Legge sulla protezione dei dati personali (Legge cantonale sulla protezione dei dati, KDSG) - Scopo (KDSG)

1. Questo disegno di legge ha lo scopo di proteggere la personalità e i diritti fondamentali delle persone fisiche i cui dati personali vengono elaborati.

1. Questa legge si applica a qualsiasi trattamento di dati personali di persone fisiche da parte delle autorità del cantone, dei comuni nonché degli enti e istituti di diritto pubblico.

2. Non è applicabile quando i dati personali sono già archiviati per motivi legali, storici o scientifici presso l'archivio di stato o altri archivi pubblici competenti, o se sono ancora da archiviare ai sensi dell'articolo 15, e il loro trattamento a causa della loro età non può più violare interessi degni di protezione delle persone.

3. Se un'autorità partecipa alla concorrenza economica e non agisce in modo sovrano in questo ambito, si applicano per analogia le norme del diritto federale per il trattamento dei dati da parte di persone private. Restano riservate le disposizioni riguardanti l'ufficio di vigilanza.

4. I diritti e le pretese delle persone interessate durante i procedimenti pendenti della giustizia civile e penale nonché durante i procedimenti di diritto costituzionale e amministrativo, con l'eccezione dei procedimenti amministrativi di prima istanza, sono regolati esclusivamente dal diritto procedurale applicabile di volta in volta.

5. Restano riservate disposizioni divergenti e integrative, purché assicurino la protezione contro il trattamento illecito di dati personali secondo il significato di questa legge.

1. Le seguenti espressioni significano

a) Dati personali: tutte le informazioni che si riferiscono a una persona fisica identificata o identificabile

b) Dati personali di particolare protezione

1. Dati sulle opinioni o attività religiose, ideologiche, politiche o sindacali

2. Dati sulla salute, la sfera intima o l'appartenenza a una razza o etnia

3. Dati genetici

4. Dati biometrici che identificano in modo univoco una persona fisica

5. Dati su procedimenti o sanzioni amministrative e penali

6. Dati sulle misure di assistenza sociale

c) Raccolta di dati: qualsiasi insieme di dati personali strutturato in modo tale da permettere l'accesso ai dati in base alle persone interessate

d) Trattamento: ogni operazione con dati personali, indipendentemente dai mezzi e dalle procedure applicate, in particolare l'acquisizione, la memorizzazione, la conservazione, l'uso, la modifica, la comunicazione, l'archiviazione, la cancellazione o la distruzione dei dati

e) Profilazione: qualsiasi forma di trattamento automatizzato dei dati personali che consiste nell'utilizzare tali dati per valutare certi aspetti personali riguardanti una persona fisica, in particolare per analizzare o prevedere aspetti relativi al rendimento lavorativo, alla situazione economica, alla salute, alle preferenze personali, agli interessi, all'affidabilità, al comportamento, alla posizione o ai movimenti di tale persona fisica

f) Violazione della sicurezza dei dati: una violazione della sicurezza che comporta la perdita inintenzionale o illecita, la cancellazione, la distruzione o la modifica dei dati personali, o la divulgazione o l'accesso non autorizzati agli stessi

g) Autorità: tutti gli organi e gli uffici del cantone, dei comuni, delle istituzioni e corporazioni di diritto pubblico, nonché le commissioni e le persone private incaricate dell'esecuzione di compiti pubblici

h) Autorità responsabile: autorità che decide, da sola o insieme ad altre, in merito allo scopo e ai mezzi del trattamento

i) Incaricato del trattamento: persona privata o autorità che tratta dati personali per conto dell'autorità responsabile

1. I dati personali possono essere trattati solo se

a) esiste una base giuridica;

b) il trattamento è necessario per l'adempimento di un compito legale.

2. Per il trattamento di dati personali particolarmente degni di protezione o per un profiling, è richiesta una base in una legge in senso formale, a meno che il trattamento sia indispensabile per un compito stabilito in una legge in senso formale.

3. Le autorità garantiscono che i dati personali siano corretti e, nella misura in cui lo richiede lo scopo del trattamento, completi e aggiornati.

4. I dati personali possono essere trattati solo legalmente, in modo proporzionato e secondo il principio di buona fede. Non possono essere trattati per uno scopo incompatibile con lo scopo dell'acquisizione originale.

