Lexipedia

171.100

Legge cantonale sulla protezione dei dati

(LCPD)

del 10.02.2025 (stato 01.01.2026)

Preambolo

Il Gran Consiglio del Cantone dei Grigioni[1],

visto l'art. 31 cpv. 1 della Costituzione cantonale[2],

visto il messaggio del Governo del 24 ottobre 2024[3],

decide:

1. Disposizioni generali

Art. 1 Scopo

La presente legge serve a proteggere le persone dal trattamento illecito di dati personali da parte di organi pubblici.

Art. 2 Campo d'applicazione

La presente legge si applica al trattamento di dati personali da parte di organi pubblici.

Se un organo pubblico prende parte alla concorrenza economica e in questo ambito non agisce in veste decisionale, per il trattamento di tali dati sono applicabili le normative della legge federale sulla protezione dei dati[4]. La vigilanza si conforma alla presente legge, tranne nel caso di organi pubblici che prendono parte esclusivamente alla concorrenza economica e in questo ambito agiscono in base al diritto privato.

Il trattamento di dati personali e i diritti delle persone interessate nei procedimenti giudiziari e nei procedimenti secondo gli ordinamenti procedurali federali nonché nelle procedure della giurisdizione amministrativa, ad eccezione delle procedure di prima istanza dinanzi ad autorità amministrative, sono retti dal diritto processuale applicabile.

Le disposizioni divergenti e complementari in altre leggi sono fatte salve a condizione che garantiscano la protezione dei diritti fondamentali di persone i cui dati personali sono oggetto di trattamento da parte di organi pubblici ai sensi della presente legge.

Art. 3 Definizioni

Sono considerati organi pubblici ai sensi della presente legge:

  1. le autorità, le amministrazioni e le commissioni del Cantone, delle regioni, dei comuni e delle unioni di comuni;
  2. le autorità, le amministrazioni e le commissioni di istituti, fondazioni ed enti di diritto pubblico del Cantone, delle regioni e dei comuni;
  3. le persone fisiche o giuridiche o altre organizzazioni di diritto privato per quanto adempiano compiti pubblici loro delegati.

Per dati personali ai sensi della presente legge si intendono tutte le informazioni concernenti una persona fisica identificata o identificabile.

Per dati personali degni di particolare protezione si intendono dati personali associati a un pericolo particolare che vengano violati diritti fondamentali, segnatamente:

  1. i dati concernenti le opinioni o attività religiose, filosofiche, politiche o sindacali;
  2. i dati concernenti la salute, la sfera intima o l'appartenenza a una razza o a un'etnia;
  3. i dati genetici;
  4. i dati biometrici che identificano in modo univoco una persona fisica;
  5. i dati concernenti perseguimenti e sanzioni amministrativi e penali;
  6. i dati concernenti le misure d'assistenza sociale.

Per profili della personalità si intendono raccolte di dati che permettono di valutare aspetti essenziali della personalità di una persona fisica.

Per profilazione si intende qualsiasi tipo di trattamento automatizzato di dati personali consistente nell'utilizzazione degli stessi per valutare determinati aspetti personali di una persona fisica, in particolare per analizzare o prevedere aspetti concernenti il rendimento professionale, la situazione economica, la salute, le preferenze, gli interessi, l'affidabilità, il comportamento, i luoghi di permanenza e gli spostamenti di tale persona.

Per trattamento si intende qualsiasi operazione relativa a dati personali, indipendentemente dai mezzi e dalle procedure impiegati, segnatamente la raccolta, la registrazione, la conservazione, l'utilizzazione, la modificazione, la comunicazione, l'archiviazione, la cancellazione o la distruzione di dati.

Per comunicazione si intende la trasmissione di dati personali o il fatto di renderli accessibili.

Per violazione della sicurezza dei dati si intende la violazione della sicurezza in seguito alla quale, in modo accidentale o illecito, dati personali vengono persi, cancellati, distrutti, modificati oppure divulgati o resi accessibili a persone non autorizzate.

Per responsabile del trattamento si intende una terza persona che tratta dati personali per conto dell'organo pubblico titolare del trattamento.

Art. 4 Responsabilità

Per la protezione dei dati è responsabile l'organo pubblico che, singolarmente o insieme ad altri, determina lo scopo e i mezzi del trattamento.

Se più organi pubblici trattano dati personali di un insieme di dati, disciplinano tra loro le responsabilità e designano l'organo che detiene la responsabilità globale.

Su richiesta, l'organo pubblico titolare del trattamento deve essere in grado di dimostrare nei confronti dell'organo di vigilanza il rispetto delle disposizioni in materia di protezione dei dati.

