Informativa privacy del sito web in Svizzera: cosa chiede la nLPD

Il sito della mia azienda ha bisogno di un’informativa privacy, e cosa deve dire? Da quando è in vigore la nuova legge sulla protezione dei dati, molte PMI di Lugano, Bellinzona o Locarno se lo chiedono, spesso dopo aver trovato in rete modelli pensati per l’Italia.

Creo siti internet per piccole imprese, anche per aziende svizzere, e la pagina sulla protezione dei dati è una delle cose che preparo con loro prima della messa online. Questa guida spiega cosa chiede la legge a un sito vetrina, dove lo dice e come si costruisce l’informativa voce per voce. Non è una consulenza legale: per un caso particolare si rivolga all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) o a un giurista.

Cosa chiede la nuova LPD, e a chi

La «nLPD» è la legge federale del 25 settembre 2020 sulla protezione dei dati (LPD), numero 235.1 della Raccolta sistematica. È entrata in vigore il 1° settembre 2023 insieme alla sua ordinanza, l’ordinanza sulla protezione dei dati (OPDa), e ha sostituito la legge del 1992.

Protegge i dati delle persone fisiche: nome, indirizzo e-mail o numero di telefono di un visitatore, di un cliente, di un dipendente. Si applica ai privati, quindi anche alla sua azienda, qualunque sia la sua dimensione. E vale per i fatti che hanno effetti in Svizzera, anche se avvengono all’estero (articolo 3): un sito ospitato fuori dalla Svizzera non ne è esente.

Per un sito vetrina l’obbligo centrale sta in un articolo. L’articolo 19 impone al titolare del trattamento, cioè a lei, di informare la persona «in modo adeguato» quando raccoglie i suoi dati. L’informativa privacy è la forma che questa informazione prende su un sito.

Fonte ufficiale: la legge federale sulla protezione dei dati (LPD), articolo 19, su Fedlex

Cosa raccoglie il suo sito senza che ci pensi

Anche un sito che non vende nulla tratta quasi sempre dati personali:

• il modulo di contatto: nome, e-mail, telefono e messaggio, di solito inviati a una casella di posta presso un fornitore;
• le statistiche delle visite: secondo lo strumento, cookie o informazioni sul dispositivo del visitatore;
• i cookie del sito stesso o dei servizi integrati;
• una mappa, un video o un pulsante social integrato: il fornitore riceve informazioni sul visitatore già alla visualizzazione;
• l’iscrizione a una newsletter, se ne offre una;
• l’hosting: il server che mostra il sito registra spesso informazioni tecniche su ogni visita.

Si comincia quindi da un inventario: quali servizi girano sul sito, chi li fornisce e dove ha sede il fornitore.

L’informativa privacy, voce per voce

L’articolo 19 indica il minimo da comunicare. L’ordinanza (articolo 13 OPDa) aggiunge che l’informazione deve essere concisa, trasparente, comprensibile e facilmente accessibile. Quindi: frasi semplici, non un modello copiato. Ecco le voci, nell’ordine in cui le vedo più spesso.

1. Chi è il titolare

L’identità e i dati di contatto del titolare del trattamento (articolo 19 capoverso 2 lettera a): nome dell’azienda, indirizzo e un indirizzo e-mail per le domande sui dati.

2. Quali dati e a che scopo

Lo scopo del trattamento (lettera b), servizio per servizio. «I dati del modulo servono solo a rispondere alla sua richiesta.» «Le statistiche ci dicono quali pagine vengono consultate.» La legge vuole scopi riconoscibili per la persona interessata (articolo 6): il mio consiglio è una frase concreta per ogni servizio, piuttosto che una formula vaga come «migliorare i nostri servizi».

3. A chi vengono comunicati

Se del caso, i destinatari o le categorie di destinatari (lettera c): il fornitore di hosting, il servizio di posta che riceve i messaggi del modulo, lo strumento di statistica, il fornitore della mappa integrata.

