangono riservate, purché garantiscano la protezione dei diritti fondamentali delle persone, i cui dati personali sono trattati dagli organi pubblici, secondo il senso di questa legge.

4. Il Consiglio governativo assicura che le istituzioni inter-cantonali con partecipazione della città di Basilea garantiscano una protezione equivalente dei dati.

1. Organi pubblici ai sensi della presente legge sono

a) le unità organizzative del Cantone e dei Comuni che svolgono un compito pubblico;

b) le unità organizzative delle persone giuridiche di diritto pubblico cantonale e comunale che svolgono un compito pubblico;

c) soggetti privati, nella misura in cui il Cantone o i Comuni abbiano conferito loro l’espletamento di compiti pubblici.

2. Informazioni ai sensi della presente legge sono tutte le registrazioni che concernono l’espletamento di un compito pubblico, indipendentemente dalla loro forma di presentazione e dal supporto informativo.

3. Dati personali sono informazioni che si riferiscono a una persona fisica identificata o identificabile.

4. Dati personali particolari sono

a) * Dati personali la cui elaborazione comporta un particolare rischio di violazione dei diritti fondamentali (dati sensibili), in particolare

1. * Indicazioni su opinioni o attività religiose, ideologiche, politiche o sindacali;

2. * Indicazioni sulla salute, il patrimonio genetico (dati genetici), la sfera personale privata, la vita sessuale, l’orientamento sessuale o l’origine etnica;

3. * Indicazioni riguardanti misure di assistenza sociale;

4. * Indicazioni su procedimenti e sanzioni amministrative o penali e

5. * dati personali ottenuti con tecniche specifiche relativi a caratteristiche fisiche, fisiologiche o comportamentali di una persona fisica che permettono o confermano l'identificazione univoca di tale persona (dati biometrici).

b) Compilazioni di informazioni che consentono una valutazione di aspetti essenziali della personalità di una persona fisica (profilo della personalità).

5. Trattamento è qualsiasi operazione su informazioni, indipendentemente dai mezzi e dai procedimenti utilizzati, in particolare la raccolta, la conservazione, l’utilizzo, la modifica, la divulgazione, l’archiviazione, la cancellazione o la distruzione, nonché l’esecuzione di operazioni logiche o computazionali con tali informazioni.

6. Divulgazione è qualsiasi messa a disposizione di informazioni, come l’accesso, la trasmissione o la pubblicazione.

7. Profilazione è qualsiasi valutazione automatizzata di informazioni per analizzare caratteristiche personali essenziali o prevedere sviluppi, in particolare in merito a prestazioni lavorative, situazione economica, salute, preferenze personali, interessi, affidabilità, comportamento, posizione o cambiamenti di posizione.

8. Subappaltatore del trattamento dei dati o subappaltatore è la persona privata o l’organo pubblico che tratta informazioni per conto dell'organo pubblico che ne ha pubblicato l’incarico.

1. L'organo pubblico gestisce il trattamento delle informazioni in modo da poter informare rapidamente, in modo esaustivo e obiettivo.

1. L'organo pubblico gestisce le sue informazioni secondo le disposizioni sulla gestione dei documenti ai sensi della legge sugli archivi.

1. La responsabilità per la gestione delle informazioni è a carico dell'organo pubblico che elabora le informazioni per l'adempimento dei suoi compiti legali.

2. Se più organi pubblici trattano un insieme comune di informazioni, essi disciplinano la responsabilità e stabiliscono quale organo pubblico assume la responsabilità complessiva.

3. L'organo pubblico deve poter dimostrare di rispettare le normative sulla protezione dei dati. Il Consiglio di Stato disciplina le modalità per l'amministrazione cantonale. Per i tribunali, i comuni, gli altri enti e gli istituti autonomi, si applica per analogia la regolamentazione del Cantone, qualora non abbiano emanato una propria regolamentazione.

1. L'organo pubblico può affidare a terzi l'elaborazione di informazioni se

a) non vi sono disposizioni legali o accordi contrattuali che lo impediscono e

b) è garantito che le informazioni siano elaborate solo nel modo in cui l'organo pubblico sarebbe autorizzato a farlo.

2. Rimane responsabile per la gestione delle informazioni ai sensi di questa legge.

3. Un incaricato dell'elaborazione dei dati non può trasferire l'elaborazione dei dati a un altro incaricato dell'elaborazione dei dati senza il previo consenso scritto dell'organo pubblico incaricante.

1. L'organo pubblico protegge le informazioni mediante misure organizzative e tecniche adeguate.

2. Le misure si orientano verso i seguenti obiettivi di protezione

a) Le informazioni non devono essere acquisite illegalmente (Riservatezza);

b) Le informazioni devono essere corrette e complete (Integrità);

c) Le informazioni devono essere disponibili in caso di necessità (Disponibilità);

d) L'elaborazione delle informazioni deve poter essere attribuita a una persona (Attribuibilità);

e) Le modifiche delle informazioni devono essere riconoscibili e rintracciabili (Tracciabilità).