Art. 5 Principi del trattamento di dati

I dati personali devono essere trattati in modo lecito.

Il trattamento deve essere conforme ai principi della buona fede e della proporzionalità.

I dati personali possono essere raccolti soltanto per uno scopo determinato e riconoscibile per la persona interessata; possono essere trattati ulteriormente soltanto in modo compatibile con tale scopo.

I dati personali sono distrutti o resi anonimi appena non sono più necessari per lo scopo del trattamento.

Chi tratta dati personali deve accertarsi della loro esattezza. Deve prendere tutte le misure adeguate per rettificare, cancellare o distruggere i dati inesatti o incompleti rispetto allo scopo per il quale sono stati raccolti o trattati. L'adeguatezza delle misure dipende segnatamente dal tipo e dall'entità del trattamento come pure dai rischi derivanti dal trattamento per i diritti fondamentali delle persone interessate.

Laddove una condizione sia necessaria per il trattamento, il consenso della persona interessata è valido soltanto se, dopo debita informazione, è dato in modo libero in riferimento a uno o più trattamenti specifici.

È necessario l'espresso consenso per:

  1. il trattamento di dati personali degni di particolare protezione;
  2. la profilazione o il trattamento di un profilo della personalità.

Art. 6 Sicurezza dei dati

L'organo pubblico titolare del trattamento e il responsabile del trattamento garantiscono, mediante appropriati provvedimenti tecnici e organizzativi, che la sicurezza dei dati personali sia adeguata al rischio.

I provvedimenti devono permettere di evitare violazioni della sicurezza dei dati.

Il Governo emana disposizioni sui requisiti minimi in materia di sicurezza dei dati.

2. Trattamento di dati personali

Art. 7 Trattamento di dati personali

Gli organi pubblici hanno il diritto di trattare dati personali soltanto se lo prevede una base legale o se il trattamento è indispensabile all'adempimento di un compito legale.

La base legale deve figurare in una legge nei casi seguenti:

  1. sono trattati dati personali degni di particolare protezione;
  2. è allestito un profilo della personalità o è effettuata una profilazione;
  3. lo scopo del trattamento o il tipo di trattamento può comportare una grave ingerenza nei diritti fondamentali della persona interessata.

Per il trattamento di dati personali secondo il capoverso 2 lettera a e lettera b è sufficiente una base legale figurante in un'ordinanza se:

  1. il trattamento è indispensabile per l'adempimento di un compito esplicitamente descritto in una legge;
  2. lo scopo del trattamento non comporta rischi particolari per i diritti fondamentali della persona interessata.

In deroga al capoverso 1 fino al capoverso 3, gli organi pubblici possono trattare dati personali se una delle seguenti condizioni è soddisfatta:

  1. la persona interessata ha dato, nel caso specifico, il suo consenso al trattamento oppure ha reso i suoi dati personali accessibili a chiunque e non si è opposta espressamente al trattamento;
  2. il trattamento è necessario per proteggere la vita o l'integrità fisica della persona interessata o di un terzo e non è possibile ottenere il consenso della persona interessata entro un termine ragionevole.

Art. 8 Trattamento automatizzato di dati personali nell'ambito di sistemi pilota

Il Governo può autorizzare il trattamento automatizzato di dati personali degni di particolare protezione o di profili della personalità o la profilazione prima dell'entrata in vigore di una legge se:

  1. i compiti che richiedono tale trattamento sono disciplinati in una legge già in vigore;
  2. sono prese misure sufficienti per ridurre al minimo l'ingerenza nei diritti fondamentali delle persone interessate; e
  3. per l'attuazione pratica del trattamento è imprescindibile una fase sperimentale prima dell'entrata in vigore, in particolare per ragioni tecniche.

Il Governo chiede previamente il parere dell'organo di vigilanza.

L'organo pubblico titolare del trattamento presenta un rapporto di valutazione al Governo al più tardi due anni dopo la messa in opera del sistema pilota. Nel rapporto propone la continuazione o l'interruzione del trattamento.

Il trattamento automatizzato di dati personali deve in ogni caso essere interrotto se entro cinque anni dalla messa in opera del sistema pilota non è entrata in vigore una legge che prevede la pertinente base legale.

Art. 9 Trattamento da parte di un responsabile del trattamento

Il trattamento di dati personali può essere affidato a un responsabile del trattamento per contratto o per legge se:

  1. questi effettua soltanto i trattamenti di dati che l'organo pubblico titolare del trattamento avrebbe il diritto di effettuare; e
  2. nessun obbligo legale o contrattuale di serbare il segreto lo vieta.