4. Se i dati vanno all’estero

Quando dati personali sono comunicati all’estero, va indicato lo Stato e, se del caso, le garanzie previste o l’eccezione applicata (articolo 19 capoverso 4). È la voce dimenticata più spesso: la riprendo più avanti.

5. Conservazione e diritti

La durata di conservazione non è nell’elenco minimo dell’articolo 19, ma la legge vuole che i dati siano distrutti o resi anonimi appena non servono più (articolo 6): indicarla è semplice e utile. Ogni persona può inoltre chiedere se lei tratta dati che la riguardano (articolo 25); la risposta è in linea di principio gratuita e, di regola, data entro 30 giorni. Indichi a quale indirizzo scrivere.

Fornitori all’estero

Il suo hosting, il suo strumento di statistica o il suo servizio di newsletter trattano dati per suo conto: la legge parla di trattamento da parte di un responsabile del trattamento (articolo 9). È ammesso se un contratto lo prevede, e lei deve assicurarsi che il fornitore sia in grado di garantire la sicurezza dei dati.

Se il fornitore ha sede fuori dalla Svizzera, si aggiunge l’articolo 16. La comunicazione è ammessa verso uno Stato per cui il Consiglio federale ha constatato una protezione adeguata. L’elenco è nell’allegato 1 dell’OPDa; vi figurano per esempio l’Italia, la Francia e la Germania. Verso altri Paesi servono garanzie, come clausole tipo di protezione dei dati riconosciute dall’IFPDT, o una delle eccezioni dell’articolo 17. L’elenco cambia: lo verifichi su Fedlex.

Fonte ufficiale: l’ordinanza sulla protezione dei dati (OPDa) con l’elenco degli Stati, su Fedlex

Cookie banner: in Svizzera è obbligatorio?

La regola sui cookie non sta solo nella LPD, ma anche nella legge sulle telecomunicazioni (LTC), all’articolo 45c, in vigore dal 2007. Secondo la guida dell’IFPDT sui cookie (22 gennaio 2025, adeguata il 6 ottobre 2025), chi gestisce un sito deve informare i visitatori sull’uso dei cookie e sui loro scopi, e indicare che possono rifiutare il trattamento e in che modo.

La guida distingue i cookie essenziali, senza i quali il sito non funzionerebbe o non sarebbe sicuro, dagli altri. Per i cookie non essenziali serve un interesse preponderante oppure il consenso dei visitatori; in ogni caso l’opposizione deve essere ben visibile e possibile con pochi clic, già alla prima visita. Il consenso deve essere esplicito se sono in gioco dati personali degni di particolare protezione o una profilazione a rischio elevato.

Per le statistiche delle visite la guida ammette un interesse preponderante se i dati sono resi anonimi il prima possibile e se lo strumento li tratta solo per conto suo. In pratica: l’IFPDT non rende obbligatorio il banner in quanto tale, ma l’informazione e la possibilità di rifiutare sì.

Fonte ufficiale: il sito dell’Incaricato federale della protezione dei dati e della trasparenza (IFPDT)

Dove mettere l’informativa sul sito

La legge chiede un’informazione facilmente accessibile al momento della raccolta, non un posto preciso. L’uso: un link «Protezione dei dati» o «Privacy» nel piè di pagina di ogni pagina e una breve frase sotto il modulo di contatto, con un link all’informativa.

L’informativa privacy non è l’impressum. L’impressum dice chi è l’azienda e si basa sulla legge contro la concorrenza sleale; l’informativa dice cosa fa il sito con i dati e si basa sulla LPD. Entrambe vanno nel piè di pagina, ma restano due pagine distinte.