3. Le misure da adottare si basano sulla natura delle informazioni, sul tipo e scopo dell'utilizzo, e sullo stato attuale della tecnologia.

4. Il consiglio di governo disciplina i dettagli per l'amministrazione cantonale, il consiglio comunale per l'amministrazione comunale. Per i tribunali, i comuni, gli altri enti e gli istituti autonomi si applica in modo analogo la regolamentazione del cantone, a meno che non ne emanino una propria.

1. Un organo pubblico può trattare i dati personali se

a) esiste una base legale a riguardo o

b) ciò è necessario per l'adempimento di un compito legale.

2. I dati personali sensibili possono essere trattati e il profiling può essere effettuato se

a) una legge lo autorizza o lo obbliga espressamente o

b) è strettamente necessario per un compito chiaramente definito in una legge.

3. Il trattamento dei dati personali deve avvenire secondo buona fede e deve essere proporzionato.

4. I dati personali possono essere trattati solo per il tempo necessario all'adempimento del compito legale.

1. Il Consiglio di Governo può, dopo aver ottenuto il parere del Garante della protezione dei dati nell'ambito di una consultazione preliminare ai sensi del § 13, autorizzare il trattamento di dati personali particolari o un profiling prima dell'entrata in vigore di una legge, se

a) i compiti che richiedono tale trattamento sono regolati da una legge,

b) sono adottate misure sufficienti per prevenire violazioni della personalità e

c) l'attuazione pratica di un trattamento dei dati richiede necessariamente una fase di test prima dell'entrata in vigore della legge.

2. L'attuazione pratica di un trattamento dei dati può richiedere necessariamente una fase di test quando

a) l'esecuzione di un compito richiede innovazioni tecniche, i cui effetti devono preliminarmente essere valutati,

b) l'esecuzione di un compito richiede rilevanti misure organizzative o tecniche, la cui efficacia deve preliminarmente essere verificata, specialmente nella collaborazione con organi pubblici della Confederazione e di altri Cantoni e privati; oppure

c) essa richiede la trasmissione di dati personali particolari o dei risultati di un profiling a terzi tramite una procedura di richiamo.

3. I progetti pilota devono avere una durata massima di cinque anni.

4. Ogni progetto pilota deve essere valutato.

5. Il Consiglio di Governo disciplina le modalità del trattamento dei dati in un'ordinanza.

1. Un ente pubblico può trattare i dati personali per uno scopo non personale, in particolare per la statistica, la pianificazione o la ricerca, se

a) tali dati non vengono più utilizzati o divulgati per uno scopo personale e

b) tali dati vengono anonimizzati o pseudonimizzati non appena l'obiettivo del trattamento lo consente, e

c) i risultati del trattamento vengono divulgati solo in modo tale che non sia possibile trarre conclusioni sulle persone interessate.

2. ...

1. I dati personali devono essere corretti e, per quanto richiesto dallo scopo d'uso, completi.

2. L'ente pubblico che tratta i dati personali deve verificare la loro correttezza.

3. Devono essere adottate tutte le misure ragionevoli affinché i dati inesatti o incompleti, rispetto allo scopo della loro raccolta o trattamento, siano corretti o cancellati.

1. I dati personali possono essere trattati solo per lo scopo per cui sono stati raccolti, salvo che una base giuridica preveda espressamente un ulteriore utilizzo o la persona interessata acconsenta in casi specifici.

1. L'ente pubblico responsabile verifica, per ogni progetto di trattamento dei dati personali, se sussiste un rischio elevato per i diritti fondamentali delle persone interessate. Il rischio elevato deriva, specialmente con l'uso di nuove tecnologie, dalla natura, dall'entità, dalle circostanze e dallo scopo del trattamento.

2. Se sussiste un rischio elevato, è necessario effettuare una valutazione d'impatto sulla protezione dei dati.

3. La valutazione d'impatto contiene almeno

a) una descrizione generale dei processi di trattamento previsti;

b) una valutazione dei rischi esistenti in relazione ai diritti fondamentali delle persone interessate e

c) una presentazione e valutazione delle misure correttive pianificate, delle garanzie, delle precauzioni di sicurezza e delle procedure volte ad assicurare la protezione dei diritti fondamentali delle persone e a dimostrare che la presente legge viene rispettata.

1. L'organismo pubblico responsabile presenta al responsabile della protezione dei dati, con largo anticipo, per una consultazione preliminare

a) Progetti legislativi che riguardano il trattamento di dati personali o che sono rilevanti per la gestione delle informazioni, e

b) Progetti di trattamento di dati personali che, a causa della natura del trattamento o dei dati da trattare, comportano un elevato rischio per i diritti fondamentali delle persone coinvolte.

2. Il responsabile della protezione dei dati redige un elenco delle operazioni di trattamento che devono essere sottoposte a consultazione preliminare.