L'organo pubblico titolare del trattamento deve in particolare accertarsi che il responsabile del trattamento sia in grado di garantire la sicurezza dei dati.

Il responsabile del trattamento può affidare il trattamento a un terzo soltanto previa autorizzazione dell'organo pubblico titolare del trattamento.

Art. 10 Comunicazione di dati personali 1. Direttive generali

Gli organi pubblici hanno il diritto di comunicare dati personali soltanto se lo prevede una base legale ai sensi dell'articolo 7 capoverso 1 fino al capoverso 3.

In deroga al capoverso 1, gli organi pubblici possono, nel caso specifico, comunicare dati personali se una delle seguenti condizioni è soddisfatta:

  1. la comunicazione dei dati è indispensabile all'adempimento dei compiti legali dell'organo pubblico titolare del trattamento o del destinatario;
  2. la persona interessata ha dato il suo consenso alla comunicazione o ha reso i suoi dati personali accessibili a chiunque e non si è opposta espressamente alla comunicazione;
  3. la comunicazione è necessaria per proteggere la vita o l'integrità fisica della persona interessata o di un terzo e non è possibile ottenere il consenso della persona interessata entro un termine ragionevole;
  4. il destinatario rende verosimile che la persona interessata rifiuta di dare il proprio consenso, oppure si oppone alla comunicazione, al solo scopo di impedirgli l'attuazione di pretese giuridiche o la difesa di altri interessi degni di protezione; la persona interessata deve previamente essere invitata a pronunciarsi, salvo che ciò sia impossibile o richieda un onere sproporzionato.

Gli organi pubblici possono comunicare, su richiesta, cognome, nome, indirizzo e data di nascita di una persona anche se le condizioni del capoverso 1 o del capoverso 2 non sono soddisfatte.

Gli organi pubblici rifiutano o limitano la comunicazione, oppure la vincolano a oneri, se lo esige:

  1. un importante interesse pubblico o un interesse manifestamente degno di protezione della persona interessata; o
  2. un obbligo legale di serbare il segreto o una disposizione speciale concernente la protezione dei dati.

Art. 11 2. Comunicazione di dati personali nell'ambito dell'attività di informazione ufficiale

Nell'ambito dell'informazione ufficiale del pubblico, gli organi pubblici possono inoltre comunicare dati personali d'ufficio se:

  1. i dati sono in rapporto con l'adempimento di compiti pubblici; e
  2. sussiste un interesse pubblico preponderante alla comunicazione.

Gli organi pubblici possono rendere accessibili a chiunque dati personali mediante servizi di informazione e comunicazione automatizzati se una base legale prevede la pubblicazione di questi dati oppure se comunicano dati in virtù del capoverso 1. Se cessa l'interesse pubblico a renderli accessibili a chiunque, i dati contenuti nel servizio di informazione e comunicazione automatizzato sono cancellati.

La procedura di accesso a documenti ufficiali si conforma alla legge sul principio di trasparenza[5].

Art. 12 3. Comunicazione di dati personali all'estero

Dati personali possono essere comunicati all'estero soltanto se la legislazione dello Stato destinatario o l'organismo internazionale garantisce una protezione adeguata.

Negli Stati la cui legislazione non garantisce una protezione adeguata i dati personali possono essere comunicati soltanto se:

  1. garanzie sufficienti, in particolare mediante contratto, garantiscono una protezione adeguata all'estero;
  2. la persona interessata ha dato il suo espresso consenso alla comunicazione;
  3. la comunicazione è in relazione diretta con la conclusione o l'esecuzione di un contratto tra l'organo pubblico titolare del trattamento e la persona interessata o tra l'organo pubblico titolare del trattamento e un altro contraente, nell'interesse della persona interessata;
  4. la comunicazione è necessaria per tutelare un interesse pubblico preponderante o per accertare, esercitare o far valere un diritto dinanzi a un giudice o a un'altra autorità estera competente;
  5. la comunicazione è necessaria per proteggere la vita o l'integrità fisica della persona interessata o di un terzo e non è possibile ottenere il consenso della persona interessata entro un termine ragionevole;
  6. la persona interessata ha reso i dati personali accessibili a chiunque e non si è opposta espressamente al loro trattamento; o
  7. i dati provengono da un registro previsto dalla legge accessibile al pubblico o alle persone con un interesse degno di protezione, sempreché nel caso specifico siano adempiute le condizioni legali per la consultazione.

Prima della comunicazione dei dati personali all'estero l'organo pubblico informa l'organo di vigilanza in merito alle garanzie di cui al capoverso 2 lettera a.

