Nuova legge sulla protezione dei dati: cosa cambia per il vostro sito web

Da pochi giorni è in vigore la nuova legge federale sulla protezione dei dati, spesso abbreviata in nLPD. Molti clienti mi hanno chiesto se il loro sito deve cambiare. La risposta breve è: quasi sempre servono pochi interventi, ma vanno fatti. Vi spiego quali.

Cosa è cambiato in poche parole

La legge precedente risaliva al 1992, quando i siti web quasi non esistevano. La nuova legge avvicina la Svizzera alle regole europee e mette al centro la trasparenza: chi raccoglie dati personali deve dire chiaramente quali dati raccoglie, perché, per quanto tempo e a chi li trasmette.

Due novità meritano attenzione:

• non c’è un periodo transitorio: le regole valgono da subito, anche per i siti già online;
• le multe colpiscono le persone, non l’azienda: in caso di violazione intenzionale di alcuni obblighi può essere multata fino a CHF 250’000 la persona responsabile.

Dove il vostro sito raccoglie dati personali

Anche un sito semplice tratta dati personali più spesso di quanto si pensi:

• moduli di contatto e di richiesta offerta (nome, email, telefono);
• statistiche di visita come Google Analytics;
• contenuti esterni: mappe, video, caratteri tipografici caricati da server esterni;
• newsletter e strumenti di email marketing;
• negozio online: indirizzi, ordini, pagamenti;
• cookie di social network e pubblicità.

La lista dei controlli

1. Dichiarazione sulla protezione dei dati. Il sito deve avere una pagina aggiornata che spieghi chi è il titolare, quali dati vengono raccolti, a quale scopo, a chi vengono trasmessi e in quali Paesi. Un testo copiato da un altro sito o scritto anni fa raramente basta.

2. Servizi esteri. Se usate servizi con server all’estero (statistiche, newsletter, hosting), la dichiarazione deve indicare i Paesi di destinazione. Il Consiglio federale tiene un elenco dei Paesi con una protezione adeguata.

3. Solo i dati necessari. Un modulo di contatto ha davvero bisogno della data di nascita o dell’indirizzo? Meno campi significa meno rischi, e spesso anche più richieste.

4. Sicurezza. Il certificato SSL (il lucchetto nel browser) è indispensabile per qualsiasi modulo. Aggiornamenti regolari e backup sono parte della protezione dei dati.

5. Violazioni. Se una violazione della sicurezza comporta un rischio elevato per le persone interessate, va notificata il prima possibile all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT).

6. Registro delle attività. Le aziende con meno di 250 collaboratori ne sono in genere esonerate, a meno che non trattino dati con un rischio elevato.

Sul vostro sito c’è…	Cosa fare
Un modulo di contatto	Indicarlo nella dichiarazione e chiedere solo i dati necessari
Google Analytics o simili	Indicarlo nella dichiarazione, con il Paese dei server
Una newsletter	Iscrizione volontaria e possibilità di disiscriversi facilmente
Video o mappe incorporati	Indicarli nella dichiarazione o caricarli solo su richiesta
Un negozio online	Dichiarazione completa, condizioni generali e pagamenti sicuri

E i banner dei cookie?

La nLPD non impone in generale il banner con il consenso preventivo che si vede sui siti europei: chiede soprattutto di informare. Se però il vostro sito si rivolge anche a clienti nell’Unione europea, possono valere le regole europee, più severe. In quel caso un banner con il consenso è la scelta prudente.

Come vi aiuto

Sono partner di iubenda, un servizio che genera e aggiorna automaticamente dichiarazione sulla privacy, cookie policy e condizioni, anche in più lingue. Per i siti che gestisco verifico i moduli, i servizi esterni e la configurazione, così sapete esattamente cosa raccoglie il vostro sito.

Le informazioni ufficiali si trovano sul sito dell’IFPDT (edoeb.admin.ch). Questo articolo è una panoramica pratica e non sostituisce una consulenza giuridica.