1. L'ente pubblico adotta, fin dall'inizio della gestione dei dati, misure che riducono il rischio di violazioni dei diritti fondamentali e prevengono tali violazioni.

2. Garantisce, attraverso impostazioni predefinite adeguate, che di norma vengano trattati solo quei dati personali che sono necessari per il rispettivo scopo di utilizzo.

1. L’autorità pubblica responsabile informa la persona interessata su ogni acquisizione di dati personali. Questo obbligo d'informazione vale anche quando i dati vengono acquisiti da terzi.

2. L'informazione comprende in particolare indicazioni su

a) * l'autorità pubblica responsabile unitamente ai dati di contatto;

b) * i dati trattati o le categorie di dati trattati;

c) * la base legale e lo scopo del trattamento;

d) * i destinatari dei dati o le categorie di destinatari dei dati, qualora i dati vengano comunicati a terzi, e

e) * i diritti della persona interessata.

3. L’obbligo di informazione viene meno se

a) * la persona interessata è già in possesso delle informazioni secondo il paragrafo 2;

b) * se il trattamento dei dati personali è espressamente previsto dalla legge oppure

c) * l'informazione non è possibile o è possibile solo con uno sforzo sproporzionato.

4. La trasmissione delle informazioni può essere limitata alle stesse condizioni del diritto di accesso ai propri dati personali.

1. L'ID persona è un numero non parlante e invariabile che identifica univocamente una persona.

2. È da utilizzare in modo sistematico ed esclusivamente interno per lo scambio e il collegamento dei dati personali tra e all'interno degli organi pubblici secondo § 3 comma 1 lett. a e b.

3. Un ID persona viene assegnato a una persona fisica o giuridica che ha residenza o sede nel Cantone di Basilea Città, o quando ciò è necessario per il traffico con gli organi pubblici. L'assegnazione è effettuata da un ente centrale.

4. L'ente competente stabilisce le direttive per l'uso corretto dell'ID persona e ne controlla il rispetto.

1. I dati personali non più necessari, che l'organismo competente secondo la legge sugli archivi ritiene non meritevoli di archiviazione, devono essere distrutti dall'ente pubblico.

2. Per i patrimoni informativi che contengono dati personali, devono essere stabiliti i termini per la distruzione o, in alternativa, per la verifica se i dati siano ancora necessari per lo svolgimento dei compiti.

1. L'organo pubblico responsabile comunica al responsabile della protezione dei dati una violazione dei dati personali senza indebito ritardo.

2. Il responsabile del trattamento dei dati su incarico informa immediatamente l'organo pubblico committente di una violazione dei dati personali.

3. Si verifica una violazione dei dati personali quando, a causa di una violazione della sicurezza delle informazioni, i dati personali trattati vengono distrutti o persi irreversibilmente, alterati o divulgati in modo non intenzionale o illecito, o quando persone non autorizzate ottengono accesso a tali dati personali.

4. L'obbligo di notifica non sussiste se la violazione dei dati personali non sembra comportare un rischio per i diritti fondamentali dell'interessato.

5. L'organo pubblico informa le persone interessate quando le circostanze lo richiedono o quando lo richiede il responsabile della protezione dei dati.

6. La notifica alle persone interessate può essere omessa in tutto o in parte o posticipata se è consentita una limitazione ai sensi del § 29.

1. I dipartimenti dell'amministrazione cantonale, i tribunali e i comuni delle abitanti e dei cittadini designano una consulente o un consulente per la protezione dei dati.

2. Il Consiglio di Stato determina inoltre le aree, le divisioni e gli uffici dello stato dell'amministrazione cantonale, nonché le istituzioni di diritto pubblico del diritto cantonale, che devono designare una propria consulente o un proprio consulente per la protezione dei dati. A tal fine, tiene conto della natura e della quantità dei dati personali trattati da tali entità.

3. Questa persona ha i seguenti compiti

a) consiglia e assiste nel trattamento dei dati personali;

b) supporta nella realizzazione delle valutazioni d'impatto sulla protezione dei dati secondo § 12a comma 1;

c) collabora con il o la responsabile della protezione dei dati.

1. In luoghi pubblici, generalmente o non generalmente accessibili, la videosorveglianza, che consente di identificare le persone, può essere utilizzata solo per la protezione di persone e beni da atti criminali o per il perseguimento di tali atti criminali.

2. La videosorveglianza deve essere limitata localmente e temporalmente a quanto necessario per il raggiungimento dello scopo specifico.

3. L'uso della videosorveglianza deve essere reso riconoscibile tramite misure appropriate, con l'indicazione dell'ente responsabile.

4. Eventuali registrazioni, copie e stampe devono essere distrutte di regola entro una settimana. Eccezionalmente, il regolamento può stabilire un termine più lungo, se ciò è necessario per raggiungere lo scopo specifico e se il rischio di una violazione della personalità è minimizzato tramite precauzioni tecniche e organizzative.