Art. 13 Trattamento di dati personali per scopi impersonali

Gli organi pubblici hanno il diritto di trattare dati personali per scopi impersonali, in particolare nei settori della ricerca, della pianificazione o della statistica, se:

  1. rendono anonimi i dati non appena lo scopo del trattamento lo permette;
  2. comunicano a privati i dati personali degni di particolare protezione soltanto in una forma che non permetta d'identificare le persone interessate;
  3. il destinatario trasmette a terzi i dati soltanto con l'autorizzazione dell'organo pubblico che glieli ha comunicati; e
  4. i risultati sono pubblicati soltanto in una forma che non permetta d'identificare le persone interessate.

L'articolo 5 capoverso 3, l'articolo7 capoverso 2 nonché l'articolo 10 capoverso 1 non sono applicabili.

Art. 14 Sorveglianza con acquisizione di immagini dello spazio pubblico e pubblicamente accessibile 1. Direttive generali

Lo spazio pubblico e pubblicamente accessibile può essere sorvegliato con apparecchi di trasmissione e di registrazione di immagini allo scopo di identificare persone se:

  1. la sicurezza e l'ordine pubblici sono esposti a una minaccia concreta; oppure
  2. ciò è necessario a protezione di edifici destinati a usi pubblici o dei loro utenti.

In sede di trattamento dei dati personali devono essere rispettati i principi generali. In aggiunta occorre garantire che:

  1. gli impianti di sorveglianza siano segnalati in maniera adeguata e riconoscibile;
  2. settori funzionali allo svolgimento di attività coperte dal segreto professionale ai sensi dell'articolo 171 del Codice di diritto processuale penale svizzero[6] siano esclusi dalla sorveglianza; e
  3. dati personali registrati vengano cancellati entro 90 giorni o vengano trasmessi all'autorità competente ai fini dell'utilizzo in un procedimento penale o dell'attuazione di pretese di diritto civile a seguito di un reato.

Art. 15 2. Disposizione della sorveglianza con acquisizione di immagini dello spazio pubblico e pubblicamente accessibile

La sorveglianza con acquisizione di immagini dello spazio pubblico e pubblicamente accessibile può essere disposta da un organo pubblico titolare del diritto d'uso o della sovranità sullo spazio oggetto di sorveglianza.

L'organo pubblico emana una decisione generale in cui vengono definiti lo scopo, la tipologia e la durata della sorveglianza, i luoghi oggetto di sorveglianza, le ubicazioni degli apparecchi di sorveglianza, le misure con le quali viene segnalata la sorveglianza, i diritti d'accesso nonché le misure adottate per garantire la sicurezza dei dati. La decisione generale è valida per al massimo cinque anni.

L'organo pubblico è tenuto a pubblicare in precedenza la decisione generale da emanare. Concede il diritto di essere sentiti prevedendo un termine adeguato per prendere posizione.

Non va concessa una previa protezione giuridica per sorveglianze con acquisizione di immagini riferite a un evento con una durata di al massimo tre mesi e per sorveglianze con acquisizione di immagini a protezione di edifici destinati a usi pubblici che vengono impiegate in relazione a un evento e non registrano dati personali.

Art. 16 Archiviazione e distruzione

L'organo pubblico offre all'archivio competente i dati personali di cui non necessita più secondo le prescrizioni vigenti in materia.

Esso distrugge i dati personali che l'archivio competente ha designato come non aventi valore archivistico, salvo che tali dati:

  1. siano resi anonimi;
  2. debbano essere conservati a titolo di prova, per misura di sicurezza o per salvaguardare un interesse degno di protezione della persona interessata.

3. Obblighi dell'organo pubblico titolare del trattamento

Art. 17 Obbligo di informare sulla raccolta di dati personali

L'organo pubblico titolare del trattamento informa in modo adeguato la persona interessata sulla raccolta di dati personali; tale obbligo sussiste anche se i dati non sono raccolti presso la persona interessata.

Al momento della raccolta, l'organo pubblico titolare del trattamento fornisce alla persona interessata le informazioni necessarie affinché questa possa far valere i propri diritti secondo la presente legge e sia garantito un trattamento trasparente dei dati; fornisce almeno le informazioni seguenti:

  1. l'identità e i dati di contatto dell'organo pubblico titolare del trattamento;
  2. la base legale e lo scopo del trattamento;
  3. i diritti della persona interessata;
  4. se del caso, i destinatari o le categorie di destinatari cui sono comunicati dati personali;
  5. le categorie di dati personali trattati se i dati non sono raccolti presso la persona interessata;
  6. se i dati sono comunicati all'estero, anche lo Stato o l'organismo internazionale destinatario e, se del caso, le garanzie o l'applicazione di un'eccezione secondo l'articolo 12 capoverso 2.

