Legge sulla protezione dei dati (DSG) - Scopo (DSG)

1. Questa legge ha lo scopo di tutelare i diritti fondamentali delle persone fisiche rispetto al trattamento dei dati da parte degli organi.

1

a) * I dati personali sono tutte le informazioni che si riferiscono a una persona fisica identificata o identificabile.

b) * I dati personali particolarmente degni di protezione sono tutte le informazioni riguardanti le opinioni o attività religiose, ideologiche, politiche e professionali, la sfera intima, la salute, l'appartenenza etnica, le misure di assistenza sociale nonché le indagini e le sanzioni amministrative e penali. Rientrano inoltre in questa categoria i dati biometrici, che permettono l'identificazione univoca di una persona fisica tramite procedimenti tecnici, nonché i dati genetici.

b1) * Il profiling è qualsiasi valutazione, in particolare automatizzata, di dati o dati personali, per analizzare caratteristiche personali essenziali o prevedere sviluppi, in particolare riguardo alla performance lavorativa, alla formazione di opinioni politiche, alla situazione economica, alla salute, alla sfera intima o alla mobilità.

c) * Trattare è qualsiasi gestione di dati personali, indipendentemente dai mezzi e metodi utilizzati, in particolare la raccolta, l'acquisizione, la registrazione, la raccolta, la conservazione, l'uso, la modifica, la divulgazione, lo scambio, l'integrazione, l'archiviazione, la cancellazione o la distruzione, nonché l'esecuzione di operazioni logiche o informatiche con dati personali.

d) * Divulgare è la trasmissione o la messa a disposizione di dati personali.

e) * ...

f) * Le persone interessate sono le persone fisiche i cui dati personali vengono trattati.

g) Il termine «Cantone» è usato come termine generico per l'amministrazione statale, le corporazioni e gli istituti cantonali, i tribunali e le scuole cantonali.

h) I comuni sono i comuni abitanti, civili, le comunità parrocchiali cattoliche romane e evangeliche riformate, nonché le corporazioni.

i) Gli organi sono le autorità e i servizi che agiscono per il Cantone o i comuni, e le persone fisiche o giuridiche o le società commerciali del diritto commerciale, nella misura in cui siano incaricate di compiti pubblici.

k) * ...

l) Le basi legali comprendono la Costituzione, un Concordato, una legge, una decisione del Consiglio cantonale, un'ordinanza, una decisione del Consiglio di governo pubblicata o un decreto comunale pubblicato.

1. La legge si applica al trattamento di dati personali da parte degli organi.

2. Essa non si applica a

a) * ...

b) affari sui quali decidono gli aventi diritto di voto, il consiglio cantonale o i parlamenti comunali;

c) * ...

d) dati che una persona fisica elabora come strumento di lavoro esclusivamente per uso personale e non trasferisce a terzi o ad organi.

3. Restano riservate disposizioni diverse contenute in leggi formali.

4. I diritti e le pretese delle persone interessate nei procedimenti di giustizia civile e penale (inclusi i procedimenti di assistenza giudiziaria internazionale) nonché di giustizia amministrativa sono regolati dal diritto processuale applicabile.

1. Dati personali

a) devono essere attuali, corretti e completi, nella misura in cui lo richiede lo scopo del trattamento;

b) devono di norma essere raccolti presso la persona interessata;

c) possono essere trattati solo per scopi che sono stati indicati al momento della raccolta, risultano evidenti dalle circostanze o sono previsti dalla legge;

d) * possono essere trattati solo rispettando il principio di proporzionalità e il principio di buona fede;

e) * ...

1. Gli organi possono trattare dati personali, a condizione che

a) esista una base legale al riguardo oppure

b) sia indispensabile per un compito descritto in una base legale oppure

c) * la persona interessata abbia dato il suo consenso esplicito in un caso specifico oppure abbia reso generalmente accessibili i propri dati personali e non abbia espressamente vietato un trattamento.

2. Gli organi possono trattare dati personali particolarmente degni di protezione o effettuare un profiling, a condizione che

a) una legge formale lo preveda espressamente oppure

b) sia evidentemente indispensabile per un compito descritto in una legge formale oppure

c) * la persona interessata abbia dato il suo consenso esplicito in un caso specifico oppure abbia reso generalmente accessibili i propri dati personali e non abbia espressamente vietato un trattamento.

