Un cliente ti contatta tramite il tuo sito vetrina ospitato in Svizzera, effettua un ordine e poi contesta la transazione perché non ha trovato né il tuo indirizzo, né le tue condizioni generali, né la minima politica di privacy. Secondo il diritto svizzero, sei tu a essere in torto. Gli obblighi legali di un sito internet in Svizzera si basano su testi federali precisi, con conseguenze concrete in caso di inadempimento.
Ciò che la LCD impone realmente ai siti web svizzeri
La legge federale contro la concorrenza sleale (LCD) costituisce la base. Il suo articolo 3, comma 1, lettera s, numero 1, richiede che chiunque offra merci, opere o servizi su internet indichi in modo chiaro e completo la propria identità e il proprio indirizzo di contatto, compreso un indirizzo email. La formulazione è ampia: si rivolge sia a un e-commerce che a un sito vetrina che promuove prestazioni.
Un blog professionale che offre consulenze, un portfolio di fotografo con un pulsante “prenota”, un sito associativo che vende biglietti: tutti rientrano sotto l’ambito della LCD non appena c’è una dimensione commerciale. Non appena un modulo di contatto porta a una prestazione a pagamento, si entra nel campo di applicazione.
Per illustrare cosa ciò comporta in pratica, si possono consultare le informazioni legali su Tous Éco, che mostrano come strutturare queste informazioni su un sito professionale svizzero.
Politica di privacy e nLPD: le trappole sul campo
Dal 1° settembre 2023, la nuova legge federale sulla protezione dei dati (nLPD) si applica in Svizzera. Essa impone a qualsiasi gestore di sito che raccoglie dati personali di pubblicare una politica di privacy dettagliata e accessibile. Si parla qui di qualsiasi raccolta, anche un semplice modulo di contatto che registra un nome e un’email.
La politica di privacy deve identificare diversi elementi concreti:
- L’identità e i contatti del responsabile del trattamento dei dati, cioè l’azienda o la persona che decide le finalità e i mezzi del trattamento.
- Le categorie di dati raccolti, le finalità del trattamento e i possibili destinatari (subappaltatori, partner, fornitori tecnici).
- I trasferimenti di dati al di fuori della Svizzera, specificando i paesi interessati e le garanzie messe in atto, un punto particolarmente sensibile quando si utilizzano strumenti come Google Analytics o pixel pubblicitari ospitati negli Stati Uniti.
L’amministrazione federale fornisce un utile punto di riferimento: sui siti admin.ch, il monitoraggio statistico è controllato internamente, limitato al dominio, e i dati rimangono in Svizzera. La maggior parte dei siti privati non può dire altrettanto. Se utilizzi uno strumento di misurazione dell’audience di terzi, la tua politica di privacy deve nominare questo fornitore, descrivere i dati trasmessi e indicare il paese di archiviazione.
Banner cookie e consenso: LCD, nLPD o RGPD
La questione del banner di consenso ai cookie crea una confusione frequente in Svizzera. La nLPD non richiede un consenso preventivo di tipo opt-in per tutti i cookie, a differenza del RGPD europeo. Tuttavia, l’obbligo di informare esiste eccome: il visitatore deve sapere quali cookie vengono depositati e a quale scopo.
La trappola sul campo si trova a livello del pubblico target. Se il tuo sito è visibile dalla Francia, Germania o Belgio, e mira (anche parzialmente) a utenti europei, il RGPD si applica in parallelo. Un banner di consenso conforme al RGPD diventa quindi necessario, anche con un hosting e una sede in Svizzera.
Un gestore di cookie correttamente configurato distingue i cookie strettamente necessari (che non richiedono consenso) dai cookie analitici e pubblicitari (che lo richiedono ai sensi del RGPD). Molti siti svizzeri installano un banner cosmetico che non blocca nulla tecnicamente: questo tipo di banner non protegge in caso di controllo.
Cybersicurezza e obblighi emergenti per i siti svizzeri
Oltre alle informazioni legali e alla protezione dei dati, si delinea un ulteriore aspetto. La Svizzera sta preparando una legge federale autonoma sulla cybersicurezza, promossa dall’Ufficio federale della cybersicurezza (OFCS). Questa futura legge deve riprendere e ampliare gli obblighi derivanti dalla legge sulla sicurezza delle informazioni.
Per ora, gli obblighi di segnalazione degli incidenti riguardano soprattutto le organizzazioni che rientrano nelle infrastrutture critiche, non automaticamente tutti i proprietari di siti. Ma per le piattaforme digitali o i servizi online che operano in settori sensibili (salute, finanza, energia), è un punto da monitorare fin da ora.
Ciò che cambia concretamente sul campo: si vede sempre più fornitori di hosting svizzeri integrare clausole di sicurezza rafforzate nei loro contratti. Se esternalizzi l’hosting, verifica che il tuo contratto copra la notifica di incidenti e la responsabilità in caso di fuga di dati.
Checklist delle informazioni legali obbligatorie in Svizzera
Invece di elencare generalità, ecco gli elementi che la LCD e la nLPD combinate rendono necessari su un sito professionale svizzero:
- Ragione sociale completa, forma giuridica, indirizzo fisico e indirizzo email del responsabile del sito (LCD, art. 3 comma 1 lett. s).
- Numero di iscrizione al registro di commercio, se l’azienda è iscritta, e numero di partita IVA se del caso.
- Politica di privacy conforme alla nLPD, che include le finalità di trattamento, i fornitori terzi e i trasferimenti al di fuori della Svizzera.
- Condizioni generali di vendita per i siti e-commerce, con le informazioni sul diritto di revoca applicabile.
- Indicazione del gestore di cookie utilizzato e della logica di consenso adottata (nLPD sola o nLPD + RGPD a seconda del pubblico target).
L’assenza di questi elementi costituisce un atto di concorrenza sleale ai sensi della LCD. Le sanzioni non sono teoriche: un concorrente o un cliente insoddisfatto può avviare un’azione civile, e il Segretariato di Stato all’economia (SECO) può intervenire in alcuni casi.
La conformità di un sito svizzero non si gioca su una sola pagina, ma sulla coerenza tra informazioni legali, politica di privacy e configurazione tecnica dei cookie. Aggiornare questi elementi dopo ogni cambiamento di fornitore o di strumento di tracciamento rimane la misura più efficace per evitare brutte sorprese.
