La nLPD svizzera nel 2026 — in breve
La legge federale riveduta sulla protezione dei dati (nLPD / revDSG) è in vigore dal 1° settembre 2023; sostituisce la legge svizzera del 1992 e avvicina molto il diritto svizzero al GDPR dell'UE. L'autorità di vigilanza è l'IFPDT (Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter, EDÖB / Incaricato federale della protezione dei dati e della trasparenza). Per l'e-commerce contano cinque particolarità svizzere: (1) le multe fino a CHF 250,000 sono inflitte alle persone fisiche, non alle aziende; (2) il consenso ai cookie non è imposto per legge — secondo il solo diritto svizzero bastano trasparenza + opt-out; (3) il DPO / consulente per la protezione dei dati è facoltativo per le aziende private, ma consente di autorizzare autonomamente le DPIA ad alto rischio senza l'IFPDT; (4) la notifica delle violazioni avviene «il più rapidamente possibile», non entro 72 ore rigide; (5) il registro delle attività di trattamento si applica solo alle aziende con 250+ dipendenti o ai trattamenti ad alto rischio. I trasferimenti transfrontalieri seguono l'elenco di adeguatezza del Consiglio federale — sono inclusi UE/SEE, Regno Unito, Canada, Giappone e lo Swiss-US Data Privacy Framework.
La protezione dei dati in Svizzera nel 2026 — panoramica
I dieci pilastri qui sotto sono la struttura portante della conformità nLPD per i negozi online. Tenete queste schede a portata di mano mentre leggete ogni sezione di approfondimento: ogni obbligo svizzero di protezione dei dati nell'e-commerce corrisponde a una di queste dieci schede.
nLPD — legge federale riveduta sulla protezione dei dati
In vigore dal 1° set. 2023 · sostituisce la LPD del 1992 · RS 235.1 · allineata al GDPR dell'UE, con particolarità svizzere
IFPDT — autorità federale per la protezione dei dati
Autorità indipendente con sede a Berna · incaricato Adrian Lobsiger · poteri di vigilanza + di denuncia penale
Trasparenza sui cookie (non consenso rigido)
La nLPD richiede una trasparenza informata · opt-in in stile GDPR non obbligatorio secondo il solo diritto svizzero · CMP comunque consigliata in caso di target anche UE
Informativa sulla privacy obbligatoria (art. 19 nLPD)
Dovere di informare · identità, finalità, destinatari, trasferimenti all'estero, conservazione, diritti degli interessati · facilmente accessibile
DPO / consulente per la protezione dei dati (facoltativo)
Facoltativo per le aziende private · art. 10 nLPD · la notifica all'IFPDT consente l'autorizzazione autonoma delle DPIA
Sanzioni fino a CHF 250,000 — per la persona fisica
Multe penali per la persona responsabile (dirigente, amministratore) · non per l'azienda · impatto profondo sulla governance
Pronti a vendere in Svizzera in conformità con la nLPD?
Oltre alle integrazioni dei marketplace Galaxus, Digitec, Brack e Ricardo, Zunapro offre un pacchetto svizzero per la protezione dei dati — generatore di informativa sulla privacy, processo per le richieste di accesso in linea con l'IFPDT, CMP per i cookie, processo di gestione degli incidenti, registro dei trasferimenti transfrontalieri.
1. nLPD — la LPD riveduta in vigore dal 1° settembre 2023
Tre decenni di riforme in una sola data
La LPD (DSG) svizzera originaria risale al 1992 — tre anni prima della direttiva UE sulla protezione dei dati e un quarto di secolo prima del GDPR. Verso la metà degli anni 2010 il divario era diventato insostenibile: la Svizzera doveva mantenere una «decisione di adeguatezza» dell'UE per far circolare liberamente i dati tra titolari svizzeri e aziende europee. Il Consiglio federale ha presentato una revisione completa nel 2017; la LPD riveduta — nLPD / revDSG — è stata adottata il 25 settembre 2020, con entrata in vigore il 1° settembre 2023.
Il risultato è una legge visibilmente ispirata al GDPR — stessa logica titolare/responsabile del trattamento, stesso catalogo di diritti degli interessati, stesso requisito di DPIA basato sul rischio — ma con particolarità svizzere deliberate: responsabilità penale personale e obblighi amministrativi più leggeri per le PMI.
Gli otto grandi cambiamenti per l'e-commerce
Se gestivate un negozio online svizzero sotto la vecchia LPD del 1992 e avete continuato a fare le stesse cose, oggi non siete conformi su almeno otto punti distinti:
- Sono protette solo le persone fisiche — la protezione delle persone giuridiche è stata abolita, in linea con il GDPR
- Dovere di informare rafforzato (art. 19) — indicare ogni destinatario, ogni trasferimento e la base giuridica
- Privacy by Design / by Default (art. 7) — formulazione identica all'art. 25 GDPR
- Registro delle attività di trattamento (art. 12) — obbligatorio con 250+ dipendenti o trattamenti ad alto rischio
- Valutazione d'impatto sulla protezione dei dati (art. 22) — richiesta per i trattamenti ad alto rischio
- Diritto alla portabilità dei dati (art. 28) — nuovo, quasi identico all'art. 20 GDPR
- Notifica delle violazioni (art. 24) — «il più rapidamente possibile» per le violazioni ad alto rischio
- Multa personale di CHF 250,000 — sostituisce i simbolici CHF 10,000 della legge del 1992
Chi rientra nel campo di applicazione? La portata extraterritoriale
L'art. 3 nLPD definisce un'ampia portata extraterritoriale: la legge si applica «alle fattispecie che producono effetti in Svizzera, anche se sono state avviate all'estero». In termini di e-commerce, un rivenditore dell'UE o extra-UE che:
- spedisce beni fisici a indirizzi svizzeri, OPPURE
- gestisce un sito rivolto alla Svizzera (lingua tedesca / francese / italiana, dominio .ch, prezzi in CHF, bandiera svizzera nell'intestazione), OPPURE
- svolge campagne di acquisizione a pagamento rivolte a NPA / residenti svizzeri, OPPURE
- incassa pagamenti tramite TWINT, PostFinance o carte di credito svizzere
…rientra nel campo di applicazione della nLPD e deve conformarsi. L'art. 14 aggiunge poi l'obbligo, per i titolari non stabiliti in Svizzera, di designare in determinati casi un rappresentante in Svizzera (trattamento regolare su larga scala di dati di residenti svizzeri, trattamento ad alto rischio o trattamento di dati personali sensibili).