1. Gli organi possono trattare i dati personali per una finalità non personale, in particolare per scopi statistici, di ricerca o pianificazione, a condizione che

a) i dati personali siano anonimizzati o pseudonimizzati non appena lo scopo del trattamento lo consenta;

b) i dati personali non vengano comunicati a terzi; e

c) le valutazioni siano divulgate in modo tale che non sia possibile trarre conclusioni sulle persone interessate.

1. Gli organi possono comunicare dati personali e dati personali degni di particolare protezione o risultati di un profiling, a condizione che

a) per la comunicazione siano soddisfatte le condizioni di cui al § 5 commi 1 e 2; oppure

b) la persona interessata non sia in grado di acconsentire alla comunicazione, ma questa sia nel suo interesse e possa presumersi che avrebbe dato il suo consenso in buona fede.

1. A meno che ciò non sia escluso da un obbligo specifico di segretezza, un organo può comunicare dati personali a

a) altri organi cantonali o comunali, organi di altri cantoni o della Confederazione per l'elaborazione di scopi non personali, in particolare per statistica, pianificazione o ricerca; e

b) privati per l'elaborazione per scopi di ricerca.

2. Il destinatario o la destinataria si deve impegnare per iscritto ad anonimizzare o pseudonimizzare i dati personali non appena lo scopo dell'elaborazione lo consenta, e a pubblicare valutazioni solo in modo tale che non sia possibile trarre conclusioni sulle persone interessate.

3. Inoltre, il destinatario o la destinataria privato/a si deve impegnare per iscritto a non elaborare i dati personali per altri scopi, a non trasmetterli ulteriormente e a garantire la sicurezza delle informazioni.

1. La responsabilità per il trattamento dei dati personali spetta all'ente che decide in merito allo scopo, ai mezzi e all'ambito del trattamento.

2. Se più enti trattano un insieme comune di dati, essi disciplinano la responsabilità.

3. L'ente deve poter dimostrare di conformarsi alle disposizioni in materia di protezione dei dati.

1. Un organo può affidare a terzi il trattamento dei dati personali se

a) i dati personali sono trattati solo nel modo in cui l'organo stesso potrebbe trattarli; e

b) nessun obbligo legale o contrattuale di riservatezza lo vieta.

2. L'organo assicura, mediante imposizioni, accordi o in altro modo, che il responsabile del trattamento garantisca la sicurezza delle informazioni e tuteli i diritti della persona interessata.

3. L'organo rimane responsabile del trattamento legale dei dati personali.

4. Il responsabile del trattamento può trasferire il trattamento ad un altro responsabile solo con il previo consenso scritto dell'organo.

1. L'organo informa la persona interessata riguardo alla raccolta dei dati personali. L'obbligo di informazione si applica anche quando i dati personali vengono raccolti presso terzi.

2. L'organo informa, al più tardi al momento della raccolta, in particolare su

a) l'identità e i dati di contatto dell'organo;

b) i dati personali trattati o le categorie di dati personali trattati;

c) lo scopo del trattamento;

d) eventualmente, i destinatari a cui vengono comunicati i dati personali; e

e) i diritti della persona interessata.

3. Se i dati personali non vengono raccolti presso la persona interessata, questa deve essere informata al più tardi entro un mese dalla raccolta dei dati. Se i dati personali vengono comunicati prima della scadenza di tale termine, la persona interessata deve essere informata al momento della comunicazione.

1. L'obbligo di informazione viene meno se

a) la persona interessata dispone già delle informazioni di cui al § 6a comma 2;

b) il trattamento dei dati personali è espressamente previsto dalla legge; oppure

c) l'informazione non è possibile o lo è solo con uno sforzo sproporzionato.

2. L'informazione può essere limitata alle condizioni di cui al § 14 comma 1.

1. Gli organi garantiscono la sicurezza di tutti i dati personali attraverso misure tecniche e organizzative adeguate. I dati personali devono essere protetti in particolare contro la perdita, la falsificazione, il furto, l'appropriazione, la copia e la modifica da parte di persone non autorizzate.

2. Il Consiglio di Governo emana entro un anno dall'entrata in vigore di questa legge norme corrispondenti, in particolare sui principi di sicurezza e la procedura di autorizzazione nel campo dello scambio elettronico di dati.