1. La gestione dei dati personali può essere trasferita contrattualmente o tramite legislazione a un incaricato del trattamento dei dati, se

a) i dati vengono trattati nello stesso modo in cui l'autorità responsabile potrebbe trattarli e

b) nessun obbligo legale o contrattuale di riservatezza vieta il trasferimento.

2. L'autorità responsabile deve in particolare assicurarsi che l'incaricato del trattamento dei dati sia in grado di garantire la sicurezza dei dati.

3. L'incaricato del trattamento dei dati può trasferire il trattamento a un terzo solo con previa autorizzazione dell'autorità responsabile.

4. Egli può far valere gli stessi motivi di giustificazione dell'autorità responsabile.

1. In caso di rilevamenti sistematici, in particolare con questionari, l'autorità comunica lo scopo e la base giuridica del trattamento.

1. L'autorità responsabile redige in anticipo una valutazione d'impatto sulla protezione dei dati quando un trattamento può comportare un alto rischio per la personalità o i diritti fondamentali della persona interessata. Se sono previsti diversi trattamenti simili, può essere redatta una valutazione comune.

2. L'alto rischio deriva, in particolare con l'uso di nuove tecnologie, dalla natura, dall'estensione, dalle circostanze e dallo scopo del trattamento. È presente, in particolare

a) nel trattamento estensivo di dati personali particolarmente degni di protezione

b) quando ampie aree pubbliche vengono sistematicamente sorvegliate

3. La valutazione d'impatto sulla protezione dei dati contiene una descrizione del trattamento previsto, una valutazione dei rischi per la personalità o i diritti fondamentali della persona interessata nonché le misure per la protezione della personalità e dei diritti fondamentali.

1. Se dalla valutazione d'impatto sulla protezione dei dati risulta che il trattamento pianificato comporta ancora un alto rischio per la personalità o i diritti fondamentali della persona interessata, nonostante le misure previste dall'autorità responsabile, questa ottiene preliminarmente il parere della persona incaricata della protezione dei dati.

2. La persona incaricata della protezione dei dati comunica all'autorità responsabile, entro due mesi, le sue obiezioni riguardo al trattamento pianificato. Questo termine può essere prolungato di un mese in caso di trattamento dei dati complesso.

3. Se la persona incaricata della protezione dei dati ha obiezioni al trattamento pianificato, propone all'autorità responsabile misure adeguate.

1. Dati personali possono essere divulgati solo se

a) vi è una base legale conforme all'articolo 4, commi 1 e 2

b) la divulgazione dei dati è necessaria affinché il destinatario o la destinataria adempi un compito legale

c) la persona interessata ha espressamente acconsentito alla divulgazione o, se non è in grado di farlo, la divulgazione è nel suo interesse e si presume il suo consenso

d) la divulgazione è necessaria per proteggere la vita o l'integrità fisica della persona interessata o di un terzo, e non è possibile ottenere il consenso della persona interessata entro un termine ragionevole

e) la persona interessata ha reso generalmente accessibili i propri dati e non ha vietato espressamente la divulgazione oppure

f) il destinatario o la destinataria dimostra in modo credibile che la persona interessata nega il consenso o si oppone alla divulgazione per impedire a lui o lei di far valere diritti legali o tutelare altri interessi degni di protezione; alla persona interessata deve essere data la possibilità di esprimere la propria opinione in anticipo, salvo che ciò sia impossibile o comporti uno sforzo sproporzionato

2. Dati personali contenuti in pubblicazioni ufficiali, accessibili al pubblico o autorizzate ufficialmente, possono essere divulgati solo nella misura e secondo le modalità con cui sono pubblicati.

3. L'autorità responsabile rifiuta la divulgazione, la limita o la condiziona a requisiti, qualora

a) lo richiedano importanti interessi pubblici o evidenti interessi degni di protezione della persona interessata oppure

b) lo richiedano obblighi legali di riservatezza o disposizioni particolari sulla protezione dei dati.

1. I dati personali possono essere comunicati agli stati membri dell'Unione Europea e agli stati contraenti della Convenzione 108 del Consiglio d'Europa per la protezione delle persone rispetto al trattamento automatizzato di dati personali, se sono soddisfatte le condizioni che devono essere adempiute per la comunicazione di dati all’interno del paese.

