RU 2019 625
Legge federale
che attua la direttiva (UE) 2016/680 relativa alla protezione
delle persone fisiche con riguardo al trattamento dei dati personali
a fini di prevenzione, indagine, accertamento e perseguimento
di reati o esecuzione di sanzioni penali
(Sviluppo dell’acquis di Schengen)
del 28 settembre 2018
L’Assemblea federale della Confederazione Svizzera, visto il messaggio del Consiglio federale del 15 settembre 20171,
decreta:
I
La legge sulla protezione dei dati in ambito Schengen di cui all’allegato è adottata. 2
II
Gli atti normativi qui appresso sono modificati come segue:
1. Legge federale del 19 giugno 19923 sulla protezione dei dati
Art. 26 cpv.3, primo periodo
L’Incaricato esercita la sua funzione in modo indipendente, senza ricevere o sollecitare istruzioni da alcuna autorità o da terzi. …
Legge del 28 settembre 2018 sulla protezione dei dati in ambito Schengen è pubblicata sotto la RU 2019 639.
Art. 26a cpv.1 e 1bis
Il mandato dell’Incaricato può essere rinnovato due volte.
Il mandato è rinnovato tacitamente, salvo che, al più tardi sei mesi prima della scadenza, il Consiglio federale decida di non rinnovarlo per motivi oggettivi sufficienti.
Art. 26b Attività accessoria
L’Incaricato non può esercitare alcuna attività accessoria.
Il Consiglio federale può autorizzare l’Incaricato a esercitare un’attività accessoria sempreché non siano pregiudicati il pieno adempimento della sua funzione, l’indipendenza e la reputazione. La decisione è pubblicata.
Art. 31 cpv.1 lett. h
L’Incaricato ha in particolare gli altri compiti seguenti:
h. sensibilizzare il pubblico alla protezione dei dati.
2. Codice penale4
Art. 349a
1. Protezione dei Le autorità federali competenti hanno il diritto di comunicare dati perdati personali
Basi legali sonali soltanto se esiste una base legale ai sensi dell’articolo7 della legge del 28 settembre 20185 sulla protezione dei dati in ambito Schengen (LPDS) oppure se:
la comunicazione dei dati personali è necessaria per proteggere la vita o l’integrità fisica dell’interessato o di un terzo;
l’interessato ha reso i suoi dati personali accessibili a chiunque e non si è opposto espressamente alla comunicazione.
Art. 349b
b. Parità di 1 La comunicazione di dati personali alle autorità competenti di Stati trattamento vincolati da un accordo di associazione alla normativa di Schengen (Stati Schengen) non può essere soggetta a regole di protezione dei dati personali più severe di quelle applicabili alla comunicazione alle autorità penali svizzere. 2 Le leggi speciali che prevedono regole di protezione dei dati personali più severe per la comunicazione di dati personali alle autorità estere competenti non si applicano alla comunicazione alle autorità competenti degli Stati Schengen.
Art. 349c
c. Comunicazione 1 Non possono essere comunicati dati personali all’autorità competendi dati personali a uno Stato terzo te di uno Stato che non è vincolato da un accordo di associazione alla o a un organo normativa di Schengen (Stato terzo) o a un organo internazionale internazionale qualora la personalità dell’interessato possa subirne grave pregiudizio, dovuto in particolare all’assenza di una protezione adeguata. 2 Una protezione adeguata è garantita:
dalla legislazione dello Stato terzo nel caso in cui l’Unione europea l’abbia constatato tramite decisione;
da un trattato internazionale;
da garanzie specifiche. 3 Se è un’autorità federale, l’autorità che comunica i dati informa l’Incaricato federale della protezione dei dati e della trasparenza (Incaricato) sulle categorie delle comunicazioni di dati personali effettuate sulla base di garanzie specifiche secondo il capoverso 2 lettera c. Ogni comunicazione è documentata. 4 In deroga al capoverso1, possono essere comunicati dati personali all’autorità competente di uno Stato terzo o a un organo internazionale se ciò è necessario nel caso specifico per:
proteggere la vita o l’integrità fisica dell’interessato o di un terzo;
prevenire una minaccia imminente e grave per la sicurezza pubblica di uno Stato Schengen o di uno Stato terzo;
prevenire, accertare o perseguire un reato, a condizione che nessun interesse degno di protezione e preponderante dell’interessato si opponga alla comunicazione;
esercitare o far valere un diritto davanti a un’autorità competente per prevenire, accertare o perseguire un reato, a condizione che nessun interesse degno di protezione e preponderante dell’interessato si opponga alla comunicazione. 5 Se è un’autorità federale, l’autorità che comunica i dati informa l’Incaricato sulla comunicazione di dati personali effettuata in virtù del capoverso4.
