Sito svizzero con clienti in Italia: LPD e GDPR insieme, cookie banner e dominio

Se un sito ticinese si rivolge in modo mirato anche a clienti in Italia, oltre alla legge svizzera sulla protezione dei dati (LPD) vale di regola anche il regolamento generale dell’UE sulla protezione dei dati (RGPD, noto come GDPR). In pratica le servono un’informativa sulla protezione dei dati valida per entrambe le leggi, un cookie banner con consenso preventivo per gli strumenti non necessari e, a seconda dei casi, un rappresentante nell’UE. Questo articolo è un’informazione generale e non una consulenza legale.

Quando un sito svizzero deve rispettare il GDPR?

Il RGPD si applica anche ad aziende senza sede nell’UE se offrono beni o servizi a persone che si trovano nell’UE o se ne monitorano il comportamento, per esempio con strumenti di tracciamento e pubblicità mirata (art. 3 par. 2 RGPD). Per un sito ticinese la lingua italiana da sola non basta, perché è la lingua del Cantone. Contano piuttosto indizi come questi:

• prezzi anche in euro o spedizioni verso l’Italia;
• un dominio .it o una sezione dedicata all’Italia;
• un numero di telefono o un indirizzo di contatto in Italia;
• campagne pubblicitarie rivolte a utenti in Italia, per esempio in Lombardia o in Piemonte;
• riferimenti espliciti a clienti italiani, come «consegna a Milano in 48 ore».

Un ristorante di Ascona che riceve qualche prenotazione da turisti italiani si trova in una situazione diversa da uno studio di consulenza di Chiasso che cerca attivamente clienti a Como e Varese. In caso di dubbio conviene impostare il sito in modo che rispetti entrambe le leggi: le differenze pratiche sono minori di quanto si pensi.

LPD e RGPD a confronto: le differenze che contano

In sintesi: il RGPD è più severo sui cookie e sulle basi giuridiche. Se rispetta il RGPD, nella maggior parte dei casi rispetta anche la LPD, a condizione di indicare nell’informativa anche gli elementi richiesti dal diritto svizzero, per esempio i Paesi verso cui comunica dati.

Rappresentante nell’UE: serve davvero?

Chi rientra nel RGPD senza avere una sede nell’UE deve di regola designare per iscritto un rappresentante nell’UE (art. 27 RGPD). L’obbligo non vale se il trattamento è occasionale, non riguarda su larga scala categorie particolari di dati e presenta un rischio improbabile per le persone. Per un piccolo sito con modulo di contatto l’eccezione può bastare; per un negozio online che vende regolarmente in Italia, con conti cliente e newsletter, in genere no. Esistono fornitori specializzati che offrono il servizio di rappresentante.

Cookie banner: un’unica soluzione per Svizzera e Italia

Il Garante italiano ha fissato regole precise nelle sue linee guida sui cookie del 10 giugno 2021. Le più importanti per il banner:

• i cookie tecnici (sessione, carrello, lingua) non richiedono consenso;
• statistiche che identificano gli utenti, pubblicità e social media richiedono un consenso preventivo: lo script parte solo dopo il clic su «Accetta»;
• lo scorrimento della pagina non vale come consenso;
• chiudere il banner con la X equivale a mantenere le impostazioni predefinite, cioè a rifiutare i cookie non necessari;
• il banner non va riproposto prima di sei mesi, salvo cambiamenti rilevanti;
• la scelta deve poter essere modificata in ogni momento, per esempio con un link nel piè di pagina.

In Svizzera bastano in linea di principio un’informazione e una possibilità di rifiuto. Mostrare due banner diversi in base alla provenienza del visitatore è però complicato e poco affidabile: la localizzazione tramite indirizzo IP sbaglia spesso con i frontalieri e con le reti mobili vicino al confine. La soluzione più semplice è un unico banner con consenso preventivo per tutti.

Consiglio: Verifichi il banner aprendo il sito in una finestra anonima: nella scheda Rete degli strumenti per sviluppatori del browser non devono comparire richieste a Google Analytics, Meta o servizi simili prima del clic su «Accetta».

Un’informativa sulla protezione dei dati per entrambe le leggi

Un’unica informativa, in italiano e nelle altre lingue del sito, può coprire LPD e RGPD se contiene:

1. il titolare del trattamento con indirizzo e contatto e, se designato, il rappresentante nell’UE;
2. quali dati raccoglie, per quali scopi e, per il RGPD, su quale base giuridica;
3. destinatari e fornitori (hosting, newsletter, pagamenti, statistiche) e i Paesi in cui si trovano;
4. la durata di conservazione o i criteri per stabilirla;
5. i diritti delle persone (accesso, rettifica, cancellazione, opposizione, portabilità);
6. il diritto di reclamo all’IFPDT e, per le persone nell’UE, all’autorità di controllo competente, in Italia il Garante.

Per i trasferimenti tra Svizzera e Italia non servono garanzie supplementari: l’UE riconosce alla Svizzera un livello di protezione adeguato, confermato dalla Commissione europea nel gennaio 2024, e la Svizzera riconosce lo stesso agli Stati dell’UE. Per i fornitori negli Stati Uniti verifichi se sono certificati secondo il Data Privacy Framework.

Dominio .ch o .it per i clienti in Italia?

Per un’azienda ticinese il .ch resta di solito il dominio principale: è conosciuto, costa poco e non va spiegato a nessuno. Un .it può avere senso se vuole presentarsi anche come fornitore sul mercato italiano, per esempio con prezzi in euro e una sezione dedicata.

• Chi può registrare un .it: secondo il registro italiano (nic.it) persone maggiorenni e organizzazioni con cittadinanza, residenza o sede nello Spazio economico europeo, nella Città del Vaticano, a San Marino, in Svizzera o nel Regno Unito. Un’azienda ticinese può quindi registrarlo; verifichi comunque le condizioni attuali su nic.it prima di ordinare.
• Un .it non cambia le regole di protezione dei dati, ma è un indizio forte che si rivolge al mercato italiano: da quel momento il RGPD vale quasi certamente.
• Per i motori di ricerca può usare un solo sito con versioni linguistiche indicate con hreflang, per esempio it-CH per la Svizzera e it-IT per l’Italia, oppure reindirizzare il .it alla sezione italiana del sito .ch.
• Su HostOn un .it costa CHF 23.90 all’anno e un .ch CHF 14.90 all’anno, registrazione e rinnovo allo stesso prezzo (IVA inclusa, stato: ottobre 2026).

Checklist per il suo sito

1. Valutare se il sito si rivolge attivamente a clienti in Italia.
2. Cookie banner con consenso preventivo e rifiuto altrettanto semplice.
3. Un’informativa unica per LPD e RGPD, con basi giuridiche e Paesi dei fornitori.
4. Rappresentante nell’UE, se l’eccezione non si applica.
5. Contratti per il trattamento dei dati con hosting, newsletter e strumenti di statistica.
6. Procedura interna per le violazioni dei dati: chi notifica cosa, a chi ed entro quando.
7. Certificato SSL su tutte le pagine e moduli trasmessi solo tramite HTTPS.

Con HostOn gestisce domini .ch e .it, hosting e caselle e-mail nella stessa area clienti, e il certificato SSL è incluso gratuitamente in tutti i pacchetti di hosting e si rinnova in automatico.