Legge federale sulla protezione dei dati (LPD)

2020-2930 6695 Termine di referendum: 14 gennaio 2021

Legge federale sulla protezione dei dati (LPD)

del 25 settembre 2020

L’Assemblea federale della Confederazione Svizzera,

visti gli articoli 95 capoverso 1, 97 capoverso 1, 122 capoverso 1 e 173 capoverso 2

della Costituzione federale

1

;

visto il messaggio del Consiglio federale del 15 settembre 2017

2

,

decreta:

Capitolo 1:

Scopo e campo d’applicazione nonché autorità federale di vigilanza

Art. 1 Scopo

Scopo della presente legge è proteggere la personalità e i diritti fondamentali delle

persone fisiche i cui dati personali sono oggetto di trattamento.

Art. 2 Campo d’applicazione personale e materiale

1

La presente legge si applica al trattamento di dati personali concernenti persone

fisiche da parte di:

1. privati;
2. organi federali.

2

Non si applica al trattamento di dati personali da parte:

a. di persone fisiche per uso esclusivamente personale;

b. delle Camere federali e delle commissioni parlamentari nell’ambito delle lo-

ro deliberazioni;

RS ... 1 RS 101 2 FF 2017 5939

Protezione dei dati. LF FF 2020 6696 c. dei beneficiari istituzionali di cui all’articolo 2 capoverso 1 della legge del 22 giugno 2007 3 sullo Stato ospite che godono dell’immunità di giurisdizio- ne in Svizzera. 3 Il trattamento di dati personali e i diritti delle persone interessate nei procedimenti giudiziari e nei procedimenti secondo gli ordinamenti procedurali federali sono retti dal diritto processuale applicabile. Le disposizioni della presente legge si applicano alle procedure amministrative di primo grado. 4 I registri pubblici relativi ai rapporti di diritto privato, in particolare l’accesso a tali registri e i diritti delle persone interessate, sono retti dalle disposizioni speciali del diritto federale applicabile. In assenza di disposizioni speciali si applica la presente legge. Art. 3 Campo d’applicazione territoriale 1 La presente legge si applica alle fattispecie che generano effetti in Svizzera, anche se si verificano all’estero. 2 Alle pretese di diritto civile si applica la legge federale del 18 dicembre 1987 4 sul diritto internazionale privato. Sono fatte salve inoltre le disposizioni concernenti il campo d’applicazione territoriale del Codice penale 5 . Art. 4 Incaricato federale della protezione dei dati e della trasparenza 1 L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) vigila sull’applicazione delle disposizioni federali sulla protezione dei dati. 2 Non sono sottoposti alla vigilanza dell’IFPDT: a. l’Assemblea federale; b. il Consiglio federale; c. i tribunali della Confederazione; d. il Ministero pubblico della Confederazione, per quanto riguarda il trattamen- to di dati personali nell’ambito di un procedimento penale; e. le autorità federali, per quanto riguarda il trattamento di dati personali nel- l’ambito della loro attività giurisdizionale o di procedure di assistenza giudi- ziaria internazionale in materia penale.

3 RS 192.12 4 RS 291 5 RS 311.0

Protezione dei dati. LF FF 2020 6697 Capitolo 2: Disposizioni generali Sezione 1: Definizioni e principi Art. 5 Definizioni Nella presente legge s’intende per: a. dati personali: tutte le informazioni concernenti una persona fisica identifi- cata o identificabile; b. persona interessata: la persona fisica i cui dati personali sono oggetto di trattamento; c. dati personali degni di particolare protezione:

1. i dati concernenti le opinioni o attività religiose, filosofiche, politiche o sindacali,
2. i dati concernenti la salute, la sfera intima o l’appartenenza a una razza o a un’etnia,
3. i dati genetici,
4. i dati biometrici che identificano in modo univoco una persona fisica,
5. i dati concernenti perseguimenti e sanzioni amministrativi e penali,
6. i dati concernenti le misure d’assistenza sociale; d. trattamento: qualsiasi operazione relativa a dati personali, indipendentemen- te dai mezzi e dalle procedure impiegati, segnatamente la raccolta, la regi- strazione, la conservazione, l’utilizzazione, la modificazione, la comunica- zione, l’archiviazione, la cancellazione o la distruzione di dati; e. comunicazione: la trasmissione di dati personali o il fatto di renderli accessi- bili; f. profilazione: trattamento automatizzato di dati personali consistente nell’uti- lizzazione degli stessi per valutare determinati aspetti personali di una per- sona fisica, in particolare per analizzare o prevedere aspetti concernenti il rendimento professionale, la situazione economica, la salute, le preferenze, gli interessi, l’affidabilità, il comportamento, i luoghi di permanenza e gli spostamenti di tale persona; g. profilazione a rischio elevato: profilazione che comporta un rischio elevato per la personalità o i diritti fondamentali della persona interessata poiché comporta un collegamento tra dati che permette di valutare aspetti essenziali della personalità di una persona fisica; h. violazione della sicurezza dei dati: violazione della sicurezza in seguito alla quale, in modo accidentale o illecito, dati personali vengono persi, cancella- ti, distrutti, modificati oppure divulgati o resi accessibili a persone non auto- rizzate; i. organo federale: autorità o servizio della Confederazione, oppure persona cui sono affidati compiti federali;

Protezione dei dati. LF FF 2020 6698 j. titolare del trattamento: il privato o l’organo federale che, singolarmente o insieme ad altri, determina lo scopo e i mezzi del trattamento; k. responsabile del trattamento: il privato o l’organo federale che tratta dati personali per conto del titolare del trattamento. Art. 6 Principi 1 I dati personali devono essere trattati in modo lecito. 2 Il trattamento deve essere conforme ai principi della buona fede e della proporzio- nalità. 3 I dati personali possono essere raccolti soltanto per uno scopo determinato e rico- noscibile per la persona interessata; possono essere trattati ulteriormente soltanto in modo compatibile con tale scopo. 4 I dati personali sono distrutti o resi anonimi appena non sono più necessari per lo scopo del trattamento. 5 Chi tratta dati personali deve accertarsi della loro esattezza. Deve prendere tutte le misure adeguate per rettificare, cancellare o distruggere i dati inesatti o incompleti rispetto allo scopo per il quale sono stati raccolti o trattati. L’adeguatezza delle misure dipende segnatamente dal tipo e dall’entità del trattamento dei dati come pure dai rischi derivanti dal trattamento per la personalità o i diritti fondamentali della persona interessata. 6 Laddove sia una condizione necessaria per il trattamento, il consenso della persona interessata è valido soltanto se, dopo debita informazione, è dato in modo libero in riferimento a uno o più trattamenti specifici. 7 È necessario l’espresso consenso per: a. il trattamento di dati personali degni di particolare protezione; b. la profilazione a rischio elevato da parte di privati; c. la profilazione da parte di un organo federale. Art. 7 Protezione dei dati personali sin dalla progettazione e per impostazione predefinita 1 Il titolare del trattamento è tenuto ad adottare i provvedimenti tecnici e organizza- tivi necessari affinché il trattamento dei dati personali sia conforme alle disposizioni sulla protezione dei dati, in particolare ai principi di cui all’articolo 6. Li adotta sin dalla progettazione. 2 I provvedimenti tecnici e organizzativi devono essere adeguati in particolare allo stato della tecnica, al tipo e all’entità del trattamento dei dati personali come pure ai rischi derivanti dal trattamento per la personalità o i diritti fondamentali delle perso- ne interessate. 3 Il titolare del trattamento è tenuto a garantire, mediante appropriate impostazioni predefinite, che il trattamento di dati personali sia circoscritto al minimo indispensa- bile per lo scopo perseguito, salvo che la persona interessata disponga altrimenti.

Protezione dei dati. LF FF 2020 6699 Art. 8 Sicurezza dei dati 1 Il titolare e il responsabile del trattamento garantiscono, mediante appropriati provvedimenti tecnici e organizzativi, che la sicurezza dei dati personali sia adegua- ta al rischio. 2 I provvedimenti devono permettere di evitare violazioni della sicurezza dei dati. 3 Il Consiglio federale emana disposizioni sui requisiti minimi in materia di sicurez- za dei dati. Art. 9 Trattamento di dati personali da parte di un responsabile 1 Il trattamento di dati personali può essere affidato a un responsabile del trattamento per contratto o per legge se: a. questi effettua soltanto i trattamenti che il titolare del trattamento avrebbe il diritto di effettuare; e b. nessun obbligo legale o contrattuale di serbare il segreto lo vieta. 2 Il titolare del trattamento deve in particolare assicurare che il responsabile del trattamento sia in grado di garantire la sicurezza dei dati. 3 Il responsabile del trattamento può affidare il trattamento a un terzo soltanto previa autorizzazione del titolare del trattamento. 4 Il responsabile del trattamento può far valere gli stessi motivi giustificativi del titolare del trattamento. Art. 10 Consulente per la protezione dei dati 1 I titolari privati del trattamento possono nominare un consulente per la protezione dei dati. 2 Il consulente funge da interlocutore per le persone interessate come pure per le autorità competenti in Svizzera per la protezione dei dati. Ha segnatamente i compiti seguenti: a. fornire formazione e consulenza al titolare privato del trattamento in que- stioni concernenti la protezione dei dati; b. partecipare all’applicazione delle disposizioni sulla protezione dei dati. 3 I titolari privati del trattamento possono avvalersi dell’eccezione di cui all’ar- ticolo 23 capoverso 4 se: a. il consulente esercita la sua funzione in modo indipendente dal titolare del trattamento e senza ricevere da questi istruzioni; b. il consulente non esercita attività inconciliabili con i suoi compiti di consu- lente; c. il consulente dispone delle conoscenze tecniche necessarie; e d. il titolare del trattamento pubblica i dati di contatto del consulente e li comu- nica all’IFPDT.

Protezione dei dati. LF FF 2020

6700

4

Il Consiglio federale disciplina la nomina dei consulenti da parte degli organi

federali.

Art. 11 Codice di condotta

1

Le associazioni professionali, di settore ed economiche autorizzate dai loro statuti

a difendere gli interessi economici dei loro membri come pure gli organi federali

possono sottoporre all’IFPDT codici di condotta.

2

L’IFPDT esprime un parere riguardo a ogni codice di condotta; pubblica tali pareri.

Art. 12 Registro delle attività di trattamento

1

I titolari e i responsabili del trattamento tengono ognuno un registro delle rispettive

attività di trattamento.

2

Il registro del titolare del trattamento contiene almeno:

1. l’identità del titolare del trattamento;
2. lo scopo del trattamento;
3. una descrizione delle categorie di persone interessate e delle categorie di dati

personali trattati;

d. le categorie di destinatari;

e. se possibile, la durata di conservazione dei dati personali o i criteri per deter-

minare tale durata;

f. se possibile, una descrizione generale dei provvedimenti tesi a garantire la

sicurezza dei dati personali secondo l’articolo 8;

g. se i dati personali sono comunicati all’estero, le indicazioni relative allo

Stato destinatario e le garanzie di cui all’articolo 16 capoverso 2.

3

Il registro del responsabile del trattamento contiene indicazioni in merito alla sua

identità e a quella del titolare del trattamento, alle categorie dei trattamenti eseguiti

su incarico del titolare del trattamento, come pure le indicazioni di cui al capover-

so 2 lettere f e g.

4

Gli organi federali notificano i loro registri all’IFPDT.

5

Il Consiglio federale prevede eccezioni per le imprese con meno di 250 collabora-

tori i cui trattamenti di dati personali comportano soltanto un rischio esiguo di viola-

zione della personalità delle persone interessate.

Art. 13 Certificazione

1

I fornitori di programmi o sistemi di trattamento di dati personali come pure i

titolari e i responsabili del trattamento possono sottoporre i loro sistemi, prodotti e

servizi a una valutazione da parte di organismi di certificazione indipendenti ricono-

sciuti.

2

Il Consiglio federale emana disposizioni sul riconoscimento delle procedure di

certificazione e sull’introduzione di un marchio di qualità inerente alla protezione

Protezione dei dati. LF FF 2020 6701 dei dati. Tiene conto del diritto internazionale e delle norme tecniche riconosciute a livello internazionale.

Sezione 2: Trattamento da parte di titolari privati con sede o domicilio all’estero Art. 14 Rappresentante 1 I titolari privati del trattamento con sede o domicilio all’estero designano un rap- presentante in Svizzera se trattano dati personali concernenti persone in Svizzera e il trattamento: a. è legato a un’offerta di merci o prestazioni o finalizzato a porre sotto osser- vazione il comportamento di dette persone; b. è un trattamento su grande scala; c. è un trattamento periodico; e d. comporta un rischio elevato per la personalità delle persone interessate. 2 Il rappresentante funge da interlocutore per le persone interessate e l’IFPDT. 3 Il titolare del trattamento pubblica il nome e l’indirizzo del rappresentante. Art. 15 Obblighi del rappresentante 1 Il rappresentante tiene un registro delle attività di trattamento del titolare del trat- tamento; il registro contiene le indicazioni di cui all’articolo 12 capoverso 2. 2 Su richiesta, il rappresentante trasmette all’IFPDT le indicazioni contenute nel registro. 3 Su richiesta, il rappresentante fornisce alle persone interessate informazioni su come esercitare i loro diritti.

Sezione 3: Comunicazione di dati personali all’estero

Art. 16 Principi

1

Dati personali possono essere comunicati all’estero soltanto se il Consiglio federa-

le ha constatato che la legislazione dello Stato destinatario o l’organismo internazio-

nale garantisce una protezione adeguata dei dati.

2

In assenza di una decisione del Consiglio federale ai sensi del capoverso 1, dati

personali possono essere comunicati all’estero soltanto se una protezione dei dati

appropriata è garantita da:

1. un trattato internazionale;
2. clausole contrattuali di protezione dei dati tra il titolare o il responsabile del

trattamento e l’altro contraente, previamente comunicate all’IFPDT;

Protezione dei dati. LF FF 2020 6702 c. garanzie specifiche stabilite dall’organo federale competente, previamente comunicate all’IFPDT; d. clausole tipo di protezione dei dati previamente approvate, stabilite o ricono- sciute dall’IFPDT; o e. norme interne dell’impresa vincolanti sulla protezione dei dati, previamente approvate dall’IFPDT o da un’autorità incaricata della protezione dei dati appartenente a uno Stato che garantisce una protezione adeguata. 3 Il Consiglio federale può prevedere altre garanzie appropriate ai sensi del capo- verso 2. Art. 17 Eccezioni 1 In deroga all’articolo 16 capoversi 1 e 2, dati personali possono essere comunicati all’estero se: a. la persona interessata ha dato il suo espresso consenso alla comunicazione; b. la comunicazione è in relazione diretta con la conclusione o l’esecuzione di un contratto:

1. tra il titolare del trattamento e la persona interessata, o
2. tra il titolare del trattamento e un altro contraente, nell’interesse della persona interessata; c. la comunicazione è necessaria per:
3. tutelare un interesse pubblico preponderante, o
4. accertare, esercitare o far valere un diritto dinanzi a un giudice o a un’altra autorità estera competente; d. la comunicazione è necessaria per proteggere la vita o l’integrità fisica della persona interessata o di un terzo e non è possibile ottenere il consenso della persona interessata entro un termine ragionevole; e. la persona interessata ha reso i dati personali accessibili a chiunque e non si è opposta espressamente al loro trattamento; o f. i dati provengono da un registro previsto dalla legge accessibile al pubblico o alle persone con un interesse degno di protezione, sempreché nel caso spe- cifico siano adempiute le condizioni legali per la consultazione. 2 Il titolare o il responsabile del trattamento che comunica dati personali conforme- mente al capoverso 1 lettere b numero 2, c e d ne informa, su richiesta, l’IFPDT. Art. 18 Pubblicazione di dati personali in forma elettronica La pubblicazione di dati personali per mezzo di servizi d’informazione e di comuni- cazione automatizzati allo scopo di informare il pubblico non è considerata una comunicazione all’estero, anche se i dati possono essere consultati all’estero.

Protezione dei dati. LF FF 2020

6703

Capitolo 3: Obblighi del titolare e del responsabile del trattamento

Art. 19 Obbligo di informare sulla raccolta di dati personali

1

Il titolare del trattamento informa in modo adeguato la persona interessata sulla

raccolta di dati personali; tale obbligo sussiste anche se i dati non sono raccolti

presso la persona interessata.

2

Al momento della raccolta, il titolare del trattamento fornisce alla persona interes-

sata le informazioni necessarie affinché questa possa far valere i propri diritti secon-

do la presente legge e sia garantito un trattamento trasparente dei dati; fornisce

almeno le informazioni seguenti:

1. l’identità e i dati di contatto del titolare del trattamento;
2. lo scopo del trattamento;
3. se del caso, i destinatari o le categorie di destinatari cui sono comunicati dati

personali.

3

Se i dati personali non sono raccolti presso la persona interessata, il titolare del

trattamento la informa inoltre sulle categorie di dati personali trattati.

4

Se i dati personali sono comunicati all’estero, il titolare del trattamento informa la

persona interessata sullo Stato o sull’organismo internazionale destinatario e, se del

caso, sulle garanzie di cui all’articolo 16 capoverso 2, oppure sull’applicazione di

un’eccezione secondo l’articolo 17.

5

Se i dati personali non sono raccolti presso la persona interessata, il titolare del

trattamento le fornisce le informazioni di cui ai capoversi 2–4 entro un mese dalla

ricezione dei dati. Se comunica questi dati personali prima della scadenza di detto

termine, il titolare del trattamento fornisce alla persona interessata tali informazioni

al più tardi al momento della comunicazione dei dati.

Art. 20 Eccezioni all’obbligo di informare e limitazioni

1

L’obbligo di informare secondo l’articolo 19 non sussiste se:

a. la persona interessata dispone già delle pertinenti informazioni;

b. il trattamento dei dati personali è previsto dalla legge;

c. il titolare del trattamento è un privato tenuto per legge a serbare il segreto; o

d. sono adempiute le condizioni di cui all’articolo 27.

2

Se i dati personali non sono raccolti presso la persona interessata, l’obbligo di

informare non sussiste inoltre qualora l’informazione:

a. non sia possibile; o

b. richieda un onere sproporzionato.

3

Il titolare del trattamento può limitare o differire l’informazione oppure rinunciarvi

se:

a. interessi preponderanti di un terzo lo esigono;

Protezione dei dati. LF FF 2020

6704

2. l’informazione pregiudica lo scopo del trattamento;
3. è un privato e:

1. lo esigono i suoi interessi preponderanti, e
2. non comunica i dati personali a terzi; o d. è un organo federale e:
3. lo esige un interesse pubblico preponderante, in particolare la salva- guardia della sicurezza interna o esterna della Svizzera, o
4. l’informazione rischia di compromettere un’indagine, un’istruzione o un procedimento amministrativo o giudiziario. 4 Le imprese appartenenti al medesimo gruppo non sono considerate terzi ai sensi del capoverso 3 lettera c numero 2. Art. 21 Obbligo di informare sulle decisioni individuali automatizzate 1 Il titolare del trattamento informa la persona interessata di ogni decisione basata esclusivamente su un trattamento di dati personali automatizzato che abbia per lei effetti giuridici o conseguenze significative (decisione individuale automatizzata). 2 Il titolare del trattamento dà su richiesta alla persona interessata la possibilità di esprimere un parere. Se la persona interessata lo esige, la decisione individuale automatizzata va riesaminata da una persona fisica. 3 I capoversi 1 e 2 non si applicano se: a. la decisione individuale automatizzata è in relazione diretta con la conclu- sione o l’esecuzione di un contratto tra il titolare del trattamento e la persona interessata e la richiesta di quest’ultima è soddisfatta; o b. la persona interessata ha dato il suo espresso consenso a che la decisione sia presa in maniera automatizzata. 4 Se la decisione individuale automatizzata è presa da un organo federale, questi la designa come tale. Il capoverso 2 non si applica nei casi in cui in virtù dell’articolo 30 capoverso 2 della legge federale del 20 dicembre 1968 6 sulla procedura ammini- strativa (PA) o di un’altra legge federale l’organo federale non è tenuto a sentire la persona interessata prima di prendere la decisione. Art. 22 Valutazione d’impatto sulla protezione dei dati 1 Il titolare del trattamento effettua previamente una valutazione d’impatto sulla protezione dei dati quando il trattamento dei dati personali può comportare un ri- schio elevato per la personalità o i diritti fondamentali della persona interessata. Se prevede più operazioni di trattamento simili può procedere a una valutazione d’im- patto comune.

6 RS 172.021

Protezione dei dati. LF FF 2020

6705

2

Il rischio elevato, in particolare in caso di utilizzazione di nuove tecnologie, risulta

dal tipo, dall’entità, dalle circostanze e dallo scopo del trattamento. Sussiste segna-

tamente nel caso di:

1. trattamento su grande scala di dati personali degni di particolare protezione;
2. sorveglianza sistematica di ampi spazi pubblici.

3

La valutazione d’impatto sulla protezione dei dati contiene una descrizione del

trattamento previsto, una valutazione dei rischi per la personalità o per i diritti fon-

damentali della persona interessata nonché i provvedimenti a loro tutela.

4

Il titolare privato tenuto a effettuare il trattamento in virtù di un obbligo legale è

esentato dall’obbligo di procedere a una valutazione d’impatto.

5

Il titolare privato del trattamento può rinunciare a una valutazione d’impatto se si

avvale di un sistema, un prodotto o un servizio che dispone di una certificazione

secondo l’articolo 13 per l’impiego previsto o se rispetta un codice di condotta se-

condo l’articolo 11 che:

a. si basa su una valutazione d’impatto sulla protezione dei dati;

b. prevede misure a tutela della personalità e dei diritti fondamentali della per-

sona interessata; e

c. è stato sottoposto all’IFPDT.