Art. 349d
d. Comunicazione 1 I dati personali trasmessi o messi a disposizione da uno Stato Schena uno Stato terzo o a un organo gen possono essere comunicati all’autorità competente di uno Stato internazionale di terzo o a un organo internazionale soltanto se: dati personali provenienti da uno a. la comunicazione è necessaria per prevenire, accertare o per- Stato Schengen seguire un reato;
lo Stato Schengen che ha trasmesso o messo a disposizione i dati personali ha fornito il suo consenso preliminare; e
le condizioni di cui all’articolo 349c sono adempiute. 2 In deroga al capoverso1 lettera b, i dati personali possono essere comunicati se nel caso specifico:
il consenso preliminare dello Stato Schengen non può essere ottenuto in tempo utile; e
la comunicazione è indispensabile per prevenire una minaccia imminente e grave alla sicurezza pubblica di uno Stato Schengen o di uno Stato terzo o per salvaguardare gli interessi essenziali di uno Stato Schengen. 3 Lo Stato Schengen è informato senza indugio delle comunicazioni effettuate in virtù del capoverso 2.
Art. 349e
Comunicazione 1 Se i dati personali non possono essere comunicati all’autorità comdi dati personali a un destinatario petente di uno Stato terzo tramite i canali consueti della cooperazione domiciliato in di polizia, segnatamente in una situazione d’urgenza, l’autorità comuno Stato terzo petente può eccezionalmente comunicarli a un destinatario domiciliato in questo Stato se:
la comunicazione è indispensabile per l’adempimento di un compito legale dell’autorità che comunica i dati; e
nessun interesse degno di protezione e preponderante dell’interessato vi si oppone. 2 Al momento della comunicazione dei dati, l’autorità competente comunica al destinatario che può utilizzarli unicamente per gli scopi da essa fissati. 3 L’autorità competente informa senza indugio l’autorità competente dello Stato terzo in merito a qualsiasi comunicazione di dati personali, sempre che lo consideri appropriato.
Se è un’autorità federale, l’autorità competente informa l’Incaricato senza indugio sulle comunicazioni di dati personali effettuate in virtù del capoverso1.
L’autorità competente documenta le comunicazioni di dati personali. Il Consiglio federale disciplina le modalità.
Art. 349f
f. Esattezza dei 1 L’autorità competente rettifica senza indugio i dati personali inesatti. dati personali
Informa senza indugio dell’avvenuta rettifica l’autorità che le ha trasmesso o messo a disposizione tali dati o alla quale li ha comunicati.
Indica al destinatario l’attualità e l’affidabilità dei dati personali che comunica.
Comunica inoltre al destinatario qualsiasi informazione che permette di distinguere nella misura del possibile:
le diverse categorie di interessati;
i dati personali fondati su fatti da quelli fondati su valutazioni personali. 5 L’obbligo di informare il destinatario non sussiste qualora le informazioni previste ai capoversi3 o 4 risultino dai dati personali stessi o dalle circostanze.
