Il Cantone aggiorna il proprio quadro normativo. La nuova LPDP rafforza un modello fondato sulla responsabilità degli enti pubblici, sulla prevenzione dei rischi e sulla protezione dei dati nella progettazione dei trattamenti.
Per oltre trent’anni la protezione dei dati degli enti pubblici ticinesi è stata disciplinata da una legge adottata nel 1987, in un contesto tecnologico profondamente diverso da quello attuale. Oggi lo scenario è radicalmente cambiato: banche dati interconnesse, servizi digitali, sistemi automatizzati, intelligenza artificiale e nuovi strumenti tecnologici hanno trasformato il modo in cui le amministrazioni raccolgono, utilizzano e condividono le informazioni personali.
Con l’approvazione della revisione totale della Legge cantonale sulla protezione dei dati personali (LPDP), il Ticino aggiorna il proprio sistema normativo, adeguandolo agli sviluppi intervenuti negli ultimi anni a livello federale e internazionale. La revisione è stata approvata dal Gran Consiglio nella giornata del 15 settembre 2026.
Dalla protezione formale alla responsabilità attiva
La nuova legge segna un’evoluzione nell’approccio alla protezione dei dati. La disciplina non si limita più alla definizione di obblighi formali, ma richiede agli enti pubblici una maggiore capacità organizzativa nella gestione dei trattamenti, attraverso valutazioni dei rischi, adozione di misure adeguate e capacità di dimostrare la conformità alla normativa.
Si rafforza quindi il principio della responsabilità (accountability), già presente nella Legge federale sulla protezione dei dati (LPD) e nel Regolamento europeo GDPR, secondo cui il titolare del trattamento deve essere in grado di dimostrare l’adeguatezza delle misure adottate.
Un approccio che riflette l’evoluzione della normativa svizzera ed europea degli ultimi anni e che il Consiglio di Stato aveva indicato come uno degli obiettivi principali della revisione.
Privacy by design e by default: la protezione entra nella progettazione
La nuova disciplina introduce e rafforza un approccio preventivo nella gestione della protezione dei dati, con particolare attenzione ai trattamenti che possono comportare rischi elevati per i diritti fondamentali delle persone interessate.
Tra gli strumenti centrali rientra la valutazione d’impatto sulla protezione dei dati (DPIA), che consente agli enti di individuare preventivamente eventuali criticità, valutare i rischi e definire misure tecniche e organizzative adeguate prima dell’avvio di determinati trattamenti.
L’obiettivo è evitare che problematiche legate alla protezione dei dati vengano affrontate soltanto dopo il verificarsi di un incidente, promuovendo invece un modello basato sulla prevenzione e sulla gestione anticipata dei rischi.
Parallelamente, la nuova LPDP disciplina maggiormente la gestione delle violazioni di dati personali (data breach), introducendo un obbligo di notifica all’autorità competente nei casi in cui una violazione possa comportare un rischio significativo per le persone interessate, in linea con quanto previsto dalla Legge federale sulla protezione dei dati.
Quando informazioni personali vengono compromesse, l’evento dovrà quindi essere analizzato, valutato e gestito secondo procedure strutturate.
In un contesto in cui anche gli enti pubblici sono potenziali bersagli di attacchi informatici, la capacità di prevenire, rilevare e reagire rapidamente agli incidenti diventa parte integrante della protezione dei dati.
Un’autorità di controllo con un ruolo rafforzato
La riforma rafforza inoltre il ruolo dell’Incaricato cantonale della protezione dei dati (ICPD), attribuendo maggiore centralità alla funzione di vigilanza e controllo.
L’autorità privacy potrà svolgere un ruolo ancora più incisivo nel garantire che gli enti soggetti alla legge adottino misure adeguate rispetto alla complessità dei trattamenti effettuati e ai rischi connessi.
Cosa cambia per Comuni ed enti pubblici?
La nuova LPDP interessa direttamente:
- il Cantone;
- i Comuni;
- gli enti e istituti di diritto pubblico;
- i soggetti privati ai quali sono affidati compiti pubblici.
Per queste organizzazioni la sfida non sarà soltanto normativa, ma soprattutto organizzativa. L’approvazione della legge rappresenta infatti il primo passo verso un processo di adeguamento che richiederà:
- aggiornamento di regolamenti e procedure interne;
- definizione chiara dei ruoli e delle responsabilità nella gestione dei dati;
- verifica dei rapporti con fornitori e partner tecnologici;
- formazione del personale coinvolto nei trattamenti.
La privacy pubblica entra in una nuova fase
La nuova LPDP ticinese arriva in un momento storico in cui la quantità di dati prodotti e trattati dalle istituzioni cresce rapidamente.
Cartelle digitali, servizi amministrativi online, sistemi automatizzati e nuove tecnologie rendono sempre più centrale una domanda: come utilizzare i dati per migliorare i servizi pubblici senza compromettere i diritti delle persone?
La risposta della nuova legge si fonda su alcuni principi chiave: maggiore trasparenza, maggiore responsabilità e maggiore prevenzione.
Perché la protezione dei dati non riguarda soltanto la sicurezza delle informazioni, ma anche il rapporto di fiducia tra cittadini e istituzioni.
Fonti
- Repubblica e Cantone Ticino – Revisione totale della Legge cantonale sulla protezione dei dati personali (LPDP).
- Messaggio governativo n. 8281 del 17 maggio 2023 – Revisione totale della legge cantonale sulla protezione dei dati personali.
- Consiglio di Stato del Cantone Ticino – Comunicazione sulla revisione totale della LPDP e sugli obiettivi della riforma.