1. Gli organi sono obbligati a strutturare l'elaborazione dei dati in modo tecnico e organizzativo tale da garantire il rispetto delle disposizioni sulla protezione dei dati.

2. Le misure tecniche e organizzative devono essere particolarmente adeguate allo stato dell'arte, alla natura e all'entità dell'elaborazione dei dati, nonché ai rischi che l'elaborazione comporta per i diritti fondamentali delle persone interessate.

3. Gli organi sono inoltre obbligati a garantire, attraverso impostazioni predefinite adeguate, che l'elaborazione dei dati personali sia limitata al minimo necessario per lo scopo dell'utilizzo, salvo diversa indicazione della persona interessata.

1. Se un organismo intende trattare dati di un numero elevato di persone interessate con mezzi elettronici o modificare sostanzialmente un tale trattamento di dati, conduce una valutazione d'impatto sulla protezione dei dati.

2. La valutazione d'impatto sulla protezione dei dati contiene almeno

a) una descrizione delle operazioni di trattamento pianificate;

b) una valutazione dei rischi per i diritti fondamentali delle persone interessate; e

c) una presentazione e valutazione delle misure pianificate, attraverso le quali si intende garantire la protezione dei diritti fondamentali delle persone interessate.

3. L’organismo sottopone all'ufficio per la protezione dei dati le proposte di trattamento di dati personali, che a causa della natura del trattamento o dei dati personali da trattare comportano un alto rischio di violazione dei diritti fondamentali delle persone interessate, per un parere.

1. L'organo segnala all'autorità per la protezione dei dati una violazione dei dati personali senza indugio, a meno che essa non comporti probabilmente un rischio di violazione dei diritti fondamentali delle persone interessate.

2. Si verifica una violazione dei dati personali quando i dati personali vengono inavvertitamente o illecitamente

a) distrutti o persi;

b) modificati; oppure

c) sono accessibili a persone non autorizzate o vengono divulgati.

3. Il responsabile del trattamento dei dati incaricato informa senza indugio l'organo incaricante di una violazione dei dati personali.

4. L'organo informa le persone interessate quando le circostanze lo richiedono o quando lo richiede l'autorità per la protezione dei dati. L'informazione può essere limitata nelle stesse condizioni che si applicano al diritto d'accesso ai propri dati personali.

1. L'organo comunica ai destinatari di dati personali ogni rettifica, cancellazione o distruzione, violazioni della protezione dei dati nonché annotazioni contestative, a meno che la comunicazione non sia possibile o sia possibile solo con un onere sproporzionato.

1. Una persona interessata può richiedere a un organo, senza particolari condizioni, di bloccare la divulgazione dei propri dati personali a privati.

1a. Gli organi devono rendere noto in modo appropriato il diritto al blocco.

2. Il blocco diventa effettivo immediatamente dopo il ricevimento della richiesta. La richiesta deve essere presentata per iscritto e riferirsi a specifici insiemi di dati di un organo. Il blocco deve essere confermato per iscritto.

3. L'organo rifiuta il blocco o lo revoca se

a) vi è un obbligo legale di divulgazione oppure

b) * il privato che richiede la divulgazione dimostra in modo plausibile che i dati personali sono necessari per l'esercizio dei suoi diritti legali. Alla persona interessata deve essere, se possibile, data la possibilità di esprimere la propria opinione in anticipo.

1. L'ente rifiuta la comunicazione di dati personali ad un altro ente, la limita o la subordina a condizioni, se

a) vi sono contrari rilevanti interessi pubblici o evidenti interessi meritevoli di protezione di una persona interessata, oppure

b) vi sono obblighi legali di segretezza o particolari disposizioni in materia di protezione dei dati.

1. I dati personali non possono essere comunicati all'estero se ciò mette in pericolo la personalità della persona interessata. Un pericolo sussiste in particolare in assenza di una legislazione che garantisca una protezione adeguata.

