nLPD e sito web: privacy e cookie spiegati in modo semplice

La nLPD è la legge svizzera che regola come le aziende devono trattare i dati personali dei cittadini.

La sigla nLPD sta per "nuova Legge federale sulla protezione dei dati". È la risposta svizzera all'evoluzione tecnologica degli ultimi decenni. La vecchia legge era del 1992, quando internet era agli albori. Oggi i dati viaggiano veloci, si comprano prodotti online e si lasciano email ovunque. La nuova norma aggiorna le regole del gioco per proteggere meglio le informazioni personali delle persone fisiche. Se hai un'azienda in Svizzera, o se ti rivolgi a clienti svizzeri, questa legge ti riguarda direttamente. Non importa se sei una grande industria o un piccolo artigiano in Ticino.

Molti credono che avere un semplice sito web aziendale che non vende nulla sia sufficiente per essere esentati dalle regole. Purtroppo non è così. Se il tuo sito ha un modulo di contatto, usi uno strumento per capire quante visite ricevi o raccogli email per una newsletter, stai trattando dati personali. Un nome, un indirizzo IP, un numero di telefono: tutto questo rientra nella definizione di dato personale. Devi quindi sapere come gestirli e, soprattutto, devi spiegarlo in modo semplice a chi visita le tue pagine.

L'obiettivo della norma non è multare le imprese a caso, ma creare fiducia nel mercato digitale. Un utente che sa come verranno usati i suoi dati è un utente molto più sereno. Trasparenza significa dire chiaramente: "Prendo la tua email solo per risponderti al preventivo e non la vendo a nessuno". Questo è il cuore pulsante della normativa svizzera. Certo, se non rispetti le regole principali e gestisci i dati in modo illecito ci sono sanzioni pecuniarie. Ma con pochi accorgimenti chiari, puoi dormire sonni tranquilli e lavorare senza pensieri.

• Si applica a tutte le aziende svizzere, indipendentemente dal numero di dipendenti.
• Riguarda anche le aziende estere che raccolgono dati di cittadini svizzeri.
• Copre ogni tipo di dato personale, inclusi nomi, email, indirizzi IP e numeri di telefono.
• Punta alla massima trasparenza: devi sempre spiegare all'utente perché raccogli un suo dato.

La privacy policy è la carta d'identità del tuo sito: spiega agli utenti chi sei e come usi le loro informazioni.

Il documento più importante per essere in regola con la nLPD è la privacy policy sito web. Si tratta di una pagina dedicata, linkata di solito in fondo a ogni pagina del sito, dove spieghi in modo chiaro e comprensibile tutto il percorso che fanno i dati dei tuoi clienti. Dimentica i testi incollati da altri siti o i generatori gratuiti generici che non hanno senso per la tua realtà. La tua policy deve rispecchiare esattamente ciò che fai tu nella tua azienda. Se fai solo preventivi, scrivilo. Se mandi anche offerte promozionali, indicalo chiaramente. Le persone devono capire al volo cosa succede dopo aver cliccato "invia".

La legge richiede di specificare all'interno del testo alcune informazioni obbligatorie. Devi indicare prima di tutto chi è il titolare del trattamento dei dati, cioè l'azienda responsabile, inserendo l'indirizzo e i contatti diretti. Devi spiegare quali categorie di dati raccogli, per quale motivo preciso e per quanto tempo li conservi nei tuoi archivi. Un punto cruciale per la Svizzera riguarda la condivisione estera: i dati restano nel nostro territorio o usi software che li mandano oltre confine? Molti strumenti di email marketing o server web hanno base negli Stati Uniti o nei paesi europei. Se i dati escono dai confini, devi scriverlo nella policy indicando il paese di destinazione.

Scrivere questo documento usando un "legalese" incomprensibile non ti aiuta affatto. La nLPD premia la chiarezza espositiva. Usa frasi brevi, elenchi puntati e un linguaggio diretto e umano. Se hai deciso da poco di rifare sito e immagine, approfitta del momento per rivedere e umanizzare anche questi testi legali. Un testo scritto in modo chiaro migliora la percezione della tua azienda. Mostra grande attenzione e rispetto per il potenziale cliente. Ricorda sempre che una privacy policy non è scolpita nella pietra, ma va aggiornata ogni volta che aggiungi un nuovo strumento al sito.

Il cookie banner non serve sempre: diventa obbligatorio solo se usi cookie non essenziali per profilare e tracciare gli utenti.

In Europa, a causa del GDPR, siamo abituati a vedere un cookie banner obbligatorio su quasi ogni sito. Quella finestrella, a volte fastidiosa, che ci chiede di accettare tutto prima di leggere un contenuto. In Svizzera, la nLPD è meno severa su questo punto, ma richiede comunque grande attenzione tecnica. Non tutti i siti hanno bisogno di mostrare un banner. Se il tuo sito usa solo i cosiddetti "cookie tecnici", ovvero piccoli file necessari per farlo funzionare, non devi chiedere alcun consenso preventivo. Questi cookie servono a ricordare la lingua scelta o a mantenere attivi i prodotti nel carrello, e basta informarvi l'utente all'interno della policy.

