Legge federale del 28 settembre 2018 sulla protezione dei dati personali nell'ambito dell'applicazione dell'acquis di Schengen in materia penale (Legge sulla protezione dei dati in ambito Schengen, LPDS)

 La presente legge disciplina il trattamento di dati personali da parte degli organi federali ai fini della prevenzione, del chiarimento o del perseguimento di reati o dell’esecuzione di sanzioni penali, comprese la protezione contro le minacce alla sicurezza pubblica e la prevenzione delle stesse:

1. a.

   nell’ambito dell’applicazione dell’acquis di Schengen;

2. b.

   nell’ambito dell’applicazione degli accordi internazionali conclusi con l’Unione europea o con Stati vincolati da un accordo di associazione alla normativa di Schengen (Stati Schengen) e che in materia di protezione dei dati rimandano alla direttiva (UE) 2016/680.

 Gli accordi di associazione alla normativa di Schengen sono elencati nell’allegato.

 La presente legge non si applica ai diritti delle persone interessate nei procedimenti pendenti davanti ai tribunali della Confederazione e nei procedimenti pendenti secondo il Codice di procedura penale¹ o secondo la legge federale del 20 marzo 1981² sull’assistenza internazionale in materia penale; tali diritti sono disciplinati dal diritto processuale applicabile.

 In quanto la presente legge non preveda disposizioni particolari, si applica la legge federale del 19 giugno 1992³ sulla protezione dei dati (LPD); è fatta salva l’applicazione di altre leggi federali.

 Nella presente legge s’intende per:

1. a.

   dati personali degni di particolare protezione:

   1. 1.

      i dati concernenti le opinioni o attività religiose, filosofiche o politiche,

   2. 2.

      i dati concernenti la salute, la sfera intima o l’appartenenza a una razza o a un’etnia,

   3. 3.

      i dati genetici,

   4. 4.

      i dati biometrici che identificano in modo univoco una persona fisica,

   5. 5.

      i dati concernenti le misure d’assistenza sociale,

   6. 6.

      i dati concernenti procedimenti e sanzioni amministrativi e penali;

2. b.

   profilazione: ogni trattamento automatizzato di dati personali consistente nell’utilizzazione degli stessi per valutare determinati aspetti della personalità di una persona fisica, in particolare per analizzare o prevedere elementi concernenti il rendimento professionale, la situazione economica, la salute, le preferenze, gli interessi, l’affidabilità, il comportamento, il luogo di soggiorno e gli spostamenti di tale persona;

3. c.

   violazione della sicurezza dei dati: ogni violazione della sicurezza, a prescindere dal fatto che sia intenzionale o illecita, in seguito alla quale dati personali vengono persi, cancellati, distrutti, modificati oppure divulgati o resi accessibili a persone non autorizzate;

4. d.

   decisione individuale automatizzata: ogni decisione basata esclusivamente su un trattamento automatizzato di dati personali, compresa la profilazione, che abbia per la persona interessata effetti giuridici o ripercussioni significative;

5. e.

   responsabile del trattamento: la persona privata o l’organo federale che tratta dati personali per conto dell’organo federale responsabile.

 Peraltro si applicano le definizioni di cui all’articolo 3 LPD¹.

 I dati personali vanno trattati in modo lecito.

 Il trattamento deve essere conforme al principio della buona fede e della proporzionalità.

 I dati personali possono essere raccolti soltanto per uno scopo determinato e riconoscibile da parte della persona interessata; possono essere trattati soltanto in modo compatibile con tale scopo.

 I dati personali sono distrutti o resi anonimi non appena non sono più necessari per lo scopo del trattamento.

 Chi tratta dati personali deve accertarsi della loro esattezza. Deve prendere tutti i provvedimenti adeguati e necessari per rettificare, cancellare o distruggere i dati inesatti o incompleti in considerazione dello scopo per cui sono stati raccolti o trattati.

 Gli organi federali sono tenuti ad adottare, sin dalla progettazione, i provvedimenti tecnici e organizzativi necessari affinché il trattamento dei dati sia conforme alle disposizioni sulla protezione dei dati, in particolare ai principi di cui all’articolo 4.