Se i dati personali non sono raccolti presso la persona interessata, l'organo pubblico titolare del trattamento fornisce alla persona interessata le informazioni di cui al capoverso 2 entro un mese dalla ricezione dei dati. Se comunica questi dati personali prima della scadenza di detto termine, l'organo pubblico titolare del trattamento fornisce alla persona interessata tali informazioni al più tardi al momento della comunicazione.

Art. 18 Eccezioni all'obbligo di informare e limitazioni

L'obbligo di informare sulla raccolta di dati personali non sussiste se una delle seguenti condizioni è soddisfatta:

  1. la persona interessata dispone già delle pertinenti informazioni;
  2. il trattamento è previsto dalla legge;
  3. i dati personali non sono raccolti presso la persona interessata e l'informazione non è possibile o richiede un onere sproporzionato.

L'organo pubblico titolare del trattamento può limitare o differire l'informazione oppure rinunciarvi alle stesse condizioni valide per il diritto d'accesso secondo l'articolo 25.

Art. 19 Valutazione d'impatto sulla protezione dei dati

L'organo pubblico titolare del trattamento effettua previamente una valutazione d'impatto sulla protezione dei dati quando il trattamento può comportare un rischio elevato per i diritti fondamentali della persona interessata. Se prevede più operazioni di trattamento simili può procedere a una valutazione d'impatto comune.

Il rischio elevato, in particolare in caso di utilizzazione di nuove tecnologie, risulta dal tipo, dall'entità, dalle circostanze e dallo scopo del trattamento. Sussiste segnatamente nel caso di:

  1. trattamento su grande scala di dati personali degni di particolare protezione;
  2. sorveglianza sistematica di ampi spazi pubblici.

La valutazione d'impatto sulla protezione dei dati contiene una descrizione del trattamento previsto, una valutazione dei rischi per i diritti fondamentali della persona interessata nonché i provvedimenti a loro tutela.

Art. 20 Consultazione preliminare

L'organo pubblico titolare del trattamento chiede previamente il parere dell'organo di vigilanza se dalla valutazione d'impatto sulla protezione dei dati emerge che, nonostante i provvedimenti previsti dall'organo pubblico titolare, il trattamento previsto comporta un rischio elevato per i diritti fondamentali della persona interessata.

L'organo di vigilanza comunica entro un termine adeguato all'organo pubblico titolare del trattamento le sue obiezioni contro il trattamento previsto e propone provvedimenti idonei.

Art. 21 Notifica di violazioni della sicurezza dei dati

L'organo pubblico titolare del trattamento notifica quanto prima all'organo di vigilanza ogni violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato per i diritti fondamentali della persona interessata.

Nella notifica l'organo pubblico titolare del trattamento menziona almeno il tipo di violazione della sicurezza dei dati, le sue conseguenze e le misure disposte o previste.

Il responsabile del trattamento informa quanto prima l'organo pubblico titolare del trattamento su ogni violazione della sicurezza dei dati.

L'organo pubblico titolare del trattamento informa la persona interessata sulla violazione della sicurezza dei dati, se ciò è necessario per proteggere la persona interessata o se lo esige l'organo di vigilanza.

L'organo pubblico titolare del trattamento può limitare o differire l'informazione della persona interessata o rinunciarvi se:

  1. lo esigono interessi preponderanti di terzi;
  2. lo esigono interessi pubblici preponderanti, in particolare a tutela della sicurezza interna o esterna;
  3. la fornitura delle informazioni rischia di compromettere un'indagine, un'istruzione o un procedimento giudiziario o amministrativo;
  4. sussiste un obbligo legale di serbare il segreto;
  5. l'informazione è impossibile o richiede un onere sproporzionato;
  6. l'informazione è garantita in modo equivalente con una comunicazione pubblica.

Art. 22 Registro delle attività di trattamento

Quale comprova del rispetto delle disposizioni sulla protezione dei dati, gli organi pubblici designati dal Governo e i tribunali penali tengono un registro delle rispettive attività di trattamento.

Il registro contiene almeno:

  1. l'identità e i dati di contatto dell'organo pubblico titolare del trattamento;
  2. la base legale e lo scopo del trattamento;
  3. una descrizione delle categorie di persone interessate e delle categorie di dati personali trattati;
  4. se del caso, i destinatari o le categorie di destinatari cui sono comunicati dati personali;
  5. la durata di conservazione dei dati personali o i criteri per stabilire tale durata;
  6. una descrizione generale dei provvedimenti tesi a garantire la sicurezza dei dati personali;
  7. l'indicazione se i dati personali sono comunicati all'estero e, se del caso, le garanzie o l'applicazione di un'eccezione secondo l'articolo 12 capoverso 2.

