Declarația privind protecția datelor pentru site: ce cere noua LPD în Elveția

Din 1 septembrie 2023, în Elveția se aplică noua Lege federală privind protecția datelor (nLPD). Cine colectează date personale printr-un site, de exemplu cu un formular de contact, un instrument de analiză, un buletin informativ sau chiar doar cu fișierele jurnal ale serverului web, trebuie să informeze vizitatorii (art. 19 LPD). În practică, acest lucru se face cu o declarație privind protecția datelor, accesibilă de pe fiecare pagină. Ea indică cel puțin operatorul și datele sale de contact, scopurile prelucrării, destinatarii și, dacă datele sunt comunicate în străinătate, statele și garanțiile.

Acest articol este o informare generală și nu reprezintă consultanță juridică. Pentru situația dumneavoastră concretă, adresați-vă unui specialist în dreptul protecției datelor.

Ce s-a schimbat odată cu noua LPD

• Legea (RS 235.1) și Ordonanța privind protecția datelor OPD (RS 235.11) se aplică din 1 septembrie 2023.
• Sunt protejate doar datele persoanelor fizice, nu și datele firmelor și ale altor persoane juridice.
• Obligația de informare se aplică oricărei colectări de date personale. Înainte, în sectorul privat, se aplica doar datelor sensibile și profilurilor de personalitate.
• Cine încalcă intenționat obligația de informare poate fi sancționat, la plângere, cu o amendă de până la CHF 250 000 (art. 60 LPD). Amenda se aplică persoanei responsabile, de exemplu directoarei sau proprietarului.
• Încălcările securității datelor care pot duce la un risc ridicat pentru persoanele vizate trebuie notificate PFPDT cât mai repede posibil (art. 24 LPD).
• Firmele țin un registru al activităților de prelucrare (art. 12 LPD). Sunt scutite firmele cu mai puțin de 250 de angajați, cu condiția să nu prelucreze pe scară largă date sensibile și să nu facă profilare cu risc ridicat (art. 24 OPD).

Informațiile obligatorii conform art. 19 LPD

Art. 19 cere toate informațiile necesare pentru ca persoanele vizate să își poată exercita drepturile și pentru a garanta o prelucrare transparentă. Este vorba cel puțin de următoarele:

Nu sunt cerute expres de lege, dar sunt recomandate și uzuale în practică: ce date colectați în detaliu, cât timp le păstrați, ce drepturi au persoanele vizate (în special dreptul de acces conform art. 25 LPD, rectificarea și ștergerea), ce cookie-uri și servicii folosiți și cum se poate face opoziție, precum și data ultimei modificări.

În indicațiile sale privind declarațiile de protecție a datelor pe internet, PFPDT recomandă o prezentare pe niveluri: mai întâi un rezumat scurt și ușor de înțeles, apoi detaliile. Declarația trebuie să fie ușor accesibilă de pe fiecare pagină, disponibilă în toate limbile site-ului și să evite formulări vagi precum „în anumite circumstanțe”.

Sfat: Declarația trebuie să corespundă realității. Înainte de a o redacta, verificați ce servicii încarcă efectiv site-ul dumneavoastră, de exemplu în instrumentele pentru dezvoltatori ale browserului, fila „Rețea”. Modelele sunt un început, dar nu înlocuiesc acest inventar.

Cookie-uri, analiză și servicii integrate

LPD nu impune un banner pentru cookie-uri. Prevederea relevantă este art. 45c din Legea telecomunicațiilor (LTC): cine prelucrează date pe dispozitivul vizitatorilor, de exemplu cu cookie-uri, trebuie să îi informeze despre prelucrare și scopul ei și să le arate că o pot refuza. PFPDT și-a precizat poziția într-un ghid despre cookie-uri și tehnologii similare (versiunea 1.1 din 6 octombrie 2025). LPD cere un consimțământ expres pentru prelucrarea datelor sensibile și pentru profilarea cu risc ridicat (art. 6 alin. 7 LPD).

• Cookie-uri necesare tehnic, de exemplu pentru sesiune, coș sau limbă: este suficientă informarea în declarație.
• Statistici, de exemplu cu Matomo sau Google Analytics: descrieți-le în declarație, permiteți un refuz simplu și indicați garanțiile pentru furnizorii din străinătate.
• Marketing și urmărire pe mai multe site-uri, cum ar fi pixelii publicitari și remarketingul: conform ghidului PFPDT, aici este necesar de regulă un consimțământ.
• Conținut integrat, precum videoclipuri YouTube, Google Maps, fonturi încărcate de pe servere terțe sau plugin-uri de rețele sociale: acestea transmit adresa IP furnizorului încă de la încărcarea paginii. Integrați fonturile local și încărcați hărțile sau videoclipurile doar după un clic.

Concepeți un banner corect: refuzul trebuie să fie la fel de simplu ca acceptarea, fără butoane ascunse sau căsuțe bifate în prealabil. Dacă aveți vizitatori din UE, regulile europene cer oricum un consimțământ prealabil pentru cookie-urile care nu sunt necesare. De aceea, multe site-uri elvețiene cer consimțământul tuturor vizitatorilor.

