Informativa sulla protezione dei dati per il sito web: cosa richiede la nuova LPD in Svizzera

Dal 1° settembre 2023 in Svizzera è in vigore la nuova legge federale sulla protezione dei dati (nuova LPD). Chi raccoglie dati personali tramite un sito web, ad esempio con un modulo di contatto, uno strumento di analisi, una newsletter o anche solo con i file di log del server web, deve informarne i visitatori (art. 19 LPD). In pratica lo si fa con un’informativa sulla protezione dei dati raggiungibile da ogni pagina. Indica almeno il titolare del trattamento con i suoi dati di contatto, gli scopi del trattamento, i destinatari e, in caso di comunicazione all’estero, gli Stati e le garanzie.

Questo articolo è un’informazione generale e non una consulenza legale. Per il Suo caso concreto si rivolga a una persona specializzata in diritto della protezione dei dati.

Cosa è cambiato con la nuova LPD

• La legge (RS 235.1) e l’ordinanza sulla protezione dei dati OPDa (RS 235.11) sono in vigore dal 1° settembre 2023.
• Sono protetti solo i dati delle persone fisiche, non più quelli delle aziende e di altre persone giuridiche.
• L’obbligo d’informare vale per ogni raccolta di dati personali. Prima, nel settore privato, valeva solo per i dati degni di particolare protezione e per i profili della personalità.
• Chi viola intenzionalmente l’obbligo d’informare può essere punito, su querela, con una multa fino a CHF 250’000 (art. 60 LPD). La multa colpisce la persona responsabile, ad esempio la direttrice o il titolare.
• Le violazioni della sicurezza dei dati che comportano verosimilmente un rischio elevato per le persone interessate vanno notificate all’IFPDT il più rapidamente possibile (art. 24 LPD).
• Le aziende tengono un registro delle attività di trattamento (art. 12 LPD). Ne sono esentate le aziende con meno di 250 collaboratori, purché non trattino su larga scala dati degni di particolare protezione e non effettuino profilazioni a rischio elevato (art. 24 OPDa).

Le indicazioni obbligatorie secondo l’art. 19 LPD

L’art. 19 richiede tutte le informazioni necessarie affinché le persone interessate possano far valere i propri diritti e sia garantito un trattamento trasparente. Come minimo si tratta delle indicazioni seguenti:

Non richiesti espressamente dalla legge, ma consigliati e usuali nella pratica: quali dati raccoglie nel dettaglio, per quanto tempo li conserva, quali diritti hanno le persone interessate (in particolare l’accesso secondo l’art. 25 LPD, la rettifica e la cancellazione), quali cookie e servizi utilizza e come ci si può opporre, nonché la data dell’ultima modifica.

Nelle sue indicazioni sulle dichiarazioni di protezione dei dati in internet, l’IFPDT raccomanda una presentazione a livelli: prima una breve panoramica comprensibile, poi i dettagli. L’informativa deve essere facilmente raggiungibile da ogni pagina, disponibile in tutte le lingue del sito ed evitare formulazioni vaghe come «in determinate circostanze».

Consiglio: L’informativa deve corrispondere alla realtà. Prima di scriverla verifichi quali servizi carica davvero il Suo sito, ad esempio negli strumenti per sviluppatori del browser, nella scheda «Rete». I modelli sono un inizio, ma non sostituiscono questo inventario.

Cookie, analisi e servizi integrati

La LPD non prescrive un banner per i cookie. Determinante è l’art. 45c della legge sulle telecomunicazioni (LTC): chi tratta dati sul dispositivo dei visitatori, ad esempio con i cookie, deve informarli del trattamento e del suo scopo e indicare che possono rifiutarlo. L’IFPDT ha precisato la sua posizione in una guida sui cookie e tecnologie simili (versione 1.1 del 6 ottobre 2025). La LPD richiede un consenso esplicito per il trattamento di dati degni di particolare protezione e per la profilazione a rischio elevato (art. 6 cpv. 7 LPD).

• Cookie tecnicamente necessari, ad esempio per la sessione, il carrello o la lingua: basta l’informazione nell’informativa.
• Statistiche, ad esempio con Matomo o Google Analytics: descriverle nell’informativa, consentire un rifiuto semplice e indicare le garanzie per i fornitori all’estero.
• Marketing e tracciamento su più siti, come pixel pubblicitari e remarketing: secondo la guida dell’IFPDT, qui di regola serve un consenso.
• Contenuti integrati come video di YouTube, Google Maps, caratteri caricati da server di terzi o plugin dei social media: trasmettono l’indirizzo IP al fornitore già al caricamento. Integri i caratteri in locale e carichi mappe o video solo dopo un clic.

Progetti un banner corretto: rifiutare deve essere semplice quanto accettare, senza pulsanti nascosti né caselle preselezionate. Se ha visitatori dall’UE, le regole europee richiedono comunque un consenso preventivo per i cookie non necessari. Per questo molti siti svizzeri chiedono il consenso a tutti i visitatori.