Il calendario della conformità — 2026
Entro giugno 2026 ogni negozio online rivolto alla Svizzera deve già applicare il nuovo regime. Non esiste un ulteriore periodo transitorio — la data di entrata in vigore del 1° settembre 2023 si è applicata immediatamente, senza clausole di salvaguardia. Se la vostra informativa sulla privacy fa ancora riferimento alla legge del 1992, se manca il registro delle attività di trattamento o se la vostra procedura di risposta alle violazioni non menziona l'IFPDT, oggi non siete conformi.
2. IFPDT — l'autorità federale svizzera per la protezione dei dati
Chi è l'IFPDT?
L'Eidgenössischer Datenschutz- und Öffentlichkeitsbeauftragter (EDÖB) — Incaricato federale della protezione dei dati e della trasparenza (IFPDT) — è l'equivalente svizzero del BfDI tedesco, della CNIL francese o dell'ICO britannico. È un'autorità federale indipendente con sede a Berna, attualmente guidata da Adrian Lobsiger (in carica dal 2016, riconfermato per il periodo 2022–2027).
Poteri secondo la nuova legge
La revisione del 2023 ha rafforzato notevolmente gli strumenti dell'IFPDT. Secondo la nuova nLPD l'incaricato può:
- Aprire inchieste formali d'ufficio o su denuncia
- Emanare decisioni amministrative vincolanti — compreso l'ordine di modificare, sospendere o cessare un trattamento
- Imporre la pubblicazione della notifica di violazione se un titolare non informa gli interessati coinvolti
- Trasmettere casi per il perseguimento penale — le multe penali svizzere a carico di persone fisiche passano per i tribunali penali cantonali
- Coordinarsi con le autorità cantonali di protezione dei dati (ogni cantone ha la propria autorità per gli enti pubblici cantonali)
- Pubblicare prese di posizione e linee guida ufficiali — i Leitfäden dell'IFPDT sono considerati in pratica quasi vincolanti
La biblioteca pubblica di linee guida dell'IFPDT
A differenza di molte autorità europee, l'IFPDT pubblica la maggior parte delle sue linee guida in tre lingue (DE / FR / IT) e sempre più spesso in inglese. Documenti chiave che gli operatori e-commerce svizzeri dovrebbero tenere aperti in una scheda del browser:
- Leitfaden zur Datensicherheit — guida alle misure tecniche e organizzative di sicurezza
- Leitfaden zur Meldung von Verletzungen der Datensicherheit — la guida ufficiale alla notifica delle violazioni
- Erläuterungen zur Datenschutz-Folgenabschätzung — metodologia DPIA
- Liste der Staaten mit angemessenem Datenschutzniveau — elenco degli Stati terzi con protezione adeguata
- Standardvertragsklauseln — clausole contrattuali tipo svizzere per i trasferimenti transfrontalieri
Quanto è attiva l'applicazione in pratica?
Storicamente l'IFPDT è un'autorità pragmatica, orientata al dialogo. I rapporti annuali mostrano da poche unità a qualche decina di inchieste formali all'anno, ma un'intensa corrispondenza informale. La novità del 2023 è la minaccia concreta di una denuncia penale contro persone fisiche: il rischio di applicazione è passato da una «multa astratta all'azienda» a una «fedina penale personale molto concreta».
3. Consenso ai cookie in Svizzera — meno rigido che nell'UE, ma consigliato
La sorprendente verità sul diritto svizzero dei cookie
È il punto «la Svizzera non è l'UE» su cui gli operatori sbagliano più spesso: il diritto svizzero non richiede un consenso obbligatorio (opt-in) per i cookie non sensibili. Il fondamento è duplice: (1) la nLPD si basa su trasparenza + interesse legittimo — non esiste un equivalente svizzero dell'opt-in dell'art. 5(3) della direttiva ePrivacy; (2) l'art. 45c della legge svizzera sulle telecomunicazioni (LTC/FMG) richiede solo che gli utenti siano informati e possano rifiutare — un consenso esplicito preventivo non è imposto.
Un sito esclusivamente svizzero può quindi essere conforme con un banner «morbido» che informa, offre l'opt-out e prosegue con il tracciamento salvo opposizione dell'utente — più vicino al modello statunitense «notice-and-choice» che al modello europeo del «consenso informato preventivo».
Il problema — il target anche UE
Il problema è che qualsiasi negozio online svizzero che serve anche visitatori dell'UE — e lo fanno quasi tutti (DACH o Europa in generale) — rientra nel GDPR + ePrivacy non appena un residente UE arriva sul sito. In pratica quasi ogni sito e-commerce svizzero implementa un banner di consenso CMP in stile GDPR come impostazione predefinita sicura, anche se il solo diritto svizzero tollererebbe una soluzione più leggera.