 I provvedimenti tecnici e organizzativi devono essere adeguati in particolare allo stato della tecnica, alla natura e all’estensione del trattamento dei dati come pure al rischio che il trattamento comporta per i diritti fondamentali delle persone interessate.

 Gli organi federali sono tenuti a garantire, mediante appropriate impostazioni predefinite, che il trattamento di dati personali sia circoscritto al minimo indispensabile per lo scopo perseguito.

 Gli organi federali possono trattare dati personali soltanto se esiste una pertinente base legale.

 La base legale deve essere prevista in una legge in senso formale nei casi seguenti:

1. a.

   sono trattati dati personali degni di particolare protezione;

2. b.

   sono trattati profili della personalità;

3. c.

   è effettuata una profilazione;

4. d.

   il tipo di trattamento può comportare una grave ingerenza nei diritti fondamentali della persona interessata.

 In deroga ai capoversi 1 e 2, gli organi federali possono trattare dati personali se:

1. a.

   il trattamento è necessario per proteggere la vita o l’integrità fisica della persona interessata o di un terzo; o

2. b.

   la persona interessata ha reso i suoi dati personali accessibili a chiunque e non si è opposta espressamente al trattamento.

 Gli organi federali possono comunicare dati personali soltanto se lo prevede una base legale ai sensi dell’articolo 6 capoversi 1 e 2.

 In deroga al capoverso 1, gli organi federali possono comunicare dati personali se nel caso specifico:

1. a.

   la comunicazione è indispensabile affinché l’organo federale o il destinatario possa adempiere un compito definito dalla legge;

2. b.

   la comunicazione è necessaria per proteggere la vita o l’integrità fisica della persona interessata o di un terzo; o

3. c.

   la persona interessata ha reso i suoi dati personali accessibili a chiunque e non si è opposta espressamente alla comunicazione.

 Peraltro è applicabile l’articolo 19 capoversi 1^bis–4 LDP¹.

 La comunicazione di dati personali alle autorità competenti degli Stati Schengen non può essere soggetta a regole di protezione dei dati personali più severe di quelle applicabili alla comunicazione alle autorità penali svizzere.

 La comunicazione di dati personali a uno Stato terzo o a un organo internazionale è retta dalle disposizioni speciali del diritto federale applicabile.

 L’organo federale che nell’adempimento dei suoi compiti tratta o fa trattare dati personali è responsabile della protezione dei dati.

 Se un organo federale tratta dati personali congiuntamente ad altri organi federali, a organi cantonali o a privati, il Consiglio federale disciplina le procedure di controllo e la responsabilità in materia di protezione dei dati.

 Il trattamento di dati personali può essere affidato a un responsabile del trattamento se sono adempiute le condizioni previste dall’articolo 10a LPD¹.

 Il responsabile del trattamento può affidare il trattamento a un terzo soltanto previa autorizzazione scritta dell’organo federale.

 L’organo federale informa la persona interessata in merito a ogni decisione individuale automatizzata (art. 3 cpv. 1 lett. d) che la concerne; queste decisioni sono designate come tali.

 L’organo federale dà la possibilità alla persona interessata che lo richiede di esprimere il suo parere. La persona interessata può esigere che le sia comunicata la procedura applicata e che la decisione sia riesaminata da una persona fisica.

 Il capoverso 2 non si applica se la persona interessata dispone di un rimedio giuridico contro la decisione.

 Gli organi federali e i responsabili del trattamento tengono un registro delle loro attività di trattamento.

 I registri degli organi federali contengono almeno le indicazioni seguenti:

1. a.

   la denominazione dell’organo federale;

2. b.

   lo scopo del trattamento;

3. c.

   una descrizione delle categorie di persone interessate e delle categorie di dati personali trattati;

4. d.

   le categorie di destinatari;

5. e.

   la durata di conservazione dei dati o, se ciò non è possibile, i criteri per stabilire tale durata;

6. f.

   se possibile, una descrizione generale dei provvedimenti tesi a garantire la sicurezza dei dati secondo l’articolo 7 LPD¹;

7. g.

   lo Stato terzo o l’organo internazionale cui sono comunicati dati personali, come pure le garanzie previste per la protezione degli stessi.

