nLPD svizzera per i siti delle PMI: i principali obblighi spiegati in modo semplice

La legge federale riveduta sulla protezione dei dati (nLPD) è in vigore dal 1° settembre 2023 e riguarda praticamente ogni azienda che gestisce un sito web con modulo di contatto, newsletter o tracciamento – indipendentemente dalle dimensioni dell'azienda.

Gli obblighi principali in sintesi

Gli obblighi principali in breve: un'informativa sulla privacy chiara e aggiornata (obbligo di informazione), accordi contrattuali adeguati con fornitori terzi come hosting, analytics o strumenti e-mail (trattamento su incarico), e – oltre una certa dimensione o con dati particolarmente sensibili – un registro delle attività di trattamento. In caso di violazione dei dati ad alto rischio vige inoltre un obbligo di notifica all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT).

A questo si aggiungono i diritti delle persone interessate: chi visita un sito può in linea di principio chiedere quali dati sono conservati su di sé, esigere la rettifica di dati errati o chiederne la cancellazione. Ignorare queste richieste, o rispondere troppo lentamente, costituisce già una violazione di un obbligo fondamentale della legge.

Cosa significa questo nella gestione quotidiana del sito

Ciò che conta concretamente nella gestione quotidiana del sito: i moduli di contatto dovrebbero richiedere solo i dati realmente necessari per la richiesta (limitazione della finalità), avere un periodo di conservazione ragionevole, e ogni strumento di tracciamento o cookie deve essere comunicato in modo trasparente. L'hosting svizzero non è obbligatorio, ma semplifica notevolmente la valutazione dei flussi di dati verso l'estero.

Cosa rischia chi non rispetta la legge

A differenza del GDPR europeo, la nLPD non sanziona direttamente le aziende – in caso di violazione intenzionale è la persona responsabile a rispondere penalmente a titolo personale, con multe fino a CHF 250'000 nei casi gravi. È una differenza importante rispetto al regime europeo, ma non cambia quanto seriamente vadano prese queste obbligazioni.

Trasferimenti internazionali di dati

Quando i dati vengono trasmessi a fornitori all'estero – ad esempio un servizio di email marketing o uno strumento di analisi con sede fuori dalla Svizzera –, la nLPD richiede di verificare se il paese di destinazione offre un livello di protezione adeguato. Il Consiglio federale tiene un elenco dei paesi riconosciuti; l'UE/SEE è generalmente considerata adeguata. In assenza di adeguatezza, servono garanzie contrattuali supplementari, ad esempio clausole contrattuali standard.

Quando serve una valutazione d'impatto sulla protezione dei dati

Una valutazione d'impatto sulla protezione dei dati è obbligatoria quando un trattamento previsto comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali delle persone interessate – ad esempio in caso di profilazione sistematica, trattamento su larga scala di dati personali particolarmente sensibili, o sorveglianza sistematica di aree accessibili al pubblico. Per la maggior parte dei siti di PMI semplici con modulo di contatto e analisi standard, di norma non è il caso, ma una breve verifica all'inizio di un progetto crea chiarezza.

Usare correttamente i banner dei cookie

La nLPD stessa non prescrive un design specifico per il banner dei cookie, ma richiede trasparenza: i visitatori devono essere informati prima dell'impostazione di cookie non necessari (ad esempio marketing o tracciamento) e devono poter opporsi o acconsentire. I cookie tecnicamente necessari, ad esempio per il carrello o l'impostazione della lingua, non richiedono consenso.

Il mio punto di vista: proprio per questo punto deliberatamente su un hosting in Svizzera e sul minor numero possibile di servizi di terzi. Questa panoramica non sostituisce una consulenza legale individuale – per la formulazione vincolante della propria informativa sulla privacy raccomando sempre una verifica da parte di un professionista qualificato.

Sandro Geissmann | Geissmann Webconsulting

Tutti gli articoli sono inquadramenti professionali generali e non sostituiscono una consulenza legale o professionale individuale.