Cosa si aspetta davvero l'IFPDT
L'incaricato ha indicato che per i cookie non sensibili (statistiche, personalizzazione di base) bastano trasparenza + una reale possibilità di opposizione. Per i trattamenti sensibili (tracciamento cross-device, pubblicità comportamentale, profilazione con effetti significativi) la soglia si alza — è richiesto un consenso esplicito e granulare. I «cookie wall» che negano l'accesso se il tracciamento non viene accettato sono problematici.
L'assetto pratico 2026
- Livello 1 — strettamente necessari: nessun consenso richiesto (sessione, carrello, lingua, CSRF)
- Livello 2 — funzionali + statistici: banner trasparente + opt-out secondo il diritto svizzero; opt-in come buona prassi in caso di target anche UE
- Livello 3 — marketing / cross-device: opt-in esplicito, granulare per fornitore, con revoca
- Documentazione: registro dei cookie per fornitore, durata di conservazione e base giuridica
4. Informativa sulla privacy — obbligatoria secondo l'art. 19 nLPD
Il dovere di informare — ora rigoroso
L'art. 19 nLPD impone a ogni titolare un dovere di informare (Informationspflicht) strutturato. Ogni volta che vengono raccolti dati personali — direttamente presso l'interessato o da terzi — il titolare deve comunicare in modo proattivo:
- L'identità e i dati di contatto del titolare (ragione sociale, forma giuridica, sede, e-mail)
- Le finalità del trattamento in modo chiaro e specifico — niente formule generiche
- Le categorie di destinatari — reparti interni, responsabili del trattamento, servizi di terzi, enti pubblici
- Ogni trasferimento all'estero — paese di destinazione, base giuridica (decisione di adeguatezza, clausole contrattuali tipo svizzere, BCR, consenso esplicito)
- I periodi di conservazione per categoria di dati
- Il catalogo completo dei diritti degli interessati e come esercitarli
Come strutturare l'informativa sulla privacy
L'IFPDT non prescrive un formato unico obbligatorio, ma lo standard pratico del settore e-commerce svizzero è il seguente:
- Identità e contatti — titolare, sede, consulente per la protezione dei dati notificato all'IFPDT (se presente), rappresentante in Svizzera per i titolari esteri
- Categorie di dati personali — identificativi, di contatto, dell'account, storico ordini, pagamento, comportamentali, tecnici
- Finalità e basi giuridiche — esecuzione del contratto, interesse legittimo, obbligo legale, consenso
- Destinatari e responsabili del trattamento — elenco nominativo con paese di stabilimento
- Trasferimenti all'estero — destinazione, base giuridica, link alle clausole contrattuali tipo svizzere o alla decisione di adeguatezza
- Periodi di conservazione — per categoria di dati, ancorati a una specifica base legale o contrattuale
- Diritti degli interessati — catalogo completo, contatto per le richieste di accesso, via di reclamo all'IFPDT
- Decisioni automatizzate e profilazione — informazione ai sensi dell'art. 21 nLPD
- Cookie e tracciamento — panoramica, link alla CMP, istruzioni per l'opposizione
- Misure di sicurezza — sintesi delle misure tecniche e organizzative
Errori comuni da evitare
- Informative tedesche copiate e incollate che rimandano al GDPR/BfDI invece che alla nLPD/IFPDT
- Formula generica «trattiamo i vostri dati per fornire i nostri servizi» — non soddisfa il requisito di specificità dell'art. 19
- Mancata indicazione dei trasferimenti transfrontalieri per AWS, Google Workspace, SaaS statunitensi
- Nessun canale per le richieste di accesso — occorre indicare un'e-mail o un modulo funzionante
- Nessuna data di «ultimo aggiornamento» — ogni modifica rilevante deve essere datata
5. Responsabile / consulente per la protezione dei dati — facoltativo ma strategico
Il termine svizzero: Datenschutzberater
La revisione del 2023 ha deliberatamente non adottato il regime di DPO obbligatorio del GDPR. L'art. 10 nLPD introduce il consulente per la protezione dei dati (Datenschutzberater) come nomina facoltativa per le aziende private — sia per alleggerire le PMI sia per mantenere un'alternativa distinta e più leggera al GDPR, preservando al contempo la decisione di adeguatezza dell'UE.
Perché nominarlo comunque
Pur essendo facoltativa, la nomina e la notifica di un consulente per la protezione dei dati all'IFPDT comportano un importante vantaggio pratico: l'autorizzazione autonoma delle DPIA ad alto rischio. Secondo l'art. 23 nLPD, se una DPIA evidenzia un rischio residuo elevato, il titolare deve consultare l'IFPDT prima di procedere — tranne quando un consulente notificato ha partecipato alla valutazione: in tal caso il titolare può basarsi sul parere del consulente interno e procedere senza consultare l'IFPDT.
Per gli operatori e-commerce che praticano qualsiasi forma di profilazione, motori di raccomandazione, scoring antifrode o tracciamento cross-device, si tratta di un vantaggio operativo significativo — le consultazioni con l'IFPDT possono richiedere da settimane a mesi.
Chi può essere consulente per la protezione dei dati?