 Il registro del responsabile del trattamento contiene indicazioni in merito alla sua identità e a quella dell’organo federale, alle categorie dei trattamenti eseguiti su incarico dell’organo federale, come pure le indicazioni di cui al capoverso 2 lettera f.

 Quando il trattamento può comportare un rischio elevato per i diritti fondamentali della persona interessata, l’organo federale effettua previamente una valutazione d’impatto sulla protezione dei dati. Se prevede più operazioni di trattamento simili può procedere a una valutazione d’impatto comune.

 Il rischio elevato, in particolare in caso di applicazione di nuove tecnologie, risulta dal tipo, dall’estensione, dalle circostanze e dallo scopo del trattamento. Sussiste segnatamente nel caso di:

1. a.

   un trattamento su grande scala di dati personali degni di particolare protezione o di profili della personalità;

2. b.

   una profilazione.

 La valutazione d’impatto sulla protezione dei dati contiene una descrizione del trattamento previsto, una valutazione dei rischi per i diritti fondamentali della persona interessata nonché i provvedimenti a loro tutela.

 L’organo federale sente previamente il parere dell’Incaricato federale della protezione dei dati e della trasparenza (Incaricato), se dalla valutazione d’impatto sulla protezione dei dati emerge che senza alcun provvedimento dell’organo federale il trattamento previsto presenterebbe un rischio elevato per i diritti fondamentali della persona interessata.

 L’Incaricato comunica entro due mesi all’organo federale le sue obiezioni contro il trattamento previsto. Il termine può essere prorogato di un mese se si tratta di un trattamento di dati complesso.

 Se ha obiezioni contro il trattamento previsto, l’Incaricato propone all’organo federale provvedimenti appropriati.

 L’organo federale comunica quanto prima all’Incaricato ogni violazione della sicurezza dei dati che comporta verosimilmente un grave rischio per i diritti fondamentali della persona interessata.

 Nella comunicazione l’organo federale menziona almeno il tipo di violazione della sicurezza dei dati, le sue conseguenze e i provvedimenti disposti o previsti per rimediarvi.

 Il responsabile del trattamento comunica quanto prima all’organo federale ogni violazione della sicurezza dei dati.

 L’organo federale informa la persona interessata se ciò è necessario per proteggerla o se lo esige l’Incaricato.

 Può limitare o differire l’informazione della persona interessata o rinunciarvi se:

1. a.

   lo esigono interessi preponderanti di terzi;

2. b.

   lo esige un interesse pubblico preponderante, in particolare la salvaguardia della sicurezza interna o esterna della Svizzera;

3. c.

   l’informazione della persona interessata rischia di compromettere un’indagine, un’istruzione o un procedimento giudiziario o amministrativo;

4. d.

   l’informazione della persona interessata è impossibile o esige mezzi sproporzionati; o

5. e.

   l’informazione della persona interessata è garantita in modo equivalente con una comunicazione pubblica.

 Ogni organo federale designa un responsabile della protezione dei dati. Più organi federali possono designarne uno comune.

 Il responsabile della protezione dei dati:

1. a.

   dispone delle conoscenze tecniche necessarie; e

2. b.

   non esercita attività inconciliabili con i suoi compiti di responsabile della protezione dei dati.

 Il responsabile della protezione dei dati ha in particolare i compiti seguenti:

1. a.

   sostiene gli organi federali;

2. b.

   promuove l’informazione e la formazione dei collaboratori;

3. c.

   collabora all’esecuzione delle disposizioni sulla protezione dei dati e propone provvedimenti se risulta che sono state violate prescrizioni sulla protezione dei dati.

