LPD svizzera e sito web: cookie, moduli e servizi esterni

Cosa chiede la legge al sito

La LPD riveduta è in vigore dal 1° settembre 2023. Vale anche per chi tratta dati all'estero se gli effetti arrivano in Svizzera. Per un sito contano soprattutto questi articoli:

• articolo 19: dire chi siete, perché raccogliete i dati, a chi li date e in quali Paesi;
• articolo 7: le impostazioni predefinite raccolgono solo il necessario;
• articoli 16-17: l'invio all'estero segue l'elenco dei Paesi del Consiglio federale o clausole contrattuali;
• articolo 24: una violazione con rischio elevato va notificata quanto prima all'IFPDT.

Le multe arrivano a 250 000 franchi e colpiscono di regola la persona responsabile, per atti intenzionali. La multa all'azienda, fino a 50 000 franchi, resta per i casi in cui trovare il responsabile sarebbe sproporzionato. Le autorità cantonali perseguono i reati, l'IFPDT può sporgere denuncia.

Per i cookie valgono l'articolo 45c della legge sulle telecomunicazioni e le linee guida dell'IFPDT, aggiornate il 6 ottobre 2025. Non sono vincolanti, ma dicono come ragiona chi vigila: i cookie non necessari richiedono il consenso oppure un interesse prevalente, e il rifiuto deve essere sempre possibile.

Dove il sito dice una cosa e ne fa un'altra

La dichiarazione sulla protezione dei dati spesso è stata copiata da un modello, e il sito nel frattempo è cambiato. Basta aprire la pagina con gli strumenti del browser per vedere chiamate che nessuno ricorda: Google Fonts, reCAPTCHA, una mappa, un video YouTube, il pixel di una vecchia campagna. Ognuno manda indirizzi IP o cookie a un fornitore, spesso fuori dalla Svizzera, e prima che il visitatore abbia scelto qualcosa.

Anche i moduli di contatto contano. Dove finisce il messaggio? Resta salvato in un plugin per anni? Il plugin della newsletter chiede il consenso o lo dà per scontato?

Cosa faccio

1. Apro il sito con un browser pulito e registro tutto quello che parte alla prima visita.
2. Vi do l'elenco: servizio, dati inviati, Paese, a cosa serve.
3. Tolgo quello che non usate, porto font e script sul vostro server e blocco il resto finché il visitatore non può decidere.
4. Sistemo moduli e plugin: campi necessari, tempi di conservazione, dove arrivano i dati.
5. Controllo gli aggiornamenti e le copie di sicurezza, con la manutenzione se volete che qualcuno ci torni sopra.

Cosa non faccio

Non scrivo la dichiarazione sulla protezione dei dati e non vi dico se siete in regola: quello spetta a un legale o al vostro consulente. Io gli do l'elenco tecnico e metto sul sito il testo che scrive. Questa pagina riassume la legge e i documenti dell'IFPDT letti il 31 ottobre 2026 e non è un parere legale.

Domande frequenti

In Svizzera serve il banner dei cookie?

Non sempre. La legge sulle telecomunicazioni (articolo 45c) chiede di informare e di permettere il rifiuto. Le linee guida dell'IFPDT aggiungono il consenso esplicito quando c'è profilazione a rischio elevato o tracciamento su più siti. Se il sito si rivolge anche a chi sta nell'UE, di solito conviene seguire le regole europee, che sono più severe.

Posso usare Google Analytics?

L'IFPDT ammette l'analisi delle visite se i dati vengono resi anonimi appena possibile e il fornitore li tratta solo per conto vostro, senza usarli per sé. Dipende quindi da come è configurato. Spesso è più semplice uno strumento senza cookie, ospitato sul vostro server.

Devo tenere il registro dei trattamenti?

Sotto i 250 collaboratori ne siete esonerati se i trattamenti comportano solo un rischio esiguo. Con dati sensibili in grande quantità o profilazione a rischio elevato il registro serve lo stesso.

Se ho un sito svizzero e clienti in Italia, quale legge vale?

Spesso tutte e due: la LPD per quello che fate in Svizzera e il GDPR se offrite beni o servizi a persone nell'UE. Chiedete conferma a un legale, perché dipende da come vendete.

Se siete in Ticino o nel resto della Svizzera

Lavoro da Rovellasca, in provincia di Como, fra Milano e il confine svizzero, e part-time in un'agenzia di comunicazione in Svizzera. Per un'azienda svizzera ho fatto sito, gestionale e app di AREAVISION.

Per approfondire

• Il servizio: Manutenzione dei siti
• Altre pagine come questa: Regole da rispettare in Svizzera