L'art. 10 nLPD richiede che il consulente:
- possieda le qualifiche professionali necessarie per svolgere la funzione (competenze giuridiche + tecniche)
- eserciti la funzione in modo indipendente e senza ricevere istruzioni al riguardo
- non abbia conflitti di interesse con la funzione
- sia autorizzato ad accedere a tutte le informazioni e risorse necessarie
Il consulente può essere un dipendente interno o un consulente esterno. Per le piccole PMI e-commerce svizzere la soluzione più comune è un avvocato svizzero esterno specializzato in protezione dei dati, remunerato con un forfait.
Notifica all'IFPDT
Per beneficiare dell'autorizzazione autonoma delle DPIA, il titolare deve notificare il consulente per la protezione dei dati all'IFPDT tramite il portale federale. La notifica è gratuita, viene elaborata in pochi giorni e deve indicare nome, qualifiche e dati di contatto del consulente. L'IFPDT tiene un registro pubblico dei consulenti notificati.
Per gli organi federali il DPO è obbligatorio
Gli organi federali (dipartimenti, uffici, tribunali) devono nominare un DPO ai sensi dell'art. 10 nLPD — in linea con il regime obbligatorio del GDPR per le autorità pubbliche.
6. Diritti degli interessati secondo la nLPD
Il catalogo completo
La nLPD riconosce agli interessati in Svizzera un catalogo di diritti che, nella sostanza, è quasi identico agli articoli 15–22 del GDPR:
- Diritto di informazione (art. 19) — comunicazione proattiva al momento della raccolta
- Diritto di accesso (art. 25–27) — l'interessato può richiedere una copia di tutti i dati personali trattati, le finalità, i destinatari, la conservazione, la fonte ed eventuali decisioni individuali automatizzate
- Diritto di rettifica (art. 32) — correzione dei dati inesatti
- Diritto alla cancellazione — derivato dall'art. 32 e dal principio di proporzionalità; non sempre assoluto (possono prevalere obblighi legali di conservazione)
- Diritto di opposizione — al trattamento basato sull'interesse legittimo, profilazione compresa
- Diritto relativo alle decisioni individuali automatizzate (art. 21) — diritto di essere informati sulle decisioni prese esclusivamente con mezzi automatizzati che producono effetti giuridici o significativi, e di chiederne il riesame da parte di una persona fisica
- Diritto alla portabilità dei dati (art. 28) — aggiunto con la revisione del 2023; diritto di ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico
Il processo delle richieste di accesso (DSAR)
Secondo l'art. 25 nLPD il titolare deve rispondere a una richiesta di accesso entro 30 giorni. Il termine può essere prorogato in caso di complessità, informandone l'interessato. Fondamentale: la risposta deve essere gratuita nei casi normali; il titolare può chiedere una partecipazione ragionevole alle spese (fino a CHF 300) solo se la richiesta è manifestamente eccessiva o ripetitiva.
Il contenuto richiesto della risposta a una richiesta di accesso è dettagliato:
- Una copia dei dati personali trattati
- Le finalità del trattamento
- Il periodo di conservazione o, se non possibile, i criteri per determinarlo
- Le informazioni disponibili sull'origine dei dati
- Le categorie di destinatari
- L'esistenza di decisioni individuali automatizzate e la logica sottostante
- Se del caso, i destinatari all'estero e le garanzie adottate
Motivi di rifiuto (art. 26)
Il titolare può rifiutare, limitare o differire una richiesta di accesso solo per motivi ristretti: motivi di legge, interessi preponderanti di terzi, interessi preponderanti del titolare (quando i dati non sono comunicati a nessuno e l'interesse è giustificato) o interesse pubblico preponderante (in particolare la sicurezza interna/esterna). Ogni rifiuto deve essere motivato, con l'indicazione del diritto di rivolgersi all'IFPDT o ai tribunali civili.
7. Notifica delle violazioni dei dati — «il più rapidamente possibile»
Lo standard svizzero è flessibile — ma non permissivo
L'art. 24 nLPD impone ai titolari un obbligo di notifica ogni volta che una violazione della sicurezza dei dati comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali dell'interessato. La notifica va all'IFPDT e deve avvenire «il più rapidamente possibile» — in tedesco «so rasch als möglich», in francese «dans les meilleurs délais».
È la differenza Svizzera/GDPR più citata. Il GDPR fissa un termine rigido di 72 ore dal momento in cui il titolare ne viene a conoscenza. La nLPD rifiuta deliberatamente un termine fisso — ma le linee guida dell'IFPDT chiariscono che «il più rapidamente possibile» va misurato in giorni lavorativi, non in settimane, e che ritardi oltre i cinque giorni lavorativi susciteranno domande.
Quando è richiesta la notifica?
Vanno notificate solo le violazioni con rischio elevato per la personalità o i diritti fondamentali. Esempi pratici che raggiungono sempre la soglia:
- Perdita di un laptop o di un nastro di backup non cifrati contenenti dati dei clienti
- Cifratura da ransomware o esfiltrazione dei database di ordini / pagamenti
- Bucket cloud configurato male che espone indirizzi, numeri di telefono o storico ordini dei clienti
- Phishing riuscito su una casella del servizio clienti che ha coinvolto dati personali
- Esfiltrazione da parte di un insider di liste di contatti marketing o commerciali
- Violazione presso un fornitore / responsabile del trattamento che ha coinvolto interessati svizzeri
Contenuto della notifica
La notifica all'IFPDT deve contenere:
- La natura della violazione — cosa è successo, quando e come è stata scoperta
- Le categorie e il numero approssimativo di interessati coinvolti
- Le categorie e il numero approssimativo di registrazioni di dati personali coinvolte
- Le probabili conseguenze per gli interessati
- Le misure già adottate o previste per porvi rimedio
- I dati di contatto del consulente per la protezione dei dati o di un altro punto di contatto
L'IFPDT mette a disposizione un modulo online strutturato sul suo portale federale.