2. Se manca una legislazione ai sensi del paragrafo 1, i dati personali possono essere comunicati all'estero solo se una delle seguenti condizioni è soddisfatta

a) garanzie sufficienti, in particolare mediante contratto, assicurano una protezione adeguata all'estero; di tali garanzie deve essere informato l'Ufficio per la protezione dei dati prima della comunicazione dei dati all'estero;

b) la persona interessata ha dato il proprio consenso esplicito in casi specifici;

c) la comunicazione è, in casi specifici, imprescindibile per tutelare un interesse pubblico preponderante o per l'accertamento, l'esercizio o l'applicazione di diritti legali in sede giudiziaria;

d) la comunicazione in casi specifici è necessaria per proteggere la vita o l'integrità fisica della persona interessata.

3. Non è consentita una comunicazione di dati all'estero se con essa si violerebbe gravemente l'ordine pubblico.

1. Gli organismi devono anonimizzare o distruggere i dati personali che non sono più necessari, a meno che i dati non servano per scopi probatori immediati o non debbano essere consegnati all'archivio competente.

1. Le autorità giudiziarie e di contrasto mantengono un registro delle loro attività di trattamento e lo pubblicano.

2. ...

3. Il registro contiene per ciascuna attività di trattamento la denominazione, l'organismo responsabile, le basi giuridiche, lo scopo e, se possibile, la durata di conservazione.

4. ...

5. ...

1. Ogni persona può richiedere all'organo informazioni sul fatto che siano trattati dati personali che li riguardano. La persona interessata riceve le informazioni necessarie per poter far valere i propri diritti ai sensi di questa legge, in particolare

a) * ...

b) * ...

c) * ...

d) * l'identità e i dati di contatto dell'organo responsabile;

e) * i dati personali trattati;

f) * lo scopo del trattamento;

g) * la durata della conservazione dei dati personali o, qualora ciò non sia possibile, i criteri per determinare tale durata;

h) * le informazioni disponibili sull'origine dei dati personali; e

i) * i destinatari, nel caso in cui l'organo abbia comunicato dati personali.

2. ...

3. I dati sanitari possono essere comunicati alla persona interessata tramite una dottoressa o un dottore da essa designato.

1. Un organo può limitare, subordinare a condizioni, differire o rifiutare la comunicazione di dati personali, qualora esistano prevalenti interessi pubblici o di terzi.

2. In caso di trattamento di dati su mandato, è competente l'organo che ha trasferito il trattamento dei dati.

1. Chi ha un interesse degno di protezione, può richiedere all'organo di

a) constatare l'illegittimità del trattamento;

b) astenersi dal trattamento illegittimo;

c) eliminare le conseguenze di un trattamento illegittimo.

2. La persona interessata può in particolare richiedere all'organo di

a) rettificare o distruggere i dati personali;

b) comunicare o pubblicare la decisione o la rettifica a terzi.

3. Se l'organo contesta l'inesattezza dei dati personali, è suo onere dimostrare la correttezza. La persona interessata è tenuta a collaborare nell'accertamento.

4. Se, per la natura dei dati personali, non è possibile stabilire né la loro correttezza né la loro inesattezza, in particolare nel caso di giudizi di valore, la persona interessata può richiedere l'inserimento di un'annotazione di contestazione. L'annotazione di contestazione deve essere unita ai dati contestati.

1. Se un ente non accoglie una domanda ai sensi di questa legge, emette una decisione motivata accompagnata da un'istruzione sui rimedi legali.

1. Il responsabile della protezione dei dati gestisce le richieste delle persone interessate riguardanti la violazione delle disposizioni di questa legge e informa entro un massimo di tre mesi sul risultato o lo stato delle indagini.

1. Informazioni e accesso da parte delle persone interessate sono gratuiti.

2. Ogni persona può richiedere copie dei dati che la riguardano. Di norma, per questo non vengono applicati costi.

3. ...

1. Il Cantone istituisce un ufficio per la protezione dei dati.

2. Il Consiglio cantonale elegge una persona esperta in materia di protezione dei dati come responsabile della protezione dei dati per una durata del mandato di quattro anni. L'elezione avviene almeno sei mesi prima dell'inizio del periodo di mandato.

3. L'ufficio per la protezione dei dati svolge i compiti previsti da questa legge in modo indipendente. Amministrativamente, è assegnato alla Cancelleria di Stato.

4. Il diritto del personale si applica al responsabile della protezione dei dati solo nella misura in cui è compatibile con le disposizioni della legge sulla protezione dei dati.

5. La legge sulla gestione finanziaria e la legge sugli archivi sono applicabili all'ufficio per la protezione dei dati solo nella misura in cui sono compatibili con le disposizioni della legge sulla protezione dei dati.