Art. 23 Consultazione dell’IFPDT

1

Il titolare del trattamento chiede previamente il parere dell’IFPDT se dalla valuta-

zione d’impatto sulla protezione dei dati emerge che, nonostante i provvedimenti

previsti dal titolare, il trattamento previsto comporta un rischio elevato per la perso-

nalità o i diritti fondamentali della persona interessata.

2

L’IFPDT comunica entro due mesi al titolare del trattamento le sue obiezioni

contro il trattamento previsto. Il termine può essere prorogato di un mese se si tratta

di un trattamento di dati complesso.

3

Se ha obiezioni contro il trattamento previsto, l’IFPDT propone al titolare del

trattamento provvedimenti appropriati.

4

Il titolare privato del trattamento può rinunciare a consultare l’IFPDT se ha con-

sultato il consulente per la protezione dei dati ai sensi dell’articolo 10.

Art. 24 Notifica di violazioni della sicurezza dei dati

1

Il titolare del trattamento notifica quanto prima all’IFPDT ogni violazione della

sicurezza dei dati che comporta verosimilmente un rischio elevato per la personalità

o i diritti fondamentali della persona interessata.

2

Nella notifica il titolare del trattamento menziona almeno il tipo di violazione della

sicurezza dei dati, le sue conseguenze e le misure disposte o previste.

3

Il responsabile del trattamento informa quanto prima il titolare del trattamento su

ogni violazione della sicurezza dei dati.

Protezione dei dati. LF FF 2020 6706 4 Il titolare del trattamento informa la persona interessata sulla violazione della sicurezza dei dati, se ciò è necessario per proteggere la persona interessata o se lo esige l’IFPDT. 5 Il titolare del trattamento può limitare o differire l’informazione della persona interessata o rinunciarvi se: a. sussiste uno dei motivi di cui all’articolo 26 capoversi 1 lettera b o 2 lettera b oppure un obbligo legale di serbare il segreto; b. l’informazione è impossibile o richiede un onere sproporzionato; o c. l’informazione è garantita in modo equivalente con una comunicazione pub- blica. 6 Una notifica effettuata in forza del presente articolo può essere usata nel quadro di un procedimento penale contro la persona soggetta all’obbligo di notifica soltanto con il suo consenso.

Capitolo 4: Diritti della persona interessata

Art. 25 Diritto d’accesso

1

Chiunque può domandare al titolare del trattamento se dati personali che lo con-

cernono sono oggetto di trattamento.

2

Alla persona interessata sono fornite le informazioni necessarie affinché possa far

valere i suoi diritti secondo la presente legge e sia garantito un trattamento trasparen-

te dei dati. In ogni caso le sono fornite le informazioni seguenti:

1. l’identità e i dati di contatto del titolare del trattamento;
2. i dati personali trattati in quanto tali;
3. lo scopo del trattamento;
4. la durata di conservazione dei dati personali o, se ciò non è possibile, i criteri

per stabilire tale durata;

e. le informazioni disponibili sulla provenienza dei dati personali che non sono

stati raccolti presso la persona interessata;

f. se del caso, l’esistenza di una decisione individuale automatizzata e la logica

su cui si fonda la decisione;

g. se del caso, i destinatari o le categorie di destinatari cui sono comunicati dati

personali, nonché le informazioni di cui all’articolo 19 capoverso 4.

3

I dati personali concernenti la salute possono essere comunicati alla persona inte-

ressata per il tramite di un professionista della salute da lei designato; a tale scopo è

necessario il consenso della persona interessata.

4

Il titolare del trattamento è tenuto a fornire le informazioni richieste anche se ha

affidato il trattamento dei dati personali a un responsabile del trattamento.

5

Nessuno può rinunciare preventivamente al diritto d’accesso.

Protezione dei dati. LF FF 2020 6707 6 Il titolare del trattamento fornisce gratuitamente le informazioni. Il Consiglio federale può prevedere eccezioni alla gratuità, segnatamente se l’informazione ri- chiede un onere sproporzionato. 7 Di norma l’informazione è fornita entro 30 giorni. Art. 26 Restrizione del diritto d’accesso 1 Il titolare del trattamento può rifiutare, limitare o differire l’informazione se: a. lo prevede una legge in senso formale, segnatamente per tutelare un segreto professionale; b. lo esigono interessi preponderanti di terzi; o c. la domanda d’accesso è manifestamente infondata, segnatamente se perse- gue uno scopo contrario alla protezione dei dati, o se è querulosa. 2 Il titolare del trattamento può inoltre rifiutare, limitare o differire l’informazione se: a. è un privato e:

1. lo esigono i suoi interessi preponderanti, e
2. non comunica i dati personali a terzi; o b. è un organo federale e:
3. lo esige un interesse pubblico preponderante, in particolare la sicurezza interna o esterna della Svizzera, o
4. la fornitura delle informazioni rischia di compromettere un’indagine, un’istruzione o un procedimento giudiziario o amministrativo. 3 Le imprese appartenenti al medesimo gruppo non sono considerate terzi ai sensi del capoverso 2 lettera a numero 2. 4 Il titolare del trattamento indica il motivo per cui rifiuta, limita o differisce l’infor- mazione. Art. 27 Restrizioni del diritto d’accesso nei confronti dei mezzi di comunicazione di massa 1 Se i dati personali sono trattati esclusivamente in vista della pubblicazione nella parte redazionale di un mezzo di comunicazione di massa con carattere periodico, il titolare del trattamento può rifiutare, limitare o differire l’informazione se:
   1. i dati forniscono indicazioni sulle fonti;
   2. l’informazione permette di accedere a progetti di pubblicazioni; o
   3. la libera formazione dell’opinione del pubblico rischia di essere compromes-
   sa. 2 I giornalisti possono inoltre rifiutare, limitare o differire l’informazione qualora i dati personali servano loro esclusivamente a titolo di strumento personale di lavoro.

Protezione dei dati. LF FF 2020

6708

Art. 28 Diritto di farsi consegnare dati o di esigerne la trasmissione a terzi

1

Chiunque può esigere che i dati personali che lo concernono e che ha comunicato

al titolare del trattamento gli siano consegnati in un formato elettronico usuale, se:

1. il titolare tratta i dati personali in modo automatizzato; e
2. il trattamento è effettuato con il consenso della persona interessata oppure in

relazione diretta con la conclusione o l’esecuzione di un contratto tra il tito-

lare e la persona interessata.

2

La persona interessata può inoltre esigere che il titolare del trattamento trasmetta a

un altro titolare del trattamento i dati personali che la concernono se sono soddisfatte

le condizioni di cui al capoverso 1 e la trasmissione non richiede un onere spropor-

zionato.

3

Il titolare del trattamento consegna o trasmette gratuitamente i dati personali. Il

Consiglio federale può prevedere eccezioni alla gratuità, segnatamente se la conse-

gna o la trasmissione dei dati personali richiede un onere sproporzionato.

Art. 29 Restrizioni del diritto di farsi consegnare dati o di esigerne la

trasmissione a terzi

1

Il titolare del trattamento può rifiutare, limitare o differire la consegna o la trasmis-

sione dei dati personali per i motivi di cui all’articolo 26 capoversi 1 e 2.

2

Il titolare del trattamento indica il motivo per cui rifiuta, limita o differisce la

consegna o la trasmissione.

Capitolo 5:

Disposizioni speciali per il trattamento di dati personali da parte

di privati

Art. 30 Lesioni della personalità

1

Chi tratta dati personali non può ledere illecitamente la personalità delle persone

interessate.

2

Vi è lesione della personalità in particolare se:

1. sono trattati dati personali in violazione dei principi di cui agli articoli 6 e 8;
2. sono trattati dati personali contro l’espressa volontà della persona interessa-

ta;

c. sono comunicati a terzi dati personali degni di particolare protezione.

3

Di regola non vi è lesione della personalità se la persona interessata ha reso i suoi

dati personali accessibili a chiunque e non si è opposta espressamente al trattamento.

Protezione dei dati. LF FF 2020 6709 Art. 31 Motivi giustificativi 1 Una lesione della personalità è illecita se non è giustificata dal consenso della per- sona interessata, da un interesse preponderante privato o pubblico oppure dalla leg- ge. 2 Un interesse preponderante del titolare del trattamento può in particolare sussistere se questi: a. tratta dati personali riguardanti l’altra parte contraente in relazione diretta con la conclusione o l’esecuzione di un contratto; b. si trova o si troverà in un rapporto di concorrenza economica con un’altra persona e a tal fine tratta dati personali che non comunica a terzi; le imprese appartenenti al medesimo gruppo del titolare non sono considerate terzi ai sensi della presente disposizione; c. tratta dati personali allo scopo di valutare la solvibilità della persona interes- sata e:

1. i dati non sono degni di particolare protezione e non è effettuata una profilazione a rischio elevato,
2. i dati sono comunicati soltanto a terzi che ne necessitano per la conclu- sione o l’esecuzione di un contratto con la persona interessata,
3. i dati non risalgono a oltre dieci anni, e
4. la persona interessata è maggiorenne; d. tratta dati personali a titolo professionale esclusivamente in vista della pub- blicazione nella parte redazionale di un mezzo di comunicazione di massa con carattere periodico oppure, se non vi è pubblicazione, tratta dati persona- li esclusivamente a titolo di strumento di lavoro personale; e. tratta dati personali per scopi impersonali, in particolare nei settori della ri- cerca, della pianificazione o della statistica, e:
5. rende anonimi i dati non appena lo scopo del trattamento lo permette; se ciò non è possibile o richiede un onere sproporzionato, prende misure adeguate per impedire che le persone interessate possano essere identi- ficate,
6. comunica a terzi i dati personali degni di particolare protezione soltanto in una forma che non permetta d’identificare le persone interessate; se ciò non è possibile, prende misure per garantire che i terzi possano trat- tare i dati soltanto per scopi impersonali, e
7. i risultati sono pubblicati soltanto in una forma che non permetta d’identificare le persone interessate; o f. raccoglie dati personali di una personalità pubblica che si riferiscono alla sua attività pubblica. Art. 32 Pretese 1 La persona interessata può esigere che i dati personali inesatti siano rettificati, salvo che:

Protezione dei dati. LF FF 2020

6710

1. una disposizione legale ne vieti la modifica;
2. i dati personali siano trattati a scopo di archiviazione nell’interesse pubblico.

2

Le azioni concernenti la protezione della personalità sono rette dagli articoli 28,

28a e 28g–28l del Codice civile

7

. L’attore può in particolare chiedere che:

a. sia proibito un determinato trattamento di dati personali;

b. sia proibita una determinata comunicazione di dati personali a terzi;

c. siano cancellati o distrutti dati personali.

3

Se non possono essere accertate né l’esattezza né l’inesattezza dei dati personali,

l’attore può chiedere che si aggiunga agli stessi una menzione che ne indichi il

carattere contestato.

4

L’attore può inoltre chiedere che siano comunicati a terzi o pubblicati la rettifica,

la cancellazione o la distruzione, il divieto di trattamento o di comunicazione a terzi,

la menzione del carattere contestato o la sentenza.

Capitolo 6:

Disposizioni speciali per il trattamento di dati personali da parte

di organi federali

Art. 33 Controllo e responsabilità in caso di trattamento congiunto

di dati personali

Il Consiglio federale disciplina le procedure di controllo e la responsabilità in mate-

ria di protezione dei dati nei casi in cui un organo federale tratta dati personali

congiuntamente ad altri organi federali, a organi cantonali o a privati.

Art. 34 Basi legali

1

Gli organi federali hanno il diritto di trattare dati personali soltanto se lo prevede

una base legale.

2

La base legale deve figurare in una legge in senso formale nei casi seguenti:

1. sono trattati dati personali degni di particolare protezione;
2. è effettuata una profilazione;
3. lo scopo del trattamento o il tipo di trattamento può comportare una grave

ingerenza nei diritti fondamentali della persona interessata.

3

Per il trattamento di dati personali secondo il capoverso 2 lettere a e b è sufficiente

una base legale figurante in una legge in senso materiale se:

a. il trattamento è indispensabile per l’adempimento di un compito stabilito in

una legge in senso formale; e

7 RS 210

Protezione dei dati. LF FF 2020 6711 b. lo scopo del trattamento non comporta rischi particolari per i diritti fonda- mentali della persona interessata. 4 In deroga ai capoversi 1–3, gli organi federali possono trattare dati personali se: a. il Consiglio federale ha autorizzato il trattamento poiché non ritiene pregiu- dicati i diritti delle persone interessate; b. la persona interessata ha dato, nel caso specifico, il suo consenso al tratta- mento oppure ha reso i suoi dati personali accessibili a chiunque e non si è opposta espressamente al trattamento; o c. il trattamento è necessario per proteggere la vita o l’integrità fisica della per- sona interessata o di un terzo e non è possibile ottenere il consenso della persona interessata entro un termine ragionevole. Art. 35 Trattamento automatizzato di dati personali nell’ambito di sistemi pilota 1 Il Consiglio federale può autorizzare il trattamento automatizzato di dati personali degni di particolare protezione o altri trattamenti ai sensi dell’articolo 34 ca- poverso 2 lettere b e c prima dell’entrata in vigore di una legge in senso formale se: a. i compiti che richiedono tale trattamento sono disciplinati in una legge in senso formale già in vigore; b. sono prese misure sufficienti per ridurre al minimo l’ingerenza nei diritti fondamentali della persona interessata; e c. per l’attuazione pratica del trattamento è imprescindibile una fase sperimen- tale prima dell’entrata in vigore della legge formale, in particolare per ragio- ni tecniche. 2 Il Consiglio federale chiede previamente il parere dell’IFPDT. 3 L’organo federale competente presenta un rapporto di valutazione al Consiglio federale al più tardi due anni dopo la messa in opera del sistema pilota. Nel rapporto propone la continuazione o l’interruzione del trattamento. 4 Il trattamento automatizzato di dati personali deve in ogni caso essere interrotto se entro cinque anni dalla messa in opera del sistema pilota non è entrata in vigore una legge in senso formale che prevede la pertinente base legale. Art. 36 Comunicazione di dati personali 1 Gli organi federali hanno il diritto di comunicare dati personali soltanto se lo prevede una base legale ai sensi dell’articolo 34 capoversi 1–3. 2 In deroga al capoverso 1, gli organi federali possono, nel caso specifico, comunica- re dati personali se: a. la comunicazione è indispensabile all’adempimento dei compiti legali del titolare del trattamento o del destinatario; b. la persona interessata ha dato il suo consenso alla comunicazione;

Protezione dei dati. LF FF 2020 6712 c. la comunicazione è necessaria per proteggere la vita o l’integrità fisica della persona interessata o di un terzo e non è possibile ottenere il consenso della persona interessata entro un termine ragionevole; d. la persona interessata ha reso i suoi dati personali accessibili a chiunque e non si è opposta espressamente alla comunicazione; o e. il destinatario rende verosimile che la persona interessata rifiuta di dare il proprio consenso, oppure si oppone alla comunicazione, al solo scopo di im- pedirgli l’attuazione di pretese giuridiche o la difesa di altri interessi degni di protezione; la persona interessata deve previamente essere invitata a pronun- ciarsi, salvo che ciò sia impossibile o richieda un onere sproporzionato. 3 Nell’ambito dell’informazione ufficiale del pubblico, gli organi federali possono inoltre comunicare dati personali d’ufficio o in virtù della legge del 17 dicembre 2004 8 sulla trasparenza se: a. i dati sono in rapporto con l’adempimento di compiti pubblici; e b. sussiste un interesse pubblico preponderante alla comunicazione dei dati. 4 Gli organi federali possono comunicare, su richiesta, cognome, nome, indirizzo e data di nascita di una persona anche se le condizioni del capoverso 1 o 2 non sono adempiute. 5 Gli organi federali possono rendere accessibili a chiunque dati personali mediante servizi di informazione e comunicazione automatizzati se una base legale prevede la pubblicazione di questi dati oppure se comunicano dati in virtù del capoverso 3. Se cessa l’interesse pubblico a renderli accessibili a chiunque, i dati contenuti nel ser- vizio di informazione e comunicazione automatizzato sono cancellati. 6 Gli organi federali rifiutano o limitano la comunicazione, oppure la vincolano a oneri, se lo esige: a. un importante interesse pubblico o un interesse manifestamente degno di protezione della persona interessata; o b. un obbligo legale di serbare il segreto o una disposizione speciale concer- nente la protezione dei dati. Art. 37 Opposizione alla comunicazione di dati personali 1 La persona interessata che rende verosimile un interesse degno di protezione può opporsi alla comunicazione di determinati dati personali da parte dell’organo federa- le competente. 2 L’organo federale respinge l’opposizione se: a. sussiste un obbligo legale alla comunicazione; o b. l’adempimento del suo compito ne risulterebbe altrimenti pregiudicato. 3 È fatto salvo l’articolo 36 capoverso 3.

8 RS 152.3

Protezione dei dati. LF FF 2020

6713

Art. 38 Offerta di documenti all’Archivio federale

1

Conformemente alla legge federale del 26 giugno 1998

9

sull’archiviazione, gli

organi federali offrono all’Archivio federale i dati personali di cui non necessitano

più in modo permanente.

2

L’organo federale distrugge i dati personali che l’Archivio federale ha designato

come non aventi valore archivistico, salvo che tali dati:

1. siano resi anonimi;
2. debbano essere conservati a titolo di prova, per misura di sicurezza o per

salvaguardare un interesse degno di protezione della persona interessata.

Art. 39 Trattamento di dati personali per scopi impersonali

1

Gli organi federali hanno il diritto di trattare dati personali per scopi impersonali,

in particolare nei settori della ricerca, della pianificazione o della statistica, se:

a. rendono anonimi i dati non appena lo scopo del trattamento lo permette;

b. comunicano a privati i dati personali degni di particolare protezione soltanto

in una forma che non permetta d’identificare le persone interessate;

c. il destinatario trasmette a terzi i dati soltanto con l’autorizzazione dell’orga-

no federale che glieli ha comunicati; e

d. i risultati sono pubblicati soltanto in una forma che non permetta d’iden-

tificare le persone interessate.

2

Gli articoli 6 capoverso 3, 34 capoverso 2 e 36 capoverso 1 non sono applicabili.

Art. 40 Attività di diritto privato di organi federali

Se un organo federale compie un’attività soggetta al diritto privato, il trattamento dei

dati personali è retto dalle disposizioni applicabili ai privati.

Art. 41 Pretese e procedura

1

Chi ha un interesse degno di protezione può esigere che l’organo federale respon-

sabile:

a. si astenga dal trattamento illecito dei pertinenti dati personali;

b. elimini le conseguenze di un trattamento illecito;

c. accerti il carattere illecito del trattamento.

2

Il richiedente può in particolare esigere che l’organo federale:

a. rettifichi, cancelli o distrugga i pertinenti dati personali;

b. comunichi a terzi o pubblichi la sua decisione, in particolare la rettifica, la

cancellazione o la distruzione dei dati, l’opposizione alla comunicazione ai

9 RS 152.1

Protezione dei dati. LF FF 2020 6714 sensi dell’articolo 37 o la menzione del carattere contestato dei dati secondo il capoverso 4. 3 Invece di cancellare o distruggere i dati personali, l’organo federale ne limita il trattamento se: a. la persona interessata contesta l’esattezza dei dati personali ma né la loro esattezza né la loro inesattezza possono essere accertate; b. lo esigono interessi preponderanti di terzi; c. lo esige un interesse pubblico preponderante, in particolare la salvaguardia della sicurezza interna o esterna della Svizzera; o d. la cancellazione o la distruzione dei dati rischia di compromettere un’inda- gine, un’istruzione o un procedimento amministrativo o giudiziario. 4 Se non possono essere accertate né l’esattezza né l’inesattezza dei dati personali, l’organo federale aggiunge agli stessi una menzione che ne indica il carattere conte- stato. 5 La rettifica, cancellazione o distruzione di dati personali non può essere chiesta in riferimento a fondi di biblioteche, istituti d’insegnamento, musei, archivi accessibili al pubblico e altre istituzioni pubbliche della memoria collettiva. Il richiedente che rende verosimile un interesse preponderante può chiedere che l’istituzione limiti l’accesso ai dati contestati. I capoversi 3 e 4 non sono applicabili. 6 La procedura è retta dalla PA 10 . Le eccezioni previste dagli articoli 2 e 3 PA non sono applicabili. Art. 42 Procedura in caso di comunicazione di documenti ufficiali che contengono dati personali Se è in corso una procedura ai sensi della legge del 17 dicembre 2004 11 sulla traspa- renza concernente l’accesso a documenti ufficiali che contengono dati personali, la persona interessata può, in tale procedura, far valere i diritti che le spettano in virtù dell’articolo 41 della presente legge in riferimento ai documenti oggetto della proce- dura di accesso.

Capitolo 7: Incaricato federale della protezione dei dati e della trasparenza Sezione 1: Organizzazione Art. 43 Elezione e statuto 1 Il capo dell’IFPDT (Incaricato) è eletto dall’Assemblea federale plenaria. 2 È eleggibile chiunque abbia diritto di voto in materia federale.