 Il diritto d’accesso è retto dall’articolo 8 LPD¹. L’organo federale comunica inoltre alla persona interessata:

1. a.

   le informazioni necessarie affinché possa far valere i suoi diritti secondo la presente legge;

2. b.

   la durata di conservazione dei dati o, se ciò non è possibile, i criteri per stabilire la durata.

 Sono fatte salve le norme speciali di altre leggi federali.

 La restrizione del diritto d’accesso è retta dall’articolo 9 capoversi 1–3 e 5 LPD¹. L’organo federale può inoltre rifiutare, limitare o differire la comunicazione delle informazioni se la domanda d’accesso è manifestamente infondata o querulosa.

 Sono fatte salve le norme speciali di altre leggi federali.

 Chi ha un interesse degno di protezione può esigere che l’organo federale responsabile:

1. a.

   si astenga dal trattamento illecito;

2. b.

   elimini le conseguenze di un trattamento illecito;

3. c.

   accerti il carattere illecito del trattamento.

 Il richiedente può in particolare esigere che l’organo federale:

1. a.

   rettifichi, cancelli o distrugga i dati personali corrispondenti;

2. b.

   pubblichi o comunichi a terzi la sua decisione, in particolare in merito alla rettifica, alla cancellazione o alla distruzione dei dati, l’opposizione alla comunicazione ai sensi dell’articolo 20 LPD¹ o la menzione che rileva il carattere contestato dei dati secondo il capoverso 4.

 Invece di cancellare o distruggere i dati personali, l’organo federale ne limita il trattamento se:

1. a.

   la persona interessata contesta l’esattezza dei dati personali ma né la loro esattezza né la loro inesattezza possono essere dimostrate;

2. b.

   lo esigono interessi preponderanti di terzi;

3. c.

   lo esige un interesse pubblico preponderante, segnatamente la salvaguardia della sicurezza interna o esterna della Svizzera;

4. d.

   la cancellazione o la distruzione dei dati rischia di compromettere un’indagine, un’istruzione o un procedimento giudiziario o amministrativo.

 Se non possono essere dimostrate né l’esattezza né l’inesattezza dei dati personali, l’organo federale aggiunge agli stessi una menzione che ne rileva il carattere contestato.

 La procedura è retta dalla legge federale del 20 dicembre 1968² sulla procedura amministrativa (PA). Le eccezioni previste dagli articoli 2 e 3 PA non sono applicabili.

 Sono fatte salve le norme speciali di altre leggi federali.

Se è in corso una procedura concernente l’accesso a documenti ufficiali ai sensi della legge del 17 dicembre 2004 sulla trasparenza che contengono dati personali, la persona interessata può, in tale procedura, far valere i diritti che le spettano in virtù dell’articolo 19 della presente legge in riferimento ai documenti oggetto della procedura di accesso.

 L’Incaricato sorveglia l’applicazione delle disposizioni federali sulla protezione dei dati.

 Non sono soggetti alla sorveglianza dell’Incaricato:

1. a.

   i tribunali della Confederazione;

2. b.

   il Ministero pubblico della Confederazione per quanto riguarda il trattamento di dati personali nell’ambito di un procedimento penale;

3. c.

   le autorità federali per quanto riguarda il trattamento di dati personali nell’ambito di procedure di assistenza giudiziaria internazionale in materia penale.

 L’Incaricato apre, d’ufficio o su denuncia, un’inchiesta nei confronti di un organo federale o di un responsabile del trattamento se indizi lasciano presumere che un trattamento di dati potrebbe violare le disposizioni sulla protezione dei dati.

 Può rinunciare ad aprire un’inchiesta se la violazione delle disposizioni sulla protezione dei dati è di poca importanza.

 L’organo federale o il responsabile del trattamento fornisce all’Incaricato tutte le informazioni e i documenti necessari per l’inchiesta. Il diritto di rifiutare di fornire informazioni è retto dagli articoli 16 e 17 PA¹.

 Se la persona interessata ha sporto denuncia, l’Incaricato la informa sul seguito dato alla denuncia e sull’esito di un’eventuale inchiesta.