1. Il Responsabile della protezione dei dati non deve svolgere alcuna attività che possa compromettere la sua indipendenza nell'esercizio delle funzioni o che sia altrimenti incompatibile con i compiti dell'Ufficio per la protezione dei dati. In particolare, oltre all'assunzione come Responsabile della protezione dei dati, non può ricoprire una posizione dirigente in un partito politico né essere impiegato o ricoprire una carica pubblica presso enti che svolgono compiti pubblici nel Cantone di Zugo.

2. L'esercizio di un incarico pubblico secondario o di un'attività secondaria connessa all'attività professionale di Responsabile della protezione dei dati necessita dell'autorizzazione della Commissione giudiziaria.

3. ...

1. Per l'astensione del Garante della protezione dei dati si applicano analogamente le stesse disposizioni previste per i membri del tribunale amministrativo. Il Garante della protezione dei dati decide autonomamente in merito alla propria astensione.

1. L'Ufficio per la Protezione dei Dati prepara un proprio bilancio e lo trasmette al Consiglio di Stato da sottoporre al Consiglio Cantonale. Il Consiglio di Stato può presentare al Consiglio Cantonale una proposta divergente.

2. Il o la responsabile della protezione dei dati rappresenta il bilancio dell'Ufficio per la Protezione dei Dati nel Consiglio Cantonale.

3. L'Ufficio per la Protezione dei Dati dispone, nell'ambito del suo bilancio, di proprie competenze di spesa.

1. La o il responsabile della protezione dei dati assume personalmente il personale richiesto secondo le disposizioni del diritto del lavoro e regola la rappresentanza.

2. Il personale dell'ufficio per la protezione dei dati lavora esclusivamente secondo le istruzioni della o del responsabile della protezione dei dati.

3. Contro i provvedimenti in materia di diritto del lavoro adottati dalla o dal responsabile della protezione dei dati si può presentare ricorso al tribunale amministrativo.

1. I comuni possono istituire propri uffici indipendenti per la protezione dei dati per i loro ambiti di competenza. Questi uffici collaborano con l'ufficio cantonale per la protezione dei dati sotto la sua supervisione.

2. Gli uffici per la protezione dei dati dei comuni svolgono, per il loro ambito, compiti simili a quelli dell'ufficio cantonale per la protezione dei dati.

3. Se in un comune non è presente un proprio ufficio per la protezione dei dati, la responsabilità per la protezione dei dati è affidata all'ufficio cantonale per la protezione dei dati.

1. Il o la Responsabile della protezione dei dati

a) * sorveglia l'applicazione delle norme sulla protezione dei dati, ad eccezione delle procedure di giustizia civile e penale (inclusi i procedimenti di assistenza giudiziaria internazionale) nonché della giurisdizione costituzionale e amministrativa;

b) consiglia gli organi in materia di protezione dei dati;

c) fornisce alle persone interessate informazioni sui loro diritti;

d) media tra gli organi e le persone interessate in tutte le controversie relative alla protezione dei dati;

e) esprime pareri sugli atti normativi dal punto di vista della protezione dei dati;

f) * sensibilizza gli organi sui loro obblighi di protezione dei dati e il pubblico sulle questioni relative alla protezione dei dati;

g) * supervisiona gli uffici per la protezione dei dati dei comuni e può dare loro istruzioni;

h) * riferisce annualmente al Consiglio cantonale sulla sua attività e lo rappresenta personalmente nel Consiglio cantonale. Questo rapporto è pubblicato.

i) * ...

k) * collabora con l'Incaricato federale della protezione dei dati e della trasparenza, le autorità di protezione dei dati di altri cantoni e dell'estero.

2. Gli uffici per la protezione dei dati comunali svolgono in modo analogo gli stessi compiti.

2. L'Ufficio per la Protezione dei Dati esprime pareri su progetti degli organi relativi al trattamento dei dati che, a causa della natura del trattamento o dei dati personali da trattare, comportano un alto rischio per i diritti fondamentali delle persone interessate.

3. L'Ufficio per la Protezione dei Dati redige un elenco delle operazioni di trattamento che devono essere preventivamente sottoposte a consultazione.

