nLPD 2026 per le PMI: cosa deve cambiare sul vostro sito web

Avvertenza

Questo articolo fornisce un’informazione generale sulla nLPD. Non costituisce una consulenza legale. Per i casi complessi (sanità, finanza, settore pubblico), rivolgetevi a un avvocato specializzato in protezione dei dati.

Perché la nLPD conta nel 2026

La nuova Legge federale sulla protezione dei dati (nLPD) è entrata in vigore il 1° settembre 2023. Sostituisce la LPD del 1992 e modernizza gli obblighi di protezione dei dati personali in Svizzera.

Tre anni dopo la sua entrata in vigore, molte PMI romande pensano di non essere interessate («lavoriamo solo in B2B», «abbiamo solo un sito vetrina»). Sbagliato. Non appena un visitatore può essere identificato (modulo di contatto, newsletter, tracciamento, cookie), la nLPD si applica.

Sanzioni in caso di non conformità: multe fino a CHF 250’000 per i responsabili, nei casi gravi di violazioni intenzionali. A cui si aggiungono il rischio reputazionale e la perdita di fiducia dei clienti.

Questo articolo elenca le modifiche concrete da applicare al sito della vostra PMI per essere conformi.

Modifica 1: un’informativa sulla privacy esplicita

Obbligo: la nLPD impone un’informativa sulla privacy scritta, accessibile da tutte le pagine, che descriva:

• Quali dati raccogliete (e-mail, IP, comportamento di navigazione)
• Perché li raccogliete (finalità)
• Con chi li condividete (responsabili del trattamento: Google Analytics, Resend, Stripe, ecc.)
• Per quanto tempo li conservate
• Come l’utente può esercitare i propri diritti (accesso, rettifica, cancellazione)

Per chi: tutti i siti che raccolgono dati, anche indirettamente (cookie, log degli IP, modulo di contatto).

Formato tipo: una pagina dedicata, /privacy/ o /informativa-sulla-privacy/ secondo la vostra convenzione, collegata dal piè di pagina globale. Testo di 1’500-3’000 parole, leggibile (non puro gergo giuridico).

Errore frequente: copiare e incollare un’informativa sulla privacy trovata online (spesso francese, quindi non adattata alla nLPD svizzera). Accettabile come base, ma da adattare menzionando esplicitamente la nLPD e i responsabili del trattamento specifici che utilizzate.

Modifica 2: banner dei cookie (se applicabile)

Cosa dice il diritto svizzero, e in cosa differisce dal GDPR: contrariamente a un’idea diffusa, la nLPD non impone di raccogliere un consenso preventivo prima di installare un cookie. È una regola europea (direttiva ePrivacy), non svizzera. In Svizzera, l’art. 45c lett. b della legge sulle telecomunicazioni chiede di informare l’utente e di lasciargli la possibilità di rifiutare: un regime di opt-out, non di opt-in.

Due casi vi riportano comunque all’opt-in: se vi rivolgete a visitatori dell’UE, a loro si applica il GDPR; e se il cookie serve a un trattamento a rischio elevato, il consenso torna a essere la base giuridica più sicura. Nel dubbio, il banner non costa altro che un po’ di attrito, e copre entrambi i regimi.

Cookie essenziali (nessun consenso necessario): sessione di accesso, carrello e-commerce, preferenze linguistiche.

Cookie non essenziali (consenso richiesto): Google Analytics 4, Facebook Pixel, LinkedIn Insight, annunci di retargeting, heatmap.

Formato tipo: banner visibile al primo caricamento della pagina con tre pulsanti: «Accetta tutto», «Rifiuta tutto», «Personalizza». Niente «Accetta tutto» predefinito con «Rifiuta» nascosto in piccolo.

Strumenti: Cookiebot (CHF 9/mese), Iubenda (CHF 9/mese), Klaro (open source gratuito), Plausible (nessun banner necessario, anonimo per progettazione).

Plausible non richiede consenso perché è anonimo per progettazione (nessun cookie, nessun fingerprinting). Preferite questo tipo di strumento per ridurre l’attrito per l’utente.