5. Rimane salva l'utilizzazione per un procedimento penale o civile; in tal caso, le registrazioni devono essere consegnate alle autorità competenti insieme alla denuncia o al reclamo.

1. Per ogni sistema di videosorveglianza deve essere emesso un regolamento prima della sua messa in funzione, che stabilisca in particolare lo scopo del sistema, la responsabilità e il termine per la cancellazione.

2. Competenti per l'emissione dei regolamenti sono

a) i dipartimenti per i sistemi sotto la responsabilità degli enti pubblici cantonali;

b) il consiglio comunale per i sistemi sotto la responsabilità degli enti pubblici comunali;

c) * il consiglio della magistratura per i sistemi sotto la responsabilità dei tribunali;

d) * l'organo direttivo supremo degli enti autonomi e delle corporazioni di diritto pubblico per i sistemi sotto la loro responsabilità.

3. Il regolamento deve essere limitato a una durata massima di quattro anni. Prima di un'eventuale proroga, deve essere valutata l'efficacia della videosorveglianza.

4. Prima dell'emissione e della proroga di un regolamento, il progetto deve essere sottoposto a consultazione preventiva al responsabile della protezione dei dati.

4bis I regolamenti devono essere facilmente accessibili al pubblico.

4ter Qualora la divulgazione delle posizioni delle telecamere o di altri dettagli operativi renda impossibile il raggiungimento dello scopo, la loro pubblicazione può essere omessa.

5. Il consiglio del governo disciplina i dettagli per l'amministrazione cantonale. Per i tribunali, i comuni, le altre corporazioni e le istituzioni autonome si applica in modo conforme la regolamentazione del cantone, ove non ne abbiano emanata una propria.

1. L'organo pubblico può far esaminare e valutare le proprie procedure, la propria organizzazione e le proprie attrezzature tecniche da un organismo indipendente e riconosciuto al fine di garantire la qualità dell'elaborazione delle informazioni.

1. L'organo pubblico informa il pubblico su questioni di interesse generale nel suo ambito di attività.

2. Sono di interesse generale le informazioni che riguardano questioni di interesse pubblico e che sono importanti per la formazione dell'opinione e per la tutela dei diritti democratici della popolazione.

3. L'organo pubblico mette a disposizione informazioni sulla sua struttura, le sue competenze e i contatti di riferimento.

4. Il Consiglio di Stato regola l'attività informativa per l'amministrazione cantonale. Per i tribunali, i comuni, gli altri enti e le istituzioni autonome si applica, in modo corrispondente, la regolamentazione del Cantone, a meno che non ne abbiano emanata una propria.

1. L'organismo pubblico rende noti i dati personali quando

a) una disposizione di legge lo obbliga o autorizza, oppure

b) ciò è necessario per l'adempimento di un compito legale oppure

c) nel singolo caso la persona interessata ha espressamente acconsentito o, qualora non sia in grado di farlo, la divulgazione sia nel suo interesse e si possa presupporre in buona fede il suo consenso.

2. L'organismo pubblico rende noti dati personali sensibili o i risultati di un profiling se

a) una legge lo obbliga o autorizza espressamente oppure

b) ciò è indispensabile per l'adempimento di un compito chiaramente delineato da una legge oppure

c) nel singolo caso la persona interessata ha espressamente acconsentito o, qualora non sia in grado di farlo, la divulgazione sia nel suo interesse e si possa presupporre in buona fede il suo consenso.

1. L'organo pubblico può comunicare dati personali ad altri organi pubblici nel Cantone, in altri Cantoni o nella Confederazione per un fine non personale, in particolare per statistiche, pianificazione o ricerca, purché ciò non sia escluso da una disposizione speciale di riservatezza.

2. La destinataria o il destinatario deve impegnarsi a

a) anonimizzare o pseudonimizzare i dati personali non appena lo consenta lo scopo del trattamento, e

b) divulgare le analisi in modo tale che non siano possibili deduzioni sulle persone interessate.

3. ...

4. L'organo pubblico può comunicare dati personali a privati per scopi di ricerca, purché ciò non sia escluso da una disposizione speciale di riservatezza e la destinataria o il destinatario si impegni, oltre ai requisiti del comma 2, a

a) non trattare i dati personali per altri scopi e

b) non trasmettere i dati personali a terzi e

c) garantire la sicurezza delle informazioni.

5. Alle stesse condizioni, l'autorità giudiziaria può rendere noti ai fini dell'esercizio professionale i giudizi contenenti dati personali alle avvocate e agli avvocati iscritti in un registro cantonale degli avvocati secondo la legge federale sulla libera circolazione degli avvocati (Legge sugli avvocati, BGFA) del 23 giugno 2000, purché i giudizi non siano già disponibili in forma anonimizzata.