La situazione cambia drasticamente se decidi di usare cookie di profilazione o strumenti di tracciamento avanzati per il marketing. Se usi il Pixel di Meta, codici per le inserzioni di Google Ads o altri sistemi che analizzano a fondo il comportamento degli utenti per inviare loro pubblicità mirate sul web, allora devi ottenere il loro consenso informato. In questo specifico caso, il cookie banner obbligatorio diventa una vera necessità anche per i siti rivolti esclusivamente al mercato interno svizzero. Devi dare alla persona la possibilità di dire "Sì" o "No" prima che questi strumenti di analisi si attivino a sua insaputa.

Installare un banner di facciata, che appare a schermo ma attiva comunque i codici di tracciamento prima del fatidico clic, è una violazione. Questo è un errore tecnico e legale molto comune tra le aziende. Spesso si installa un componente aggiuntivo economico, lo si accende e si pensa di avere risolto il problema. Ma se il codice non è collegato correttamente al pulsante, il banner è inutile e ingannevole. Per questo è fondamentale che l'integrazione sul sito venga fatta con criterio e competenza. Rispettare questa semplice regola tecnica ti mette al riparo da contestazioni.

• I cookie puramente tecnici non richiedono il banner di consenso all'apertura del sito.
• I cookie statistici anonimizzati solitamente non richiedono il blocco, ma vanno dichiarati.
• I cookie di profilazione o marketing (es. Pixel, Ads) richiedono sempre un consenso attivo e previo.
• Il banner tecnico deve bloccare fisicamente i cookie finché l'utente non clicca sul pulsante per accettarli.

Non farti vendere soluzioni legali complicate: la legge svizzera richiede proporzionalità, non burocrazia aziendale inutile.

Quando entra in vigore una nuova normativa, nasce subito anche la paura di sbagliare o ricevere multe. Molti venditori di servizi ne approfittano per proporre pacchetti legali e procedurali costosissimi, spesso del tutto inutili per una piccola media impresa. Capire con precisione cosa non ti serve è importante quanto sapere cosa devi fare per forza. Ad esempio, non ti serve nominare un "Consulente per la protezione dei dati" (il famoso DPO) se sei un artigiano, un piccolo commerciante o uno studio professionale che non tratta grandi moli di dati sanitari o sensibili. Questa figura è obbligatoria solo in scenari aziendali rari per le PMI ticinesi.

Non ti serve nemmeno chiedere un consenso formale per ogni singola azione ovvia che compie l'utente. Se un potenziale cliente ti scrive dal modulo di contatto del sito per chiederti un preventivo, non hai alcun bisogno di fargli spuntare numerose caselle per potergli rispondere. Il fatto stesso che ti abbia inviato un'email implica chiaramente che si aspetta una tua pronta risposta. Puoi raccogliere i suoi dati in base alla necessità di eseguire misure precontrattuali. La regola d'oro della nLPD svizzera è la proporzionalità e il puro buon senso: si tutela l'informazione personale senza bloccare il commercio.

Inoltre, non devi compilare per forza il registro delle attività di trattamento se la tua azienda ha meno di 250 dipendenti e non fai profilazione ad alto rischio per le libertà personali. Molte aziende svizzere più piccole si spaventano di fronte all'idea di compilare questo documento lungo e burocratico, ma la legge prevede fortunatamente delle eccezioni per alleggerire il carico amministrativo. Infine, non devi bloccare l'accesso al sito a chi rifiuta i cookie di marketing. Obbligare qualcuno ad accettare il tracciamento per leggere un testo informativo si chiama "cookie wall" ed è sconsigliato.

Scrivere una bellissima privacy policy non basta assolutamente se il tuo sito web è vulnerabile agli attacchi informatici.

Un aspetto molto spesso ignorato della nLPD è che la protezione dei dati non si fa solamente con i documenti di carta e con i testi legali. Si fa anche, e soprattutto, con l'infrastruttura tecnologica. La legge richiede infatti che tu adotti misure tecniche e organizzative che siano proporzionate e adeguate per proteggere le informazioni che i clienti ti affidano. Se il tuo sito web è vecchio, non riceve manutenzione ed è facile da violare per un hacker, stai mettendo a serio rischio i dati di terzi. La primissima cosa da controllare è la presenza del protocollo di sicurezza HTTPS.

L'HTTPS assicura in modo tecnico che i dati inseriti nei moduli del sito viaggino in formato cifrato e illeggibile dal computer dell'utente fino al tuo server. Se hai realizzato un e-commerce, questo strato di sicurezza deve essere assoluto e impeccabile, per proteggere non solo i nominativi, ma anche gli indirizzi fisici di spedizione e le abitudini d'acquisto. Oltre a possedere il certificato SSL per l'HTTPS, devi assicurarti regolarmente che il software su cui si basa il tuo sito sia costantemente aggiornato. I vecchi sistemi non mantenuti diventano facilmente porte aperte per i malintenzionati alla ricerca di database da sottrarre.

