Cookie e tracciamento: regole per i siti aziendali

Ogni sito aziendale usa cookie e strumenti di tracciamento, spesso senza che chi lo gestisce sappia esattamente quali regole si applicano. In Svizzera il quadro è diverso da quello europeo, ma non per questo permissivo: la nuova legge sulla protezione dei dati impone obblighi precisi, e per molte aziende svizzere si aggiunge anche il GDPR. Chiarire cosa serve davvero evita banner inutili da un lato e violazioni dall’altro. Vediamo il quadro in modo pratico.

Il quadro svizzero: la nuova LPD

Dal 1° settembre 2023 è in vigore la nuova Legge federale sulla protezione dei dati (LPD), che ha modernizzato le regole svizzere avvicinandole agli standard europei senza copiarli. La logica di fondo: il trattamento di dati personali è lecito, ma deve essere trasparente e rispettare i principi di finalità e proporzionalità.

I cookie e gli strumenti di tracciamento raccolgono dati personali (comportamenti di navigazione, indirizzo IP, identificatori). Ricadono quindi sotto la LPD e impongono, come minimo, un obbligo di informazione chiaro verso l’utente.

Consenso preventivo: cosa dice il modello svizzero

Qui sta la differenza più rilevante con l’Europa. Il modello svizzero è impostato in modo meno rigido rispetto al consenso preventivo obbligatorio che caratterizza l’approccio UE per molti cookie non essenziali.

In termini pratici, il diritto svizzero valorizza la trasparenza: l’utente deve essere informato in modo comprensibile su quali dati vengono raccolti, per quali finalità e da chi. Per determinati trattamenti la legge prevede inoltre la possibilità di opporsi (opt-out). Questo non significa “nessun obbligo”: significa che l’accento è sull’informativa e sulla possibilità di controllo, più che sul consenso preventivo generalizzato.

Attenzione però: questa è la lettura sul solo piano svizzero. Per molte aziende non basta.

Perché il GDPR riguarda anche molte aziende svizzere

Il Regolamento europeo GDPR ha una portata extraterritoriale. Si applica anche a un’azienda con sede in Svizzera quando questa offre beni o servizi a persone nell’Unione europea o ne monitora il comportamento.

In concreto, se un sito aziendale svizzero:

• si rivolge anche a clienti nell’UE (lingue, valute, spedizioni);
• traccia i visitatori europei con strumenti di analisi o profilazione;

allora è realistico che debba rispettare anche il GDPR, che per i cookie non tecnici richiede in genere un consenso preventivo, libero e specifico, raccolto tramite un banner con reale possibilità di rifiuto.

Per questo molti siti svizzeri adottano un banner con consenso in stile europeo: non perché lo imponga sempre la LPD, ma perché il loro pubblico include utenti UE.

I tipi di cookie: distinguere è la chiave

Non tutti i cookie sono uguali, e la distinzione determina gli obblighi.

• Cookie tecnici / necessari: indispensabili al funzionamento del sito (sessione, carrello, sicurezza). Sono i meno problematici.
• Cookie di analisi / statistica: misurano il traffico e il comportamento degli utenti.
• Cookie di marketing / profilazione: costruiscono profili per pubblicità mirata, spesso di terze parti.

Più il cookie si sposta verso la profilazione e i terzi, più cresce l’esigenza di informativa dettagliata e, quando si applica il GDPR, di consenso preventivo.

Cosa deve avere un sito aziendale conforme

Un impianto solido, che tiene insieme LPD e — dove serve — GDPR, si basa su alcuni elementi:

• una informativa privacy chiara e aggiornata, che indichi quali dati si raccolgono, per quali finalità, chi sono i destinatari e come esercitare i propri diritti;
• una cookie policy che elenchi i cookie usati, la loro funzione e la durata;
• un banner che, se il pubblico include utenti UE, consenta di accettare o rifiutare i cookie non essenziali con pari facilità;
• attenzione ai trasferimenti di dati all’estero, tema centrale quando si usano strumenti di analisi e marketing di fornitori esteri.

Gli errori più comuni

Chi gestisce un sito aziendale tende a cadere in due estremi opposti:

• Sottovalutare: nessuna informativa, cookie di terze parti attivi senza alcuna trasparenza. È il profilo più esposto, soprattutto se ci sono utenti UE.
• Copiare a caso: banner e policy presi da altri siti, non allineati agli strumenti effettivamente usati. Un’informativa che descrive trattamenti diversi da quelli reali non protegge; anzi, documenta l’incoerenza.

La strada corretta è partire da una mappatura reale degli strumenti installati sul sito e costruire l’informativa su quella.

Il nostro approccio

In SIH ONE aiutiamo le aziende a capire quale quadro si applica al loro sito — solo LPD o anche GDPR — a partire dal pubblico effettivo e dagli strumenti realmente utilizzati. Impostiamo informativa, cookie policy e logica del consenso in modo coerente, senza banner superflui ma senza scoperture verso i clienti europei.

Vuoi mettere in regola cookie e privacy del tuo sito? Parliamone con il nostro desk legale.