Art. 349g
Verifica della 1 L’interessato può chiedere all’Incaricato di verificare se gli eventuali liceità del trattamento dati che lo concernono sono trattati in modo lecito qualora:
il suo diritto di essere informato su uno scambio di dati che lo concernono sia limitato o differito (art. 18a e 18b della legge federale del 19 giugno 19926 sulla protezione dei dati);
il suo diritto d’accesso sia negato, limitato o differito (art.17 e
il suo diritto di esigere la rettifica, la distruzione o la cancellazione dei dati che lo concernono sia parzialmente o totalmente negato (art.19 cpv. 2 lett. a LPDS). 2 Una verifica può essere effettuata unicamente nei confronti di un’autorità federale soggetta alla sorveglianza dell’Incaricato.
L’Incaricato effettua la verifica; comunica all’interessato che nessun dato che lo concerne è trattato in modo illecito oppure, se ha riscontrato errori nel trattamento dei dati personali, che ha aperto un’inchiesta conformemente all’articolo 22 LPDS.
Se riscontra errori nel trattamento dei dati, l’Incaricato ordina all’autorità federale competente di porvi rimedio.
Le comunicazioni di cui al capoverso3 hanno sempre lo stesso tenore e non vengono motivate. Non sono impugnabili.
Art. 349h
h. Inchiesta 1 Chi rende verosimile che uno scambio di dati personali che lo concernono potrebbe violare le disposizioni sulla protezione dei dati personali può chiedere all’Incaricato di aprire un’inchiesta ai sensi dell’articolo 22 LPDS8. 2 Un’inchiesta può essere aperta unicamente nei confronti di un’autorità federale soggetta alla sorveglianza dell’Incaricato. 3 L’interessato e l’autorità federale nei confronti della quale è stata aperta un’inchiesta hanno qualità di parte. 4 Per il rimanente sono applicabili gli articoli23 e 24 LPDS.
Art. 355a cpv.4
Gli scambi di dati personali con Europol sono equiparati a uno scambio con un’autorità competente di uno Stato Schengen
Art. 355f e 355g
Abrogati
3. Codice di procedura penale9
Art. 95a Trattamento di dati personali
Quando trattano dati personali, le autorità penali competenti provvedono a distinguere nella misura del possibile:
le diverse categorie di interessati;
i dati personali fondati su fatti da quelli fondati su valutazioni personali.
Art. 98 cpv. 2
Le autorità penali competenti avvisano senza indugio dell’avvenuta rettifica l’autorità che ha loro trasmesso o messo a disposizione tali dati o alla quale li hanno comunicati.
4. Legge federale del 20 marzo 198110 sull’assistenza internazionale in materia penale
Titolo prima dell’articolo 11b
Capitolo 1b Protezione dei dati personali
Art. 11b Diritto d’accesso in procedure pendenti
Fintanto che la procedura d’assistenza giudiziaria è pendente, la persona oggetto della domanda di cooperazione internazionale in materia penale ha il diritto di accedere ai dati personali che la concernono nonché alle seguenti informazioni:
lo scopo e la base legale del trattamento;
la durata di conservazione dei dati personali o, se ciò non è possibile, i criteri per stabilire tale durata;
i destinatari o le categorie di destinatari;
le informazioni disponibili sulla provenienza dei dati personali;
le informazioni necessarie per far valere i suoi diritti.
L’autorità competente può rifiutare, limitare o differire l’informazione per uno dei motivi di cui all’articolo 80b capoverso 2 o se:
lo esigono interessi preponderanti di terzi;
lo esige un interesse pubblico preponderante, segnatamente la salvaguardia della sicurezza interna o esterna della Svizzera; o
l’informazione dell’interessato rischia di compromettere un’indagine, un’istruzione o un procedimento giudiziario oppure una procedura di cooperazione internazionale in materia penale.