Informazione degli interessati
Il titolare deve inoltre informare direttamente gli interessati coinvolti quando ciò è necessario per la loro protezione o quando l'IFPDT lo richiede. L'informazione può essere omessa se il titolare ha adottato misure di protezione adeguate (ad esempio i dati coinvolti erano cifrati e la chiave non è stata compromessa) — la notifica all'IFPDT resta comunque dovuta.
La procedura pratica
- T+0: incidente rilevato, isolamento, congelamento della situazione
- T+24h: triage — quantificare la violazione, identificare le categorie di interessati, valutare la soglia di rischio elevato
- T+72h: decisione interna — consulente per la protezione dei dati + ufficio legale + direzione concordano la notifica
- T+5 giorni lavorativi: notifica all'IFPDT tramite il portale federale
- Dopo l'incidente: informazione degli interessati se necessaria, iscrizione nel registro delle attività di trattamento, aggiornamento delle DPIA
8. Trasferimenti transfrontalieri di dati — elenco di adeguatezza + clausole contrattuali tipo svizzere
L'elenco di adeguatezza del Consiglio federale
L'art. 16 nLPD consente i trasferimenti se il Consiglio federale ha accertato che il paese offre un livello di protezione adeguato. A giugno 2026 l'elenco comprende:
- L'intera UE e SEE (27 Stati membri + Islanda, Liechtenstein, Norvegia) — la destinazione più comune dei dati dell'e-commerce svizzero
- Regno Unito, Andorra, Argentina, Canada (settore commerciale), Isole Fær Øer, Guernsey, Israele, Isola di Man, Giappone, Jersey, Monaco, Nuova Zelanda, Corea del Sud, Uruguay
- Stati Uniti — solo per le organizzazioni certificate secondo lo Swiss-US Data Privacy Framework (in vigore dal 2024)
I trasferimenti verso qualsiasi altro paese richiedono una base giuridica distinta: clausole contrattuali tipo svizzere, norme vincolanti d'impresa, consenso esplicito o una deroga ristretta ai sensi dell'art. 17.
Clausole contrattuali tipo svizzere
L'IFPDT ha ufficialmente riconosciuto le clausole contrattuali tipo dell'UE (2021/914) come conformi al diritto svizzero, con adattamenti specifici (GDPR → nLPD, diritto dello Stato membro → diritto svizzero). Per i flussi combinati UE + Svizzera si può usare un unico set di clausole che soddisfa entrambi i regimi — lo standard di fatto del settore.
Lo Swiss-US Data Privacy Framework
Dopo che la sentenza Schrems II ha invalidato i Privacy Shield UE-USA e Svizzera-USA, è stato negoziato un successore. Lo Swiss-US Data Privacy Framework è entrato in vigore il 15 settembre 2024, ripristinando l'adeguatezza per le organizzazioni statunitensi autocertificate. AWS, Google Cloud, Microsoft Azure e la maggior parte dei grandi fornitori SaaS certificati DPF possono di nuovo ricevere dati svizzeri senza clausole contrattuali tipo separate.
La matrice pratica dei trasferimenti
- Hosting in Svizzera o nell'UE/SEE — nessuna formalità di trasferimento particolare, basta indicarlo nell'informativa sulla privacy
- Hosting presso un fornitore statunitense certificato DPF — informare, verificare la certificazione nell'elenco DPF, nessuna clausola contrattuale tipo necessaria
- Hosting presso un fornitore statunitense non certificato DPF — clausole contrattuali tipo svizzere obbligatorie, più una valutazione d'impatto del trasferimento
- Hosting in un paese terzo senza adeguatezza (India, Cina, Russia, Singapore per alcune finalità) — clausole contrattuali tipo svizzere + valutazione d'impatto approfondita del trasferimento + idealmente cifratura con chiavi custodite in Svizzera
9. Sanzioni — fino a CHF 250,000 per la persona fisica
La particolarità svizzera più importante
È il motivo principale per cui fondatori, amministratori e DPO dell'e-commerce svizzero dovrebbero occuparsi personalmente della conformità alla nLPD — non solo a livello aziendale. La sanzione per le violazioni gravi della nLPD è una multa penale fino a CHF 250,000, inflitta alla persona fisica responsabile e non all'azienda.
È una differenza sostanziale rispetto alle sanzioni amministrative del GDPR a livello aziendale (fino al 4% del fatturato globale). In Svizzera:
- La multa colpisce la persona fisica che ha violato la legge — in genere un dirigente, un amministratore, un fondatore o un responsabile designato
- È una multa penale inflitta da un tribunale penale cantonale, non una sanzione amministrativa emessa dall'autorità di vigilanza
- La condanna può comparire nel casellario giudiziale svizzero della persona — con conseguenze su permessi di soggiorno, status regolamentare finanziario, nomine nei consigli di amministrazione
- La multa non può essere rimborsata dall'azienda tramite un'assicurazione D&O — le multe penali in Svizzera sono in genere non assicurabili
Fasce di sanzione per tipo di infrazione
Multa all'azienda — solo in casi limitati
L'art. 64 nLPD consente multe fino a CHF 50,000 all'azienda stessa — ma solo se l'identificazione della persona responsabile richiederebbe misure d'inchiesta sproporzionate. In pratica è una soluzione di ripiego quando la struttura di governance è così opaca che il pubblico ministero non riesce a individuare la persona fisica responsabile. La regola resta la responsabilità personale.