 Se l’organo federale o il responsabile del trattamento non ottempera all’obbligo di collaborare, l’Incaricato può, nell’ambito dell’inchiesta, ordinare in particolare:

1. a.

   l’accesso alle informazioni, ai documenti, ai registri delle attività di trattamento e ai dati personali necessari per l’inchiesta;

2. b.

   l’accesso ai locali e agli impianti;

3. c.

   l’interrogatorio di testimoni;

4. d.

   perizie di esperti.

 L’Incaricato può inoltre ordinare provvedimenti cautelari per la durata dell’inchiesta.

 Se sono state violate le disposizioni sulla protezione dei dati, l’Incaricato può ordinare di adeguare, sospendere o cessare del tutto o in parte il trattamento nonché di cancellare o distruggere del tutto o in parte i dati personali.

 L’Incaricato può sospendere o vietare la comunicazione dei dati all’estero se questa è contraria alle disposizioni legali riguardanti la comunicazione di dati personali a uno Stato terzo o a un organo internazionale.

 Se durante l’inchiesta l’organo federale o il responsabile del trattamento ha adottato i provvedimenti necessari per ristabilire il rispetto delle disposizioni sulla protezione dei dati, l’Incaricato può limitarsi a pronunciare un ammonimento.

 La procedura d’inchiesta e le decisioni concernenti i provvedimenti di cui agli articoli 23 e 24 sono retti dalla PA¹.

 Fatto salvo l’articolo 349h del Codice penale², è parte soltanto l’organo federale o il responsabile del trattamento oggetto dell’inchiesta.

 L’Incaricato può impugnare le decisioni su ricorso pronunciate dal Tribunale amministrativo federale.

 Ai fini dell’adempimento dei rispettivi compiti legali in materia di protezione dei dati l’Incaricato può scambiare informazioni o dati personali con le autorità di uno Stato Schengen incaricate della protezione dei dati se:

1. a.

   la reciprocità dell’assistenza amministrativa è garantita;

2. b.

   le informazioni e i dati personali sono utilizzati soltanto nell’ambito della procedura concernente la protezione dei dati personali su cui si fonda la domanda di assistenza amministrativa;

3. c.

   l’autorità destinataria s’impegna a salvaguardare i segreti professionali, d’affari e di fabbricazione;

4. d.

   le informazioni e i dati personali sono comunicati a terzi soltanto previo consenso dell’autorità che li ha trasmessi; e

5. e.

   l’autorità destinataria s’impegna a rispettare gli oneri e le limitazioni d’uso richiesti dall’autorità che ha trasmesso le informazioni e i dati personali.

 Per motivare la propria domanda di assistenza amministrativa o per dare seguito a una siffatta domanda di un’autorità, l’Incaricato può fornire in particolare le seguenti informazioni:

1. a.

   la denominazione dell’organo federale responsabile e il nome del responsabile del trattamento o di qualsiasi altra persona che partecipa al trattamento;

2. b.

   le categorie di persone interessate;

3. c.

   l’identità delle persone interessate, se la comunicazione di tale identità è indispensabile per l’adempimento dei compiti legali dell’Incaricato o dell’autorità dello Stato Schengen incaricata della protezione dei dati;

4. d.

   i dati personali o le categorie di dati personali trattati;

5. e.

   lo scopo del trattamento;

6. f.

   i destinatari o le categorie di destinatari;

7. g.

   i provvedimenti tecnici e organizzativi.

 Prima di trasmettere all’autorità dello Stato Schengen incaricata della protezione dei dati informazioni che potrebbero contenere segreti professionali, d’affari o di fabbricazione, l’Incaricato informa le persone titolari di tali segreti e le invita a esprimere un parere, salvo che ciò sia impossibile o esiga mezzi sproporzionati.

La presente legge non si applica alle inchieste dell’Incaricato pendenti al momento della sua entrata in vigore; non si applica neppure ai ricorsi pendenti contro decisioni di prima istanza emanate prima della sua entrata in vigore. A questi casi si applica il diritto anteriore.

Data dell’entrata in vigore: 1° marzo 2019