2. I dati personali possono essere comunicati a stati terzi solo se, oltre alle condizioni di cui al paragrafo 1, è soddisfatta una delle condizioni dell'articolo 16 della legge federale sulla protezione dei dati (RS [235.1](https://db.clex.ch/link/Bund/235.1/de)).

3. In deroga ai paragrafi 1 e 2, i dati personali possono essere comunicati all’estero se

| | | | |

| --- | --- | --- | --- |

| a) | la comunicazione è necessaria: | | |

| | | | |

| --- | --- | --- | --- |

| | 1. | per la tutela di un interesse pubblico preponderante | |

| | | | |

| --- | --- | --- | --- |

| | 2. | per l'accertamento, l'esercizio o l'applicazione di diritti legali di fronte a un tribunale o un'altra autorità straniera competente | |

| | | | |

| --- | --- | --- | --- |

| | 3. | per proteggere la vita o l'integrità fisica della persona interessata o di una terza persona, ed è impossibile ottenere il consenso della persona interessata entro un termine ragionevole | |

| | | | |

| --- | --- | --- | --- |

| b) | la persona interessata ha reso i dati generalmente accessibili e non ha espressamente vietato il trattamento | | |

| | | | |

| --- | --- | --- | --- |

| c) | i dati provengono da un registro previsto dalla legge, che è accessibile al pubblico o a persone con un interesse legittimo, nella misura in cui sono soddisfatte nel singolo caso le condizioni legali di consultazione | | |

4. La messa a disposizione di dati personali per l'informazione del pubblico attraverso servizi di informazione e comunicazione automatizzati, che siano generalmente accessibili, non è considerata comunicazione all'estero, anche se i dati sono accessibili dall'estero.

1. I dati personali possono essere trattati per scopi non personali, in particolare per la ricerca, la pianificazione o la statistica, se

a) i dati vengono resi anonimi non appena lo scopo del trattamento lo consente;

b) l'autorità responsabile comunica a persone private dati personali particolarmente meritevoli di protezione solo in modo tale che le persone interessate non siano identificabili;

c) il destinatario o la destinataria trasmette i dati a terzi solo con il consenso dell'autorità responsabile che ha divulgato i dati; e

d) i risultati vengono pubblicati solo in modo tale che le persone interessate non siano identificabili.

1. L'autorità competente e il responsabile del trattamento assicurano, mediante misure tecniche e organizzative adeguate, una sicurezza dei dati commisurata al rischio.

2. Le misure devono consentire di evitare violazioni della sicurezza dei dati.

1. L'autorità responsabile segnala alla persona incaricata della protezione dei dati il prima possibile una violazione della sicurezza dei dati che potrebbe portare a un alto rischio per la personalità o i diritti fondamentali della persona interessata.

2. L'elaboratore incaricato segnala all'autorità responsabile il prima possibile una violazione della sicurezza dei dati.

3. L'autorità responsabile informa la persona interessata quando è necessario per la sua protezione o quando la persona incaricata per la protezione dei dati lo richiede. Fornisce almeno la natura della violazione della sicurezza dei dati, le sue conseguenze e le misure adottate o previste.

4. L'autorità responsabile può limitare, posticipare o rinunciare a informare la persona interessata se

a) prevalgono interessi di riservatezza privati o pubblici

b) l'informazione è impossibile o richiede uno sforzo sproporzionato oppure

c) l'informazione della persona interessata è garantita in modo comparabile da un annuncio pubblico

5. Una segnalazione effettuata in base a questo articolo può essere utilizzata in un procedimento penale contro la persona obbligata a segnalare solo con il suo consenso.

1. Il cantone, i comuni, nonché gli enti e le istituzioni di diritto pubblico tengono un registro pubblico delle loro raccolte di dati.

2. Il registro contiene, per ciascuna raccolta di dati, informazioni sulla base legale, lo scopo e i mezzi di elaborazione, la tipologia e la provenienza dei dati personali elaborati, nonché gli enti coinvolti nella raccolta dei dati e i destinatari regolari dei dati.