Cosa fa scattare un procedimento penale?
- Denuncia dell'IFPDT dopo il fallimento di un dialogo sulla conformità o l'inosservanza di una decisione vincolante
- Denuncia penale di un interessato
- Procedimento penale cantonale avviato d'ufficio (raro nella pratica)
- Ripercussioni di un'inchiesta GDPR parallela che coinvolge un'autorità europea di protezione dei dati
Circostanze attenuanti
I tribunali penali svizzeri considerano diverse circostanze attenuanti nel fissare la multa effettiva entro la fascia massima:
- Presenza di un consulente per la protezione dei dati notificato e di un programma interno di conformità documentato
- Pronta collaborazione con l'IFPDT
- Notifica volontaria della violazione e misure correttive
- Assenza di precedenti infrazioni
- Status di PMI e capacità finanziaria limitata
10. LPD e GDPR nell'e-commerce — la differenza pratica
Tabella comparativa
Lo strumento più utile per un operatore e-commerce svizzero è un confronto che mostri dove la nLPD diverge dal GDPR. La tabella qui sotto riassume le dieci dimensioni più importanti per il commercio online.
| Dimensione | nLPD / revDSG svizzera | GDPR dell'UE | Impatto pratico |
|---|---|---|---|
| Multa massima | CHF 250,000 alla persona fisica | 4% del fatturato globale all'azienda | Responsabilità penale personale in Svizzera |
| Consenso ai cookie | Trasparenza + opt-out | Consenso preventivo (opt-in) | CMP consigliata in caso di target anche UE |
| DPO / consulente | Facoltativo, con vantaggio di autorizzazione autonoma | Obbligatorio in casi definiti (art. 37) | Notifica strategica per alleggerire le DPIA |
| Notifica delle violazioni | «Il più rapidamente possibile» | Termine rigido di 72 ore | Predisporre una procedura entro ≤5 giorni lavorativi |
| Registro delle attività di trattamento | Solo 250+ dipendenti o rischio elevato | Tutti i titolari e responsabili (con eccezioni) | Sgravio per le PMI in Svizzera, obbligatorio nell'UE |
| Portabilità dei dati | Art. 28 nLPD — aggiunto nel 2023 | Art. 20 GDPR — dal 2018 | Quasi identico nella pratica |
| Profilazione / decisioni automatizzate | Art. 21 + dovere di informare | Art. 22 GDPR | Equivalente — possibile un unico processo |
| Trasferimenti transfrontalieri | Elenco di adeguatezza del Consiglio federale + clausole contrattuali tipo svizzere | Adeguatezza della Commissione + clausole contrattuali tipo UE | Clausole UE riutilizzate con allegato svizzero |
| Ambito di protezione | Solo persone fisiche (persone giuridiche escluse) | Solo persone fisiche | Allineato con la revisione del 2023 |
| Autorità di vigilanza | IFPDT (federale) + autorità cantonali | Autorità nazionali + EDPB | Unico punto di contatto svizzero |
Come leggere la tabella: nLPD e GDPR sono ormai ampiamente allineati nella sostanza, ma le cinque particolarità svizzere — responsabilità penale personale, regime dei cookie più leggero, DPO facoltativo, termine di notifica flessibile, sgravio per le PMI sul registro — richiedono decisioni operative distinte. L'assetto ottimale per un sito e-commerce svizzero che serve anche clienti dell'UE è applicare in ogni dimensione lo standard più elevato dei due, coprendo entrambi i regimi con un unico processo.
L'assetto «costruire una volta, conformarsi due volte»
- Informativa sulla privacy — DE/FR/IT/EN, con riferimenti a nLPD e GDPR, all'IFPDT e all'autorità capofila dell'UE
- Banner dei cookie — CMP con opt-in preventivo secondo il GDPR; copre per definizione la Svizzera
- Processo delle richieste di accesso — termine svizzero di 30 giorni (coincide con l'art. 12 GDPR) + contenuto svizzero più ampio
- Risposta alle violazioni — termine GDPR di 72 ore; soddisfa il requisito svizzero «il più rapidamente possibile»
- Registro delle attività di trattamento — da tenere a prescindere dallo sgravio per le PMI
- Trasferimenti transfrontalieri — le clausole UE con allegato svizzero coprono entrambe le giurisdizioni
- DPO / consulente per la protezione dei dati — notificarlo all'IFPDT per l'autorizzazione autonoma delle DPIA
Come rendere operativa la conformità alla nLPD — passo dopo passo nel 2026
1. Mappare i flussi di dati personali (albero decisionale)
- Account clienti + storico ordini → dati identificativi + di contatto + comportamentali
- Elaborazione dei pagamenti → dati finanziari sensibili, particolare cautela ai sensi dell'art. 5
- Marketing + remarketing → profilazione, tracciamento cross-device, spesso basato sul consenso
- Assistenza + servizio clienti → i campi di testo libero possono contenere informazioni sensibili
- Logistica + consegna → dati di contatto condivisi con InPost / Swiss Post / DPD / DHL
- Statistiche → IP, dispositivo, comportamento; verificare l'anonimizzazione dell'IP
2. Decidere sul rappresentante in Svizzera (solo titolari esteri)
Se la vostra azienda non è stabilita in Svizzera ma tratta dati personali di residenti svizzeri su larga scala o con rischio elevato, l'art. 14 nLPD richiede la designazione di un rappresentante in Svizzera. Tre opzioni giuridiche:
- Filiale o succursale svizzera — la via più rapida se disponete già di un'entità giuridica svizzera
- Studio legale o specialista della conformità esterno come rappresentante — soluzione comune per le PMI
- Fornitore specializzato del servizio di rappresentanza — canone mensile ricorrente, include il collegamento con l'IFPDT
3. Nominare e notificare un consulente per la protezione dei dati
Che sia interno o esterno, la notifica del consulente all'IFPDT consente l'autorizzazione autonoma delle DPIA ed è il passo di conformità con il maggiore effetto leva. La notifica è gratuita e richiede pochi giorni.