1. Gli organi pubblici possono comunicare dati personali ad altri organi o privati che non sono soggetti alla giurisdizione di uno Stato o di un'organizzazione che hanno aderito alla Convenzione del Consiglio d'Europa per la protezione delle persone rispetto al trattamento automatico di dati personali, solo se

a) la legislazione dello Stato destinatario garantisce una protezione adeguata oppure

b) viene garantita una protezione adeguata mediante accordi contrattuali oppure

c) ciò è, nel singolo caso, indispensabile sia per la salvaguardia di un interesse pubblico preponderante, sia per l'accertamento, l'esercizio o la difesa di diritti legali in sede giudiziaria oppure

d) nel singolo caso, la persona interessata ha dato il suo consenso esplicito o, se non è in grado di farlo, la comunicazione è nel suo interesse e si può legittimamente presupporre il suo consenso in buona fede.

1. L'organo pubblico tiene un registro completo dei suoi procedimenti in cui vengono trattati dati personali.

2. I registri devono essere facilmente accessibili al pubblico, in particolare tramite reti di dati pubblici.

3. Il consiglio di governo disciplina nel regolamento il contenuto del registro e le eccezioni all'obbligo di pubblicazione.

1. Ogni persona ha diritto di accesso alle informazioni in possesso di un organo pubblico ai sensi del § 3 comma 1 lettere a e b di questa legge, ad eccezione dei documenti che non sono stati completati.

2. Nei procedimenti amministrativi e nei procedimenti di ricorso amministrativo pendenti, il diritto di accesso alle informazioni si determina in base alla normativa procedurale pertinente.

1. Ogni persona ha il diritto di sapere se in un organo pubblico sono presenti dati personali che la riguardano e, se del caso, di accedere a tali dati personali propri.

2. L'accesso comprende

a) tutti i dati personali relativi alla persona richiedente;

b) tutte le informazioni disponibili sull'origine dei dati personali, se non sono stati raccolti presso la persona interessata e

c) le ulteriori indicazioni secondo § 15 comma 2.

1. Ogni persona interessata può richiedere all'organismo pubblico di

a) rettificare gratuitamente dati personali inesatti o, qualora la rettifica non sia possibile, di distruggerli;

b) cessare il trattamento illecito dei dati personali;

c) eliminare le conseguenze del trattamento illecito dei dati personali, in particolare cancellando i dati personali che la riguardano o bloccando la loro divulgazione a terzi;

d) constatare per iscritto l'illiceità del trattamento dei dati personali.

1bis

Si presume l'interesse meritevole di tutela della persona interessata.

1ter

La rettifica, la distruzione o la cancellazione dei dati personali e il blocco della loro divulgazione a terzi devono essere comunicati, inoltre, alle persone o entità alle quali i dati sono stati precedentemente divulgati, a meno che ciò non sia impossibile o comporti uno sforzo sproporzionato.

2. Il Consiglio di Governo disciplina i dettagli.

1. La persona interessata può richiedere per iscritto all'organismo pubblico di bloccare la comunicazione dei suoi dati personali a soggetti privati.

2. L'organismo pubblico informa in modo adeguato il diritto di blocco.

3. La comunicazione è consentita nonostante il blocco, se

a) l'organismo pubblico è legalmente obbligato a effettuare la comunicazione oppure

b) la comunicazione è indispensabile per l'adempimento di un compito legale oppure

c) la persona richiedente la comunicazione dimostra in modo credibile che i dati personali sono necessari per l'esercizio dei propri diritti legali.

4. Se una richiesta ai sensi del comma 3 lett. c non è da respingere a priori, l'organismo pubblico offre alla persona interessata l'opportunità di esprimere la propria opinione entro un termine ragionevole. Una decisione viene resa sotto forma di disposizione impugnabile, se richiesta dalla persona interessata o dalla persona che presenta la richiesta.

1. Ogni persona ha il diritto di rivolgersi al Garante per la protezione dei dati con una segnalazione di vigilanza, se ritiene che un ente pubblico, un responsabile del trattamento o un incaricato del trattamento dei dati personali violi le disposizioni legali sulla protezione dei dati durante il trattamento dei dati personali che la riguardano.

2. La persona che effettua la segnalazione non assume la qualità di parte nel procedimento.

3. Il Garante per la protezione dei dati la informa entro tre mesi sullo stato o sul risultato delle verifiche e sull'esito della trattazione.

1. L'organo pubblico deve rifiutare o rimandare totalmente o parzialmente la divulgazione o l'accesso alle informazioni in un caso specifico, se sussiste un obbligo di segretezza legale particolare o se prevale un interesse pubblico o privato contrario.

2. Un interesse pubblico sussiste, in particolare, quando la divulgazione o l'accesso all'informazione

a) mette in pericolo la sicurezza dello Stato o l'ordine pubblico, oppure

b) pregiudica le relazioni con un altro Cantone, con la Confederazione o con l'estero, oppure

c) compromette il libero processo di formazione dell'opinione e della volontà degli enti pubblici, oppure

d) danneggia la posizione nei negoziati, oppure

e) compromette l'esecuzione conforme agli obiettivi di specifici provvedimenti amministrativi, in particolare di natura poliziesca.