L'organo pubblico notifica i suoi registri all'organo di vigilanza e può pubblicarli.

Art. 23 Consulente per la protezione dei dati

Gli organi pubblici designati dal Governo e i tribunali penali designano una persona competente per la consulenza in materia di protezione dei dati. Questa ha segnatamente i compiti seguenti:

  1. fornire consulenza e sostegno ai collaboratori in sede di trattamento di dati personali per quanto riguarda il rispetto delle disposizioni sulla protezione dei dati;
  2. provvedere allo svolgimento delle valutazioni d'impatto sulla protezione dei dati;
  3. essere la persona di riferimento dell'organo di vigilanza e collaborare con quest'ultimo.

4. Diritti della persona interessata

Art. 24 Diritto d'accesso

Ogni persona interessata può domandare all'organo pubblico titolare del trattamento se dati personali che lo concernono sono oggetto di trattamento.

Alla persona interessata sono fornite le informazioni necessarie affinché possa far valere i suoi diritti secondo la presente legge e sia garantito un trattamento trasparente dei dati. In ogni caso le sono fornite le informazioni seguenti:

  1. le indicazioni di cui all'articolo 17 capoverso 2;
  2. la durata di conservazione dei dati personali o i criteri per stabilire tale durata;
  3. le informazioni disponibili sulla provenienza dei dati personali che non sono stati raccolti presso la persona interessata.

I dati personali concernenti la salute possono essere comunicati alla persona interessata per il tramite di un professionista della salute da lei designato; a tale scopo è necessario il consenso della persona interessata.

L'organo pubblico titolare del trattamento è tenuto a fornire le informazioni richieste anche se ha affidato il trattamento dei dati personali a un responsabile del trattamento.

Nessuno può rinunciare preventivamente al diritto d'accesso.

Di norma l'informazione è fornita entro 30 giorni.

Art. 25 Restrizione del diritto d'accesso

L'organo pubblico titolare del trattamento può rifiutare, limitare o differire l'informazione se:

  1. lo prevede un obbligo legale particolare di serbare il segreto;
  2. lo esigono interessi preponderanti di terzi;
  3. lo esige un interesse pubblico preponderante, in particolare la sicurezza interna o esterna della Svizzera; oppure
  4. la fornitura delle informazioni rischia di compromettere un'indagine, un'istruzione o un procedimento giudiziario o amministrativo.

Art. 26 Opposizione alla comunicazione di dati personali

La persona interessata che rende verosimile un interesse degno di protezione può opporsi alla comunicazione di determinati dati personali da parte dell'organo pubblico titolare del trattamento.

L'organo pubblico respinge l'opposizione se una delle seguenti condizioni è soddisfatta:

  1. sussiste un obbligo legale alla comunicazione;
  2. l'adempimento del suo compito ne risulterebbe altrimenti pregiudicato.

È fatto salvo l'articolo 11 capoverso 1.

Art. 27 Altre pretese

Chi ha un interesse degno di protezione può esigere che l'organo pubblico titolare del trattamento:

  1. si astenga dal trattamento illecito dei pertinenti dati personali;
  2. elimini le conseguenze di un trattamento illecito;
  3. accerti il carattere illecito del trattamento.

Il richiedente può in particolare esigere che l'organo pubblico titolare del trattamento:

  1. rettifichi, cancelli o distrugga i pertinenti dati personali;
  2. comunichi a terzi o pubblichi la sua decisione, in particolare la rettifica, la cancellazione o la distruzione dei dati, l'opposizione alla comunicazione o la menzione del carattere contestato dei dati.

Se non possono essere accertate né l'esattezza né l'inesattezza dei dati personali, l'organo pubblico titolare del trattamento aggiunge agli stessi una menzione che ne indica il carattere contestato.

Art. 28 Procedura

Se un organo pubblico non accoglie una richiesta in virtù della presente legge, emana una decisione motivata.

Di norma, l'esercizio del diritto d'accesso e del diritto di rettifica di dati personali nonché la domanda di opposizione alla comunicazione di dati personali sono gratuiti.

È possibile riscuotere una tassa adeguata se:

  1. l'esercizio dei diritti è associato a spese sproporzionate; oppure
  2. la domanda è manifestamente infondata, segnatamente se persegue uno scopo contrario alla protezione dei dati, o se è querulosa.