Una violazione della sicurezza dei dati (spesso chiamata con il termine inglese "data breach") si verifica quando qualcuno accede senza alcun permesso alle informazioni digitali che custodisci. Se purtroppo accade, e i rischi per le persone coinvolte sono considerati alti, la nLPD ti obbliga a segnalare l'incidente all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Non è mai una situazione facile da gestire. Per evitarlo a monte, investi nella manutenzione ordinaria del tuo sito. Usa password complesse, crea copie di sicurezza automatiche e mantieni sicuri i server.

• Usa sempre il protocollo HTTPS tramite un certificato SSL valido su tutte le pagine.
• Mantieni costantemente aggiornato il sistema operativo o il gestionale dei contenuti (come WordPress).
• Utilizza password lunghe e complesse per l'accesso al pannello di controllo del sito.
• Esegui backup regolari per prevenire la perdita irreversibile dei dati in caso di guasto.
• Scegli un servizio di hosting professionale e molto affidabile, preferibilmente con server in Svizzera.

Raccogli solo i dati che ti servono veramente per rispondere e usa la spunta di consenso solo per inviare comunicazioni di marketing.

Il modulo di contatto è il cuore commerciale di moltissimi siti web aziendali. È lo strumento digitale che ti porta nuovi clienti e richieste di informazioni. Per allineare questa sezione alla nLPD, devi applicare quello che viene definito il principio di "minimizzazione dei dati". Significa semplicemente che devi chiedere all'utente solo le informazioni che ti sono strettamente necessarie. Se ti serve sapere solo il nome e l'email per rispondere a una sua curiosità, non rendere obbligatorio il campo del numero di cellulare o la via di residenza. Meno dati superflui raccogli, minori sono i tuoi rischi legali e gestionali.

Subito sotto al modulo di contatto, è una buona prassi inserire una frase rassicurante che spiega brevemente cosa farai con quei dati, inserendo un collegamento rapido alla tua privacy policy completa. Non ti serve inserire sempre una casella di spunta obbligatoria da far cliccare, se lo scopo del modulo è unicamente rispondere a chi ti ha scritto. Tuttavia, se la tua intenzione è usare quell'indirizzo email per iscrivere in automatico la persona alla tua newsletter aziendale, lo scenario cambia del tutto. Per scopi di marketing diretto ti serve un consenso esplicito, inequivocabile e separato.

Se decidi di offrire l'iscrizione a una newsletter, usa sempre il sistema tecnologico chiamato "Double Opt-in". Quando una persona inserisce la sua email sul tuo sito, riceve prima un messaggio automatico con un link da cliccare per confermare definitivamente l'iscrizione. Questa procedura ti protegge da chi inserisce email finte o di altre persone per fare dispetti. Ti assicura che il vero titolare di quell'indirizzo voglia leggere i tuoi contenuti. Inoltre, in ogni singola email promozionale che spedisci, deve sempre esserci un bottone ben visibile per potersi disiscrivere con un solo clic veloce.

Lavorare con un'agenzia web che conosce bene il contesto ticinese e svizzero ti evita fastidiosi errori tecnici e grattacapi normativi.

Affrontare i temi legali e digitali da soli, cercando informazioni frammentarie e spesso discordanti online, genera solo grande confusione. Su internet si trovano molti articoli basati esclusivamente sul GDPR europeo, che ha regole simili nei principi ma non identiche alla nLPD svizzera nella pratica. Applicare meccanicamente norme estere al mercato puramente locale può portarti ad attivare procedure pesanti che in Svizzera non sono affatto richieste, facendoti perdere molto tempo prezioso per il tuo lavoro. D'altra parte, ignorare del tutto la questione ti espone a danni di reputazione se un cliente si accorge che non sai proteggere le sue informazioni.

In necy lavoriamo a stretto contatto con molte aziende attive in Svizzera e nel Canton Ticino. Sappiamo esattamente come integrare dal lato tecnico tutti questi documenti legali, senza appesantire minimamente la navigazione e la grafica del tuo sito web. Il nostro compito quotidiano è fornirti un'infrastruttura solida: configuriamo i moduli per non raccogliere dati inutili, impostiamo i sistemi per il blocco dei cookie traccianti quando risulta necessario e garantiamo che il tuo sito risieda su server svizzeri sicuri e performanti. Ti forniamo insomma il contenitore perfetto, mentre tu definisci il contenuto della policy con i tuoi consulenti.

Ogni nostro cliente ha a disposizione un referente unico per snellire la comunicazione. Se hai un dubbio su come un nuovo strumento di prenotazione che vorresti installare possa impattare sulla privacy del sito, puoi chiederlo direttamente e velocemente a noi. Valutiamo insieme se quel plugin porta i dati in paesi a rischio o se esiste sul mercato un'alternativa più sicura e conforme. Mantenere il sito in salute, sicuro e trasparente agli occhi degli utenti è un lavoro di precisione continua che accresce nel tempo il valore e la reputazione del tuo marchio sul mercato.