3. Un interesse privato sussiste, in particolare, quando

a) la divulgazione o l'accesso alle informazioni comprometterebbero la tutela della sfera privata, oppure

b) la divulgazione o l'accesso alle informazioni rivelerebbero segreti professionali, di fabbricazione o commerciali o violerebbero diritti d'autore, oppure

c) si richieda la divulgazione o l'accesso a informazioni che sono state comunicate volontariamente all'organo pubblico da terzi e di cui è stata garantita la riservatezza.

4. Se, secondo la valutazione dell'organo pubblico, l'accesso ai propri dati personali in ambito medico o psichiatrico potrebbe risultare troppo oneroso per la persona coinvolta, può essere concesso a una persona di fiducia. Qualora la persona coinvolta lo desideri espressamente, deve essere garantito l'accesso diretto e completo ai propri dati personali.

1. Se l'accesso ai dati personali detenuti da un ente pubblico non deve già essere negato integralmente o parzialmente ai sensi del § 29, tali dati personali devono essere anonimizzati prima della concessione dell'accesso.

2. Se un'anonimizzazione non è possibile o non è possibile completamente, l'ente pubblico può concedere accesso a dati personali non anonimizzati, se

a) * esiste un interesse pubblico prevalente all'accesso a questi dati personali oppure

b) * sono soddisfatte le condizioni per la divulgazione dei dati personali secondo questa legge (§§ 20 e seguenti).

1. Chi intende ottenere accesso alle informazioni secondo i §§ 25 e 26, deve presentare una richiesta scritta o orale che indichi con sufficiente precisione le informazioni desiderate.

2. La persona che presenta una richiesta di accesso ai propri dati personali deve comprovare la propria identità, a meno che la sua identità non sia chiaramente accertata per l'organo pubblico richiesto.

1. Qualora una richiesta si riferisca esclusivamente a informazioni già pubbliche e disponibili in modo appropriato, l'ente pubblico non prenderà in considerazione la richiesta, facendo riferimento alla fonte.

2. Se sono coinvolti interessi di terze persone o di altri enti pubblici ai sensi del § 29, l'ente pubblico offre a queste persone o enti l'opportunità di presentare osservazioni entro un termine ragionevole, a meno che non sia chiaro, anche senza le loro osservazioni, che l'accesso deve essere negato in tutto o in parte.

1. Se non vi sono impedimenti alla concessione dell'accesso alle informazioni, l'ente pubblico concede l'accesso alla persona richiedente.

2. Qualora l'ente pubblico, sulla base della sua valutazione o delle opinioni raccolte, consideri di respingere totalmente o parzialmente la richiesta, lo comunica alla persona richiedente.

3. Se intende accettare la richiesta di accesso nonostante le opinioni raccolte, ne informa le terze persone interessate o altri enti pubblici.

4. Entro 30 giorni dal ricevimento della comunicazione ai sensi degli art. 2 e 3, la persona richiedente e le terze persone possono richiedere all'ente pubblico l'emissione di una decisione impugnabile.

1. L'ente pubblico concede l'accesso alle informazioni, mediante

a) la consegna delle informazioni per iscritto, sotto forma di copie o su supporti informatici oppure

b) il rilascio orale delle informazioni, previo consenso della persona richiedente, o concedendo la consultazione in loco delle informazioni stesse.

2. Su richiesta verbale di accesso, l'ente pubblico può comunicare le informazioni alla persona richiedente oralmente.

1. L'ente pubblico deve, entro 30 giorni dal ricevimento della domanda, alla persona richiedente

a) concedere l'accesso alle informazioni,

b) trasmettere una comunicazione ai sensi del § 33 paragrafo 2, oppure

c) nel caso in cui il termine non possa essere rispettato, comunicare, indicando i motivi, entro quanto tempo verrà presa la decisione.

1. Di norma, non vengono applicate tasse per la procedura di accesso alle informazioni.

2. Una tassa adeguata in base all'impegno può essere applicata, in nessun caso tuttavia per l'accesso ai propri dati personali

a) in caso di procedure complesse, come in situazioni difficili o per ampie anonimizazioni di informazioni;

b) per la realizzazione di copie o di altri supporti dati per la persona richiedente.

3. L'ente pubblico informa la persona richiedente quando la richiesta comporta conseguenze di costi significativi; in tal caso, può richiedere un anticipo sui costi prima di procedere ulteriormente con l'elaborazione della richiesta.

4. Se le informazioni sono adatte a un uso commerciale, può essere applicato un compenso determinato in base al mercato.

5. Il Consiglio di Governo emette un tariffario delle tasse.

1. Il Cantone istituisce, sotto il nome di «Il responsabile della protezione dei dati» o «La responsabile della protezione dei dati», un organo di vigilanza indipendente.

