Legge cantonale sulla protezione dei dati

La presente legge serve a proteggere le persone dal trattamento illecito di dati personali da parte di autorità.

Sono considerate autorità ai sensi della presente legge:

1. autorità ed uffici del Cantone, delle regioni, dei comuni e delle unioni di comuni;

2. istituti, fondazioni ed enti di diritto pubblico del Cantone, delle regioni e dei comuni;

3. privati, per quanto siano loro delegati compiti pubblici.

…

Fanno stato per analogia i motivi di esclusione della legge federale sulla protezione dei dati².

La legge non si applica inoltre a:

1. autorità che prendono parte alla concorrenza economica e che in questo ambito non agiscono in veste decisionale;

2. dati personali conservati in un archivio pubblico.

Il trattamento di dati personali deve rispettare i principi della legalità, della proporzionalità, dell'adeguatezza, della destinazione vincolata, dell'esattezza e della sicurezza dei dati.

Le prescrizioni della legge federale³ concernenti il trattamento di dati personali ad opera di organi federali sono applicabili per analogia.

Per quanto la legge cantonale sulla protezione dei dati e le disposizioni d'esecuzione non contemplino disposizioni derogatorie o complementari, fanno stato per analogia le definizioni contenute nella legge federale.

Qualora sorgano conflitti fra due autorità circa la comunicazione di dati personali, la decisione compete all'autorità comune di rango superiore.

Chi tratta dati personali per conto di un'autorità necessita, ai fini della comunicazione di dati personali a terzi, dell'esplicito consenso del mandante.

Lo spazio pubblico e pubblicamente accessibile può essere sorvegliato con apparecchi di trasmissione e di registrazione di immagini allo scopo di identificare persone se:

1. la sicurezza e l'ordine pubblici sono esposti a una minaccia concreta;

2. ciò è necessario a protezione di edifici destinati a usi pubblici o dei loro utenti.

In sede di trattamento dei dati personali devono essere rispettati i principi generali. In aggiunta occorre garantire che:

1. gli impianti di sorveglianza siano segnalati in maniera adeguata;

2. settori funzionali allo svolgimento di attività coperte dal segreto professionale ai sensi dell'articolo 171 del Codice di procedura penale⁴ siano esclusi dalla sorveglianza;

3. dati personali registrati vengano cancellati entro 90 giorni se non sono necessari in un procedimento penale o per la difesa da pericoli.

La sorveglianza con acquisizione di immagini dello spazio pubblico e pubblicamente accessibile può essere disposta da un'autorità titolare del diritto d'uso o della sovranità sullo spazio oggetto di sorveglianza.

L'autorità emana una decisione generale in cui vengono definiti lo scopo, la tipologia e la durata della sorveglianza, i luoghi oggetto di sorveglianza, le ubicazioni degli apparecchi di sorveglianza, le misure con le quali viene segnalata la sorveglianza, i diritti d'accesso nonché le misure adottate per garantire la sicurezza dei dati. La decisione generale è valida per al massimo cinque anni.

L'autorità è tenuta a pubblicare in precedenza la decisione generale da emanare. Concede il diritto di essere sentiti prevedendo un termine adeguato per prendere posizione.

Non va concessa una previa protezione giuridica per sorveglianze con acquisizione di immagini riferite a un evento con una durata di al massimo tre mesi e per sorveglianze con acquisizione di immagini a protezione di edifici destinati a usi pubblici che vengono impiegate in relazione a un evento e non registrano dati personali.

Le autorità notificano all'organo di sorveglianza le loro collezioni di dati.

Per quanto la legge cantonale sulla protezione dei dati e le disposizioni d'esecuzione non contemplino disposizioni derogatorie o complementari, fanno stato per analogia le disposizioni sulla registrazione di collezioni di dati contenute nella legge federale⁵.

Ogni persona interessata ha diritto:

1. all'informazione sui dati che la riguardano trattati in una collezione di dati;

2. alla visione del registro delle collezioni di dati;

3. alla rettifica di dati personali inesatti;

4. alla distruzione di dati personali non necessari o trattati illecitamente;

5. al blocco di dati personali degni di protezione.