Modifica 3: indicazioni sul modulo di contatto

Obbligo: ogni modulo che raccoglie dati (contatto, newsletter, preventivo) deve indicare:

• Quali dati vengono raccolti
• Per quale finalità
• Un link all’informativa sulla privacy
• Una casella da spuntare per il consenso esplicito (newsletter) o per confermare la presa visione (contatto)

Sbagliato: un modulo con soltanto «Nome / E-mail / Messaggio / Invia», senza alcuna menzione della protezione dei dati.

Corretto: un modulo con un’indicazione sotto il pulsante, del tipo «Inviando questo modulo, accettate che i vostri dati vengano utilizzati per rispondervi», seguita da un link alla vostra informativa sulla privacy. Con una casella da spuntare per la newsletter, se è proposta.

Modifica 4: una pagina di note legali completa

Obbligo: note legali esplicite con:

• Ragione sociale e forma giuridica (Sagl, SA, ecc.)
• Indirizzo della sede
• IDI (numero d’identificazione delle imprese) se iscritti al registro
• Rappresentante legale
• E-mail di contatto
• Telefono
• Identità dell’editore del sito

Formato tipo: pagina /note-legali/ accessibile dal footer.

Modifica 5: responsabili del trattamento, DPA e registro

Obbligo, con un’eccezione che riguarda la maggior parte delle PMI: la nLPD impone un registro delle attività di trattamento (art. 12). L’ordinanza ne esonera tuttavia le imprese con meno di 250 collaboratori i cui trattamenti presentano un rischio limitato per la personalità, il che copre il sito vetrina di una normale PMI. L’esonero decade non appena trattate dati sensibili su larga scala o effettuate una profilazione a rischio elevato.

Il registro resta una buona pratica anche quando non è richiesto: è ciò che vi permette di rispondere a una richiesta di accesso senza dover cercare dappertutto. E il contratto con ciascun responsabile del trattamento (DPA, ADV in tedesco), invece, non prevede eccezioni: stabilisce cosa il fornitore ha il diritto di fare con i vostri dati.

Responsabili del trattamento tipici di un sito di PMI:

• E-mail transazionali (Resend, SendGrid, Brevo)
• Analytics (Plausible, GA4)
• Pagamenti se e-commerce (Stripe, Datatrans)
• CRM se applicabile (HubSpot, Pipedrive, Salesforce)
• Newsletter (Mailchimp, Brevo, Klaviyo)

Azione: recuperare il DPA di ciascuno (spesso disponibile direttamente nella loro dashboard o nella sezione legale del loro sito) e archiviarlo internamente. In caso di controllo, potete presentarlo.

Modifica 6: procedura di risposta alle richieste

Obbligo: se un utente chiede l’accesso ai propri dati o la loro cancellazione, dovete rispondere entro 30 giorni.

Procedura tipo:

1. Un indirizzo e-mail indicato nell’informativa sulla privacy («Per esercitare i vostri diritti, contattateci a privacy@yoursite.com»)
2. Una procedura interna per individuare i dati interessati
3. Una risposta documentata (esportazione o conferma della cancellazione)

Per il 95 % delle PMI, queste richieste restano rare (1-3 all’anno). Ma bisogna avere una procedura pronta.

Casi particolari: settori sensibili

Sanità: la nLPD impone protezioni rafforzate per i dati sanitari. Audit di conformità consigliato.

Finanza: regolamentazione FINMA in aggiunta alla nLPD.

Minori: se raccogliete dati di minori (< 16 anni), è necessario il consenso dei genitori.

Settore pubblico: regole cantonali in aggiunta alla nLPD. Verificate con il vostro servizio informatico.

Cosa fa Voren per i suoi clienti

Tutti i siti consegnati da Voren includono di default:

• Un’informativa sulla privacy adattata alla nLPD (da convalidare e personalizzare da parte del cliente)
• Note legali precompilate
• Un banner dei cookie in caso di tracciamento non anonimo (Cookiebot o alternativa)
• Plausible di default (anonimo, nessun consenso richiesto)
• Un elenco documentato dei responsabili del trattamento

Per i settori sensibili, audit di conformità approfondito con un avvocato specializzato partner.

Per approfondire

Vedere il nostro pacchetto di manutenzione: include una verifica nLPD regolare dei siti Voren.

Richiedere un audit di conformità: diagnosi nLPD completa del vostro sito attuale.