Der Kanton aktualisiert seinen Rechtsrahmen. Das neue kantonale Datenschutzgesetz (LPDP) stärkt ein Modell, das auf der Verantwortung der öffentlichen Stellen, der Risikoprävention und dem Datenschutz bereits bei der Konzeption von Bearbeitungen beruht.
Über mehr als drei Jahrzehnte hinweg wurde der Datenschutz der öffentlichen Stellen im Tessin durch ein im Jahr 1987 verabschiedetes Gesetz geregelt – in einem technologischen Umfeld, das sich grundlegend von der heutigen Situation unterschied. Die Rahmenbedingungen haben sich inzwischen radikal verändert: vernetzte Datenbanken, digitale Dienstleistungen, automatisierte Systeme, künstliche Intelligenz und neue technologische Instrumente haben die Art und Weise verändert, wie Verwaltungen personenbezogene Informationen erheben, nutzen und weitergeben.
Mit der Verabschiedung der Totalrevision des kantonalen Datenschutzgesetzes (Legge cantonale sulla protezione dei dati personali – LPDP) aktualisiert der Kanton Tessin seinen Rechtsrahmen und passt ihn an die Entwicklungen der letzten Jahre auf Bundes- und internationaler Ebene an. Die Revision wurde am 15. September 2026 vom Grossen Rat verabschiedet.
Vom formalen Datenschutz zur aktiven Verantwortung
Das neue Gesetz stellt eine Weiterentwicklung des Datenschutzansatzes dar. Die Regelung beschränkt sich nicht mehr auf die Festlegung formaler Pflichten, sondern verlangt von öffentlichen Stellen eine stärkere organisatorische Fähigkeit bei der Verwaltung von Bearbeitungen, insbesondere durch Risikobewertungen, die Umsetzung geeigneter Massnahmen und die Fähigkeit, die Einhaltung der gesetzlichen Anforderungen nachzuweisen.
Damit wird das Prinzip der Verantwortlichkeit (Accountability) gestärkt, das bereits im Schweizer Datenschutzgesetz (DSG) sowie in der europäischen Datenschutz-Grundverordnung (DSGVO) verankert ist. Danach muss der Verantwortliche in der Lage sein, die Angemessenheit der getroffenen Massnahmen nachzuweisen.
Dieser Ansatz entspricht der Entwicklung des schweizerischen und europäischen Datenschutzrechts der letzten Jahre und wurde vom Staatsrat als eines der wesentlichen Ziele der Revision bezeichnet.
Privacy by design und by default: Datenschutz wird Teil der Planung von Bearbeitungen
Die neue Regelung führt einen verstärkten präventiven Ansatz im Datenschutzmanagement ein, mit besonderem Augenmerk auf Bearbeitungen, die hohe Risiken für die Grundrechte der betroffenen Personen mit sich bringen können.
Zu den zentralen Instrumenten gehört die Datenschutz-Folgenabschätzung (DSFA), die es öffentlichen Organen ermöglicht, mögliche Problembereiche frühzeitig zu erkennen, die Risiken zu bewerten und vor der Durchführung bestimmter Bearbeitungen geeignete technische und organisatorische Massnahmen festzulegen.
Ziel ist es, Datenschutzprobleme nicht erst nach Eintritt eines Vorfalls zu behandeln, sondern stattdessen ein Modell zu fördern, das auf Prävention und einer frühzeitigen Risikosteuerung basiert.
Parallel dazu regelt das neue LPDP die Behandlung von Verletzungen des Schutzes personenbezogener Daten (Data Breaches) umfassender. Es wird eine Meldepflicht gegenüber der zuständigen Behörde eingeführt, wenn eine Verletzung ein erhebliches Risiko für die betroffenen Personen darstellen kann, entsprechend den Vorgaben des Bundesgesetzes über den Datenschutz.
Wenn personenbezogene Informationen beeinträchtigt werden, muss das Ereignis daher analysiert, bewertet und anhand strukturierter Verfahren behandelt werden.
In einem Umfeld, in dem auch öffentliche Stellen potenzielle Ziele von Cyberangriffen sind, wird die Fähigkeit, Sicherheitsvorfälle zu verhindern, zu erkennen und rasch darauf zu reagieren, zu einem integralen Bestandteil des Datenschutzes.
Eine Kontrollbehörde mit gestärkter Rolle
Die Reform stärkt zudem die Rolle des kantonalen Datenschutzbeauftragten (KDSB) und verleiht der Aufsichts- und Kontrollfunktion eine grössere Bedeutung.
Die Datenschutzbehörde kann eine noch wichtigere Rolle dabei übernehmen, sicherzustellen, dass die dem Gesetz unterstellten Stellen angesichts der Komplexität ihrer Bearbeitungen und der damit verbundenen Risiken angemessene Massnahmen umsetzen.
Was ändert sich für Gemeinden und öffentliche Stellen?
Das neue LPDP betrifft insbesondere:
- den Kanton;
- die Gemeinden;
- öffentlich-rechtliche Körperschaften und Institutionen;
- private Personen oder Organisationen, denen öffentliche Aufgaben übertragen wurden.
Für diese Organisationen wird die Herausforderung nicht nur rechtlicher, sondern vor allem organisatorischer Natur sein. Die Verabschiedung des Gesetzes stellt den ersten Schritt eines Anpassungsprozesses dar, der insbesondere folgende Massnahmen erfordert:
- Aktualisierung interner Reglemente und Verfahren;
- klare Definition von Rollen und Verantwortlichkeiten bei der Datenbearbeitung;
- Überprüfung der Beziehungen zu Lieferanten und Technologiepartnern;
- Schulung der an Bearbeitungen beteiligten Mitarbeitenden.
Der Datenschutz im öffentlichen Bereich tritt in eine neue Phase
Das neue Tessiner Datenschutzgesetz kommt zu einem Zeitpunkt in Kraft, in dem die Menge der von öffentlichen Institutionen erzeugten und bearbeiteten Daten stark zunimmt.
Digitale Dossiers, Online-Verwaltungsdienste, automatisierte Systeme und neue Technologien machen eine Frage immer zentraler: Wie können Daten genutzt werden, um öffentliche Dienstleistungen zu verbessern, ohne die Rechte der betroffenen Personen zu beeinträchtigen?
Die Antwort des neuen Gesetzes basiert auf einigen zentralen Grundsätzen: mehr Transparenz, mehr Verantwortung und mehr Prävention.
Denn Datenschutz betrifft nicht nur die Sicherheit von Informationen, sondern auch das Vertrauensverhältnis zwischen Bürgerinnen und Bürgern sowie staatlichen Institutionen.
Quellen
- Republik und Kanton Tessin – Vollständige Revision des kantonalen Datenschutzgesetzes (LPDP).
- Regierungsbotschaft Nr. 8281 vom 17. Mai 2023 – Vollständige Revision des kantonalen Datenschutzgesetzes.
- Staatsrat des Kantons Tessin – Mitteilung zur vollständigen Revision des LPDP und zu den Zielen der Reform.