Se l'organo pubblico non dispone di una regolamentazione propria relativa alla riscossione di una tassa, vale per analogia l'ordinanza sulle spese nelle procedure amministrative.

Per il resto la procedura si conforma alla legge sulla giustizia amministrativa[7].

Art. 29 Procedura in caso di comunicazione di documenti ufficiali che contengono dati personali

Se è in corso una procedura ai sensi della legge sul principio di trasparenza[8] concernente l'accesso a documenti ufficiali che contengono dati personali, la persona interessata può, in tale procedura, far valere i diritti che le spettano in virtù dell'articolo 27 in riferimento ai documenti oggetto della procedura di accesso.

5. Vigilanza

Art. 30 Organo di vigilanza

L'organo di vigilanza per la protezione dei dati vigila sull'applicazione delle disposizioni sulla protezione dei dati.

Non sono soggetti alla vigilanza dell'organo di vigilanza:

  1. i trattamenti di dati in procedimenti in corso dell'amministrazione della giustizia civile e penale;
  2. i trattamenti di dati in procedimenti in corso della giurisdizione costituzionale e amministrativa;
  3. il Gran Consiglio e i suoi organi.

Art. 31 Composizione e posizione

L'organo di vigilanza è composto almeno dall'incaricato della protezione dei dati e da un supplente.

Dal profilo professionale l'organo di vigilanza adempie i suoi compiti in maniera autonoma ed indipendente. Nell'adempimento dei suoi compiti l'organo di vigilanza non è vincolato a direttive.

Dal profilo amministrativo l'organo di vigilanza è subordinato alla Cancelleria dello Stato.

Il Governo esercita la vigilanza sull'organo di vigilanza.

I rapporti di lavoro e la previdenza professionale di tutti i collaboratori dell'organo di vigilanza si conformano al diritto cantonale sul personale rispettivamente al diritto cantonale sulla Cassa pensioni, per quanto la presente legge non preveda nulla di diverso.

Il Governo classifica gli impieghi dell'incaricato della protezione dei dati e del suo supplente in classi di funzione secondo il diritto cantonale sul personale.

Art. 32 Nomina

Il Governo nomina uno specialista in questioni concernenti la protezione dei dati quale incaricato della protezione dei dati nonché un supplente per un mandato di quattro anni. La riconferma è ammessa.

Il Governo può destituire l'incaricato della protezione dei dati e il suo supplente prima della scadenza del mandato se questi:

  1. intenzionalmente o per negligenza grave, ha violato gravemente i suoi doveri d'ufficio; o
  2. ha durevolmente perso la capacità di esercitare il suo ufficio.

Art. 33 Incompatibilità

L'incaricato della protezione dei dati e il supplente non possono ricoprire un'altra carica pubblica, esercitare una funzione direttiva in seno a un partito politico o svolgere un'altra attività lavorativa. Il Governo può autorizzare eccezioni sempreché non siano pregiudicati l'adempimento della funzione nonché l'indipendenza e la reputazione.

Se l'incaricato della protezione dei dati e il supplente svolgono la loro attività a tempo parziale, un'altra attività lucrativa deve essere autorizzata dal Governo. L'autorizzazione può essere negata se tale attività lucrativa pregiudica l'adempimento della funzione nonché l'indipendenza e la reputazione.

Art. 34 Preventivo

L'incaricato della protezione dei dati allestisce un proprio preventivo.

Nel messaggio sul preventivo il Governo comunica se la proposta è stata ripresa senza modifiche. Le divergenze devono essere motivate.

Nel quadro del preventivo l'incaricato della protezione dei dati è competente per l'assunzione di impiegati nonché per la disdetta e la riconfigurazione dei rispettivi rapporti di lavoro.

Art. 35 Compiti

L'organo di vigilanza:

  1. vigila sull'applicazione delle disposizioni sulla protezione dei dati;
  2. fornisce consulenza alle persone interessate in merito ai loro diritti;
  3. funge da mediatore tra le persone interessate e gli organi pubblici;
  4. fornisce consulenza alle autorità in questioni concernenti la protezione dei dati e vigila sulla sicurezza dei dati;
  5. si pronuncia in merito ad atti legislativi e a progetti d'informatica, per quanto essi siano rilevanti per la protezione dei dati;
  6. si occupa di notifiche inoltrate da persone interessate concernenti la violazione di disposizioni della presente legge e informa queste persone entro al massimo tre mesi in merito al risultato o allo stato degli accertamenti;
  7. sensibilizza gli organi pubblici in merito ai loro obblighi previsti dal diritto in materia di protezione dei dati e il pubblico in merito alle esigenze della protezione dei dati;
  8. segue gli sviluppi determinanti per la protezione di dati personali;
  9. ai fini dell'adempimento dei suoi compiti, collabora con organi degli altri Cantoni, della Confederazione e dell'estero che adempiono gli stessi compiti.