Art. 11c Restrizione del diritto d’accesso applicabile alle domande di arresto a scopo di estradizione
Chiunque può domandare se uno Stato estero ha presentato alla Svizzera una domanda di arresto a scopo di estradizione nei suoi confronti. Questo diritto va esperito davanti all’Ufficio federale. Se la domanda è presentata a un’altra autorità, quest’ultima la trasmette senza indugio all’Ufficio federale.
Qualora una persona domandi all’Ufficio federale se ha ricevuto una domanda di arresto a scopo di estradizione, questo le comunica che nessun dato che la concerne è trattato in modo illecito e che può chiedere all’Incaricato federale della protezione dei dati e della trasparenza (Incaricato) di verificare se gli eventuali dati che la concernono sono trattati in modo lecito.
L’Incaricato effettua la verifica; comunica all’interessato che nessun dato che lo dei dati personali, che ha aperto un’inchiesta conformemente all’articolo22 della legge del 28 settembre 201811 sulla protezione dei dati in ambito Schengen.
Se riscontra errori nel trattamento dei dati, l’Incaricato ordina all’Ufficio federale di porvi rimedio.
Le comunicazioni di cui ai capoversi 2 e 3 hanno sempre lo stesso tenore e non vengono motivate.
La comunicazione di cui al capoverso3 non è impugnabile.
Se lo Stato richiedente vi acconsente, l’Ufficio federale è autorizzato, in deroga al capoverso 2, a fornire all’interessato le informazioni richieste.
Art. 11d Diritto di rettifica e cancellazione di dati personali
La persona oggetto della domanda di cooperazione internazionale in materia penale può esigere dall’autorità competente che i dati personali che la concernono e che sono trattati in violazione della presente legge siano rettificati o cancellati.
Invece di cancellare i dati personali l’autorità competente ne limita il trattamento se:
l’interessato contesta l’esattezza dei dati personali ma né la loro esattezza né la loro inesattezza possono essere dimostrate;
lo esigono interessi preponderanti, in particolare quelli di cui all’articolo 80b capoverso 2; o
la cancellazione dei dati rischia di compromettere una procedura di cooperazione internazionale in materia penale o il procedimento estero su cui si fonda la domanda di cooperazione in materia penale.
L’autorità competente informa senza indugio delle misure adottate secondo i capoversi1 e 2 l’autorità che le ha trasmesso o messo a disposizione i dati personali o alla quale li ha comunicati.
La verifica dell’esattezza di dati personali acquisiti a scopo di prova o relativi a reati sui quali si fonda la domanda di cooperazione in materia penale compete alla pertinente autorità estera.
Art. 11e Parità di trattamento
La comunicazione di dati personali alle autorità competenti di Stati vincolati da un accordo di associazione alla normativa di Schengen (Stati Schengen) non può essere soggetta a regole di protezione dei dati personali più severe di quelle applicabili alla comunicazione alle autorità penali svizzere.
Le leggi speciali che prevedono regole di protezione dei dati personali più severe per la comunicazione di dati personali alle autorità estere competenti non si applicano alla comunicazione alle autorità competenti degli Stati Schengen.
Art. 11f Comunicazione di dati personali a uno Stato terzo o a un organo internazionale
Non possono essere comunicati dati personali all’autorità competente di uno Stato che non è vincolato da un accordo di associazione alla normativa di Schengen (Stato terzo) o a un organo internazionale qualora la personalità dell’interessato possa subirne grave pregiudizio, dovuto in particolare all’assenza di una protezione adeguata.
Una protezione adeguata è garantita:
dalla legislazione dello Stato terzo nel caso in cui l’Unione europea l’abbia constatato tramite decisione;
da un trattato internazionale;
da garanzie specifiche.