Se l'autorità contesta l'inesattezza dei dati personali, essa deve comprovare la loro correttezza.

I diritti concessi dalla legge federale⁶ alle persone interessate fanno stato per analogia.

Le decisioni di autorità ed uffici dell'Amministrazione e di istituti autonomi del diritto pubblico cantonale possono essere impugnate presso il dipartimento preposto.

Contro le decisioni di privati, che assolvono compiti pubblici, è aperta la via del ricorso all'autorità mandataria.

Le decisioni dei dipartimenti, delle autorità comunali e regionali, delle unioni di comuni, nonché degli istituti ed enti autonomi di diritto pubblico possono essere impugnate con ricorso al Tribunale amministrativo.

Il diritto di ricorso spetta anche all'organo di sorveglianza.

Il Governo nomina, quale organo di sorveglianza, un'incaricata o un incaricato per la protezione dei dati.

Dal profilo professionale l'organo di sorveglianza assolve i suoi compiti in maniera autonoma ed indipendente. Esso non è vincolato da direttive.

L'organo di sorveglianza:

1. sorveglia l'applicazione delle prescrizioni sulla protezione dei dati;

2. tiene un registro delle collezioni di dati e degli eventuali collegamenti;

3. consiglia le persone interessate circa i loro diritti;

4. funge da mediatore fra le persone interessate e le autorità;

5. consiglia le autorità su questioni concernenti la protezione dei dati e vigila sulla sicurezza dei dati;

6. si pronuncia in merito ad atti legislativi e a progetti d'informatica, per quanto essi siano rilevanti per la protezione dei dati;

7. redige annualmente un rapporto sulla propria attività. Il rapporto è pubblicato.

Le autorità sono tenute a sostenere l'organo di sorveglianza nell'adempimento dei suoi compiti.

Incurante di eventuali prescrizioni sulla segretezza, l'organo di sorveglianza può richiedere ad autorità, per via scritta ed orale, informazioni concernenti il trattamento di dati personali, visionare collezioni di dati e la rispettiva documentazione ed esigere che gli sia esibito il trattamento di dati personali.

Se dai chiarimenti risulta che sono state violate prescrizioni sulla protezione dei dati, l'organo di sorveglianza sollecita l'autorità responsabile o l'autorità ad essa preposta ad adottare le misure necessarie

Se non si dà seguito alla sollecitazione o la si respinge, l'organo di sorveglianza deferisce la pratica al Governo.

Per quanto attiene ai dati personali, l‘organo di sorveglianza è tenuto al medesimo obbligo di discrezione cui soggiace l'autorità che tratta i dati.

L'organo di sorveglianza può, riservate particolari prescrizioni sulla segretezza, trasmettere informazioni, delle quali è venuto a conoscenza durante l'esercizio della propria funzione, unicamente nella misura in cui ciò sia necessario per l'adempimento dei suoi compiti.

Chi quale persona impiegata o incaricata di un'autorità o quale persona impiegata da una persona incaricata viola intenzionalmente le disposizioni del diritto cantonale sulla protezione dei dati, è punito a querela di parte con la multa.

La violazione delle prescrizioni in materia di protezione dei dati è punibile anche dopo lo scioglimento del rapporto contrattuale.

Il Governo emana le necessarie disposizioni d'esecuzione.

I detentori di collezioni di dati le verificano e le adeguano entro tre anni dall'entrata in vigore della legge sulla protezione dei dati.

Il Governo può prorogare il termine per motivi importanti.

L'esercizio di apparecchi di sorveglianza di cui all'articolo 3a in uso al momento dell'entrata in vigore può essere proseguito se entro dodici mesi sono soddisfatti i presupposti richiesti per la sorveglianza con acquisizione di immagini.

Il Governo stabilisce la data dell'entrata in vigore⁷ della presente legge.