Modulo di contatto, newsletter e file di log del server

• Modulo di contatto: chieda solo ciò che Le serve per rispondere e indichi scopo e durata di conservazione. Il modulo deve funzionare tramite HTTPS. Una protezione antispam come Google reCAPTCHA trasmette dati a Google e va indicata nell’informativa.
• Newsletter: faccia confermare l’iscrizione tramite un link di conferma (double opt-in), così da poter provare il consenso, e offra la disiscrizione in ogni invio. Secondo l’art. 3 cpv. 1 lett. o LCSl, la pubblicità di massa via e-mail presuppone di principio un consenso preventivo. Indichi il servizio di invio come destinatario.
• File di log del server: a ogni richiesta il server web registra tra l’altro indirizzo IP, ora, pagina richiesta e browser. Ciò serve al funzionamento e alla sicurezza e va indicato nell’informativa con la durata di conservazione.
• Negozio online e conto cliente: fornitori di pagamento, servizi di spedizione e software di contabilità sono destinatari e vanno indicati.

Provider di hosting e altri fornitori: il trattamento su mandato

Il Suo provider di hosting, il servizio di newsletter o il CRM trattano dati personali su Suo mandato. Secondo l’art. 9 LPD ciò è ammesso se un contratto o la legge lo prevede, se il fornitore tratta i dati solo come potrebbe farlo Lei stesso e se Lei si assicura che garantisca la sicurezza dei dati. Può ricorrere ad altri subfornitori solo con la Sua autorizzazione preventiva. Queste regole si trovano spesso nelle condizioni generali o in un contratto separato sul trattamento su mandato.

Se i dati vengono comunicati all’estero, vale l’art. 16 LPD: senza ulteriori misure è possibile verso gli Stati la cui protezione dei dati è stata riconosciuta adeguata dal Consiglio federale. L’elenco si trova nell’allegato 1 dell’OPDa e comprende tra l’altro gli Stati dell’UE e del SEE. Verso altri Stati servono garanzie adeguate, di solito clausole contrattuali tipo riconosciute dall’IFPDT. Per gli USA, dal 15 settembre 2024 il Consiglio federale riconosce le aziende certificate secondo lo Swiss-U.S. Data Privacy Framework. Nell’informativa indichi gli Stati e le relative garanzie.

Quando si applica anche il RGPD

Secondo il suo art. 3 par. 2, il regolamento generale sulla protezione dei dati dell’UE si applica anche alle aziende svizzere che offrono in modo mirato beni o servizi a persone nell’UE o ne osservano il comportamento, ad esempio con strumenti di tracciamento. Indizi di un’offerta mirata sono consegne nell’UE, prezzi in euro o pubblicità rivolta a Paesi dell’UE. Nel Liechtenstein, in quanto Stato del SEE, il RGPD si applica direttamente.

Il RGPD richiede più indicazioni della LPD, tra cui la base giuridica di ogni trattamento, la durata di conservazione, tutti i diritti degli interessati e il diritto di proporre reclamo a un’autorità di controllo (art. 13 RGPD). A seconda della portata serve inoltre un rappresentante nell’UE (art. 27 RGPD).

Consiglio: Molte PMI redigono un’unica informativa che copre sia la LPD sia il RGPD. Così aggiorna un solo documento ed è pronta anche per i visitatori dall’UE.

Lista di controllo per il Suo sito

1. Inventario: quali dati personali raccoglie e dove? Moduli, negozio, newsletter, file di log, analisi, contenuti integrati, chat.
2. Elencare tutti i servizi esterni con la sede del fornitore e verificare se lo Stato figura nell’elenco dell’allegato 1 dell’OPDa o quali garanzie esistono.
3. Redigere l’informativa con le indicazioni dell’art. 19 LPD, completate da diritti, conservazione e contatto.
4. Inserire il link nel piè di pagina di ogni pagina, in tutte le lingue del sito.
5. Verificare i cookie: consentire il rifiuto, chiedere il consenso per il tracciamento e per i visitatori dall’UE.
6. Verificare i contratti di trattamento su mandato con il provider di hosting e i fornitori.
7. HTTPS su tutto il sito, moduli compresi.
8. Chiarire se deve tenere un registro delle attività di trattamento.
9. Definire le procedure per le richieste d’accesso, da evadere di regola entro 30 giorni (art. 18 OPDa), e per le violazioni della sicurezza dei dati.
10. Rivedere l’informativa ogni anno e a ogni nuovo servizio e aggiornare la data di modifica.

I testi di legge si trovano nella raccolta ufficiale su fedlex.admin.ch (LPD: RS 235.1, OPDa: RS 235.11, LTC: RS 784.10). L’IFPDT mette a disposizione indicazioni, guide e il portale di notifica delle violazioni della sicurezza dei dati su edoeb.admin.ch.

Da HostOn il trattamento su mandato dei dati che salva nel Suo hosting web, nelle caselle e-mail e nei server è regolato nelle condizioni generali (cifra 14). Certificati SSL gratuiti per tutti i domini sono inclusi in ogni pacchetto di hosting web, a partire da Hosting web Rigi a CHF 11.90 al mese IVA incl., così i moduli sono trasmessi cifrati fin dall’inizio.