Art. 36 Competenze 1. Controllo e raccomandazione

L'organo di vigilanza si attiva d'ufficio o a seguito di notifiche da parte delle persone interessate. L'organo pubblico competente deve essere messo a conoscenza della notifica e deve essere invitato a esprimere un parere.

Indipendentemente da eventuali disposizioni relative all'obbligo di serbare il segreto, l'organo di vigilanza può raccogliere tutte le informazioni relative al trattamento di dati necessarie per l'adempimento del mandato di controllo, prendere visione di tutta la documentazione, svolgere sopralluoghi e farsi spiegare lo svolgimento di trattamenti di dati.

L'organo di vigilanza può formulare raccomandazioni per il trattamento di dati personali. L'organo pubblico al quale è destinata la raccomandazione deve dichiarare all'organo di vigilanza se intende dare seguito alla raccomandazione.

Gli organi pubblici e il responsabile del trattamento sono tenuti a sostenere l'organo di vigilanza nell'adempimento dei suoi compiti. Essi partecipano in particolare all'accertamento della fattispecie.

Art. 37 2. Decisione

Se un organo pubblico dichiara di non dare seguito alla raccomandazione dell'organo di vigilanza o non vi dà effettivamente seguito, l'organo di vigilanza può emanare la raccomandazione o parti di essa sotto forma di decisione.

L'organo di vigilanza può emanare una decisione direttamente quando è prevedibile che l'organo pubblico rifiuterà una raccomandazione o non vi darà seguito.

Contro decisioni ai sensi dell'articolo 37 capoverso 1 e capoverso 2 l'organo pubblico può interporre ricorso al Tribunale d'appello. Fa stato la legge sulla giustizia amministrativa[9].

Contro decisioni concernenti il Tribunale d'appello quest'ultimo può interporre ricorso al Tribunale della magistratura.

Art. 38 Rapporto

L'organo di vigilanza riferisce ogni anno al Governo in merito all'entità e ai punti centrali della propria attività nonché a importanti constatazioni e valutazioni.

L'organo di vigilanza consente all'organo pubblico interessato da raccomandazioni e decisioni di prendere posizione per iscritto. Le prese di posizione vengono allegate al rapporto.

Il rapporto viene pubblicato.

Art. 39 Discrezione

Per quanto attiene ai dati personali, l'organo di vigilanza è tenuto al medesimo obbligo di discrezione cui soggiace l'organo pubblico che tratta i dati. L'obbligo di discrezione si protrae oltre la cessazione della funzione.

Fatte salve particolari disposizioni relative all'obbligo di serbare il segreto, l'organo di vigilanza può trasmettere informazioni delle quali è venuto a conoscenza durante l'esercizio della propria funzione soltanto nella misura in cui ciò sia necessario per l'adempimento dei suoi compiti.

6. Disposizioni penali e transitorie

Art. 40 Disposizioni penali

Chi in veste di responsabile del trattamento senza autorizzazione esplicita da parte dell'organo pubblico intenzionalmente o per negligenza utilizza per sé stesso o per terzi oppure comunica a terzi dati personali è punito con la multa.

Chi, contrariamente all'obbligo di cui all'articolo 13, intenzionalmente o per negligenza tratta per scopi diversi o trasmette a terzi dati personali che ha ricevuto da un organo pubblico per il trattamento per scopi impersonali è punito con la multa.

Art. 41 Disposizioni transitorie

I trattamenti di dati che secondo il diritto anteriore si fondano su una base legale sufficiente possono essere proseguiti per due anni in virtù delle basi legali esistenti.

La comprova del rispetto delle disposizioni in materia di protezione dei dati deve essere fornita entro due anni dall'entrata in vigore della presente legge.

L'articolo 19 e l'articolo 20 non sono applicabili ai trattamenti di dati avviati prima dell'entrata in vigore della presente legge, se lo scopo del trattamento o l'attività di trattamento non ha subito cambiamenti sostanziali.

Egress

2025-049

Tabella modifiche - Secondo decisione

Decisione Entrata in vigore Elemento Cambiamento Rimando AGS
10.02.2025 01.01.2026 atto normativo prima versione 2025-049

Tabella modifiche - Secondo articolo

Elemento Decisione Entrata in vigore Cambiamento Rimando AGS
atto normativo 10.02.2025 01.01.2026 prima versione 2025-049