10 RS 172.021 11 RS 152.3

Protezione dei dati. LF FF 2020 6715 3 Il rapporto di lavoro dell’Incaricato è retto dalla legge del 24 marzo 2000 12 sul personale federale (LPers), sempreché la presente legge non disponga altrimenti. 4 L’Incaricato esercita la sua funzione in modo indipendente, senza ricevere né solle- citare istruzioni da alcuna autorità o da terzi. È aggregato amministrativamente alla Cancelleria federale. 5 Dispone di una segreteria permanente e di un proprio preventivo. Assume il pro- prio personale. 6 All’Incaricato non si applica il sistema di valutazione di cui all’articolo 4 capo- verso 3 LPers. Art. 44 Durata, rielezione e cessazione del mandato 1 Il mandato dell’Incaricato dura quattro anni e può essere rinnovato due volte. Inizia il 1° gennaio seguente l’inizio della legislatura del Consiglio nazionale. 2 Con un preavviso di sei mesi, l’Incaricato può chiedere all’Assemblea federale la cessazione del mandato per la fine di un mese. 3 L’Assemblea federale plenaria può destituire l’Incaricato prima della scadenza del mandato se questi: a. intenzionalmente o per negligenza grave, ha violato gravemente i suoi doveri d’ufficio; o b. ha durevolmente perso la capacità di esercitare il suo ufficio. Art. 45 Preventivo L’IFPDT presenta ogni anno, per il tramite della Cancelleria federale, un progetto di preventivo al Consiglio federale. Quest’ultimo lo inoltra senza modifiche all’Assem- blea federale. Art. 46 Incompatibilità L’Incaricato non può essere membro dell’Assemblea federale o del Consiglio fede- rale, né esercitare alcun’altra funzione al servizio della Confederazione. Art. 47 Attività accessorie 1 L’Incaricato non può esercitare alcuna attività accessoria. 2 L’Assemblea federale plenaria può autorizzare l’Incaricato a esercitare un’attività accessoria sempreché non siano pregiudicati il pieno adempimento della funzione, l’indipendenza e la reputazione dell’IFPDT. La decisione è pubblicata.

12 RS 172.220.1

Protezione dei dati. LF FF 2020 6716 Art. 48 Autocontrollo dell’IFPDT Per mezzo di misure di controllo adeguate, in particolare in riferimento alla sicurez- za dei dati, l’IFPDT assicura che al suo interno sia garantita l’esecuzione conforme delle norme federali sulla protezione dei dati.

Sezione 2: Inchiesta per violazione delle disposizioni sulla protezione dei dati Art. 49 Inchiesta 1 L’IFPDT apre, d’ufficio o su denuncia, un’inchiesta nei confronti di un organo federale o di un privato se indizi sufficienti lasciano presumere che un trattamento di dati potrebbe violare le disposizioni sulla protezione dei dati. 2 Può rinunciare ad aprire un’inchiesta se la violazione delle disposizioni sulla pro- tezione dei dati è di poca importanza. 3 L’organo federale o il privato fornisce all’IFPDT tutte le informazioni e i docu- menti necessari per l’inchiesta. Il diritto di rifiutare di fornire informazioni è retto dagli articoli 16 e 17 PA 13 ; è fatto salvo l’articolo 50 capoverso 2 della presente legge. 4 Se la persona interessata ha sporto denuncia, l’IFPDT la informa sul seguito dato alla denuncia e sull’esito di un’eventuale inchiesta. Art. 50 Attribuzioni 1 Se l’organo federale o il privato non ottempera all’obbligo di collaborare, l’IFPDT può, nell’ambito dell’inchiesta, ordinare in particolare: a. l’accesso alle informazioni, ai documenti, ai registri delle attività di tratta- mento e ai dati personali necessari per l’inchiesta; b. l’accesso ai locali e agli impianti; c. l’interrogatorio di testimoni; d. perizie di esperti. 2 È fatto salvo il segreto professionale. 3 Per eseguire i provvedimenti di cui al capoverso 1, l’IFPDT può far capo ad altre autorità federali o a organi di polizia cantonali o comunali. Art. 51 Provvedimenti amministrativi 1 Se sono state violate le disposizioni sulla protezione dei dati, l’IFPDT può ordinare di adeguare, sospendere o cessare del tutto o in parte il trattamento nonché di cancel- lare o distruggere del tutto o in parte i dati personali.

13 RS 172.021

Protezione dei dati. LF FF 2020 6717 2 L’IFPDT può sospendere o vietare la comunicazione di dati personali all’estero se questa è contraria alle condizioni di cui agli articoli 16 o 17 oppure alle disposizioni di altre leggi federali riguardanti la comunicazione di dati personali all’estero. 3 L’IFPDT può segnatamente disporre che l’organo federale o il privato: a. lo informi conformemente agli articoli 16 capoverso 2 lettere b e c nonché 17 capoverso 2; b. adotti i provvedimenti di cui agli articoli 7 e 8; c. informi le persone interessate conformemente agli articoli 19 e 21; d. proceda a una valutazione d’impatto sulla protezione dei dati conformemen- te all’articolo 22; e. lo consulti conformemente all’articolo 23; f. lo informi o, se del caso, informi la persona interessata, conformemente all’articolo 24; g. fornisca alla persona interessata le informazioni di cui all’articolo 25. 4 Può inoltre disporre che il titolare privato del trattamento con sede o domicilio al- l’estero designi un rappresentante secondo l’articolo 14. 5 Se durante l’inchiesta l’organo federale o il privato ha adottato i provvedimenti necessari per ristabilire il rispetto delle disposizioni sulla protezione dei dati, lo IFPDT può limitarsi a pronunciare un ammonimento. Art. 52 Procedura 1 La procedura d’inchiesta e le decisioni di cui agli articoli 50 e 51 sono rette dalla PA 14 . 2 È parte soltanto l’organo federale o il privato oggetto dell’inchiesta. 3 L’IFPDT può impugnare le decisioni su ricorso pronunciate dal Tribunale ammini- strativo federale. Art. 53 Coordinamento 1 Prima di pronunciare una decisione riguardante questioni inerenti alla protezione dei dati, le autorità amministrative federali che in virtù di un’altra legge federale esercitano la vigilanza su un privato o un’organizzazione esterna all’Ammini- strazione federale invitano l’IFPDT a esprimere un parere. 2 Se l’IFPDT svolge una propria inchiesta contro la stessa parte, le due autorità coordinano le procedure.

14 RS 172.021

Protezione dei dati. LF FF 2020

6718

Sezione 3: Assistenza amministrativa

Art. 54 Assistenza amministrativa tra autorità svizzere

1

Le autorità federali e cantonali comunicano all’IFPDT le informazioni e i dati per-

sonali necessari per l’adempimento dei suoi compiti legali.

2

L’IFPDT comunica alle autorità seguenti le informazioni e i dati personali necessa-

ri per l’adempimento dei loro compiti legali:

1. autorità incaricate della protezione dei dati in Svizzera;
2. autorità di perseguimento penale competenti, in caso di denuncia di un reato

conformemente all’articolo 65 capoverso 2;

c. autorità federali nonché organi di polizia cantonali e comunali, per l’esecu-

zione dei provvedimenti di cui agli articoli 50 capoverso 3 e 51.

Art. 55 Assistenza amministrativa alle autorità estere

1

L’IFPDT può scambiare informazioni o dati personali con autorità estere incaricate

della protezione dei dati ai fini dell’adempimento dei rispettivi compiti legali in

materia di protezione dei dati se:

a. la reciprocità dell’assistenza amministrativa è garantita;

b. le informazioni e i dati personali sono utilizzati soltanto nell’ambito della

procedura concernente la protezione dei dati su cui si fonda la domanda di

assistenza amministrativa;

c. l’autorità destinataria s’impegna a salvaguardare i segreti professionali, d’af-

fari e di fabbricazione;

d. le informazioni e i dati personali sono comunicati a terzi soltanto previo con-

senso dell’autorità mittente; e

e. l’autorità destinataria s’impegna a rispettare gli oneri e le limitazioni d’uso

richiesti dall’autorità mittente.

2

Per motivare la propria domanda di assistenza amministrativa o per dare seguito

alla domanda di un’autorità, l’IFPDT può trasmettere in particolare le seguenti

informazioni:

a. l’identità del titolare del trattamento, del responsabile del trattamento o di

qualsiasi altra persona che partecipa al trattamento;

b. le categorie di persone interessate;

c. l’identità delle persone interessate sempreché:

1. le persone interessate abbiano dato il loro consenso, o
2. la comunicazione dell’identità delle persone interessate sia indispensa- bile per l’adempimento dei compiti legali dell’IFPDT o dell’autorità estera; d. i dati personali o le categorie di dati personali trattati;

Protezione dei dati. LF FF 2020

6719

5. lo scopo del trattamento;
6. i destinatari o le categorie di destinatari;
7. le misure tecniche e organizzative.

3

Prima di trasmettere a un’autorità estera informazioni che potrebbero contenere

segreti professionali, d’affari o di fabbricazione, l’IFPDT informa le persone fisiche

o giuridiche titolari di tali segreti e le invita a esprimere un parere, salvo che ciò sia

impossibile o richieda un onere sproporzionato.

Sezione 4: Altri compiti dell’IFPDT Art. 56 Registro L’IFPDT tiene un registro delle attività di trattamento degli organi federali. Il regi- stro è pubblicato. Art. 57 Informazione 1 L’IFPDT presenta annualmente all’Assemblea federale un rapporto d’attività. Lo trasmette contemporaneamente al Consiglio federale. Il rapporto è pubblicato. 2 Nei casi d’interesse generale, l’IFPDT informa il pubblico sui suoi accertamenti e sulle sue raccomandazioni. Art. 58 Altri compiti 1 L’IFPDT ha in particolare gli altri compiti seguenti: a. informare, formare e consigliare gli organi federali e i privati in questioni concernenti la protezione dei dati; b. assistere gli organi cantonali e collaborare con le autorità svizzere ed estere competenti in materia di protezione dei dati; c. sensibilizzare il pubblico, soprattutto le persone vulnerabili, alla protezione dei dati; d. informare, su richiesta, le persone interessate in merito all’esercizio dei loro diritti; e. pronunciarsi sui progetti di atti normativi e sui provvedimenti della Confede- razione implicanti il trattamento di dati; f. assumere i compiti conferitigli dalla legge del 17 dicembre 2004 15 sulla tras- parenza o da altre leggi federali; g. elaborare strumenti di lavoro sotto forma di raccomandazioni di buona prassi per i titolari del trattamento, i responsabili del trattamento e le persone inte-

15 RS 152.3

Protezione dei dati. LF FF 2020 6720 ressate; a tal fine tiene conto delle specificità di ciascun settore e della tutela delle persone vulnerabili. 2 L’IFPDT può fornire consulenza anche agli organi federali che secondo gli artico- li 2 e 4 non sono sottoposti alla sua vigilanza. Gli organi federali possono conceder- gli accesso ai loro atti. 3 L’IFPDT è autorizzato a dichiarare alle autorità estere incaricate della protezione dei dati che, in materia di protezione dei dati, in Svizzera è ammessa la notificazione diretta, sempreché alla Svizzera sia concessa la reciprocità.

Sezione 5: Emolumenti

Art. 59

1

L’IFPDT riscuote dai privati emolumenti per:

1. il parere in merito a un codice di condotta secondo l’articolo 11 capoverso 2;
2. l’approvazione di clausole tipo di protezione dei dati e di norme interne

d’impresa vincolanti secondo l’articolo 16 capoverso 2 lettere d ed e;

c. la consultazione nell’ambito di una valutazione d’impatto sulla protezione

dei dati secondo l’articolo 23 capoverso 2;

d. provvedimenti cautelari e provvedimenti secondo l’articolo 51;

e. la consulenza su questioni inerenti alla protezione dei dati secondo l’artico-

lo 58 capoverso 1 lettera a.

2

Il Consiglio federale determina l’importo degli emolumenti.

3

Il Consiglio federale può definire i casi in cui si può prescindere dalla riscossione

di un emolumento o ridurne l’importo.

Capitolo 8: Disposizioni penali Art. 60 Violazione degli obblighi di informare, di concedere l’accesso e di collaborare 1 Sono puniti, a querela di parte, con la multa fino a 250 000 franchi i privati che: a. violano gli obblighi di cui agli articoli 19, 21 e 25–27, fornendo intenzio- nalmente informazioni inesatte o incomplete; b. omettono intenzionalmente:

1. di informare la persona interessata conformemente agli articoli 19 capo- verso 1 e 21 capoverso 1, o
2. di fornire alla persona interessata le informazioni di cui all’articolo 19 capoverso 2.

Protezione dei dati. LF FF 2020 6721 2 Sono puniti con la multa fino a 250 000 franchi i privati che in violazione dell’articolo 49 capoverso 3 forniscono intenzionalmente all’IFPDT, nel quadro di un’inchiesta, informazioni false o rifiutano intenzionalmente di collaborare. Art. 61 Violazione degli obblighi di diligenza A querela di parte sono puniti con la multa fino a 250 000 franchi i privati che intenzionalmente: a. comunicano dati personali all’estero in violazione dell’articolo 16 capover- si 1 e 2 e senza che sussistano le condizioni di cui all’articolo 17; b. affidano il trattamento di dati personali a un responsabile senza che sussista- no le condizioni di cui all’articolo 9 capoversi 1 e 2; c. non rispettano i requisiti minimi in materia di sicurezza dei dati emanati dal Consiglio federale in virtù dell’articolo 8 capoverso 3. Art. 62 Violazione dell’obbligo del segreto 1 Chiunque rivela intenzionalmente dati personali segreti dei quali è venuto a cono- scenza nell’esercizio di una professione che richiede la conoscenza di tali dati, è punito, a querela di parte, con la multa fino a 250 000 franchi. 2 È passibile della stessa pena chiunque intenzionalmente rivela dati personali segre- ti dei quali è venuto a conoscenza nell’ambito dell’attività svolta per conto della per- sona sottostante all’obbligo del segreto o in occasione della sua formazione presso tale persona. 3 La rivelazione di dati personali segreti è punibile anche dopo la cessazione dei rap- porti di lavoro o della formazione. Art. 63 Inosservanza di decisioni È punito con la multa fino a 250 000 franchi il privato che intenzionalmente non ottempera a una decisione dell’IFPDT, o a una decisione delle autorità di ricorso, notificatagli sotto comminatoria della pena prevista nel presente articolo. Art. 64 Infrazioni commesse nell’azienda 1 Alle infrazioni commesse nell’azienda sono applicabili gli articoli 6 e 7 della legge federale del 22 marzo 1974 16 sul diritto penale amministrativo (DPA). 2 Se la multa applicabile non supera i 50 000 franchi e se la determinazione delle persone punibili secondo l’articolo 6 DPA esige provvedimenti d’inchiesta spropor- zionati all’entità della pena, l’autorità può prescindere da un procedimento contro dette persone e, in loro vece, condannare al pagamento della multa l’azienda (art. 7 DPA).

16 RS 313.0

Protezione dei dati. LF FF 2020 6722 Art. 65 Competenza 1 Il perseguimento e il giudizio dei reati competono ai Cantoni. 2 L’IFPDT può sporgere denuncia presso l’autorità di perseguimento penale com- petente e avvalersi nel procedimento dei diritti dell’accusatore privato. Art. 66 Prescrizione dell’azione penale L’azione penale si prescrive in cinque anni.

Capitolo 9: Conclusione di trattati internazionali Art. 67 Il Consiglio federale può concludere trattati internazionali concernenti: a. la cooperazione internazionale tra le autorità incaricate della protezione dei dati; b. il riconoscimento reciproco della protezione adeguata nel caso di comunica- zione di dati personali all’estero.

Capitolo 10: Disposizioni finali Art. 68 Abrogazione e modifica di altri atti normativi L’abrogazione e la modifica di altri atti normativi sono disciplinate nell’allegato 1. Art. 69 Disposizione transitoria relativa ai trattamenti in corso Gli articoli 7, 22 e 23 non si applicano ai trattamenti di dati avviati prima del- l’entrata in vigore della presente legge, sempreché lo scopo del trattamento resti immutato e non siano raccolti nuovi dati. Art. 70 Disposizione transitoria relativa alle procedure pendenti La presente legge non si applica alle inchieste dell’IFPDT in corso alla sua entrata in vigore; non si applica neppure ai ricorsi pendenti contro decisioni di prima istanza emanate prima della sua entrata in vigore. A questi casi si applica il diritto anteriore. Art. 71 Disposizione transitoria relativa ai dati concernenti persone giuridiche Per gli organi federali, le disposizioni di altri atti normativi federali che si riferisco- no a dati personali continuano ad applicarsi ai dati concernenti persone giuridiche durante cinque anni dall’entrata in vigore della presente legge. Durante tale periodo gli organi federali possono in particolare comunicare dati concernenti persone giuri- diche conformemente all’articolo 57s capoversi 1 e 2 della legge del 21 mar-

Protezione dei dati. LF FF 2020 6723 zo 1997 17 sull’organizzazione del Governo e dell’Amministrazione, sempreché vi siano autorizzati in virtù di una base legale. Art. 72 Disposizione transitoria relativa all’elezione dell’Incaricato e alla cessazione del suo mandato Sino al termine della legislatura in corso all’entrata in vigore della presente legge, l’elezione dell’Incaricato e la cessazione del suo mandato sono rette dal diritto anteriore. Art. 73 Coordinamento Il coordinamento con altri atti normativi è disciplinato nell’allegato 2. Art. 74 Referendum ed entrata in vigore 1 La presente legge sottostà a referendum facoltativo. 2 Il Consiglio federale ne determina l’entrata in vigore. Consiglio nazionale, 25 settembre 2020 La presidente: Isabelle Moret Il segretario: Pierre-Hervé Freléchoz Consiglio degli Stati, 25 settembre 2020 Il presidente: Hans Stöckli La segretaria: Martina Buol

Data della pubblicazione: 6 ottobre 2020 18

Termine di referendum: 14 gennaio 2021

17 RS 172.010 18 FF 2020 6695

Protezione dei dati. LF FF 2020 6724 Allegato 1 (art. 68) Abrogazione e modifica di altri atti normativi

I Sono abrogate:

1. la legge federale del 19 giugno 1992 19 sulla protezione dei dati;

2. la legge del 28 settembre 2018 20 sulla protezione dei dati in ambito Schen- gen. II Gli atti normativi qui appresso sono modificati come segue:

3. Legge federale del 21 marzo 1997 21 sulle misure per la salvaguardia della sicurezza interna Art. 21 cpv. 2 2 L’autorità di controllo comunica alla persona controllata il risultato delle indagini e della valutazione del rischio per la sicurezza. La persona controllata può consultare, entro dieci giorni, i documenti relativi al controllo e chiedere la rettificazione dei dati errati; per i documenti della Confederazione, può esigere la distruzione dei dati superati o l’apposizione di una nota di contestazione. Alla restrizione dei diritti d’accesso si applica l’articolo 26 della legge federale del 25 settembre 2020 22 sulla protezione dei dati (LPD). Art. 23a cpv. 4 4 Il diritto d’accesso e il diritto di far rettificare i dati si fondano sugli articoli 25 e 41 capoverso 2 lettera a LPD 23 . Art. 23b cpv. 2 lett. c 2 È consentito trattare esclusivamente i dati seguenti:

19 RU 1993 1945, 1997 2372, 1998 1546 1586, 1999 2243, 2006 2197 2319, 2007 4983, 2010 1739 3387, 2013 3215, 2019 625 20 RU 2019 639 21 RS 120 22 RS 235.1 23 RS 235.1

Protezione dei dati. LF FF 2020 6725 c. dati personali, inclusi i dati personali degni di particolare protezione, nella misura in cui siano necessari per valutare il grado di pericolosità, in partico- lare informazioni sullo stato di salute, su condanne o procedimenti pendenti, sull’appartenenza a partiti, società, associazioni, organizzazioni e istituzioni, nonché informazioni sui rispettivi organi dirigenti. Art. 23c cpv. 2, frase introduttiva 2 I dati, compresi i dati personali degni di particolare protezione, possono essere comunicati ai servizi e alle persone seguenti: Art. 24a cpv. 10 10 Il diritto di ottenere informazioni relative ai dati che figurano nel sistema d’infor- mazione e il diritto di farli rettificare sono retti dagli articoli 25 e 41 capoverso 2 lettera a LPD 24 . Fedpol comunica alla persona interessata la registrazione e la can- cellazione dei dati che la riguardano nel sistema d’informazione.

2. Legge federale del 25 settembre 2015 25 sulle attività informative Art. 13 lett. c Sono fonti d’informazione pubbliche segnatamente: c. i dati personali che privati rendono accessibili al pubblico; Art. 44 cpv. 1 1 Il SIC e le autorità d’esecuzione cantonali sono autorizzati a trattare dati personali, compresi quelli necessari per valutare il grado di pericolosità di una persona, a prescindere dal fatto che si tratti o meno di dati personali degni di particolare prote- zione. Art. 46 cpv. 1 1 Le autorità d’esecuzione cantonali non gestiscono alcuna banca dati propria in applicazione della presente legge. Art. 61 cpv. 2, frase introduttiva 2 Se la legislazione dello Stato destinatario non assicura una protezione adeguata dei dati, i dati personali possono essergli comunicati in deroga all’articolo 16 capover- so 1 della legge federale del 25 settembre 2020 26 sulla protezione dei dati (LPD)

24 RS 235.1 25 RS 121 26 RS 235.1

Protezione dei dati. LF FF 2020 6726 soltanto se la Svizzera intrattiene con detto Stato relazioni diplomatiche e se è soddi- sfatta una delle condizioni seguenti: Art. 64 cpv. 2–5 2 L’IFPDT comunica al richiedente che nessun dato che lo concerne è trattato in modo illecito oppure che sono stati riscontrati errori nel trattamento dei dati o ri- guardanti il differimento dell’informazione e che ha aperto un’inchiesta ai sensi dell’articolo 49 LPD 27 . 3 Abrogato 4 Se riscontra errori nel trattamento dei dati o riguardanti il differimento dell’infor- mazione, l’IFPDT ordina al SIC di correggere tali errori. 5 Qualora il richiedente renda verosimile che il differimento dell’informazione gli arrecherebbe un danno rilevante e irreparabile, l’IFPDT può ordinare al SIC di fornire immediatamente, a titolo eccezionale, le informazioni richieste, sempre che ciò non pregiudichi la sicurezza interna o esterna. Art. 65 Abrogato Art. 66 cpv. 1 1 Le comunicazioni di cui agli articoli 63 capoverso 3 e 64 capoverso 2 hanno sem- pre lo stesso tenore e non vengono motivate. Art. 78 cpv. 5 5 Per adempiere la propria attività, l’autorità di vigilanza indipendente può accedere a tutti i sistemi di informazione e a tutte le banche dati dei servizi sottoposti a vigi- lanza; può altresì accedere a dati personali degni di particolare protezione. I dati rilevati possono essere memorizzati soltanto fino al termine della verifica. Il titolare del trattamento verbalizza gli accessi ai sistemi di informazione e alle banche dati.