2. Può gestire l'organo di vigilanza congiuntamente ad altri Cantoni in base a un trattato statale.

1. La o il responsabile della protezione dei dati svolge i compiti in modo indipendente dalle istruzioni.

2. L'ufficio di vigilanza è assegnato organizzativamente all'Ufficio del Gran Consiglio.

3. Non sono soggetti al controllo del responsabile della protezione dei dati

a) i membri del Gran Consiglio e il Gran Consiglio come autorità e

b) * il Consiglio di Stato come autorità;

c) * trattamenti dei dati in procedimenti pendenti di giurisdizione civile e penale e

d) * trattamenti dei dati in procedimenti pendenti di giurisdizione costituzionale e amministrativa.

1. L'organo di vigilanza è diretto da una persona esperta in materia di protezione dei dati (l'incaricato o l'incaricata). La retribuzione è paragonabile a quella dei presidenti dei tribunali civili del Cantone di Basilea Città.

2. Il Gran Consiglio elegge l'incaricato o l'incaricata su proposta della sua commissione preparatoria per una durata fissa di sei anni. La proposta di elezione deve essere sottoposta al Consiglio di Stato per un parere. La rielezione è possibile.

3. La posizione dell'incaricato o incarcata può essere suddivisa tra due persone con un massimo del 100 percento del totale delle posizioni.

4. L'incaricato o l'incaricata può essere rimosso dal Gran Consiglio prima della scadenza del mandato, con una maggioranza di due terzi, in caso di grave violazione dei doveri d'ufficio o di incompetenza professionale.

1. La o il delegato non può esercitare nessun altro pubblico ufficio, nessun mandato di consiglio di amministrazione, nessuna funzione dirigente in un partito politico e nessun'altra attività lavorativa. Il Gran Consiglio può concedere delle eccezioni.

2. Se la o il delegato ricopre un incarico part-time presso l'ufficio di sorveglianza, può esercitare o intraprendere un'altra attività lavorativa con il consenso della commissione di preparazione elettorale. La commissione di preparazione elettorale non concede il suo consenso se vi sono motivi importanti contrari.

1. Il diritto del personale del Cantone si applica al mandato o alla mandata e agli ulteriori collaboratori, salvo diversa disposizione della presente legge.

2. Il mandato o la mandata è responsabile, nell'ambito del budget approvato dal Gran Consiglio, per le questioni di personale degli ulteriori collaboratori dell'ufficio di vigilanza e per le misure di diritto del personale. Il procedimento di ricorso è regolato dai §§ 40 e seguenti della legge sul personale.

3. L'ufficio del Gran Consiglio decide sull'assegnazione del personale dopo aver consultato il Servizio centrale del personale. L'assegnazione avviene secondo i principi di valutazione del lavoro previsti dalla legge salariale del 18 gennaio 1995.

4. Le disposizioni riguardanti le assegnazioni, così come il rifiuto di avviare una procedura riguardante l'assegnazione, possono essere impugnate dal titolare della posizione con un'opposizione presso l'ufficio del Gran Consiglio entro 30 giorni. Quest'ultimo decide dopo aver consultato la commissione di valutazione.

1. L'ente di supervisione prepara autonomamente il proprio bilancio.

1. Le comunità locali possono gestire un proprio ufficio di supervisione per l'ambito comunale.

2. Se vi rinunciano o se l'ufficio di supervisione comunale non soddisfa i requisiti di indipendenza, è competente il responsabile cantonale della protezione dei dati.

3. Il responsabile comunale e eventuali altri dipendenti non possono svolgere altre funzioni amministrative nel comune.

4. I paragrafi da 44 a 50 si applicano all'ufficio di supervisione comunale nel suo ambito di competenza.

1. Il o la Responsabile della protezione dei dati

a) verifica, secondo un programma di controllo autonomamente stabilito, l'applicazione delle disposizioni in materia di gestione delle informazioni;

b) * esprime pareri sui progetti di legge e su altri provvedimenti che devono essere sottoposti a consultazione preventiva ai sensi del § 13;

c) consiglia gli organi pubblici su questioni relative alla gestione delle informazioni;

d) consiglia le persone interessate sui loro diritti;

e) media tra le persone interessate e gli organi pubblici;

f) * tratta le segnalazioni di vigilanza ai sensi del § 28a;

g) * sensibilizza gli organi pubblici sui loro obblighi in materia di protezione dei dati e sensibilizza il pubblico sulle problematiche relative alla protezione dei dati e alla trasparenza;

h) * segue gli sviluppi rilevanti per la protezione dei dati personali e il principio di trasparenza.