Formular de contact, buletin informativ și fișiere jurnal ale serverului

• Formular de contact: cereți doar ce vă trebuie pentru răspuns și indicați scopul și durata de păstrare. Formularul trebuie să funcționeze prin HTTPS. O protecție antispam precum Google reCAPTCHA transmite date către Google și trebuie menționată în declarație.
• Buletin informativ: cereți confirmarea abonării printr-un link de confirmare (double opt-in), ca să puteți dovedi consimțământul, și oferiți dezabonarea în fiecare trimitere. Conform art. 3 alin. 1 lit. o LCD, publicitatea în masă prin e-mail presupune în principiu un consimțământ prealabil. Menționați serviciul de trimitere ca destinatar.
• Fișierele jurnal ale serverului: la fiecare accesare, serverul web salvează, printre altele, adresa IP, ora, pagina accesată și browserul. Acestea servesc funcționării și securității și trebuie menționate în declarație, împreună cu durata de păstrare.
• Magazin online și cont de client: furnizorii de plăți, serviciile de expediere și programul de contabilitate sunt destinatari și trebuie menționați.

Furnizorul de găzduire și alți prestatori: prelucrarea în numele operatorului

Furnizorul de găzduire, serviciul de buletine informative sau CRM-ul prelucrează date personale în numele dumneavoastră. Conform art. 9 LPD, acest lucru este permis dacă un contract sau legea o prevede, dacă prestatorul prelucrează datele doar așa cum ați avea dumneavoastră dreptul să o faceți și dacă vă asigurați că el garantează securitatea datelor. Poate implica alți subcontractanți numai cu autorizarea dumneavoastră prealabilă. Aceste reguli figurează adesea în condițiile generale sau într-un contract separat de prelucrare a datelor.

Dacă datele sunt comunicate în străinătate, se aplică art. 16 LPD: fără alte măsuri, acest lucru este posibil către statele a căror protecție a datelor a fost recunoscută drept adecvată de Consiliul Federal. Lista se află în anexa 1 la OPD și cuprinde, printre altele, statele UE și SEE. Pentru alte state sunt necesare garanții adecvate, de obicei clauze contractuale standard recunoscute de PFPDT. Pentru SUA, Consiliul Federal recunoaște din 15 septembrie 2024 firmele certificate conform Swiss-U.S. Data Privacy Framework. În declarație, indicați statele și garanțiile corespunzătoare.

Când se aplică și RGPD

Conform art. 3 alin. 2, Regulamentul general privind protecția datelor al UE se aplică și firmelor elvețiene care oferă în mod țintit bunuri sau servicii persoanelor din UE sau le urmăresc comportamentul, de exemplu cu instrumente de urmărire. Indicii ale unei oferte țintite sunt livrările în UE, prețurile în euro sau publicitatea adresată țărilor din UE. În Liechtenstein, ca stat SEE, RGPD se aplică direct.

RGPD cere mai multe informații decât LPD, printre altele temeiul juridic al fiecărei prelucrări, durata de păstrare, toate drepturile persoanelor vizate și dreptul de a depune o plângere la o autoritate de supraveghere (art. 13 RGPD). În funcție de amploare, poate fi necesar și un reprezentant în UE (art. 27 RGPD).

Sfat: Multe IMM-uri redactează o singură declarație, care acoperă atât LPD, cât și RGPD. Astfel actualizați un singur document și sunteți pregătit și pentru vizitatorii din UE.

Listă de verificare pentru site-ul dumneavoastră

1. Inventar: ce date personale colectați și unde? Formulare, magazin, buletin informativ, fișiere jurnal, analiză, conținut integrat, chat.
2. Înregistrați toate serviciile externe cu sediul furnizorului și verificați dacă statul figurează pe lista din anexa 1 la OPD sau ce garanții există.
3. Redactați declarația cu informațiile prevăzute la art. 19 LPD, completate cu drepturile, durata de păstrare și datele de contact.
4. Puneți linkul în subsolul fiecărei pagini, în toate limbile site-ului.
5. Verificați cookie-urile: permiteți refuzul și cereți consimțământul pentru urmărire și pentru vizitatorii din UE.
6. Verificați contractele de prelucrare a datelor cu furnizorul de găzduire și cu ceilalți prestatori.
7. HTTPS pe tot site-ul, inclusiv pe toate formularele.
8. Clarificați dacă trebuie să țineți un registru al activităților de prelucrare.
9. Stabiliți proceduri pentru cererile de acces, la care trebuie de regulă să răspundeți în 30 de zile (art. 18 OPD), și pentru încălcările securității datelor.
10. Revizuiți declarația anual și la fiecare serviciu nou și actualizați data modificării.

Textele de lege se găsesc în culegerea oficială pe fedlex.admin.ch (LPD: RS 235.1, OPD: RS 235.11, LTC: RS 784.10). PFPDT oferă indicații, ghiduri și portalul de notificare a încălcărilor securității datelor pe edoeb.admin.ch.

La HostOn, prelucrarea în numele dumneavoastră a datelor pe care le stocați în găzduirea web, în căsuțele de e-mail și pe servere este reglementată în condițiile generale (pct. 14). Certificatele SSL gratuite pentru toate domeniile sunt incluse în fiecare pachet de găzduire web, de la Găzduire web Rigi la CHF 11.90 pe lună, cu TVA inclus, astfel încât formularele sunt transmise criptat de la început.