3. Legge del 20 giugno 2014 28 sulla cittadinanza Art. 44 Trattamento dei dati Per adempiere i suoi compiti conformemente alla presente legge, la SEM può tratta- re dati personali, compresi i dati che permettono di stabilire se sono adempiute le condizioni d’idoneità del richiedente, e dati personali degni di particolare protezione relativi alle opinioni religiose, alle attività politiche, alla salute, a misure di assisten- za sociale e a perseguimenti e sanzioni amministrativi e penali. A tale scopo gestisce

27 RS 235.1 28 RS 141.0

Protezione dei dati. LF FF 2020 6727 un sistema d’informazione elettronico in virtù della legge federale del 20 giugno 2003 29 sul sistema d’informazione per il settore degli stranieri e dell’asilo.

4. Legge federale del 16 dicembre 2005 30 sugli stranieri e la loro integrazione Sostituzione di un’espressione Nell’articolo 111b capoverso 4, «Incaricato federale della protezione dei dati» è sostituito con «Incaricato federale della protezione dei dati e della trasparenza». Art. 101 Trattamento di dati personali La SEM, le competenti autorità cantonali in materia di immigrazione e, nei limiti delle sue competenze, il Tribunale amministrativo federale possono trattare o far trattare dati personali, inclusi dati personali degni di particolare protezione, concer- nenti gli stranieri nonché i terzi coinvolti in procedure secondo la presente legge, purché abbisognino di tali dati al fine di adempiere i loro compiti legali. Art. 104 cpv. 4 4 Le imprese di trasporto aereo informano le persone interessate conformemente all’articolo 19 della legge federale del 25 settembre 2020 31 sulla protezione dei dati (LPD). Art. 105 cpv. 1 1 Per l’adempimento dei loro compiti, segnatamente per la lotta contro i reati secon- do la presente legge, la SEM e le competenti autorità cantonali possono comunicare dati personali relativi a stranieri alle autorità estere e alle organizzazioni internazio- nali incaricate di compiti corrispondenti, sempreché siano adempite le condizioni di cui all’articolo 16 LPD 32 . Art. 111d cpv. 1 e 2 1 Dati personali possono essere comunicati a Stati terzi soltanto se questi garantisco- no una protezione adeguata dei dati ai sensi dell’articolo 16 capoverso 1 LPD 33 . 2 Qualora non garantisca una protezione adeguata, allo Stato terzo possono essere comunicati dati personali nei seguenti casi: a. la persona interessata ha dato il suo consenso conformemente all’articolo 6 capoversi 6 e, se del caso, 7 LPD;

29 RS 142.51 30 RS 142.20 31 RS 235.1 32 RS 235.1 33 RS 235.1

Protezione dei dati. LF FF 2020 6728 b. la comunicazione è necessaria per proteggere la vita o l’integrità fisica della persona interessata e non è possibile ottenere il suo consenso entro un termi- ne ragionevole; o c. la comunicazione è necessaria per tutelare un interesse pubblico preponde- rante o per accertare, esercitare o far valere un diritto in giustizia o dinanzi a un’altra autorità estera competente. Art. 111f, secondo periodo Abrogato

5. Legge del 26 giugno 1998 34 sull’asilo Art. 96 cpv. 1 1 Nella misura in cui lo esige il compimento del mandato legale, la SEM, le autorità di ricorso e le organizzazioni private incaricate di compiti in virtù della presente legge possono trattare o fare trattare dati personali relativi a un richiedente l’asilo o una persona bisognosa di protezione e ai loro congiunti, compresi dati personali degni di particolare protezione conformemente all’articolo 5 lettera c della legge federale del 25 settembre 2020 35 sulla protezione dei dati (LPD). Art. 98 cpv. 1 1 In vista dell’esecuzione della presente legge, la SEM e le autorità di ricorso sono autorizzate a comunicare dati personali alle autorità estere e alle organizzazioni internazionali incaricate di compiti in tale ambito se sono soddisfatte le condizioni di cui all’articolo 16 LPD 36 . Art. 99 cpv. 6 6 I dati personali trasmessi in virtù del capoverso 4 possono essere comunicati all’estero soltanto con il consenso del titolare del trattamento. È applicabile per analogia l’articolo 16 capoverso 1 LPD 37 . Art. 99a cpv. 2 lett. a 2 MIDES serve: a. al trattamento dei dati personali relativi ai richiedenti l’asilo e alle persone bisognose di protezione, compresi i dati personali degni di particolare prote- zione secondo l’articolo 5 lettera c LPD 38 ; e

34 RS 142.31 35 RS 235.1 36 RS 235.1 37 RS 235.1 38 RS 235.1

Protezione dei dati. LF FF 2020 6729 Art. 100 cpv. 2 2 Tale sistema può contenere dati personali degni di particolare protezione nella misura necessaria all’adempimento del compito legale. Art. 102 cpv. 1, terzo periodo, e 2 1 ... Se necessario, è possibile memorizzare anche dati personali che figurano nei testi, segnatamente le generalità, e dati personali degni di particolare protezione. 2 Soltanto i collaboratori della SEM e del Tribunale amministrativo federale hanno accesso alle banche dati che contengono dati personali degni di particolare protezio- ne. Art. 102c cpv. 1 e 2 1 Dati personali possono essere comunicati a Stati terzi soltanto se questi garantisco- no una protezione adeguata dei dati ai sensi dell’articolo 16 capoverso 1 LPD 39 . 2 Qualora non garantisca una protezione adeguata, allo Stato terzo possono essere comunicati dati personali nei seguenti casi: a. la persona interessata ha dato il suo consenso conformemente all’articolo 6 capoversi 6 e, se del caso, 7 LPD; b. la comunicazione è necessaria per proteggere la vita o l’integrità fisica della persona interessata e non è possibile ottenere il suo consenso entro un termi- ne ragionevole; o c. la comunicazione è necessaria per tutelare un interesse pubblico preponde- rante o per accertare, esercitare o far valere un diritto in giustizia o dinanzi a un’altra autorità estera competente. Art. 102e, secondo periodo Abrogato

6. Legge federale del 20 giugno 2003 40 sul sistema d’informazione per il settore degli stranieri e dell’asilo Art. 4 cpv. 2 2 Nel sistema d’informazione possono essere trattati dati personali degni di partico- lare protezione giusta l’articolo 5 lettera c della legge federale del 25 settembre 2020 41 sulla protezione dei dati (LPD), nella misura in cui ciò sia indispensabile all’adempimento dei compiti di cui all’articolo 3 della presente legge.

39 RS 235.1 40 RS 142.51 41 RS 235.1

Protezione dei dati. LF FF 2020 6730 Art. 6 Diritto d’accesso e diritto di rettifica 1 Le richieste d’accesso ai dati personali (art. 25 LPD 42 ) e di rettifica (art. 41 cpv. 2 lett. a LPD) vanno indirizzate alla SEM. 2 I ricorsi sono retti dall’articolo 41 LPD; vanno indirizzati alla SEM. Art. 7 cpv. 2 2 Si accerta dell’esattezza dei dati personali da essa trattati (art. 6 cpv. 5 LPD 43 ). Art. 15 Comunicazione all’estero La comunicazione di dati personali all’estero è retta dagli articoli 16 e 17 LPD 44 , 105–107, 111a–111d e 111i LStrI 45 nonché 97, 98, 102a bis , 102b e 102c LAsi 46 . Art. 16 Obbligo di vigilanza delle autorità cantonali della protezione dei dati Le autorità cantonali della protezione dei dati vigilano sul rispetto della protezione dei dati nella loro sfera di competenza.

7. Legge del 22 giugno 2001 47 sui documenti d’identità Art. 10 Principio Il trattamento di dati nell’ambito della presente legge è retto dalla legge federale del 25 settembre 2020 48 sulla protezione dei dati. Art. 14 Concerne soltanto i testi tedesco e francese

8. Legge federale del 20 marzo 2009 49 sulla Commissione per la prevenzione della tortura Art. 10 cpv. 1 1 La Commissione è autorizzata a trattare dati personali degni di particolare pro- tezione e altri dati personali conformemente alla legge federale del 25 settembre

42 RS 235.1 43 RS 235.1 44 RS 235.1 45 RS 142.20; cfr. anche art. 127 LStrI 46 RS 142.31 47 RS 143.1 48 RS 235.1 49 RS 150.1

Protezione dei dati. LF FF 2020 6731 2020 50 sulla protezione dei dati, a condizione che ciò sia necessario all’adem- pimento dei suoi compiti e tali dati riguardino la situazione di persone private della libertà.

9. Legge federale del 26 giugno 1998 51 sull’archiviazione Art. 11 cpv. 1 1 Gli archivi classificati in base a nomi di persona e contenenti dati personali degni di particolare protezione sono soggetti a un termine di protezione di 50 anni, salvo che la persona interessata ne abbia autorizzato la consultazione. Art. 15, rubrica, e cpv. 1 Informazioni e contestazione 1 La fornitura di informazioni e la concessione della consultazione alle persone interessate sono rette dalle disposizioni della legge federale del 25 settembre 2020 52

sulla protezione dei dati. I servizi mittenti decidono in merito al rifiuto dell’in- formazione o della consultazione.

10. Legge federale del 17 dicembre 2004 53 sulla trasparenza Sostituzione di espressioni In tutta la legge le espressioni «Incaricato federale della protezione dei dati e della trasparenza» e «Incaricato» sono sostituite con «IFPDT». Art. 3 cpv. 2 2 L’accesso ai documenti ufficiali che contengono dati personali del richiedente è retto dalla legge federale del 25 settembre 2020 54 sulla protezione dei dati (LPD). Art. 9 Protezione dei dati personali e dei dati concernenti persone giuridiche 1 I documenti ufficiali che contengono dati personali o dati concernenti persone giuridiche devono, se possibile, essere resi anonimi prima di essere consultati. 2 Se la domanda di accesso concerne documenti ufficiali che non possono essere resi anonimi, ai dati personali si applica l’articolo 36 LPD 55 e ai dati concernenti persone

50 RS 235.1 51 RS 152.1 52 RS 235.1 53 RS 152.3 54 RS 235.1 55 RS 235.1

Protezione dei dati. LF FF 2020 6732 giuridiche l’articolo 57s della legge del 21 marzo 1997 56 sull’organizzazione del Governo e dell’Amministrazione. La procedura di accesso è retta dalla presente legge. Art. 11 Diritto di essere consultati 1 Se prevede di accordare l’accesso a documenti ufficiali la cui consultazione po- trebbe ledere la sfera privata di terzi, l’autorità consulta il terzo interessato e gli dà la possibilità di presentare le proprie osservazioni entro dieci giorni. 2 Informa la persona consultata della sua presa di posizione sulla domanda di accesso. Art. 12 cpv. 2, secondo periodo, e 3 2 ... È prorogato della durata necessaria se la domanda concerne documenti ufficiali la cui consultazione potrebbe ledere la sfera privata di terzi. 3 Se la domanda concerne documenti ufficiali la cui consultazione potrebbe ledere la sfera privata di terzi, l’accesso è sospeso fino a quando la situazione giuridica sia chiarita. Art. 13 cpv. 2 2 La domanda di mediazione deve essere presentata per scritto all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) entro venti giorni dalla ricezio- ne della presa di posizione dell’autorità o dallo scadere del termine di cui l’autorità dispone per prendere posizione. Art. 15 cpv. 2 lett. b 2 Per il resto l’autorità pronuncia una decisione se, diversamente da quanto racco- mandato: b. intende accordare il diritto di accesso a un documento ufficiale la cui consul- tazione potrebbe ledere la sfera privata di terzi. Art. 18, frase introduttiva, nonché lett. a–c Secondo la presente legge, l’IFPDT ha in particolare i compiti e le competenze seguenti: a.–c. Concerne soltanto il testo tedesco Art. 20 cpv. 2 2 L’IFPDT sottostà al segreto d’ufficio nella stessa misura delle autorità di cui consulta i documenti ufficiali o da cui ottiene informazioni.

56 RS 172.010

Protezione dei dati. LF FF 2020 6733

11. Legge del 18 giugno 2004 57 sulle pubblicazioni ufficiali Art. 16b cpv. 1 1 Le pubblicazioni secondo la presente legge possono contenere dati personali; possono in particolare contenere anche dati personali degni di particolare protezione secondo l’articolo 5 lettera c della legge federale del 25 settembre 2020 58 sulla protezione dei dati, sempre che questo sia necessario per una pubblicazione prevista in una legge federale.

12. Legge del 13 dicembre 2002 59 sul Parlamento Art. 40a cpv. 1 lett. d, 2, primo periodo, e 6 1 La Commissione giudiziaria è competente per la preparazione dell’elezione e della destituzione: d. del capo dell’Incaricato federale della protezione dei dati e della trasparenza (Incaricato). 2 Mette a pubblico concorso i posti di giudice vacanti e i posti di procuratore genera- le della Confederazione e dei sostituti procuratori generali della Confederazione, come pure quello di Incaricato. ... 6 Le Commissioni della gestione e la Delegazione delle finanze comunicano alla Commissione giudiziaria i loro accertamenti che mettono seriamente in dubbio l’idoneità professionale o personale dei giudici, del procuratore generale della Con- federazione, dei sostituti procuratori generali della Confederazione e dell’Incaricato. Art. 142 cpv. 2 e 3, terzo periodo 2 Riprende nel suo disegno di preventivo e nel consuntivo della Confederazione, senza modificarli, i progetti di preventivo e i consuntivi dell’Assemblea federale, dei tribunali della Confederazione, del Controllo federale delle finanze, del Ministero pubblico della Confederazione, dell’autorità di vigilanza sul Ministero pubblico della Confederazione e dell’Incaricato federale della protezione dei dati e della trasparenza (IFPDT). 3 ... L’IFPDT difende il suo progetto di preventivo e il suo consuntivo dinnanzi all’Assemblea federale.

57 RS 170.512 58 RS 235.1 59 RS 171.10

Protezione dei dati. LF FF 2020

6734

13. Legge del 21 marzo 1997

60

sull’organizzazione del Governo

e dell’Amministrazione

Titolo prima dell’art. 57h

Capitolo 4:

Trattamento di dati personali e di dati concernenti persone giuridiche

Sezione 1: Sistemi di gestione degli affari

Art. 57h Gestione dei sistemi

1

Le unità dell’Amministrazione federale e i Servizi del Parlamento gestiscono siste-

mi elettronici di gestione degli affari per lo svolgimento dei loro processi operativi e

per la gestione della corrispondenza e di altri documenti.

2

Se necessario nell’ambito dei processi operativi, possono concedere l’accesso ai

propri sistemi di gestione degli affari ad altre autorità federali e a servizi esterni

all’Amministrazione federale.

Inserire prima del titolo della sezione 2

Art. 57h

bis

Trattamento di dati personali e di dati concernenti persone giuridiche

1

I dati personali, compresi quelli degni di particolare protezione ai sensi della legge

federale del 25 settembre 2020

61

sulla protezione dei dati (LPD), e i dati concernenti

persone giuridiche, compresi quelli degni di particolare protezione ai sensi

dell’articolo 57r capoverso 2 della presente legge, possono essere trattati nei sistemi

di gestione degli affari allo scopo di:

1. trattare affari;
2. organizzare i processi di lavoro;
3. accertare se sono trattati dati relativi a una determinata persona;
4. facilitare l’accesso alla documentazione.

2

L’accesso a dati personali, compresi quelli degni di particolare protezione ai sensi

della LPD, e ai dati concernenti persone giuridiche, compresi quelli degni di partico-

lare protezione ai sensi dell’articolo 57r capoverso 2 della presente legge, può essere

concesso ad altre autorità federali e a servizi esterni all’Amministrazione federale, a

condizione che esista la base legale necessaria per la comunicazione.

3

I sistemi di gestione degli affari possono contenere dati personali degni di partico-

lare protezione ai sensi della LPD e dati concernenti persone giuridiche degni di

particolare protezione ai sensi dell’articolo 57r capoverso 2 della presente legge,

nella misura in cui siano desumibili dalla corrispondenza o risultino dalla natura di

un affare o di un documento.

60 RS 172.010 61 RS 235.1

Protezione dei dati. LF FF 2020 6735 4 L’accesso a dati personali degni di particolare protezione ai sensi della LPD e ai dati concernenti persone giuridiche degni di particolare protezione ai sensi dell’ar- ticolo 57r capoverso 2 della presente legge può essere concesso soltanto alle persone che ne necessitano per adempiere i propri compiti. Art. 57h ter Disposizioni d’esecuzione Il Consiglio federale emana le disposizioni d’esecuzione, in particolare sull’organiz- zazione e l’esercizio dei sistemi di gestione degli affari e sulla protezione dei dati personali e dei dati concernenti persone giuridiche ivi registrati. Titolo prima dell’art. 57i Sezione 2: Trattamento di dati personali e di dati concernenti persone giuridiche derivanti dall’utilizzazione dell’infrastruttura elettronica Art. 57i Rapporto con altre leggi federali Le disposizioni della presente sezione non si applicano nel caso in cui il trattamento dei dati personali o dei dati concernenti persone giuridiche derivanti dall’utiliz- zazione dell’infrastruttura elettronica sia disciplinato in un’altra legge federale. Art. 57j Principi 1 Gli organi federali secondo la LPD 62 non possono registrare e analizzare dati personali o dati concernenti persone giuridiche derivanti dall’utilizzazione della loro infrastruttura elettronica o dell’infrastruttura elettronica gestita su loro incarico, salvo che le finalità citate negli articoli 57l–57o della presente legge lo richiedano. 2 Il trattamento dei dati secondo la presente sezione può comprendere anche dati per- sonali degni di particolare protezione ai sensi della LPD e dati concernenti persone giuridiche degni di particolare protezione ai sensi dell’articolo 57r capoverso 2 della presente legge. Art. 57k, frase introduttiva L’infrastruttura elettronica comprende tutti gli impianti e gli apparecchi fissi o mobi- li utilizzati per registrare dati personali e dati concernenti persone giuridiche; essa comprende in particolare:

62 RS 235.1

Protezione dei dati. LF FF 2020 6736 Art. 57l, rubrica, frase introduttiva e lett. b n. 4 Registrazione di dati personali e di dati concernenti persone giuridiche Gli organi federali possono registrare dati personali e dati concernenti persone giu- ridiche derivanti dall’utilizzazione dell’infrastruttura elettronica per le seguenti fina- lità: b. dati riguardanti l’utilizzazione dell’infrastruttura elettronica: 4. per risalire agli accessi all’infrastruttura elettronica, Titolo prima dell’art. 57r Sezione 3: Trattamento di dati concernenti persone giuridiche Art. 57r Trattamento di dati concernenti persone giuridiche 1 Gli organi federali possono trattare dati concernenti persone giuridiche, compresi dati degni di particolare protezione, se lo esige l’adempimento di loro compiti disci- plinati in una legge in senso formale. 2 I dati concernenti persone giuridiche degni di particolare protezione sono: a. i dati relativi a perseguimenti e sanzioni di natura amministrativa e penale; b. i dati relativi a segreti professionali, d’affari o di fabbricazione. Art. 57s Comunicazione di dati concernenti persone giuridiche 1 Gli organi federali possono comunicare dati concernenti persone giuridiche soltan- to se lo prevede una base legale. 2 Possono comunicare dati concernenti persone giuridiche degni di particolare prote- zione soltanto se lo prevede una legge in senso formale. 3 In deroga ai capoversi 1 e 2, gli organi federali possono, in singoli casi, comunica- re eccezionalmente dati concernenti persone giuridiche se: a. la comunicazione dei dati è indispensabile affinché l’organo federale o il destinatario possa adempiere un compito definito dalla legge; b. la persona giuridica interessata ha dato il suo consenso; o c. il destinatario rende verosimile che la persona giuridica interessata rifiuta di dare il proprio consenso, oppure si oppone alla comunicazione, al solo scopo di impedirgli l’attuazione di pretese giuridiche o la difesa di altri interessi degni di protezione; alla persona giuridica interessata deve essere previa- mente concessa la possibilità di pronunciarsi, salvo che ciò sia impossibile o richieda un onere sproporzionato.