1. **Il o la responsabile della protezione dei dati può presso organi pubblici, presso incaricati del trattamento dei dati e presso terze persone, che hanno ricevuto dati personali da un organo pubblico, richiedere, indipendentemente da eventuali obblighi di riservatezza, informazioni scritte o orali sui trattamenti di dati, esaminare tutti i documenti, effettuare ispezioni e far mostrare i trattamenti.**

2. **Gli organi pubblici, gli incaricati del trattamento dei dati e le terze persone, che hanno ricevuto dati personali da un organo pubblico, sono obbligati a supportare l'ufficio di vigilanza nell'adempimento dei suoi compiti. Partecipano in particolare all'accertamento dei fatti.**

3. **I rapporti che il o la responsabile della protezione dei dati redige nell'ambito dell'attività di controllo e il materiale su cui si basano non sono accessibili al pubblico ai sensi del § 25 comma 1.**

1. La o il Responsabile della protezione dei dati può fornire raccomandazioni sul trattamento delle informazioni.

2. L'organo pubblico, al quale è rivolta la raccomandazione, deve dichiarare alla o al Responsabile della protezione dei dati se intende seguire la raccomandazione.

1. Quando un ente pubblico dichiara di non voler seguire la raccomandazione del o della responsabile della protezione dei dati, o effettivamente non segue la raccomandazione, il o la responsabile della protezione dei dati può emettere la raccomandazione o parti di essa come disposizione sotto forma di ordinanza, se

a) la raccomandazione riguarda il trattamento di dati personali e

b) l'interesse all'applicazione risulta preponderante.

2. Nessuna disposizione può essere emessa nei confronti del Tribunale d'Appello.

3. Il o la responsabile della protezione dei dati può emettere direttamente una disposizione, se è prevedibile che l'ente pubblico respingerà una raccomandazione o non le darà seguito.

4. Se sono evidentemente compromessi o violati interessi degni di tutela, il o la responsabile della protezione dei dati può disporre che l'ente pubblico limiti o sospenda il trattamento fino a quando non avvenga una verifica da parte del Tribunale d'Appello.

5. L'ente pubblico al quale è diretta la disposizione può contestarla presentando ricorso presso il Tribunale d'Appello secondo le disposizioni generali.

1. Il o la responsabile della protezione dei dati collabora, per l'adempimento dei suoi compiti, con gli organi degli altri cantoni, della confederazione e dell'estero, che svolgono le stesse funzioni.

1. L'incaricato o l'incaricata e i collaboratori sono soggetti, riguardo alle informazioni di cui vengono a conoscenza durante la loro attività, allo stesso obbligo di riservatezza dell'organo pubblico incaricato.

2. L'obbligo di riservatezza si applica anche oltre la cessazione della funzione.

1. Il Responsabile della protezione dei dati riferisce periodicamente e al bisogno all'autorità elettorale e al pubblico in merito all'estensione e ai punti focali delle attività, alle scoperte e valutazioni importanti, nonché all'efficacia della legge.

2. ...

1. È punito con una multa chi

a) * in qualità di incaricato del trattamento dei dati ai sensi del § 7, utilizza o divulga intenzionalmente o per negligenza, per sé o per altri, dati personali senza l'esplicita autorizzazione dell'ente pubblico committente oppure

b) * in qualità di incaricato del trattamento dei dati ai sensi del § 7, trasferisce il trattamento dei dati a un altro incaricato del trattamento senza il previo consenso scritto dell'ente pubblico committente.

2. Chiunque tratti o divulghi a terzi dati personali, ricevuti da un ente pubblico per scopi non personali, intenzionalmente o per negligenza in violazione dell'obbligo di cui al § 22 comma 4, per altri scopi, sarà punito con una multa.

1. Legge sul soggiorno

La legge sul soggiorno (Legge sul soggiorno) del 16 settembre 1998 è modificata come segue

2. Legge sull'organizzazione

La Legge concernente l'organizzazione del Consiglio di Governo e dell'amministrazione del Cantone di Basilea Città (Legge sull'organizzazione) del 22 aprile 1976 è modificata come segue

3. Legge sugli archivi

La legge sugli archivi (Legge sugli archivi) dell'11 settembre 1996 è modificata come segue

4. Legge sul personale

La legge sul personale del 17 novembre 1999 è modificata come segue

5. Legge fiscale

La legge sulle imposte dirette (Legge fiscale) del 12 aprile 2000 è modificata come segue

6. Legge di introduzione alla legge federale sull'assicurazione invalidità per un ufficio AI Basilea Città

La legge di introduzione alla legge federale sull'assicurazione invalidità per un ufficio AI Basilea Città del 19 gennaio 1994 è modificata come segue

1. All'entrata in vigore della presente legge, la legge sulla protezione dei dati personali (legge sulla protezione dei dati) del 18 marzo 1992 è abrogata.

1. Entro due anni dall'entrata in vigore di questa legge, è obbligatoria la pubblicazione degli elenchi delle banche dati contenenti dati personali conformemente al § 24.

2. Il Consiglio di governo può prorogare il termine di un anno su richiesta motivata.

1. Questa legge deve essere pubblicata. Il Consiglio di Governo determina il momento dell'entrata in vigore con effetto legale.