In deroga al capoverso1, possono essere comunicati dati personali all’autorità competente di uno Stato terzo o a un organo internazionale se ciò è necessario nel caso specifico per:
proteggere la vita o l’integrità fisica dell’interessato o di un terzo;
prevenire una minaccia imminente e grave per la sicurezza pubblica di uno Stato Schengen o di uno Stato terzo;
prevenire, accertare o perseguire un reato oppure eseguire una decisione penale, a condizione che nessun interesse degno di protezione e preponderante dell’interessato si opponga alla comunicazione;
esercitare o far valere un diritto davanti a un’autorità competente per prevenire, accertare o perseguire un reato oppure eseguire una decisione penale, a condizione che nessun interesse degno di protezione e preponderante dell’interessato si opponga alla comunicazione.
Art. 11g Comunicazione a uno Stato terzo o a un organo internazionale di dati personali provenienti da uno Stato Schengen
I dati personali trasmessi o messi a disposizione da uno Stato Schengen possono essere comunicati all’autorità competente di uno Stato terzo o a un organo internazionale soltanto se:
la comunicazione è necessaria per prevenire, accertare o perseguire un reato o per eseguire una decisione penale;
lo Stato Schengen che ha trasmesso o messo a disposizione i dati personali ha fornito il suo consenso preliminare; e
le condizioni di cui all’articolo 11f sono adempiute.
In deroga al capoverso1 lettera b, possono essere comunicati dati personali se nel caso specifico:
il consenso preliminare dello Stato Schengen non può essere ottenuto in tempo utile; e
la comunicazione è indispensabile per prevenire una minaccia imminente e grave per la sicurezza pubblica di uno Stato Schengen o di uno Stato terzo o per salvaguardare gli interessi essenziali di uno Stato Schengen.
Lo Stato Schengen è informato senza indugio delle comunicazioni secondo il capoverso 2.
Art. 11h Procedura per la comunicazione di dati personali
L’autorità competente indica al destinatario l’attualità e l’affidabilità dei dati personali che comunica.
Comunica inoltre al destinatario qualsiasi informazione che permette di distinguere nella misura del possibile:
le diverse categorie di interessati;
i dati personali fondati su fatti da quelli fondati su valutazioni personali.
L’obbligo di informare il destinatario non sussiste qualora le informazioni previste ai capoversi1 o 2 risultino dai dati personali stessi o dalle circostanze.
5. Legge federale del 22 giugno 200112 sulla cooperazione con la Corte penale internazionale Inserire prima del titolo del capitolo 2
Art. 2a Protezione dei dati personali
Salvo disposizioni contrarie della presente legge, il trattamento di dati personali è retto dagli articoli 11b–11d e 11f–11h della legge federale del 20 marzo 198113 sull’assistenza internazionale in materia penale.
6. Legge federale del 3 ottobre 197514 relativa al Trattato conchiuso con gli Stati Uniti d’America sull’assistenza giudiziaria in materia penale Inserire prima del titolo II
Art. 9a Protezione dei dati personali
Salvo disposizioni contrarie del Trattato, il trattamento di dati personali è retto dagli articoli 11b–11d e 11f–11h della legge federale del 20 marzo 198115 sull’assistenza in materia penale.
7. Legge federale del 7 ottobre 199416 sugli Uffici centrali di polizia giudiziaria della Confederazione e i centri comuni di cooperazione di polizia e doganale con altri Stati
Art. 13 cpv. 2
La comunicazione di dati personali nel quadro della cooperazione di polizia con le autorità straniere preposte al perseguimento penale è retta dagli articoli 349a–349h del Codice penale17.
8. Legge federale del 13 giugno 200818 sui sistemi d’informazione di polizia della Confederazione
Art. 7 cpv. 2
Fedpol fornisce le informazioni richieste dopo aver consultato l’autorità che ha iscritto o fatto iscrivere i dati nel sistema d’informazione; sono fatti salvi gli arti-
Art. 8 Restrizione del diritto d’accesso concernente il sistema di trattamento dei dati relativi ai reati federali
Qualora una persona domandi alla Polizia giudiziaria federale (PGF) se stia trattando dati che la concernono nel sistema di cui all’articolo11, fedpol differisce tale informazione:
se e nella misura in cui interessi preponderanti inerenti al procedimento penale, debitamente motivati negli atti, esigono il mantenimento del segreto riguardo ai dati concernenti il richiedente; o
se non sono trattati dati concernenti il richiedente.