Protezione dei dati. LF FF 2020

6737

4

Nel quadro dell’informazione del pubblico, gli organi federali possono inoltre

comunicare dati concernenti persone giuridiche d’ufficio o in virtù della legge del

17 dicembre 2004

63

sulla trasparenza se:

1. i dati sono in rapporto con l’adempimento di compiti pubblici; e
2. sussiste un interesse pubblico preponderante alla pubblicazione delle infor-

mazioni.

5

Gli organi federali possono rendere accessibili a chiunque dati concernenti persone

giuridiche mediante servizi di informazione e comunicazione automatizzati se una

base legale prevede la pubblicazione di tali dati oppure se comunicano dati in virtù

del capoverso 4. Se non sussiste più l’interesse pubblico a renderli accessibili a

chiunque, i dati sono cancellati dal servizio di informazione e comunicazione auto-

matizzato.

6

Gli organi federali rifiutano la comunicazione, la limitano o la vincolano a oneri, se

lo esige:

a. un importante interesse pubblico o un interesse manifestamente degno di

protezione della persona giuridica interessata; o

b. un obbligo legale di serbare il segreto o una disposizione speciale concer-

nente la protezione dei dati concernenti persone giuridiche.

Art. 57t Diritti delle persone giuridiche

I diritti delle persone giuridiche interessate sono retti dal diritto procedurale applica-

bile.

14. Legge del 24 marzo 2000 64 sul personale federale Art. 27 cpv. 2, frase introduttiva 2 Può trattare, in quanto necessari all’adempimento dei compiti di cui al capoverso 1, i seguenti dati del personale, inclusi i dati personali degni di particolare protezione: Art. 27d cpv. 2, frase introduttiva, e 4, frase introduttiva 2 La CSPers può trattare i dati personali dei clienti, compresi i dati personali degni di particolare protezione, necessari all’adempimento dei propri compiti e riguardanti: 4 La CSPers può rendere accessibili i dati personali di cui al capoverso 2 alle perso- ne e ai servizi seguenti, se necessario per l’adempimento dei loro compiti:

63 RS 152.3 64 RS 172.220.1

Protezione dei dati. LF FF 2020 6738 15. Legge del 17 giugno 2005 65 sul Tribunale amministrativo federale Art. 35 lett. b Abrogata

16. Codice civile 66

Art. 45a cpv. 5 n. 5

5 Con la partecipazione dei Cantoni, il Consiglio federale disciplina: 5. le misure organizzative e tecniche necessarie per garantire la protezione e la sicurezza dei dati nonché la vigilanza sul ri- spetto delle disposizioni in materia di protezione dei dati;

17. Legge federale del 30 settembre 2016 67 sulle misure coercitive a scopo assistenziale e i collocamenti extrafamiliari prima del 1981 Art. 6 cpv. 2 2 Se necessario all’adempimento dei suoi compiti, può trattare dati personali degni di particolare protezione ai sensi dell’articolo 5 lettera c della legge federale del 25 settembre 2020 68 sulla protezione dei dati.

18. Codice delle obbligazioni 69

Art. 328b, secondo periodo ... Inoltre, sono applicabili le disposizioni della legge federale del 25 settembre 2020 70 sulla protezione dei dati. Art. 406g cpv. 2 2 Nel trattamento dei dati personali del mandante, il mandatario è tenuto alla discre- zione; sono fatte salve le disposizioni della legge federale del 25 settembre 2020 71

sulla protezione dei dati.

65 RS 173.32 66 RS 210 67 RS 211.223.13 68 RS 235.1 69 RS 220 70 RS 235.1 71 RS 235.1

Protezione dei dati. LF FF 2020 6739 19. Legge federale del 23 marzo 2001 72 sul credito al consumo Art. 23 cpv. 3 e 4 3 La Centrale d’informazione è un organo federale ai sensi dell’articolo 5 lettera i della legge federale del 25 settembre 2020 73 sulla protezione dei dati. Il Consiglio federale emana le disposizioni d’esecuzione. 4 Fatte salve le competenze previste dalla legge federale sulla protezione dei dati, la Centrale d’informazione è sottoposta alla vigilanza del dipartimento.

20. Legge del 2 aprile 1908 74 sul contratto d’assicurazione Art. 3 cpv. 1 lett. g 1 Prima della conclusione del contratto d’assicurazione, l’assicuratore deve informa- re lo stipulante, in maniera comprensibile, sulla propria identità e sul contenuto essenziale del contratto d’assicurazione. Egli lo informa sui seguenti elementi: g. trattamento dei dati personali, compresi lo scopo e il genere della banca dati, nonché destinatari e conservazione dei dati.

21. Legge del 16 dicembre 2005 75 sui revisori Art. 15b Trattamento di dati personali e di dati concernenti persone giuridiche Per l’adempimento dei suoi compiti legali, l’autorità di sorveglianza può trattare dati personali e dati concernenti persone giuridiche, compresi dati personali degni di particolare protezione ai sensi della legge federale del 25 settembre 2020 76 sulla protezione dei dati e dati concernenti persone giuridiche degni di particolare prote- zione ai sensi della legge del 21 marzo 1997 77 sull’organizzazione del Governo e dell’Amministrazione.

22. Legge federale del 24 marzo 2000 78 sul trattamento di dati personali in seno al Dipartimento federale degli affari esteri Art. 1, secondo periodo Abrogato

72 RS 221.214.1 73 RS 235.1 74 RS 221.229.1 75 RS 221.302 76 RS 235.1 77 RS 172.010 78 RS 235.2

Protezione dei dati. LF FF 2020 6740 Art. 2 cpv. 1 e 2, primo periodo 1 Per la pianificazione e l’esecuzione delle missioni nell’ambito di azioni di promo- zione della pace, di rafforzamento dei diritti dell’uomo e d’aiuto umanitario, i servizi competenti del Dipartimento possono trattare dati riguardanti le persone che pren- dono parte a tali missioni. 2 Possono anche trattare dati personali degni di particolare protezione relativi alla salute e altri dati personali al fine di valutare l’idoneità delle persone per le missioni di cui al capoverso 1. ... Art. 4 cpv. 3, frase introduttiva e lett. b 3 I dati possono comprendere: b. Concerne soltanto il testo tedesco Art. 5 cpv. 1, frase introduttiva, e 3 1 Per adempiere gli obblighi di diritto internazionale della Svizzera, la Segreteria di Stato e la missione permanente della Svizzera presso le organizzazioni internazionali a Ginevra possono trattare dati personali concernenti: 3 Per adempiere i loro obblighi e compiti di cui ai capoversi 1 e 2 e partecipare alla soluzione di controversie in cui sono coinvolte persone, organizzazioni o istituzioni secondo il capoverso 1, i servizi competenti del Dipartimento possono trattare dati personali degni di particolare protezione, in particolare dati relativi a misure di assistenza sociale e a perseguimenti e sanzioni amministrativi e penali. Art. 6 lett. a Il Consiglio federale emana disposizioni esecutive concernenti: a. l’organizzazione e la gestione dei sistemi d’informazione;

23. Legge federale del 19 dicembre 1986 79 contro la concorrenza sleale Art. 22 cpv. 2, secondo periodo 2 ... Per il rimanente si applicano gli articoli 16 e 17 della legge federale del 25 settembre 2020 80 sulla protezione dei dati.

79 RS 241 80 RS 235.1

Protezione dei dati. LF FF 2020 6741 24. Codice di procedura civile 81

Art. 20 lett. d Per le seguenti azioni e istanze è competente il giudice del domicilio o della sede di una delle parti: d. azioni e istanze secondo la legge federale del 25 settembre 2020 82 sulla pro- tezione dei dati (LPD). Art. 99 cpv. 3 lett. d 3 Non vi è obbligo di prestare cauzione: d. nella procedura relativa a una controversia secondo la LPD 83 . Art. 113 cpv. 2 lett. g 2 Nella procedura di conciliazione non sono addossate spese processuali per le con- troversie: g. secondo la LPD 84 . Art. 114 lett. g Nella procedura decisionale non sono addossate spese processuali per le controver- sie: g. secondo la LPD 85 . Art. 243 cpv. 2 lett. d 2 Senza riguardo al valore litigioso, la procedura semplificata si applica nelle con- troversie: d. intese a dare esecuzione al diritto d’accesso secondo l’articolo 25 LPD 86 ; Titolo prima dell’art. 407e Capitolo 6: Disposizione transitoria della modifica del 25 settembre 2020 Art. 407e Le procedure pendenti al momento dell’entrata in vigore della modifica del 25 settembre 2020 sono rette dal nuovo diritto.

81 RS 272 82 RS 235.1 83 RS 235.1 84 RS 235.1 85 RS 235.1 86 RS 235.1

Protezione dei dati. LF FF 2020 6742

25. Legge federale del 18 dicembre 1987 87 sul diritto internazionale privato Art. 130 cpv. 3

3 Per le azioni intese a dare esecuzione al diritto d’accesso o di consul- tazione in relazione al trattamento di dati personali sono competenti i tribunali menzionati nell’articolo 129.

26. Codice penale 88

Sostituzione di un’espressione Negli articoli 349c, 349e, 349g e 349h, «Incaricato» è sostituito con «IFPDT». Art. 179 novies

Sottrazione di dati personali Chiunque sottrae dati personali degni di particolare protezione che non sono accessibili a chiunque è punito, a querela di parte, con una pena detentiva sino a tre anni o con una pena pecuniaria. Inserire prima del titolo quarto Art. 179 decies

Usurpazione d’identità Chiunque utilizza l’identità di un’altra persona senza il suo consenso con l’intento di nuocerle oppure di procurare a sé stesso o a un terzo un vantaggio illecito è punito, a querela di parte, con una pena deten- tiva sino a un anno o con una pena pecuniaria. Art. 349a, frase introduttiva Le autorità federali competenti hanno il diritto di comunicare dati personali soltanto se esiste una base legale ai sensi dell’articolo 36 capoverso 1 della legge federale del 25 settembre 2020 89 sulla prote- zione dei dati (LPD) oppure se:

87 RS 291 88 RS 311.0 89 RS 235.1

Protezione dei dati. LF FF 2020 6743 Art. 349c cpv. 3

3 Se è un’autorità federale, l’autorità che comunica i dati informa l’In- caricato federale della protezione dei dati e della trasparenza (IFPDT) sulle categorie delle comunicazioni di dati personali effettuate sulla base di garanzie specifiche secondo il capoverso 2 lettera c. Ogni comunicazione è documentata. Art. 349g cpv. 1 e 3

1 L’interessato può chiedere all’IFPDT di verificare se gli eventuali dati che lo concernono sono trattati in modo lecito qualora: a. il suo diritto di essere informato su uno scambio di dati che lo concernono sia limitato o differito (art. 19 e 20 LPD 90 ); b. il suo diritto d’accesso sia negato, limitato o differito (art. 25 e 26 LPD); o c. il suo diritto di esigere la rettifica, la distruzione o la cancella- zione dei dati che lo concernono sia parzialmente o totalmente negato (art. 41 cpv. 2 lett. a LPD). 3 L’IFPDT effettua la verifica; comunica all’interessato che nessun dato che lo concerne è trattato in modo illecito oppure, se ha riscontra- to errori nel trattamento dei dati personali, che ha aperto un’inchiesta conformemente all’articolo 49 LPD. Art. 349h cpv. 1 e 4

1 Chi rende verosimile che uno scambio di dati personali che lo con- cernono potrebbe violare le disposizioni sulla protezione dei dati personali può chiedere all’IFPDT di aprire un’inchiesta ai sensi del- l’articolo 49 LPD 91 . 4 Per il rimanente sono applicabili gli articoli 50 e 51 LPD. Art. 352 cpv. 2

2 Lo scambio d’informazioni destinate alla ricerca di persone scom- parse e all’identificazione di sconosciuti e per scopi amministrativi è retto dalla LPD 92 .

90 RS 235.1 91 RS 235.1 92 RS 235.1

Protezione dei dati. LF FF 2020 6744 Art. 355a cpv. 1

1 L’Ufficio federale di polizia (fedpol) e il Servizio delle attività infor- mative della Confederazione (SIC) possono trasmettere all’Ufficio europeo di polizia (Europol) dati personali, compresi quelli degni di particolare protezione. Art. 365 cpv. 1, primo periodo

1 L’Ufficio federale di giustizia gestisce, insieme ad altre autorità fe- derali e ai Cantoni (art. 367 cpv. 1), un casellario giudiziale informa- tizzato nel quale sono iscritte le condanne e le richieste di estratti del casellario giudiziale in relazione con procedimenti penali pendenti e contenente dati personali degni di particolare protezione. ... Art. 367 cpv. 3

3 Qualora il numero delle domande d’informazione lo giustifichi e previa consultazione dell’IFPDT, il Consiglio federale può estendere il diritto d’accesso di cui al capoverso 2 ad altre autorità giudiziarie e amministrative della Confederazione e dei Cantoni sino all’entrata in vigore di una base legale in senso formale.

27. Legge federale del 22 marzo 1974 93 sul diritto penale amministrativo Titolo prima dell’articolo 18a Capo terzo: Protezione di dati personali Art. 18a A. Raccolta di dati personali 1 I dati personali sono raccolti presso l’interessato oppure in modo per questi ravvisabile, sempreché il procedimento non ne risulti compro- messo o sia reso sproporzionatamente oneroso. 2 Se sono raccolti dati personali a sua insaputa, l’interessato deve esserne immediatamente informato. Si può rinunciare all’informa- zione o differirla se lo esigono interessi pubblici o privati preponde- ranti.

93 RS 313.0

Protezione dei dati. LF FF 2020 6745 Art. 18b B. Trattamento di dati personali Quando tratta dati personali, l’autorità amministrativa della Confede- razione provvede a distinguere nella misura del possibile: a. le diverse categorie di persone interessate; b. i dati personali fondati su fatti da quelli fondati su valutazioni personali. Art. 18c C. Comunica- zione e utilizza- zione in procedi- menti pendenti Se è presumibile che possano fornire chiarimenti essenziali, l’autorità amministrativa della Confederazione può comunicare i dati personali relativi a un procedimento penale amministrativo pendente affinché siano utilizzati in un altro procedimento pendente. Art. 18d D. Diritti d’informazione in pendenza del procedimento Fintanto che il procedimento è pendente, le parti e gli altri partecipanti al procedimento hanno diritto di essere informati sui dati personali trattati che li concernono, conformemente al diritto loro spettante di esaminare gli atti. Art. 18e E. Esattezza dei dati personali 1 L’autorità amministrativa della Confederazione rettifica senza indu- gio i dati personali inesatti. 2 Avvisa senza indugio dell’avvenuta rettifica l’autorità che le ha tra- smesso o messo a disposizione i dati personali o alla quale li ha co- municati.

28. Procedura penale militare del 23 marzo 1979 94

Titolo prima dell’articolo 25a Capitolo 6: Protezione di dati personali Art. 25a Raccolta di dati personali 1 I dati personali sono raccolti presso l’interessato oppure in modo per questi ravvi- sabile, sempre che il procedimento non ne risulti compromesso o sia reso spropor- zionatamente oneroso.

94 RS 322.1

Protezione dei dati. LF FF 2020

6746

2

Se sono raccolti dati personali a sua insaputa, l’interessato deve esserne immedia-

tamente informato. Si può rinunciare all’informazione o differirla se lo esigono

interessi pubblici o privati preponderanti.

Art. 25b Trattamento di dati personali

Quando trattano dati personali, le autorità penali militari provvedono a distinguere

nella misura del possibile:

1. le diverse categorie di persone interessate;
2. i dati personali fondati su fatti da quelli fondati su valutazioni personali.

Art. 25c Comunicazione e utilizzazione in procedimenti pendenti

Se è presumibile che possano fornire chiarimenti essenziali, l’autorità penale milita-

re può comunicare i dati personali relativi a un procedimento penale militare pen-

dente affinché siano utilizzati in un altro procedimento pendente.

Art. 25d Diritti d’informazione in pendenza del procedimento

Fintanto che il procedimento è pendente, le parti e gli altri partecipanti al procedi-

mento hanno diritto di essere informati sui dati personali trattati che li concernono,

conformemente al diritto loro spettante di esaminare gli atti.

Art. 25e Esattezza dei dati personali

1

L’autorità penale militare rettifica senza indugio i dati personali inesatti.

2

Avvisa senza indugio dell’avvenuta rettifica l’autorità che le ha trasmesso o messo

a disposizione i dati personali o alla quale li ha comunicati.

29. Assistenza in materia penale del 20 marzo 1981 95

Art. 11c cpv. 2–4 2 Qualora una persona domandi all’Ufficio federale se ha ricevuto una domanda di arresto a scopo di estradizione, questo le comunica che nessun dato che la concerne è trattato in modo illecito e che può chiedere all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) di verificare se gli eventuali dati che la concer- nono sono trattati in modo lecito. 3 L’IFPDT effettua la verifica; comunica all’interessato che nessun dato che lo concerne è trattato in modo illecito oppure, se ha riscontrato errori nel trattamento dei dati personali, che ha aperto un’inchiesta conformemente all’articolo 49 della legge federale del 25 settembre 2020 96 sulla protezione dei dati.

95 RS 351.1 96 RS 235.1

Protezione dei dati. LF FF 2020 6747 4 Se riscontra errori nel trattamento dei dati, l’IFPDT ordina all’Ufficio federale di porvi rimedio.

30. Legge federale del 13 giugno 2008 97 sui sistemi d’informazione di polizia della Confederazione Sostituzione di un’espressione Negli articoli 8 capoversi 4 e 7, nonché 8a capoversi 1 e 3, «Incaricato» è sostituito con «IFPDT». Art. 3 cpv. 2, primo periodo 2 Nell’ambito della presente legge, le autorità di polizia della Confederazione sono autorizzate a trattare dati personali, compresi dati personali degni di particolare protezione, e a comunicarli alle autorità di polizia e di perseguimento penale dei Cantoni e ad altre autorità svizzere o straniere. ... Art. 5, rubrica e cpv. 2 Trattamento di dati per il controllo interno 2 Abrogato Art. 7 cpv. 1 1 Il diritto d’accesso è retto dagli articoli 25 e 26 della legge federale del 25 settem- bre 2020 98 sulla protezione dei dati (LPD). Art. 8 cpv. 2 e 3 2 Fedpol comunica al richiedente il differimento dell’informazione rendendolo attento al fatto che può chiedere all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) di verificare se dati che lo concernono sono trattati in modo lecito e se interessi preponderanti al mantenimento del segreto giustificano il differimento. 3 L’IFPDT effettua la verifica; comunica all’interessato che nessun dato che lo concerne è trattato in modo illecito oppure, se ha riscontrato errori nel trattamento dei dati personali o relativi al differimento dell’informazione, che ha aperto un’in- chiesta conformemente all’articolo 49 LPD 99 .

97 RS 361 98 RS 235.1 99 RS 235.1

Protezione dei dati. LF FF 2020 6748 Art. 8a cpv. 2 2 L’IFPDT effettua la verifica; comunica all’interessato che nessun dato che lo concerne è trattato in modo illecito oppure, se ha riscontrato errori nel trattamento dei dati personali, che ha aperto un’inchiesta conformemente all’articolo 49 LPD 100 . Art. 18 cpv. 1, primo periodo 1 Fedpol gestisce il sistema informatizzato per la gestione interna delle pratiche e degli atti, che può contenere dati personali degni di particolare protezione. ...

31. Legge del 20 giugno 2003 101 sui profili del DNA Art. 12 cpv. 1 1 Il Consiglio federale designa l’ufficio federale responsabile del sistema d’informa- zione (Ufficio federale) ai sensi della legge federale del 25 settembre 2020 102 sulla protezione dei dati. Art. 15 cpv. 3 3 Il diritto all’informazione nonché il rifiuto, la limitazione o il differimento della stessa sono disciplinati dagli articoli 25 e 26 della legge federale del 25 settembre 2020 103 sulla protezione dei dati.

32. Legge del 4 ottobre 1991 104 sui PF Art. 36a cpv. 1, primo periodo 1 Il Consiglio dei PF, i PF e gli istituti di ricerca gestiscono ognuno un sistema d’informazione concernente il personale nel quale possono essere trattati anche dati personali degni di particolare protezione. ... Art. 36b cpv. 1 e 5, secondo periodo 1 Ogni PF dispone di un sistema d’informazione per la gestione dei dati dei candi- dati, degli studenti, dei dottorandi e degli uditori nel quale possono essere trattati anche dati personali degni di particolare protezione. 5 ... I dati personali degni di particolare protezione possono essere comunicati me- diante procedura di richiamo unicamente ai servizi competenti per la gestione degli studi in seno a ogni PF.

100 RS 235.1 101 RS 363 102 RS 235.1 103 RS 235.1 104 RS 414.110

Protezione dei dati. LF FF 2020 6749 Art. 36c Trattamento dei dati 1 Nell’ambito di progetti di ricerca i PF e gli istituti di ricerca possono trattare dati personali, inclusi dati personali degni di particolare protezione, se necessario per il progetto di ricerca. 2 Garantiscono l’osservanza delle disposizioni della legge federale del 25 settembre 2020 105 sulla protezione dei dati.

33. Legge del 17 giugno 2011 106 sulla promozione dello sport Art. 21 cpv. 3, frase introduttiva 3 Gli organi di controllo antidoping di cui al capoverso 2 sono autorizzati a trattare i dati personali rilevati in relazione alla propria attività di controllo, compresi i dati personali degni di particolare protezione, e a trasmetterli all’organo competente per: Art. 25 cpv. 1, frase introduttiva, e 4 1 L’organo competente per le misure antidoping di cui all’articolo 19 è autorizzato, ai fini della lotta contro il doping, a scambiare dati personali, compresi dati personali degni di particolare protezione, con organi antidoping esteri o internazionali ricono- sciuti, se tale scambio di dati è necessario per: 4 L’organo competente per le misure antidoping di cui all’articolo 19 provvede affinché i dati personali da esso trasmessi non vengano inoltrati a terzi non autoriz- zati. Per il rimanente si applicano gli articoli 16 e 17 della legge federale del 25 settembre 2020 107 sulla protezione dei dati.