L’altra pagina da prevedere: l’impressum del sito web in Svizzera

La nLPD non è il GDPR

Il GDPR è il regolamento europeo che si applica anche in Italia; la LPD è la legge svizzera. Si somigliano, ma per una PMI contano alcune differenze:

• la LPD non chiede un consenso per ogni trattamento: chiede di informare, di rispettare i principi (buona fede, proporzionalità, finalità, articolo 6) e di garantire la sicurezza dei dati (articolo 8); il consenso serve solo in certi casi;
• le imprese con meno di 250 collaboratori non devono tenere un registro delle attività di trattamento, salvo trattamenti su larga scala di dati degni di particolare protezione o profilazione a rischio elevato (articolo 12 LPD e articolo 24 OPDa);
• una violazione della sicurezza dei dati che comporta verosimilmente un rischio elevato va notificata all’IFPDT «quanto prima» (articolo 24), senza un termine fisso nella legge.

Un’azienda svizzera il cui sito si rivolge anche a clienti nell’Unione europea, per esempio in Lombardia, può rientrare anche nel GDPR. In quel caso faccia verificare cosa si applica, e non copi tale e quale un’informativa scritta per un sito italiano.

Cosa si rischia

L’articolo 60 della LPD punisce con la multa fino a 250 000 franchi i privati che omettono intenzionalmente di informare la persona interessata secondo l’articolo 19, o che forniscono intenzionalmente informazioni inesatte o incomplete. Tre punti: serve una querela, serve l’intenzione, e la multa colpisce in linea di principio la persona responsabile, non l’azienda in quanto tale.

Gli errori più frequenti

• Copiare l’informativa di un concorrente: descrive gli strumenti del concorrente, non i suoi.
• Partire da un modello e non adattarlo mai: voci su un negozio online che non ha, e niente sulla mappa integrata.
• Aggiungere uno strumento in seguito (statistiche, prenotazioni, newsletter) senza aggiornare l’informativa.
• Mostrare un banner dei cookie che non permette davvero di rifiutare.

Come posso aiutarla

Creo siti internet per piccole imprese e lavoro a distanza per aziende in Francia, Svizzera e Belgio, dal primo contatto alla messa online. In concreto realizzo:

• un sito vetrina che presenta la sua azienda, i suoi servizi e i suoi recapiti, pensato per lo smartphone
• un negozio online, se vuole vendere direttamente i suoi prodotti
• un’applicazione o uno strumento su misura, quando un foglio di calcolo o un software standard non bastano più
• il rifacimento di un sito vecchio o difficile da modificare
• la manutenzione del sito nel tempo

Sulla protezione dei dati il mio ruolo è tecnico: pubblico l’informativa privacy che lei mi fornisce, redatta o verificata da lei o dal suo consulente, metto il link nel piè di pagina e sotto il modulo e le dico quali servizi usa il sito. Non redigo testi giuridici.

Per un sito vetrina semplice (presentazione, servizi, contatti) propongo un sito vetrina chiavi in mano a 100 €, pagato una sola volta, adatto allo smartphone e messo online da me 5 giorni lavorativi dopo aver ricevuto i suoi testi e le sue foto; dominio e hosting restano a parte. Il prezzo è in euro.

Può prima guardare i miei lavori nel portfolio, poi scrivermi dal modulo di contatto. Il primo scambio è gratuito e, per un progetto che va oltre, le invio un preventivo dettagliato entro 24 ore, senza impegno.

L’offerta a 100 €: il sito vetrina chiavi in mano

La prova con gli esempi: guardi i miei lavori

Un progetto a Lugano, Bellinzona o altrove in Svizzera? Mi scriva, il primo scambio è gratuito

Per prevedere il budget: quanto costa un sito web in Ticino

Domande frequenti

In sintesi

Dal 1° settembre 2023 la legge federale sulla protezione dei dati chiede a ogni sito che raccoglie dati personali di informare i visitatori: chi è il titolare, a cosa servono i dati, a chi vanno e in quale Paese se lasciano la Svizzera. Faccia l’inventario dei servizi del sito, scriva un’informativa breve ed esatta, la colleghi nel piè di pagina e sotto il modulo, permetta di rifiutare i cookie non essenziali e la aggiorni a ogni nuovo strumento. Per un caso particolare, l’IFPDT e un giurista restano i riferimenti giusti.