4. Predisporre l'informativa sulla privacy + la CMP
- Generare un'informativa sulla privacy conforme al diritto svizzero in DE/FR/IT/EN
- Implementare una CMP con opt-in preventivo in stile GDPR per i cookie di marketing, granulare per fornitore
- Documentare il registro dei cookie — fornitore, finalità, conservazione, base giuridica
- Inserire il link nel piè di pagina di ogni pagina, nel banner dei cookie e nel modulo di registrazione
5. Impostare il processo delle richieste di accesso
- Pubblicare un canale per le richieste di accesso (e-mail + modulo), la verifica dell'identità, uno SLA di 30 giorni
- Automatizzare l'esportazione dei dati di ordini + carrello + navigazione + marketing + assistenza
- Usare modelli di risposta in linea con l'IFPDT in DE/FR/IT/EN
6. Documentare il registro delle attività di trattamento + le DPIA
Anche quando il registro è facoltativo (meno di 250 dipendenti, nessun rischio elevato), tenerlo è la migliore prova di diligenza in un procedimento penale. Lo stesso vale per le DPIA: documentate il rischio residuo, le misure di mitigazione e il parere del consulente.
7. Predisporre la procedura di gestione delle violazioni
- Definire i fattori di rilevamento (allarmi di sicurezza, reclami dei clienti, notifiche dei responsabili del trattamento)
- Fissare i termini: triage entro 24 ore e notifica all'IFPDT entro 5 giorni lavorativi
- Precompilare i campi del modulo IFPDT compilabili in anticipo (identità del titolare, contatti)
8. Configurare il registro dei trasferimenti transfrontalieri
Elencare ogni responsabile del trattamento e il relativo paese di stabilimento. Allegare le clausole contrattuali tipo svizzere + una valutazione d'impatto del trasferimento per le destinazioni non adeguate. Rivalutare automaticamente quando il Consiglio federale aggiorna l'elenco di adeguatezza.
9. Collegarsi tramite Zunapro (configurazione della conformità)
- Accedete a Zunapro e aprite il modulo Svizzera
- Attivate il pacchetto di conformità nLPD — generatore di informativa sulla privacy, CMP, portale per le richieste di accesso, procedura di gestione delle violazioni, registro delle attività di trattamento, registro dei trasferimenti transfrontalieri
- Notificate il vostro consulente per la protezione dei dati — Zunapro può precompilare il modulo di notifica dell'IFPDT
- Collegate i vostri marketplace svizzeri — Galaxus, Digitec, Brack, Ricardo — e fate passare i dati dei clienti attraverso il pacchetto di conformità
- Go-live — una volta stabilita la base di conformità, il monitoraggio continuo funziona in background
Centralizzate la conformità nLPD + GDPR in un unico pannello
Generatore di informativa sulla privacy · CMP svizzera · portale per le richieste di accesso · procedura di gestione delle violazioni · registro delle attività di trattamento · registro dei trasferimenti transfrontalieri · esportazione delle prove per l'IFPDT — tutto in un unico pannello Zunapro, insieme alle integrazioni dei marketplace svizzeri.
Costruisci il tuo assetto di conformità svizzero →FAQ sulla nLPD / LPD svizzera 2026
Quando è entrata in vigore la nuova legge svizzera sulla protezione dei dati (nLPD / revDSG)?
La legge federale riveduta sulla protezione dei dati (nLPD, in tedesco revDSG) è entrata in vigore il 1° settembre 2023. Sostituisce la legge del 1992 e avvicina molto il diritto svizzero al GDPR dell'UE, mantenendo diverse particolarità svizzere: nessun consenso obbligatorio per i cookie non sensibili, consulente per la protezione dei dati facoltativo, standard di notifica delle violazioni «il più rapidamente possibile» e multe penali personali fino a CHF 250,000.
Dopo il 1° settembre 2023 non c'è stato alcun ulteriore periodo transitorio — il nuovo regime si è applicato immediatamente, senza clausole di salvaguardia. Entro metà 2026 ogni negozio online rivolto alla Svizzera deve già applicare il nuovo quadro.
La nLPD svizzera si applica al mio negozio online se ho sede nell'UE?
Sì. La nLPD ha una portata extraterritoriale esplicita (art. 3): si applica a qualsiasi trattamento di dati che produce effetti in Svizzera. Un e-commerce dell'UE che spedisce a clienti svizzeri, gestisce pagine nelle lingue svizzere, indica prezzi in CHF o si rivolge a residenti in Svizzera rientra nel campo di applicazione e deve conformarsi.
I titolari esteri senza stabile organizzazione in Svizzera devono, in alcuni casi, designare un rappresentante in Svizzera (art. 14 nLPD) — di solito in caso di trattamento regolare su larga scala di dati di residenti svizzeri, trattamento ad alto rischio o trattamento di dati personali sensibili.
Il consenso ai cookie in stile GDPR è obbligatorio in Svizzera nel 2026?