34. Legge federale del 19 giugno 2015 108 sui sistemi d’informazione della Confederazione nel campo dello sport Art. 1 cpv. 1, frase introduttiva 1 La presente legge disciplina il trattamento dei dati personali (dati), compresi i dati personali degni di particolare protezione, nei sistemi d’informazione dell’Ufficio federale dello sport (UFSPO) da parte di: Art. 4 Abrogato

105 RS 235.1 106 RS 415.0 107 RS 235.1 108 RS 415.1

Protezione dei dati. LF FF 2020 6750 Art. 9, frase introduttiva Il sistema nazionale d’informazione per lo sport contiene tutti i dati personali e le informazioni, compresi i dati personali degni di particolare protezione, che sono necessari per l’adempimento dei compiti negli ambiti di cui all’articolo 8, in partico- lare: Art. 14, frase introduttiva Il sistema d’informazione per i dati medici contiene tutti i dati personali e le infor- mazioni, compresi i dati personali degni di particolare protezione, che sono necessari per l’adempimento dei compiti di cui all’articolo 13, in particolare: Art. 18, frase introduttiva Il sistema d’informazione per i dati riguardanti la diagnostica delle prestazioni con- tiene tutti i dati personali e le informazioni, compresi i dati personali degni di parti- colare protezione, che sono necessari per l’adempimento dei compiti di cui all’arti- colo 17, in particolare: Art. 22, frase introduttiva Il sistema d’informazione della SUFSM contiene tutti i dati personali e le informa- zioni, compresi i dati personali degni di particolare protezione, che sono necessari per l’adempimento dei compiti di cui all’articolo 21, in particolare: Art. 26, frase introduttiva Il sistema d’informazione per la valutazione dei corsi contiene tutti i dati personali e le informazioni, compresi i dati personali degni di particolare protezione, che sono necessari per la valutazione di corsi e attività didattiche, in particolare: Art. 32, frase introduttiva Il sistema d’informazione dell’agenzia nazionale antidoping contiene tutti i dati per- sonali e le informazioni, compresi i dati personali degni di particolare protezione, che sono necessari per la lotta contro il doping, in particolare:

35. Legge del 9 ottobre 1992 109 sulla statistica federale Art. 5 cpv. 2 lett. a e 4 lett. a 2 Esso può delegare questa competenza ad un dipartimento, ad un gruppo o ad un ufficio: a. per rilevazioni nelle quali non vengono raccolti dati personali o dati concer- nenti persone giuridiche;

109 RS 431.01

Protezione dei dati. LF FF 2020 6751 4 Altre istituzioni sottoposte alla presente legge secondo l’articolo 2 capoverso 2 o 3 possono ordinare autonomamente: a. rilevazioni nelle quali non vengono raccolti dati personali o dati concernenti persone giuridiche; Art. 7 cpv. 2 2 Esso può ordinare l’assunzione di dati contenuti nelle loro banche dati se la base giuridica di dette banche dati non vieta espressamente la loro utilizzazione a fini statistici. Giusta l’articolo 19 della presente legge e l’articolo 39 della legge federale del 25 settembre 2020 110 sulla protezione dei dati, i dati che sottostanno all’obbligo legale del segreto non possono essere comunicati. Art. 10 cpv. 4 e 5, secondo periodo 4 Le unità amministrative della Confederazione e gli altri organismi, nella misura in cui sottostanno all’articolo 2 capoverso 3, forniscono all’Ufficio federale, per l’ad- empimento dei suoi compiti, i risultati e le basi della loro attività statistica e, se necessario, i dati provenienti dalle loro banche dati e rilevazioni. 5 ... Giusta l’articolo 19 della presente legge e l’articolo 39 della legge federale del 25 settembre 2020 111 sulla protezione dei dati, l’Ufficio federale non può comunica- re questi dati. Art. 12 cpv. 2 2 L’Ufficio federale si adopera per coordinare la statistica federale con le statistiche cantonali, segnatamente per armonizzare i programmi delle rilevazioni e, in vista della loro elaborazione statistica, i registri o altre banche dati. Art. 14 cpv. 1 1 I dati rilevati o comunicati per scopi statistici non possono essere utilizzati per altri fini, salvo che una legge federale ne disponga espressamente un’altra utilizzazione o la persona fisica o giuridica interessata vi acconsenta per scritto. Art. 14a cpv. 1, secondo periodo 1 ... Se si tratta di dati personali degni di particolare protezione o di dati concernenti persone giuridiche degni di particolare protezione oppure se dal collegamento emer- gono le caratteristiche essenziali di una persona fisica o giuridica, i dati collegati vanno eliminati al termine delle elaborazioni statistiche. ...

110 RS 235.1 111 RS 235.1

Protezione dei dati. LF FF 2020 6752 Art. 15 cpv. 1 1 I servizi che trattano dati personali o dati concernenti persone giuridiche prove- nienti dalla statistica federale o ad essa destinati devono proteggerli contro ogni trattamento non autorizzato mediante i provvedimenti tecnici e organizzativi che si impongono. Art. 16 cpv. 1 1 Per la protezione dei dati in tutti i lavori statistici valgono le disposizioni della presente legge. Per i dati personali valgono inoltre le disposizioni della legge federa- le del 25 settembre 2020 112 sulla protezione dei dati relative al trattamento per scopi di ricerca, pianificazione e statistica. Art. 19 cpv. 2, frase introduttiva 2 I produttori di statistiche della Confederazione possono comunicare dati personali e dati concernenti persone giuridiche a servizi statistici e di ricerca federali nonché a terzi, per scopi impersonali quali in particolare ricerca, pianificazione o statistica, se:

36. Legge federale del 18 giugno 2010 113 sul numero d’identificazione delle imprese Art. 3 cpv. 1 lett. d 1 Ai sensi della presente legge s’intende per: d. servizi IDI: unità amministrative di Confederazione, Cantoni e Comuni, enti di diritto pubblico nonché istituzioni private con compiti di diritto pubblico, che gestiscono banche dati sulle unità IDI in considerazione della loro atti- vità economica; Art. 5 cpv. 1 lett. b 1 I servizi IDI sono tenuti a: b. utilizzarlo nelle loro banche dati;

37. Legge del 18 dicembre 1992 114 sulla Biblioteca nazionale Art. 2 cpv. 2 e art. 7, rubrica e frase introduttiva Concerne soltanto il testo tedesco

112 RS 235.1 113 RS 431.03 114 RS 432.21

Protezione dei dati. LF FF 2020 6753

38. Legge federale del 16 marzo 2012 115 sulla circolazione delle specie di fauna e di flora protette Art. 23 cpv. 2, primo periodo 2 I dati possono essere comunicati mediante procedura di richiamo se la legislazione estera corrispondente garantisce una protezione adeguata dei dati conformemente all’articolo 16 della legge federale del 25 settembre 2020 116 sulla protezione dei dati. ...

39. Legge federale del 16 dicembre 2005 117 sulla protezione degli animali Art. 20c cpv. 1, frase introduttiva 1 Nell’ambito dei loro compiti legali, possono trattare dati personali, inclusi dati per- sonali degni di particolare protezione, nonché accedere a tali dati mediante procedu- ra di richiamo:

40. Legge militare del 3 febbraio 1995 118

Art. 31 cpv. 2, secondo periodo 2 ... Essi sono abilitati a elaborare dati personali, compresi quelli degni di particolare protezione, sempreché e finché l’esecuzione dei loro compiti lo esiga. Art. 99 cpv. 2, primo periodo, e 3 lett. d 2 Ha facoltà di trattare dati personali, compresi quelli necessari per valutare il grado di pericolosità di una persona, a prescindere dal fatto che si tratti o meno di dati personali degni di particolare protezione, se del caso anche all’insaputa della perso- na interessata, sempreché e finché l’esecuzione dei suoi compiti lo esiga. ... 3 Il Consiglio federale disciplina: d. le eccezioni alle prescrizioni concernenti la registrazione di attività di trat- tamento di dati, quando queste pregiudicassero la raccolta d’informazioni. Art. 100 cpv. 3 lett. a e b, nonché 4 lett. c n. 2 3 Gli organi competenti per la sicurezza militare sono autorizzati a:

115 RS 453 116 RS 235.1 117 RS 455 118 RS 510.10

Protezione dei dati. LF FF 2020 6754 a. trattare dati personali, compresi quelli necessari per valutare il grado di peri- colosità di una persona, a prescindere dal fatto che si tratti o meno di dati personali degni di particolare protezione, sempreché e finché i loro compiti lo esigano; b. trasmettere dati personali all’estero, sempreché siano soddisfatte le condi- zioni di cui agli articoli 16 e 17 della legge federale del 25 settembre 2020 119

sulla protezione dei dati (LPD); 4 Il Consiglio federale disciplina: c. in caso di servizio d’appoggio o di servizio attivo: 2. le eccezioni all’obbligo di notificare all’Incaricato federale della prote- zione dei dati e della trasparenza i registri delle attività di trattamento (art. 12 cpv. 4 LPD) quando tale notifica pregiudicasse la raccolta di in- formazioni. Art. 146 Sistemi d’informazione militari Il trattamento di dati personali degni di particolare protezione e di dati personali necessari per valutare il grado di pericolosità di una persona in sistemi d’informa- zione e nell’ambito dell’impiego di mezzi di sorveglianza dell’esercito e dell’ammi- nistrazione militare è disciplinato nella legge federale del 3 ottobre 2008 120 sui sistemi d’informazione militari.

41. Legge del 5 ottobre 2007 121 sulla geoinformazione Art. 11 Protezione dei dati 1 La legge federale del 25 settembre 2020 122 sulla protezione dei dati si applica a tutti i geodati di base di diritto federale. Sono fatti salvi gli articoli 12 capoverso 2 lettera c, 14 capoversi 1 e 2 e 32 capoverso 2 lettera d della presente legge e le relative disposizioni d’esecuzione. 2 Il Consiglio federale può prevedere eccezioni all’obbligo di tenere un registro del- l’attività di trattamento, se tale attività presenta un rischio limitato di ingerenza nei diritti fondamentali della persona interessata. 3 Può definire livelli di autorizzazione vincolanti per i geodati di base di diritto federale.

119 RS 235.1 120 RS 510.91 121 RS 510.62 122 RS 235.1

Protezione dei dati. LF FF 2020 6755 42. Legge federale del 3 ottobre 2008 123 sui sistemi d’informazione militari Art. 1 cpv. 1, frase introduttiva, e 3 1 La presente legge disciplina il trattamento di dati personali (dati), compresi i dati personali degni di particolare protezione, nei sistemi d’informazione e nell’ambito dell’impiego di mezzi di sorveglianza dell’esercito e dell’amministrazione militare da parte di: 3 Per quanto la presente legge non contenga norme speciali, è applicabile la legge federale del 25 settembre 2020 124 sulla protezione dei dati. Art. 10 lett. c Non possono essere trattati dati concernenti: c. l’appartenenza a una razza o a un’etnia. Art. 11 cpv. 2 2 Se il collegamento di dati personali permette di valutare le caratteristiche essenziali di una persona, i dati collegati sono conservati al massimo: a. sino al proscioglimento dall’obbligo di prestare servizio militare; o b. per cinque anni dal termine dell’impiego presso l’Aggruppamento Difesa.

43. Legge federale del 13 dicembre 1996 125 sul materiale bellico Art. 30 cpv. 2, secondo periodo 2 ... Esso è autorizzato a trattare dati personali, compresi quelli necessari per valutare il pericolo che una persona commetta infrazioni alla presente legge, a prescindere dal fatto che si tratti o meno di dati personali degni di particolare protezione, nella misura e per il periodo richiesti dall’esecuzione del suo mandato.

123 RS 510.91 124 RS 235.1 125 RS 514.51

Protezione dei dati. LF FF 2020 6756 44. Legge del 20 giugno 1997 126 sulle armi Art. 32e cpv. 1 e 2 1 Dati personali possono essere comunicati a Stati terzi soltanto se questi ultimi garantiscono una protezione adeguata dei dati ai sensi dell’articolo 16 capoverso 1 della legge federale del 25 settembre 2020 127 sulla protezione dei dati (LPD). 2 Qualora non garantisca un adeguato livello di protezione, allo Stato terzo possono essere comunicati dati personali se: a. la persona interessata ha dato il suo consenso conformemente all’articolo 6 capoversi 6 e, se del caso, 7 LPD; b. la comunicazione è necessaria per proteggere la vita o l’integrità fisica della persona interessata e non è possibile ottenere il suo consenso entro un ter- mine ragionevole; o c. la comunicazione è necessaria per tutelare un interesse pubblico preponde- rante o per accertare, esercitare o far valere un diritto in giustizia o dinanzi a un’altra autorità estera competente. Art. 32g, secondo periodo Abrogato

45. Legge federale del 4 ottobre 2002 128 sulla protezione della popolazione e sulla protezione civile Art. 72 cpv. 1, parte introduttiva, secondo periodo, e lett. b, nonché 1 bis , parte intro- duttiva, secondo periodo, e lett. b 1 ... Al riguardo può trattare i seguenti dati: b. dati personali che permettono di valutare l’attribuzione della funzione di base o di accertare il potenziale per funzioni di quadro. 1bis ... Al riguardo può trattare i seguenti dati: b. dati personali che permettono di valutare il potenziale per funzioni di quadro o di specialista.

126 RS 514.54 127 RS 235.1 128 RS 520.1

Protezione dei dati. LF FF 2020 6757 46. Legge federale del 7 ottobre 2005 129 sulle finanze della Confederazione Art. 60c cpv. 1, frase introduttiva, e 3 1 La CRPF tratta in forma cartacea e in un sistema d’informazione i dati dei suoi clienti, compresi i dati personali degni di particolare protezione, di cui necessita per adempiere i propri compiti, in particolare per: 3 Per l’adempimento dei loro compiti, gli impiegati della CRPF possono trasmettere dati personali, compresi dati personali degni di particolare protezione, ai loro supe- riori diretti, anche se questi ultimi non sono impiegati della CRPF.

47. Legge del 28 giugno 1967 130 sul Controllo delle finanze Art. 10 cpv. 3 3 Le unità amministrative della Confederazione accordano al Controllo federale delle finanze il diritto di accedere mediante procedura di richiamo ai dati necessari per lo svolgimento della vigilanza finanziaria. All’occorrenza il diritto d’accesso compren- de pure dati personali degni di particolare protezione. Il Controllo federale delle finanze può memorizzare i dati personali richiamati solo fino al termine della proce- dura di revisione. Le richieste d’accesso ai diversi sistemi come pure i relativi scopi devono essere iscritti in un registro.

48. Legge del 18 marzo 2005 131 sulle dogane Art. 38 cpv. 2 2 Può rendere decisioni di tassazione sotto forma di decisioni individuali automatiz- zate ai sensi dell’articolo 21 della legge federale del 25 settembre 2020 132 sulla protezione dei dati (LPD). Art. 103 cpv. 1, frase introduttiva, e 2 1 L’AFD può accertare l’identità di una persona fotografandola o rilevandone dati genetici o biometrici se: 2 Il Consiglio federale determina i dati genetici e biometrici che possono essere rilevati.

129 RS 611.0 130 RS 614.0 131 RS 631.0 132 RS 235.1

Protezione dei dati. LF FF 2020

6758

Art. 110 cpv. 1 e 2

1

L’AFD può elaborare dati personali, inclusi quelli degni di particolare protezione,

per:

1. determinare e riscuotere tributi;
2. allestire analisi dei rischi;
3. perseguire e giudicare reati;
4. sbrigare domande di assistenza amministrativa e giudiziaria;
5. allestire statistiche;
6. svolgere e analizzare attività di polizia nell’ambito dei controlli delle perso-

ne;

g. svolgere e analizzare l’esecuzione dei disposti federali di natura non doga-

nale;

h. svolgere e analizzare attività nell’ambito della lotta alla criminalità.

2

A tal fine può gestire sistemi d’informazione. Per adempiere i compiti di cui al

capoverso 1 lettere a–c ed e–h è inoltre autorizzata a effettuare profilazioni, incluse

quelle a rischio elevato, ai sensi della LPD

133

.

Art. 110a cpv. 3 lett. b

3

Nel sistema d’informazione possono essere elaborati i seguenti dati personali degni

di particolare protezione:

b. indicazioni concernenti l’appartenenza religiosa, sempre che ciò sia eccezio-

nalmente necessario per il perseguimento penale;

Art. 112 cpv. 2, frase introduttiva, 4 lett. b, nonché 6, terzo periodo

2

Possono in particolare essere comunicati i dati e le connessioni di dati seguenti,

inclusi i dati personali degni di particolare protezione e i dati risultanti da una profi-

lazione o da una profilazione a rischio elevato:

4

L’AFD può rendere accessibili alle autorità menzionate qui appresso i seguenti dati

mediante procedura di richiamo, sempre che essi siano necessari per l’esecuzione

dei disposti che queste autorità devono applicare:

b. Abrogata

6

... È fatto salvo l’articolo 16 capoverso 1 LPD

134

.

Art. 113 Comunicazione di dati ad autorità estere

L’AFD può comunicare dati, inclusi i dati personali degni di particolare protezione e

i dati risultanti da una profilazione o da una profilazione a rischio elevato, ad autori-

tà di altri Stati nonché a organizzazioni sopranazionali o internazionali (autorità

133 RS 235.1 134 RS 235.1

Protezione dei dati. LF FF 2020 6759 estere) in singoli casi o mediante procedura di richiamo, sempre che un trattato internazionale lo preveda. Art. 114 cpv. 2 2 Le autorità svizzere comunicano all’AFD dati, inclusi i dati personali degni di par- ticolare protezione e i dati risultanti da una profilazione o da una profilazione a rischio elevato, sempre che ciò sia necessario per l’esecuzione dei disposti ch’essa deve applicare.

49. Legge del 12 giugno 2009 135 sull’IVA Art. 76 cpv. 1 e 3 1 Per l’adempimento dei suoi compiti legali, l’AFC è autorizzata a trattare dati personali degni di particolare protezione, compresi i dati concernenti sanzioni e procedimenti amministrativi e penali. 3 Per l’adempimento dei compiti legali indicati qui appresso, l’AFC è inoltre auto- rizzata a effettuare profilazioni, incluse quelle a rischio elevato, ai sensi della legge federale del 25 settembre 2020 136 sulla protezione dei dati:
    1. eseguire verifiche e controlli;
    2. accertare l’assoggettamento fiscale;
    3. riscuotere l’imposta sul valore aggiunto;
    4. prevenire e perseguire reati;
    5. eseguire analisi ed elaborare profili di rischio;
    6. tenere statistiche.
    Art. 76a cpv. 1, 3 lett. g e 4 1 L’AFC gestisce un sistema d’informazione per trattare dati personali e dati perso- nali degni di particolare protezione concernenti sanzioni e procedimenti amministra- tivi e penali. 3 Il sistema d’informazione può contenere i seguenti dati personali, compresi quelli degni di particolare protezione: g. Abrogata 4 Per l’adempimento dei suoi compiti di vigilanza l’Incaricato federale della prote- zione dei dati e della trasparenza ha accesso al sistema d’informazione dell’AFC.

135 RS 641.20 136 RS 235.1

Protezione dei dati. LF FF 2020 6760 Art. 76b cpv. 2 2 L’AFC può comunicare o rendere accessibili mediante procedura di richiamo i dati personali tratti da una profilazione o da una profilazione a rischio elevato secondo l’articolo 76 capoverso 3 come pure i dati di cui all’articolo 76a capoverso 3 al personale dell’AFD incaricato della determinazione e riscossione dell’imposta sul valore aggiunto e dell’esecuzione di procedimenti amministrativi e penali, sempre che questo sia necessario all’esecuzione dei compiti di tale personale.

50. Legge del 21 marzo 1969 137 sull’imposizione del tabacco Art. 18 cpv. 4 4 L’importo dell’imposta può essere stabilito sotto forma di decisione individuale automatizzata ai sensi dell’articolo 21 della legge federale del 25 settembre 2020 138

sulla protezione dei dati.

51. Legge del 6 ottobre 2006 139 sull’imposizione della birra Art. 17 cpv. 3, secondo periodo 3 ... L’importo dell’imposta può essere stabilito sotto forma di decisione individuale automatizzata ai sensi dell’articolo 21 della legge federale del 25 settembre 2020 140

sulla protezione dei dati.

52. Legge federale del 21 giugno 1996 141 sull’imposizione degli oli minerali Art. 21 cpv. 2 bis

2bis L’importo dell’imposta può essere stabilito sotto forma di decisione individuale automatizzata ai sensi dell’articolo 21 della legge federale del 25 settembre 2020 142

sulla protezione dei dati.

137 RS 641.31 138 RS 235.1 139 RS 641.411 140 RS 235.1 141 RS 641.61 142 RS 235.1

Protezione dei dati. LF FF 2020 6761 53. Legge del 19 dicembre 1997 143 sul traffico pesante Art. 11 cpv. 4 4 L’importo della tassa può essere stabilito sotto forma di decisione individuale auto- matizzata ai sensi dell’articolo 21 della legge federale del 25 settembre 2020 144 sulla protezione dei dati.