1. L'Ufficio per la Protezione dei Dati può, indipendentemente da eventuali normative sulla riservatezza, richiedere informazioni agli organi riguardo il trattamento dei dati personali, esaminare i documenti e assistere alle elaborazioni dei dati.

2. Se le indagini rivelano una violazione delle norme sulla protezione dei dati, l'Ufficio invita l’organo, attraverso una raccomandazione, ad adottare le misure necessarie. L'autorità superiore competente deve essere informata.

2a. L’organo comunica all'Ufficio per la Protezione dei Dati se intende seguire la raccomandazione o meno.

3. Se l’invito non viene seguito o viene respinto, la questione viene sottoposta al consiglio comunale competente (questione comunale) o al consiglio di governo (questione cantonale) per la decisione. La decisione viene comunicata alla persona interessata e all'Ufficio per la Protezione dei Dati sotto forma di decreto.

4. L'Ufficio per la Protezione dei Dati ha il diritto di presentare ricorso contro il decreto di cui al paragrafo 3 e contro la decisione dell'autorità di ricorso.

1. Il Responsabile della protezione dei dati e i membri dell'Ufficio per la protezione dei dati sono obbligati alla riservatezza riguardo ai fatti e alle osservazioni di cui vengono a conoscenza nell'esercizio delle loro funzioni. Possono divulgare le informazioni ottenute durante il loro incarico solo nella misura necessaria per adempiere ai loro compiti. Il segreto d'ufficio persiste anche dopo la cessazione del rapporto di servizio.

2. Per comunicare fatti e osservazioni da mantenere segreti a terzi e uffici pubblici, nonché per adempiere all'obbligo di testimonianza in procedimenti amministrativi, il Responsabile della protezione dei dati e i membri dell'Ufficio per la protezione dei dati necessitano dell'esonero dal segreto d'ufficio da parte della persona interessata o della Commissione di revisione giudiziaria.

3. Il Responsabile della protezione dei dati e i membri dell'Ufficio per la protezione dei dati sono esonerati dall'obbligo di denuncia penale.

4. L'obbligo di riservatezza del Responsabile della protezione dei dati viene meno nella misura in cui sia necessario per prevenire reati o delitti. In tali casi, egli ha il diritto, ma non l'obbligo, di effettuare una denuncia penale.

1. Gli organi supportano l'autorità per la protezione dei dati nello svolgimento dei suoi compiti.

1. L'amministrazione della giustizia è disciplinata dalla legge sulla tutela giurisdizionale nelle questioni amministrative del 1° aprile 1976.

1. Contro le decisioni degli organi è possibile presentare opposizione.

1. Chiunque violi intenzionalmente le disposizioni sulla protezione dei dati di questa legge o di altri decreti è punito con una multa.

2. È punito con una multa anche chi violi intenzionalmente gli obblighi derivanti da accordi basati sul § 5c comma 2 o 3, § 6 comma 2 di questa legge o sul § 57fbis comma 2 lett. c della legge comunale.

1. Se la persona interessata viene danneggiata da una persona fisica o giuridica che esegue il trattamento dei dati per conto di un organo, l'organo committente è responsabile ai sensi della legge sulla responsabilità.

2. Nel procedimento per l'accertamento dell'illegittimità del trattamento dei dati, si deve contemporaneamente decidere sulle richieste di risarcimento danni e di soddisfazione avanzate.

3. Inoltre, si applica la legge sulla responsabilità.

1. ...

2. Le seguenti leggi sono modificate come segue

a) * ...

b) Legge sulla pubblicazione delle leggi e sul bollettino ufficiale del Cantone di Zugo del 29 gennaio 1981[6].

1. La nomina del Responsabile della protezione dei dati da parte del Consiglio Cantonale avviene per la prima volta per il periodo di mandato 2015-2018.

2. L'assunzione del Responsabile della protezione dei dati è soggetta fino al 31 dicembre 2014 al diritto preesistente.

3. L'attuale Responsabile della protezione dei dati può essere nominato dal Consiglio Cantonale per il periodo di mandato 2015-2018 secondo la nuova normativa, nel rispetto dei diritti acquisiti.

1. Questa legge entra in vigore il giorno successivo alla pubblicazione nel Bollettino Ufficiale, dopo la scadenza del termine per il referendum non esercitato (§ 34 della Costituzione cantonale) o dopo l'approvazione da parte del popolo.