1. Quando le raccolte di dati e i dati personali non sono più necessari costantemente, l’autorità responsabile deve verificare l'eventuale archiviazione con gli archivi pubblici competenti.

2. I dati personali non considerati meritevoli di archiviazione vengono distrutti, a meno che non

a) vengano anonimizati oppure

b) debbano essere conservati per scopi probatori o di sicurezza o per tutelare gli interessi legittimi della persona interessata

3. Il consiglio di governo disciplina in un regolamento la procedura di archiviazione e l’utilizzo dell’archivio di Stato.

1. Ogni persona può prendere visione dei registri delle raccolte di dati.

1. Ogni persona può richiedere all'autorità responsabile informazioni sull'elaborazione di dati personali che la riguardano.

2. La persona interessata riceve le informazioni necessarie per esercitare i propri diritti secondo questa legge e garantire una gestione trasparente dei dati.

3. Se l'autorità responsabile incarica un'elaboratrice o un elaboratore di dati dell'elaborazione, rimane comunque obbligata a fornire informazioni.

4. Nessuno può rinunciare anticipatamente al diritto di informazione.

1. L'informazione può essere limitata o rifiutata se importanti interessi pubblici o privati, meritevoli di protezione, lo richiedono.

2. Se l'informazione non può essere concessa alla persona richiedente perché sarebbe troppo gravosa, può essere fornita a una persona di sua fiducia.

1. Ogni persona può esigere dall'autorità responsabile la rettifica o l'integrazione dei dati personali inesatti che la riguardano.

2. Se l'autorità responsabile contesta l'inesattezza, deve dimostrare l'esattezza dei dati personali.

3. Se non può essere dimostrata né l'esattezza né l'inesattezza dei dati personali, in particolare di quelli che contengono una valutazione del comportamento umano, la persona interessata può richiedere l'inserimento di una dichiarazione di replica.

1. Ogni persona può richiedere all'autorità responsabile, in merito ai propri dati personali, che

a) venga cessata una gestione illecita dei dati personali

b) siano eliminate le conseguenze di una gestione illecita

c) l'illiceità di una gestione venga accertata per iscritto

1. La limitazione o il rifiuto del diritto di accesso, rettifica o cessazione deve essere comunicato alla persona richiedente in forma di decisione impugnabile.

2. Il procedimento si svolge secondo le disposizioni del regolamento sulla procedura amministrativa (RB 2.2345).

1. L'accesso, l'informazione e la rettifica sono fondamentalmente gratuiti.

2. In via eccezionale, può essere applicata una tassa se il trattamento di una richiesta di informazione richiede un notevole sforzo amministrativo o se la persona interessata accede ripetutamente agli stessi dati o richiede informazioni sugli stessi.

1. Il Consiglio Distrettuale nomina, su richiesta del Consiglio di Governo, il Responsabile della protezione dei dati nonché un sostituto. La durata dell'incarico è di quattro anni.

2. Il Responsabile della protezione dei dati svolge le sue funzioni in modo autonomo, indipendente, imparziale e senza essere soggetto a direttive tecniche.

3. Un incarico pubblico, un'attività lavorativa secondaria o un eventuale lavoro retribuito aggiuntivo richiede l'approvazione del Consiglio di Governo. L'autorizzazione viene concessa se l'attività non pregiudica lo svolgimento della funzione, nonché l'indipendenza e il prestigio del ruolo.

4. Il Responsabile della protezione dei dati è sotto la supervisione del Consiglio Distrettuale, presenta a quest’ultimo la richiesta dei mezzi finanziari necessari per adempiere ai suoi compiti, dispone di tali mezzi ed è competente, nei limiti dei crediti autorizzati, a impiegare il personale e a regolamentare il loro rapporto di lavoro. Amministrativamente, è assegnato alla Direzione competente.

5. Il Consiglio Distrettuale può sollevare il Responsabile della protezione dei dati dall'incarico prima del termine dell'incarico, qualora

a) abbia violato gravemente i doveri d'ufficio con dolo o colpa grave, oppure

b) abbia perso in modo permanente la capacità di svolgere l'incarico.

6. Con l'approvazione del Consiglio Distrettuale, il Consiglio di Governo può trasferire i compiti del Responsabile della protezione dei dati a una persona o a un ente idoneo di un altro cantone o creare un organo comune con altri cantoni per questi compiti.