54. Legge del 28 settembre 2012 145 sull’assistenza amministrativa fiscale Art. 5a, secondo periodo ... Tali disposizioni garantiscono almeno il livello di protezione della legge federale del 25 settembre 2020 146 sulla protezione dei dati.

55. Legge federale del 18 dicembre 2015 147 sullo scambio automatico internazionale di informazioni a fini fiscali Art. 6, secondo periodo ... Tali disposizioni garantiscono almeno il livello di protezione della legge federale del 25 settembre 2020 148 sulla protezione dei dati e della presente legge.

56. Legge federale del 30 settembre 2016 149 sull’energia Art. 56 cpv. 1, frase introduttiva 1 Le informazioni, i dati personali e i dati concernenti persone giuridiche necessari per la verifica e il monitoraggio di cui all’articolo 55 nonché per valutazioni statisti- che sono forniti all’UFE, su richiesta, da: Art. 58, rubrica, nonché cpv. 1 e 3 Trattamento di dati personali e di dati concernenti persone giuridiche 1 Le autorità federali competenti e l’organo d’esecuzione di cui all’articolo 64 pos- sono, nell’ambito degli scopi della presente legge, trattare dati personali e dati concernenti persone giuridiche, compresi dati personali degni di particolare prote- zione concernenti sanzioni e le corrispondenti procedure.

143 RS 641.81 144 RS 235.1 145 RS 651.1 146 RS 235.1 147 RS 653.1 148 RS 235.1 149 RS 730.0

Protezione dei dati. LF FF 2020 6762 3 Il Consiglio federale stabilisce i dati personali e i dati concernenti persone giuridi- che che possono essere trattati e per quanto tempo devono essere conservati. Art. 59, rubrica, nonché cpv. 1, parte introduttiva, e 2, frase introduttiva Divulgazione di dati personali e di dati concernenti persone giuridiche 1 Ai fini della trasparenza e dell’informazione dei consumatori finali, il Consiglio federale può obbligare le imprese del settore energetico a pubblicare in forma ano- nimizzata dati personali e dati concernenti persone giuridiche o a trasmetterli alle autorità federali competenti. L’obbligo di pubblicazione e trasmissione può riguar- dare in particolare le seguenti informazioni: 2 Le autorità federali competenti possono pubblicare in forma adeguata i dati anoni- mizzati di cui al capoverso 1 se:

57. Legge federale del 21 marzo 2003 150 sull’energia nucleare Art. 24 cpv. 2 2 Nell’ambito di questo controllo possono essere elaborati dati sulla salute e l’idon- eità psichica, nonché dati rilevanti per la sicurezza sulla condotta di vita delle per- sone interessate.

58. Legge del 24 giugno 1902 151 sugli impianti elettrici Art. 25a cpv. 2 2 Possono scambiarsi tali dati, se necessario per l’esecuzione unitaria della presente legge.

59. Legge del 23 marzo 2007 152 sull’approvvigionamento elettrico Art. 17c cpv. 1 1 Al trattamento di dati personali in relazione con sistemi di misurazione, di control- lo o di regolazione intelligenti si applica la legge federale del 25 settembre 2020 153

sulla protezione dei dati (LPD). La LPD si applica per analogia al trattamento di dati concernenti persone giuridiche.

150 RS 732.1 151 RS 734.0 152 RS 734.7 153 RS 235.1

Protezione dei dati. LF FF 2020 6763 Art. 27 cpv. 1 1 L’UFE e la ElCom trattano dati personali e dati concernenti persone giuridiche, compresi i dati degni di particolare protezione relativi a procedimenti e sanzioni penali (art. 29), nei limiti degli obiettivi della presente legge.

60. Legge federale del 19 dicembre 1958 154 sulla circolazione stradale Art. 76b cpv. 3, secondo periodo

3 ... Nell’adempimento dei compiti loro affidati sono autorizzate a trat- tare o a fare trattare i dati personali necessari, compresi quelli degni di particolare protezione.

61. Legge federale del 20 dicembre 1957 155 sulle ferrovie Art. 16a Trattamento di dati da parte del titolare della concessione 1 Per le loro attività che rientrano nella concessione o nell’autorizzazione, le imprese sottostanno agli articoli 33–42 della legge federale del 25 settembre 2020 156 sulla protezione dei dati (LPD). Se agiscono secondo il diritto privato, sottostanno invece agli articoli 30–32 LPD. 2 Le imprese possono trattare dati personali, compresi dati personali degni di parti- colare protezione, se è necessario per la sicurezza dell’infrastruttura, in particolare per la costruzione e l’esercizio della medesima. Ciò vale anche per terzi che svolgo- no compiti per il titolare della concessione. Il titolare della concessione rimane responsabile del rispetto delle disposizioni sulla protezione dei dati. Art. 37 cpv. 8 8 L’articolo 9 LPD 157 è applicabile.

62. Legge del 20 marzo 2009 158 sul trasporto di viaggiatori Art. 54 Trattamento di dati da parte del titolare della concessione 1 Per le loro attività che rientrano nella concessione o nell’autorizzazione, le imprese sottostanno agli articoli 33–42 della legge federale del 25 settembre 2020 159 sulla

154 RS 741.01 155 RS 742.101 156 RS 235.1 157 RS 235.1 158 RS 745.1 159 RS 235.1

Protezione dei dati. LF FF 2020 6764 protezione dei dati (LPD). Se agiscono secondo il diritto privato, sottostanno invece agli articoli 30–32 LPD. 2 Le imprese possono trattare dati personali degni di particolare protezione se è necessario per il trasporto dei viaggiatori e per l’esercizio o per la sicurezza dei viaggiatori, dell’esercizio o dell’infrastruttura. Ciò vale anche per terzi che assumo- no i compiti di un’impresa titolare di una concessione o autorizzazione secondo gli articoli 6–8. L’impresa rimane responsabile del rispetto delle disposizioni della legislazione sulla protezione dei dati.

63. Legge federale del 18 giugno 2010 160 sugli organi di sicurezza delle imprese di trasporto pubblico Art. 6 cpv. 3 3 Per il rimanente si applicano le disposizioni della legge federale del 25 settembre 2020 161 sulla protezione dei dati, in particolare gli articoli 33–42 e 49–53.

64. Legge del 4 ottobre 1963 162 sugli impianti di trasporto in condotta Art. 47a cpv. 2

2 Possono scambiarsi tali dati se necessario per l’esecuzione unitaria della presente legge.

160 RS 745.2 161 RS 235.1 162 RS 746.1

Protezione dei dati. LF FF 2020 6765 65. Legge federale del 21 dicembre 1948 163 sulla navigazione aerea Art. 21c cpv. 1 lett. b e 1 bis

1 Nel sistema d’informazione sono trattati i seguenti dati relativi a eventi rilevanti per la sicurezza e a individui potenzialmente pericolosi che vi sono implicati: b. dati personali che sono necessari per valutare il pericolo per il traffico aereo commerciale internazionale, compresi i dati per- sonali degni di particolare protezione, come informazioni rela- tive allo stato di salute, alle condanne o alle procedure penali o amministrative pendenti e all’appartenenza a gruppi criminali o terroristici; 1bis Per valutare la pericolosità degli individui di cui al capoverso 1, fedpol è autorizzata a effettuare profilazioni, incluse quelle a rischio elevato, ai sensi della legge federale del 25 settembre 2020 164 sulla protezione dei dati. Art. 107a cpv. 2, frase introduttiva, 4, secondo periodo, e 5

2 Sono trattati dati personali, compresi dati personali degni di partico- lare protezione, concernenti: 4 ... Concerne soltanto il testo tedesco 5 Per l’esecuzione dei loro compiti legali, gli organi che trattano i dati possono comunicare dati personali, inclusi i dati personali degni di particolare protezione, alle autorità svizzere o estere incaricate di compiti analoghi nonché a organizzazioni internazionali, se sono adempiute le condizioni di cui all’articolo 16 della legge federale del 25 settembre 2020 165 sulla protezione dei dati.

66. Legge federale del 18 marzo 2016 166 sulla sorveglianza della corrispondenza postale e del traffico delle telecomunicazioni Art. 4 Trattamento di dati personali Il Servizio, le autorità abilitate a disporre la sorveglianza, le autorità d’approvazione, i fornitori di servizi postali e i fornitori di servizi di telecomunicazione possono trattare i dati personali, compresi i dati personali degni di particolare protezione, di cui necessitano per disporre, approvare e attuare la sorveglianza.

163 RS 748.0 164 RS 235.1 165 RS 235.1 166 RS 780.1

Protezione dei dati. LF FF 2020 6766 Art. 10 cpv. 1 lett. b 1 Per quanto concerne i dati raccolti nell’ambito di un procedimento penale o per l’esecuzione di una domanda di assistenza giudiziaria: b. il diritto d’accesso ai dati dopo la chiusura del procedimento è retto dalla legge federale del 25 settembre 2020 167 sulla protezione dei dati (LPD) se l’autorità incaricata della domanda di assistenza giudiziaria è un’autorità fe- derale o dal diritto cantonale se è un’autorità cantonale. Art. 13 Responsabilità Le autorità che hanno accesso al sistema di trattamento conformemente all’articolo 9 sono considerate titolari del trattamento per quanto concerne i dati raccolti durante le sorveglianze di loro competenza.

67. Legge del 17 dicembre 2010 168 sulle poste Art. 26 cpv. 1, 2, frase introduttiva, e 3, secondo periodo 1 La PostCom e le altre autorità incaricate dell’esecuzione della presente legge tras- mettono alle altre autorità federali e cantonali i dati di cui queste necessitano per adempiere i loro compiti legali, inclusi i dati personali degni di particolare protezio- ne raccolti nell’ambito di procedimenti amministrativi o di procedimenti penali amministrativi. 2 Salvo diversa disposizione di accordi internazionali, la PostCom può trasmettere dati alle autorità di vigilanza estere incaricate di compiti nel settore postale, inclusi i dati personali degni di particolare protezione raccolti nell’ambito di procedimenti amministrativi o di procedimenti penali amministrativi, a condizione che queste autorità: 3 ... Sono inclusi anche i dati personali degni di particolare protezione raccolti nel- l’ambito di procedimenti amministrativi o di procedimenti penali amministrativi. Art. 28 Trattamento di dati personali Per adempiere i loro compiti legali, la PostCom e l’organo di conciliazione possono trattare dati personali, inclusi i dati personali degni di particolare protezione concer- nenti procedimenti e sanzioni penali.

167 RS 235.1 168 RS 783.0

Protezione dei dati. LF FF 2020 6767 68. Legge del 30 aprile 1997 169 sulle telecomunicazioni Art. 13a cpv. 1, primo periodo 1 La Commissione e l’Ufficio federale possono elaborare dati personali, inclusi i dati su perseguimenti e sanzioni di natura amministrativa e penale, ove sia indispensabile per adempiere i compiti conferiti loro dalla legislazione sulle telecomunicazioni. ... Art. 13b cpv. 1, secondo periodo, nonché 2, frase introduttiva, e 4, primo periodo 1 ... Fanno parte di tali dati anche i dati personali degni di particolare protezione raccolti nell’ambito di procedimenti amministrativi o penali amministrativi. ... 2 Salvo diversa disposizione di accordi internazionali, la Commissione e l’Ufficio federale possono trasmettere dati ad autorità di vigilanza estere incaricate di compiti nel settore delle telecomunicazioni, inclusi i dati personali degni di particolare pro- tezione raccolti nell’ambito di procedimenti amministrativi o penali amministrativi, soltanto se queste autorità: 4 Le autorità svizzere trasmettono gratuitamente alla Commissione e all’Ufficio federale i dati che potrebbero essere importanti per l’esecuzione della legislazione sulle telecomunicazioni, inclusi i dati personali degni di particolare protezione. ...

69. Legge federale del 24 marzo 2006 170 sulla radiotelevisione Art. 69f cpv. 1, secondo periodo 1 ... Il trattamento dei dati è retto dalle disposizioni della legge del 25 settembre 2020 171 sulla protezione dei dati (LPD), per quanto applicabili agli organi federali. Art. 88 cpv. 2 2 Il trattamento dei dati è retto dalle disposizioni della LPD 172 , per quanto applicabili agli organi federali.

169 RS 784.10 170 RS 784.40 171 RS 235.1 172 RS 235.1

Protezione dei dati. LF FF 2020 6768 70. Legge del 30 settembre 2011 173 sulla ricerca umana Art. 42 cpv. 2 2 I dati sanitari personali non genetici possono essere comunicati all’estero a scopo di ricerca soltanto se sono adempiute le condizioni di cui agli articoli 16 e 17 della legge federale del 25 settembre 2020 174 sulla protezione dei dati.

71. Legge del 23 giugno 2006 175 sulle professioni mediche Art. 51 cpv. 3 3 Il registro contiene i dati necessari a raggiungere lo scopo di cui al capoverso 2. Vi rientrano anche dati personali degni di particolare protezione ai sensi dell’articolo 5 lettera c della legge federale del 25 settembre 2020 176 sulla protezione dei dati.

72. Legge federale del 30 settembre 2016 177 sulle professioni sanitarie Art. 24 cpv. 2, secondo periodo 2 ... Vi rientrano anche dati personali degni di particolare protezione ai sensi dell’articolo 5 lettera c della legge federale del 25 settembre 2020 178 sulla protezione dei dati.

73. Legge del 3 ottobre 1951 179 sugli stupefacenti Art. 3f cpv. 1 1 Le autorità e le istituzioni competenti per l’esecuzione della presente legge hanno il diritto di trattare dati personali, inclusi dati personali degni di particolare protezio- ne, allo scopo di verificare le condizioni e l’andamento delle cure prestate a tossi- comani. Art. 18c, secondo periodo Abrogato

173 RS 810.30 174 RS 235.1 175 RS 811.11 176 RS 235.1 177 RS 811.21 178 RS 235.1 179 RS 812.121

Protezione dei dati. LF FF 2020 6769 74. Legge del 15 dicembre 2000 180 sugli agenti terapeutici Art. 62a cpv. 1, frase introduttiva 1 Se necessario all’adempimento dei compiti attribuiti loro dalla presente legge, i servizi della Confederazione e dei Cantoni, i centri regionali e i terzi incaricati di compiti d’esecuzione possono trattare i seguenti dati personali degni di particolare protezione: Art. 62b cpv. 1 1 L’Istituto e l’Amministrazione federale delle dogane (AFD) sono autorizzati, pre- via ponderazione degli interessi, a comunicare nel singolo caso al titolare di un’au- torizzazione d’esercizio o di un’omologazione di un medicamento, nonché a chiun- que immette in commercio dispositivi medici, i dati confidenziali raccolti secondo la presente legge, inclusi i dati personali degni di particolare protezione di cui al- l’articolo 5 lettera c numero 5 della legge federale del 25 settembre 2020 181 sulla protezione dei dati, se ritengono una simile misura necessaria per scoprire e combat- tere un presunto commercio illegale di agenti terapeutici.

75. Legge del 28 settembre 2012 182 sulle epidemie Art. 60 cpv. 9, primo periodo 9 Il diritto di ottenere informazioni relative ai dati che figurano nel sistema d’infor- mazione e il diritto di farli rettificare sono retti dagli articoli 25 e 41 della legge federale del 25 settembre 2020 183 sulla protezione dei dati (LPD). ... Art. 62 cpv. 1 e 3, frase introduttiva, nonché lett. a e d 1 Ai fini dell’esecuzione della presente legge, l’UFSP e le autorità cantonali compe- tenti possono comunicare alle autorità estere incaricate di compiti corrispondenti, nonché a organizzazioni sopranazionali e internazionali, dati personali, inclusi dati concernenti la salute, se: a. la legislazione dello Stato in questione oppure l’organizzazione sopranazio- nale o internazionale garantisce una protezione adeguata dei dati conforme- mente all’articolo 16 capoverso 1 LPD 184 ; o b. i dati personali sono comunicati con le garanzie specifiche di cui all’arti- colo 16 capoverso 2 lettera c LPD. 3 In deroga al capoverso 1, i dati personali possono essere comunicati all’estero se:

180 RS 812.21 181 RS 235.1 182 RS 818.101 183 RS 235.1 184 RS 235.1

Protezione dei dati. LF FF 2020

6770

1. Abrogata
2. nel caso specifico, la comunicazione è indispensabile per proteggere la vita o

l’integrità fisica della persona interessata e non è possibile ottenere il suo

consenso entro un termine ragionevole.

76. Legge federale del 18 marzo 2016 185 sulla registrazione delle malattie tumorali Art. 7 cpv. 2 2 Il paziente può chiedere al titolare del trattamento di dati se sono trattati dati che lo concernono e quali sono tali dati. Non è ammessa una restrizione del suo diritto d’accesso.

77. Legge del 13 marzo 1964 186 sul lavoro Art. 46, secondo periodo ... Per il resto sono applicabili le disposizioni della legge federale del 25 settembre 2020 187 sulla protezione dei dati.

78. Legge del 17 giugno 2005 188 contro il lavoro nero Titolo prima dell’art. 17 Sezione 11: Trattamento di dati e disposizioni penali Art. 17, rubrica, cpv. 1, frase introduttiva, nonché 2 e 4 Trattamento di dati personali 1 L’organo cantonale di controllo è autorizzato a trattare dati personali: 2 Le autorità cantonali competenti per le sanzioni di cui all’articolo 13 sono autoriz- zate a trattare dati concernenti persone fisiche cui è stata inflitta una sanzione ammi- nistrativa o penale. 4 Le disposizioni della legge federale del 25 settembre 2020 189 sulla protezione dei dati concernenti l’esattezza dei dati e il diritto d’accesso sono applicabili.

185 RS 818.33 186 RS 822.11 187 RS 235.1 188 RS 822.41 189 RS 235.1

Protezione dei dati. LF FF 2020 6771 Art. 17a Trattamento di dati concernenti persone giuridiche 1 L’organo cantonale di controllo è autorizzato a trattare i dati concernenti persone giuridiche: a. contenuti nei verbali dei controlli in cui sono stati scoperti uno o più casi di inosservanza dell’obbligo di annuncio e di autorizzazione secondo l’arti- colo 6; b. desunti da comunicazioni pervenutegli dalle autorità competenti per l’og- getto del controllo. 2 Le autorità cantonali competenti per le sanzioni di cui all’articolo 13 sono autoriz- zate a trattare dati concernenti persone giuridiche cui è stata inflitta una sanzione amministrativa o penale.

79. Legge del 6 ottobre 1989 190 sul collocamento Art. 33a cpv. 1, frase introduttiva, e 3 1 Gli organi incaricati di applicare la presente legge oppure di controllarne o sorve- gliarne l’esecuzione possono trattare o far trattare i dati personali di cui necessitano per adempiere i compiti conferiti loro dalla presente legge, segnatamente per: 3 Inoltre, gli organi incaricati di applicare la presente legge oppure di controllarne o sorvegliarne l’esecuzione possono trattare o far trattare i dati personali che permet- tono di valutare la situazione personale ed economica dei beneficiari di prestazioni di consulenza ai sensi della presente legge. Art. 35 cpv. 2, 3 bis e 5 lett. d 2 Il sistema d’informazione può trattare dati personali, compresi quelli degni di parti- colare protezione conformemente all’articolo 33a capoverso 2. 3bis Se necessario all’esecuzione della presente legge e della legge sull’assicurazione contro la disoccupazione, lo scambio di dati personali, compresi quelli degni di par- ticolare protezione, tra i sistemi d’informazione del servizio pubblico di collocamen- to e dell’assicurazione contro la disoccupazione (art. 83 cpv. 1 lett. i della legge sul- l’assicurazione contro la disoccupazione) è autorizzato. 5 Il Consiglio federale disciplina: d. l’accesso ai dati, segnatamente stabilendo quali utenti del sistema d’informa- zione possono trattare dati personali degni di particolare protezione; Art. 35b Concerne soltanto il testo francese

190 RS 823.11

Protezione dei dati. LF FF 2020 6772 80. Legge federale del 20 dicembre 1946 191 sull’assicurazione per la vecchiaia e per i superstiti Art. 49a cpv. 1, frase introduttiva, e 2 1 Gli organi incaricati di applicare la presente legge o di controllarne o sorvegliarne l’esecuzione possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge, segnatamente per: 2 Per adempiere tali compiti possono inoltre trattare o far trattare dati personali che permettono segnatamente di valutare la salute, la gravità dell’infermità fisica o psichica, i bisogni e la situazione economica dell’assicurato.

81. Legge federale del 25 giugno 1982 192 sulla previdenza professionale per la vecchiaia, i superstiti e l’invalidità Art. 85a cpv. 1, frase introduttiva, e 2 1 Gli organi incaricati di applicare la presente legge o di controllarne o sorvegliarne l’esecuzione possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge, segnatamente per: 2 Per adempiere tali compiti possono inoltre trattare o far trattare dati personali che permettono segnatamente di valutare la salute, la gravità dell’infermità fisica o psichica, i bisogni e la situazione economica dell’assicurato.

82. Legge federale del 18 marzo 1994 193 sull’assicurazione malattie Art. 84 cpv. 1, frase introduttiva, e 2 1 Gli organi incaricati di eseguire, controllare o sorvegliare la presente legge o la LVAMal 194 possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge o dalla LVAMal, segnatamente per: 2 Per adempiere tali compiti, possono inoltre trattare o far trattare dati personali che permettono segnatamente di valutare la salute, la gravità dell’infermità fisica o psichica, i bisogni e la situazione economica dell’assicurato.