Fedpol comunica al richiedente il differimento dell’informazione rendendolo attento al fatto che può chiedere all’Incaricato federale della protezione dei dati e della trasparenza (Incaricato) di verificare se dati che lo concernono sono trattati in modo lecito e se interessi preponderanti al mantenimento del segreto giustificano il differimento.
L’Incaricato effettua la verifica; comunica all’interessato che nessun dato che lo dei dati personali o relativi al differimento dell’informazione, che ha aperto un’inchiesta conformemente all’articolo22 della legge del 28 settembre 201819 sulla protezione dei dati in ambito Schengen (LPDS).
Se riscontra errori nel trattamento dei dati o relativi al differimento dell’informazione, l’Incaricato ordina a fedpol di porvi rimedio.
Le comunicazioni di cui ai capoversi 2 e 3 hanno sempre lo stesso tenore e non vengono motivate. La comunicazione di cui al capoverso3 non è impugnabile.
Fedpol fornisce le informazioni al richiedente appena viene meno l’interesse al mantenimento del segreto, ma al più tardi allo scadere della durata di conservazione dei dati, purché ciò non comporti un onere di lavoro eccessivo. Le persone di cui non sono stati trattati dati ne sono informate da fedpol tre anni dopo il ricevimento della loro domanda.
Qualora l’interessato renda verosimile che il differimento dell’informazione gli arrecherebbe un danno rilevante e irreparabile, l’Incaricato può ordinare che, a titolo eccezionale, fedpol fornisca immediatamente le informazioni richieste, se e nella misura in cui ciò non pregiudichi la sicurezza interna o esterna.
Inserire prima del titolo della sezione 2
Art. 8a Restrizione del diritto d’accesso in caso di segnalazioni per l’arresto a scopo di estradizione
Qualora una persona domandi a fedpol se è segnalata in un sistema d’informazione di polizia per l’arresto a scopo di estradizione, fedpol le comunica che nessun dato che la concerne è trattato in modo illecito e che può chiedere all’Incaricato di verificare se gli eventuali dati che la concernono sono trattati in modo lecito.
L’Incaricato effettua la verifica; comunica all’interessato che nessun dato che lo dei dati personali, che ha aperto un’inchiesta conformemente all’articolo 22 LPDS20.
Se riscontra errori nel trattamento dei dati, l’Incaricato ordina a fedpol di porvi rimedio.
Le comunicazioni di cui ai capoversi1 e 2 hanno sempre lo stesso tenore e non vengono motivate.
La comunicazione di cui al capoverso 2 non è impugnabile.
9. Legge del 12 giugno 200921 sullo scambio di informazioni con gli Stati Schengen
Art. 2 cpv.3
Il trattamento di informazioni è retto dagli articoli 349a–349h del Codice penale22.
Art. 6a –6c
Abrogati
III
La presente legge sottostà a referendum facoltativo.
Il Consiglio federale ne determina l’entrata in vigore.
Consiglio nazionale, 28 settembre 2018 Consiglio degli Stati, 28 settembre 2018 Il presidente: Dominique de Buman La presidente: Karin Keller-Sutter Il segretario: Pierre-Hervé Freléchoz La segretaria: Martina Buol Referendum ed entrata in vigore
Iltermine di referendum per la presente legge è decorso infruttuosamente il 17 gennaio 2019.23
La presente legge entra in vigore il 1° marzo 2019.
30 gennaio 2019 In nome del Consiglio federale svizzero: |
|---|
Il presidente della Confederazione, Ueli Maurer |
Il cancelliere della Confederazione,Walter Thurnherr |