1. La persona incaricata della protezione dei dati è l'organismo di controllo cantonale per la protezione dei dati.

2. Essa

a) vigila sull'applicazione delle norme in materia di protezione dei dati

b) consiglia le autorità nell'applicazione delle norme in materia di protezione dei dati

c) dà pareri sui progetti di emanazione e sulle misure di significativa importanza per la protezione dei dati

d) media tra le autorità e tra le autorità e i privati

e) segue gli sviluppi rilevanti per la protezione dei dati personali

f) sensibilizza le autorità che trattano i dati sui loro obblighi legali in materia di protezione dei dati e informa il pubblico sulle questioni relative a essa

3. La persona incaricata della protezione dei dati svolge questi compiti in particolare

a) effettuando controlli presso le autorità soggette a questa legge

b) verificando, prima della loro attivazione, gli strumenti pianificati di trattamento dei dati che comportano rischi particolari per i diritti e le libertà delle persone interessate

c) trattando le richieste e le segnalazioni che le persone interessate presentano in merito ai loro diritti sulla protezione dei dati e, all'occorrenza, emettendo raccomandazioni o decisioni nei confronti delle autorità responsabili

d) collaborando con gli organi di controllo degli altri cantoni, della Confederazione e dell'estero

e) riferendo regolarmente al Consiglio di Stato sulle sue attività. Può pubblicare constatazioni e misure importanti nel campo della protezione dei dati

4. Non sono soggette alla vigilanza della persona incaricata della protezione dei dati le operazioni di trattamento di dati personali in procedimenti pendenti di giustizia civile e penale, così come durante i procedimenti di diritto statale e amministrativo, salvo i procedimenti amministrativi di prima istanza.

1. La persona incaricata della protezione dei dati agisce d'ufficio o su segnalazione.

2. Essa chiarisce i fatti d'ufficio ed è autorizzata a richiedere informazioni alle autorità responsabili e agli incaricati del trattamento, indipendentemente da eventuali obblighi di segretezza, a richiedere la consegna di atti e documenti e a farsi mostrare i trattamenti dei dati. Le autorità responsabili e gli incaricati del trattamento sono obbligati a collaborare.

3. Se la persona incaricata della protezione dei dati constata che sono state violate disposizioni relative alla protezione dei dati, cerca di trovare una soluzione consensuale con l'autorità responsabile o con l'incaricato del trattamento.

4. In caso di disaccordo, la persona incaricata della protezione dei dati può emettere un provvedimento nei confronti dell'autorità responsabile o dell'incaricato del trattamento.

5. I provvedimenti della persona incaricata della protezione dei dati possono essere impugnati direttamente con ricorso amministrativo davanti al Tribunale superiore.

1. La persona incaricata della protezione dei dati, il suo sostituto e i suoi assistenti sono tenuti alla stessa riservatezza riguardo alle informazioni e ai dati personali di cui vengono a conoscenza nello svolgimento della loro attività, come l'autorità responsabile.

1. Il consiglio di governo può emanare disposizioni esecutive relative a questa legge.

1. È punito con la multa chi

a) fornisce intenzionalmente informazioni false alla persona incaricata della protezione dei dati nell'accertamento dei fatti o si rifiuta di collaborare

b) tratta dati personali ai sensi dell'articolo 11 e non rispetta le condizioni di tale disposizione

c) tratta dati personali per conto di un'autorità e utilizza o divulga i dati in modo contrario al mandato

2. La procedura è disciplinata dalle disposizioni del diritto processuale penale.

1. La legge del 20 febbraio 1994 sulla protezione dei dati personali (Legge sulla protezione dei dati; LPD) viene abrogata.

1. La legittimità dei trattamenti di dati esistenti è valutata, per un massimo di due anni dopo l'entrata in vigore di questa legge, secondo la legislazione precedente, a condizione che lo scopo del trattamento rimanga invariato e non vengano acquisiti nuovi dati.

2. La persona incaricata della protezione dei dati è eletta per la prima volta all'inizio della prossima legislatura secondo il nuovo diritto.

1. Questa legge è soggetta a referendum popolare. Entra in vigore l'11 novembre 2023.