191 RS 831.10 192 RS 831.40 193 RS 832.10 194 RS 832.12

Protezione dei dati. LF FF 2020 6773 83. Legge federale del 20 marzo 1981 195 sull’assicurazione contro gli infortuni Art. 96 cpv. 1, frase introduttiva, e 2 1 Gli organi incaricati di applicare la presente legge o di controllarne o sorvegliarne l’esecuzione possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge, segnatamente per: 2 Per adempiere tali compiti possono inoltre effettuare profilazioni, incluse quelle a rischio elevato, ai sensi della legge federale del 25 settembre 2020 196 sulla protezio- ne dei dati (LPD) ed emanare decisioni individuali automatizzate ai sensi del- l’articolo 21 LPD.

84. Legge federale del 19 giugno 1992 197 sull’assicurazione militare Art. 94a cpv. 1, frase introduttiva, e 2 1 Gli organi incaricati di applicare la presente legge o di controllarne o sorvegliarne l’esecuzione possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge, segnatamente per: 2 Per adempiere tali compiti possono inoltre effettuare profilazioni, incluse quelle a rischio elevato, ai sensi della legge federale del 25 settembre 2020 198 sulla protezio- ne dei dati (LPD) ed emanare decisioni individuali automatizzate ai sensi dell’articolo 21 LPD.

85. Legge del 25 giugno 1982 199 sull’assicurazione contro la disoccupazione Art. 96b cpv. 1, frase introduttiva, e 2 1 Gli organi incaricati di applicare la presente legge o di controllarne o sorvegliarne l’esecuzione possono trattare o far trattare dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti loro dalla presente legge, segnatamente per: 2 Per adempiere tali compiti possono inoltre trattare o far trattare dati personali che permettono segnatamente di valutare la situazione personale ed economica del be- neficiario di prestazioni dell’assicurazione contro la disoccupazione.

195 RS 832.20 196 RS 235.1 197 RS 833.1 198 RS 235.1 199 RS 837.0

Protezione dei dati. LF FF 2020 6774 Art. 96c cpv. 2, frase introduttiva, e 2 bis

2 Essi possono accedere a dati personali, compresi dati personali degni di particolare protezione, di cui necessitano per adempiere i seguenti compiti conferiti loro dalla presente legge: 2bis Se necessario all’esecuzione della presente legge e della LC 200 , è autorizzato lo scambio di dati personali, compresi quelli degni di particolare protezione, tra i sistemi d’informazione dell’assicurazione contro la disoccupazione (art. 83 cpv. 1 lett. i) e del servizio pubblico di collocamento (art. 35 LC).

86. Legge del 1° luglio 1966 201 sulle epizoozie Art. 54a cpv. 3 3 Nell’ambito dei loro compiti prescritti per legge, le autorità d’esecuzione sono autorizzate a trattare dati personali degni di particolare protezione e profili aziendali.

87. Legge del 20 giugno 1986 202 sulla caccia Art. 22 cpv. 3, primo e secondo periodo 3 L’Ufficio federale può conservare tali dati personali. Una volta scaduto il termine per il ritiro dell’autorizzazione di caccia, li cancella e distrugge le relative decisioni cantonali. ...

88. Legge federale del 12 giugno 2009 203 sulla sicurezza dei prodotti Art. 13 cpv. 1 1 Gli organi di esecuzione sono autorizzati a trattare dati personali, compresi quelli concernenti procedimenti e sanzioni amministrativi o penali.

89. Legge del 21 marzo 2014 204 sui prodotti da costruzione Art. 32 cpv. 2 2 Gli organi di vigilanza del mercato sono autorizzati a trattare dati personali, com- presi quelli concernenti perseguimenti e sanzioni di natura amministrativa e penale.

200 RS 823.11 201 RS 916.40 202 RS 922.0 203 RS 930.11 204 RS 933.0

Protezione dei dati. LF FF 2020 6775 Forniscono i relativi dati alla banca dati centrale d’esecuzione della vigilanza del mercato.

90. Legge federale del 29 settembre 2017 205 sui giochi in denaro Art. 65 cpv. 2 e 2 bis

2

Se vi sono fondati motivi di sospettare la manipolazione di una competizione

sportiva, l’Autorità intercantonale può segnatamente trasmettere i dati personali

seguenti agli organizzatori e alle organizzazioni, inclusi dati personali degni di

particolare protezione su procedimenti penali o amministrativi:

1. dati personali degli scommettitori;
2. dati personali che consentono di valutare il comportamento degli interessati

nell’ambito di scommesse sportive.

2bis

Se il sospetto si rivela infondato, i dati sono cancellati senza indugio.

Art. 101 cpv. 1

1

Per adempiere i propri compiti legali, la CFCG può trattare dati personali, inclusi

dati degni di particolare protezione relativi allo stato di salute, a misure di aiuto

sociale, a perseguimenti e a sanzioni amministrativi o penali, nonché dati che con-

sentono di valutare le attività degli organizzatori di giochi in denaro illegali.

Art. 110 Trattamento dei dati

Per adempiere i propri compiti legali, l’Autorità intercantonale può trattare dati

personali, inclusi dati degni di particolare protezione relativi allo stato di salute, a

misure di aiuto sociale, a perseguimenti e a sanzioni amministrativi o penali, nonché

dati che consentono di valutare le attività degli organizzatori di giochi in denaro

illegali.

91. Legge federale del 18 marzo 2011 206 sulle professioni psicologiche Art. 40 cpv. 1 1 Il registro contiene i dati necessari al conseguimento dello scopo. Vi rientrano anche dati personali degni di particolare protezione ai sensi dell’articolo 5 lettera c della legge federale del 25 settembre 2020 207 sulla protezione dei dati.

205 RS 935.51 206 RS 935.81 207 RS 235.1

Protezione dei dati. LF FF 2020 6776 92. Legge del 27 settembre 2019 208 sull’Ie Art. 16 cpv. 2, secondo periodo 2 ... È fatto salvo il trattamento dei dati da parte di un responsabile del trattamento secondo l’articolo 9 della legge federale del 25 settembre 2020 209 sulla protezione dei dati. Art. 30 cpv. 2 2 Per adempiere i compiti assegnatile dalla legge, la COMIe può trattare dati perso- nali, compresi quelli degni di particolare protezione, concernenti procedimenti e sanzioni penali.

93. Legge federale del 6 ottobre 1995 210 sugli ostacoli tecnici al commercio Art. 20b cpv. 1 1 Gli organi di esecuzione sono autorizzati a trattare dati personali, compresi quelli concernenti procedimenti e sanzioni amministrativi o penali.

94. Legge del 3 ottobre 2003 211 sulla Banca nazionale Art. 14 cpv. 3 3 L’Amministrazione federale delle contribuzioni fornisce alla Banca nazionale, per l’adempimento dei suoi compiti statistici, le basi e i risultati della sua attività stati- stica nell’ambito dell’imposta sul valore aggiunto e, se necessario, i dati sull’imposta sul valore aggiunto provenienti dalle sue raccolte di dati e rilevazioni. A prescindere dagli articoli 16 capoversi 4 e 4 bis , 50a e 50b della presente legge e dall’articolo 39 della legge federale del 25 settembre 2020 212 sulla protezione dei dati (LPD), la Banca nazionale non è autorizzata a trasmettere a terzi tali dati. Art. 16 cpv. 4 bis e 5 4bis La Banca nazionale è autorizzata a comunicare all’Ufficio federale di statistica, a fini statistici e in forma non aggregata, i dati raccolti. A prescindere dall’articolo 39 LPD 213 , senza il consenso della Banca nazionale l’Ufficio federale di statistica non è autorizzato a trasmettere a terzi i dati ricevuti.

208 FF 2019 5419 209 RS 235.1 210 RS 946.51 211 RS 951.11 212 RS 235.1 213 RS 235.1

Protezione dei dati. LF FF 2020 6777 5 Per il rimanente, ai dati concernenti le persone fisiche si applicano le disposizioni della LPD. Titolo prima dell’articolo 49 Sezione 6: Obbligo di tutelare il segreto, trattamento di dati personali e di dati concernenti persone giuridiche nonché scambio di informazioni e responsabilità Art. 49a Trattamento di dati personali e di dati concernenti persone giuridiche Per adempiere i propri compiti legali, la Banca nazionale può trattare dati personali, compresi quelli degni di particolare protezione, e dati concernenti persone giuridi- che.

95. Legge del 10 ottobre 1997 214 sul riciclaggio di denaro Art. 29 cpv. 2, secondo periodo 2 ... Tali dati includono segnatamente informazioni finanziarie, nonché altri dati per- sonali degni di particolare protezione acquisiti nell’ambito di procedimenti penali, penali amministrativi e amministrativi, compresi i procedimenti pendenti. Art. 33 Principio Il trattamento di dati personali è disciplinato dalla legge federale del 25 settembre 2020 215 sulla protezione dei dati. Art. 34, rubrica e cpv. 1–3 Banche dati e incarti in rapporto con l’obbligo di comunicazione 1 Gli intermediari finanziari tengono banche dati o incarti separati che contengono tutti i documenti relativi alla comunicazione. 2 Possono trasmettere dati provenienti da tali banche dati e incarti unicamente alla FINMA, alla CFCG, all’autorità intercantonale di vigilanza e d’esecuzione secondo l’articolo 105 LGD 216 , all’organismo di vigilanza, agli organismi di autodisciplina, all’Ufficio di comunicazione e alle autorità di perseguimento penale. 3 Il diritto d’accesso delle persone interessate previsto dall’articolo 25 della legge federale del 25 settembre 2020 217 sulla protezione dei dati è escluso dal momento in cui è stata effettuata una comunicazione secondo l’articolo 9 capoverso 1 della

214 RS 955.0 215 RS 235.1 216 RS 935.51 217 RS 235.1

Protezione dei dati. LF FF 2020 6778 presente legge o l’articolo 305 ter capoverso 2 CP 218 fino al momento in cui l’Ufficio di comunicazione informa l’intermediario finanziario secondo l’articolo 23 capover- so 5 o 6, nonché durante un blocco dei beni secondo l’articolo 10.

96. Legge del 22 giugno 2007 219 sulla vigilanza dei mercati finanziari Art. 13a cpv. 1, parte introduttiva, nonché lett. a e a bis , e 2, frase introduttiva 1 La FINMA tratta in forma cartacea o in uno o più sistemi d’informazione i dati del suo personale, nonché dei candidati a un impiego, necessari per l’adempimento dei compiti previsti dalla presente legge. Può affidare il trattamento di tali dati a un responsabile del trattamento. I dati personali trattati concernono in particolare: a. le procedure di assunzione; a bis . la costituzione, l’esecuzione e la cessazione dei rapporti di lavoro; 2 Può trattare, in quanto necessari all’adempimento dei compiti di cui al capoverso 1, i seguenti dati del suo personale, inclusi i dati personali degni di particolare prote- zione: Art. 23 Trattamento di dati 1 Nell’ambito della vigilanza ai sensi della presente legge e delle leggi sui mercati finanziari, la FINMA può trattare o far trattare dati personali, compresi quelli degni di particolare protezione. 2 Può farlo in particolare per: a. controllare gli assoggettati alla vigilanza; b. esercitare la vigilanza; c. condurre un procedimento; d. valutare le garanzie per un’attività irreprensibile; e. valutare il comportamento di una persona che esercita un’attività per un assoggettato alla vigilanza o sul mercato finanziario; o f. l’assistenza amministrativa e giudiziaria nazionale e internazionale. 3 Per il trattamento di dati allo scopo di cui al capoverso 2 lettera e, la FINMA è autorizzata a effettuare profilazioni, incluse quelle a rischio elevato, ai sensi della legge federale del 25 settembre 2020 220 sulla protezione dei dati. 4 La FINMA disciplina i dettagli.

218 RS 311.0 219 RS 956.1 220 RS 235.1

Protezione dei dati. LF FF 2020 6779 Inserire prima del titolo del capitolo 3 Art. 23a Elenco pubblico La FINMA tiene un elenco degli assoggettati alla vigilanza. L’elenco è accessibile in forma elettronica al pubblico.

97. Legge federale del 19 marzo 1976 221 sulla cooperazione allo sviluppo e l’aiuto umanitario internazionali Art. 13a cpv. 1, frase introduttiva e lett. g 1 Per quanto concerne le persone incaricate di eseguire provvedimenti secondo la presente legge o interessate dagli stessi, la competente unità amministrativa può trattare segnatamente i seguenti dati: g. Abrogata

98. Legge federale del 30 settembre 2016 222 sulla cooperazione con gli Stati dell’Europa dell’Est Art. 15 cpv. 2, frase introduttiva 2 Il datore di lavoro può trattare i seguenti dati relativi al personale, compresi quelli degni di particolare protezione, necessari per lo svolgimento dei compiti di cui al capoverso 1:

221 RS 974.0 222 RS 974.1

Protezione dei dati. LF FF 2020 6780 Allegato 2 (art. 73) Coordinamento con altri atti normativi

1. Decreto federale del 13 giugno 2008 che approva e traspone nel diritto svizzero le convenzioni relative alla responsabilità civile nel campo dell’energia nucleare Indipendentemente dal fatto che entri prima in vigore la presente modifica della legge federale del 18 dicembre 1987 223 sul diritto internazionale privato (LDIP) (all. 1 cifra II n. 25) o la modifica della LDIP nel quadro del decreto federale del 13 giugno 2008 224 che approva e traspone nel diritto svizzero le convenzioni relative alla responsabilità civile nel campo dell’energia nucleare (legge federale sulla responsabilità civile in materia nucleare, all. cifra II n. 3), alla seconda di queste entrate in vigore o in caso di entrata in vigore simultanea delle due modifiche le disposizioni qui appresso della LDIP avranno il tenore seguente: Art. 130 cpv. 3

3 L’ordinamento delle competenze di cui al capoverso 2 si applica per analogia anche alle azioni in materia di incidenti nucleari alle quali non è applicabile la Convenzione di Parigi. Se, in un siffatto caso, né il luogo del sinistro nucleare né l’impianto nucleare si trovano in Svizzera, l’azione può essere proposta nel Cantone in cui si è prodotto il danno. Se si sono prodotti danni in più di un Cantone, è competente il Cantone che subisce maggiormente le conseguenze dell’incidente. Art. 130a b. Diritto d’accesso e di consultazione in relazione al trattamento di dati personali Per le azioni intese a dare esecuzione al diritto d’accesso o di consul- tazione in relazione al trattamento di dati personali sono competenti i tribunali menzionati nell’articolo 129.

2. Legge del 17 giugno 2016 sul casellario giudiziale

3. All’entrata in vigore della presente legge, le disposizioni qui appresso della legge del 17 giugno 2016 225 sul casellario giudiziale (LCaGi) avranno il tenore seguente: Art. 3 cpv. 1 1 L’Ufficio federale di giustizia è l’organo federale responsabile di VOSTRA.

223 RS 291 224 FF 2008 4671 225 FF 2016 4315

Protezione dei dati. LF FF 2020 6781 Art. 12 cpv. 2 2 I dati penali di VOSTRA non possono essere conservati in una nuova banca dati, salvo che ciò sia necessario per motivare una decisione presa o un passo procedurale intrapreso. Art. 25 cpv. 1 Concerne soltanto il testo francese

2. All’entrata in vigore della LCaGi 226 , le disposizioni qui appresso del Codice penale (all. 1 cifra II n. 26 della presenta legge) avranno il tenore seguente: Art. 365 cpv. 1, primo periodo, e 367 cpv. 3 Privi di oggetto o abrogati

3. Legge federale del 20 dicembre 2019 sulla protezione della popolazione e sulla protezione civile

All’entrata in vigore della presente legge, la disposizione qui appresso della legge federale del 20 dicembre 2019 227 sulla protezione della popolazione e sulla prote- zione civile avrà il tenore seguente: Art. 93 cpv. 1, parte introduttiva, secondo periodo, e lett. b, nonché 2, parte intro- duttiva, secondo periodo, e lett. b 1 ... A tal fine può trattare i seguenti dati: b. dati personali che permettono di valutare l’attribuzione della funzione di base o il potenziale per funzioni di quadro. 2 ... A tal fine può trattare i seguenti dati: b. dati personali che permettono di valutare il potenziale per funzioni di quadro o di specialista.

226 FF 2016 4315 227 FF 2019 7237

Protezione dei dati. LF FF 2020 6782 4. Modifica del 19 giugno 2020 della legge del 25 giugno 1982 sull’assicurazione contro la disoccupazione

1. Indipendentemente dal fatto che entri prima in vigore la presente modifica della legge del 6 ottobre 1989 228 sul collocamento (LC) (all. 1 cifra II n. 79) o la modifica della LC nel quadro della modifica del 19 giugno 2020 229 della legge del 25 giugno 1982 sull’assicurazione contro la disoccupazione (all. n. 1), alla seconda di queste entrate in vigore o in caso di entrata in vigore simultanea delle due modifiche la disposizione qui appresso della LC avrà il tenore seguente: Art. 35 cpv. 2, 3 bis e 5 lett. d 2 Il sistema d’informazione di cui al capoverso 1 lettera a può trattare dati personali, compresi quelli degni di particolare protezione conformemente all’articolo 33a ca- poverso 2. 3bis Se necessario all’esecuzione della presente legge e della LADI, lo scambio di dati personali, compresi quelli degni di particolare protezione, tra i sistemi d’infor- mazione del servizio pubblico di collocamento e dell’assicurazione contro la disoc- cupazione è autorizzato. 5 Il Consiglio federale disciplina: d. la portata dei diritti di accesso e di trattamento dei dati personali, compresi i dati personali degni di particolare protezione, accordati alle persone, agli uf- fici e agli organi di cui ai capoversi 3 e 3 ter ;

2. Indipendentemente dal fatto che entri prima in vigore la presente modifica della legge del 25 giugno 1982 230 sull’assicurazione contro la disoccupazione (LADI) (all. 1 cifra II n. 85) o la modifica del 19 giugno 2020 231 della LADI, alla seconda di queste entrate in vigore o in caso di entrata in vigore simultanea delle due modifi- che la disposizione qui appresso della LADI avrà il tenore seguente: Art. 96c cpv. 2 e 2 bis

2 Abrogato 2bis Se necessario all’esecuzione della presente legge e della LC, è autorizzato lo scambio di dati personali, compresi quelli degni di particolare protezione, tra i sistemi d’informazione dell’assicurazione contro la disoccupazione (art. 83 cpv. 1 bis ) e del servizio pubblico di collocamento (art. 35 LC).

228 RS 823.11 229 FF 2020 5091 230 RS 837.0 231 FF 2020 5091

Protezione dei dati. LF FF 2020 6783 5. Modifica del 21 giugno 2019 della legge federale del 6 ottobre 2000 sulla parte generale del diritto delle assicurazioni sociali

Indipendentemente dal fatto che entri prima in vigore la presente modifica della

legge federale del 20 dicembre 1946

232

sull’assicurazione per la vecchiaia e i super-

stiti (LAVS) (all. 1 cifra II n. 80) o la modifica della LAVS nel quadro della modifica

del 21 giugno 2019

233

della legge federale del 6 ottobre 2000 sulla parte generale

del diritto delle assicurazioni sociali (all. n. 1), alla seconda di queste entrate in

vigore o in caso di entrata in vigore simultanea delle due modifiche le disposizioni

qui appresso della LAVS avranno il tenore seguente:

Art. 49a Sistemi d’informazione

Il Consiglio federale può prescrivere agli organi esecutivi l’utilizzo di sistemi d’in-

formazione sviluppati, previa consultazione degli organi interessati, per l’adempi-

mento dei compiti previsti dall’allegato II dell’Accordo del 21 giugno 1999

234

tra la

Confederazione Svizzera, da una parte, e la Comunità europea ed i suoi Stati mem-

bri, dall’altra, sulla libera circolazione delle persone (Accordo sulla libera circola-

zione delle persone) e da altre convenzioni internazionali in materia di sicurezza

sociale.

Art. 49b Trattamento di dati personali

1

Gli organi incaricati di applicare la presente legge o di controllarne o sorvegliarne

l’esecuzione possono trattare o far trattare dati personali, compresi dati personali

degni di particolare protezione, di cui necessitano per adempiere i compiti conferiti

loro dalla presente legge o da convenzioni internazionali, segnatamente per:

1. calcolare e riscuotere i contributi assicurativi;
2. stabilire il diritto alle prestazioni, nonché calcolarle, versarle e coordinarle

con quelle di altre assicurazioni sociali;

c. stabilire il diritto ai sussidi, nonché calcolarli, versarli e sorvegliarne

l’impiego;

d. far valere una pretesa di regresso nei confronti di terzi responsabili;

e. sorvegliare l’esecuzione della presente legge;

f. allestire statistiche;

g. assegnare o verificare il numero d’assicurato.

2

Per adempiere tali compiti possono inoltre trattare o far trattare dati personali che

permettono segnatamente di valutare la salute, la gravità dell’infermità fisica o

psichica, i bisogni e la situazione economica dell’assicurato.

232 RS 831.10 233 FF 2019 3721 234 RS 0.142.112.681

Protezione dei dati. LF FF 2020 6784 6. Modifica del 19 giugno 2020 della legge del 1° luglio 1966 sulle epizoozie

Indipendentemente dal fatto che entri prima in vigore la presente modifica della legge del 1° luglio 1966 235 sulle epizoozie (LFE) (all. 1 cifra II n. 86) o la modifica del 19 giugno 2020 236 della LFE, alla seconda di queste entrate in vigore o in caso di entrata in vigore simultanea delle due modifiche la disposizione qui appresso della LFE avrà il tenore seguente: Art. 54a Abrogato

235 RS 916.40 236 FF 2020 4979