No — la nLPD non richiede un consenso obbligatorio (opt-in) per i cookie non sensibili. Il diritto svizzero segue una logica di trasparenza / opposizione (opt-out): occorre informare chiaramente gli utenti su cookie e tracciamento, ma un banner di consenso rigido in stile GDPR non è strettamente imposto dal solo diritto svizzero. L'art. 45c della legge svizzera sulle telecomunicazioni (LTC/FMG) richiede soltanto informazione + opt-out.
Tuttavia, se servite anche visitatori dell'UE — come fa quasi ogni sito e-commerce svizzero —, si applicano in parallelo le norme GDPR + ePrivacy. In pratica un vero banner di consenso CMP è la scelta più sicura, e la maggior parte dei negozi online svizzeri ne implementa uno, anche se il solo diritto svizzero tollererebbe una soluzione più leggera.
Serve un responsabile della protezione dei dati (DPO) secondo il diritto svizzero?
Per le aziende private la nomina di un consulente per la protezione dei dati (Datenschutzberater) — il termine svizzero, art. 10 nLPD — è facoltativa, non obbligatoria. Il legislatore svizzero ha deliberatamente respinto il regime di DPO obbligatorio del GDPR per alleggerire le PMI.
Detto ciò, se lo nominate e lo notificate all'IFPDT, ottenete un importante sgravio procedurale: non dovete più consultare l'IFPDT prima di procedere con trattamenti oggetto di valutazioni d'impatto sulla protezione dei dati (DPIA) ad alto rischio. Per gli organi federali la nomina è obbligatoria.
Qual è la multa massima prevista dalla nuova nLPD svizzera?
Fino a CHF 250,000 — ed è questa la principale particolarità del diritto svizzero: la multa viene inflitta alla persona fisica responsabile (il dirigente, l'amministratore o la persona che ha violato la legge), non all'azienda. È una differenza sostanziale rispetto al GDPR, dove le sanzioni colpiscono l'azienda (fino al 4% del fatturato globale).
La multa svizzera è una multa penale inflitta da un tribunale penale cantonale, non una sanzione amministrativa emessa dall'autorità di vigilanza. Può comparire nel casellario giudiziale svizzero della persona ed è in genere non assicurabile con polizze D&O. Questa responsabilità penale personale cambia profondamente il modo in cui fondatori, amministratori e manager dell'e-commerce svizzero devono affrontare la conformità.
Gli interessati in Svizzera hanno diritti di accesso, rettifica e cancellazione come nel GDPR?
Sì. La nLPD riconosce agli interessati in Svizzera i diritti di informazione (art. 19), accesso (art. 25–27), rettifica (art. 32) e opposizione, oltre ai diritti relativi alle decisioni individuali automatizzate (art. 21). Il diritto alla portabilità dei dati è stato aggiunto con la revisione del 2023 (art. 28).
Il catalogo è sostanzialmente equivalente agli articoli 15–22 del GDPR. Termini di risposta e procedura differiscono leggermente: il termine standard è di 30 giorni, prorogabili in caso di complessità. Nei casi normali le risposte devono essere gratuite; una partecipazione ragionevole alle spese (fino a CHF 300) può essere chiesta solo per richieste manifestamente eccessive o ripetitive.
Qual è la regola di notifica delle violazioni dei dati in Svizzera?
Secondo l'art. 24 nLPD i titolari devono notificare all'IFPDT una violazione della sicurezza dei dati «il più rapidamente possibile» (so rasch als möglich / dans les meilleurs délais) quando la violazione comporta verosimilmente un rischio elevato per la personalità o i diritti fondamentali dell'interessato.
A differenza del termine rigido di 72 ore del GDPR, il diritto svizzero adotta lo standard flessibile «il più rapidamente possibile» — ma le linee guida dell'IFPDT considerano con forte sospetto qualsiasi ritardo oltre i cinque giorni lavorativi. La notifica avviene tramite un modulo online strutturato sul portale federale. Gli interessati vanno informati direttamente anche quando ciò è necessario per la loro protezione o quando l'IFPDT lo richiede.
Posso trasferire i dati dei clienti svizzeri verso l'UE, gli USA o altri paesi?
Verso i paesi con un livello di protezione adeguato inclusi nell'elenco del Consiglio federale — tutta l'UE/SEE, il Regno Unito, il Canada, l'Argentina, il Giappone, la Corea del Sud, Israele, la Nuova Zelanda e altri — sì, liberamente. Basta indicare il trasferimento nell'informativa sulla privacy.
Verso i paesi non adeguati — solo con garanzie appropriate: clausole contrattuali tipo svizzere, norme vincolanti d'impresa o una delle deroghe ristrette dell'art. 17. Da settembre 2024 lo Swiss-US Data Privacy Framework garantisce l'adeguatezza per i destinatari statunitensi certificati — e copre la maggior parte dei grandi fornitori cloud e SaaS.
Quali sono le differenze tra la nLPD svizzera e il GDPR dell'UE?
Cinque differenze principali: (1) le multe fino a CHF 250,000 colpiscono secondo la nLPD le persone fisiche, non le aziende (GDPR: 4% del fatturato aziendale). (2) Il consenso ai cookie non è imposto per legge dalla nLPD (GDPR + ePrivacy richiedono l'opt-in). (3) Il DPO / consulente per la protezione dei dati è facoltativo per le aziende private (l'art. 37 GDPR richiede un DPO in casi definiti).
(4) La notifica delle violazioni avviene «il più rapidamente possibile» (GDPR: termine rigido di 72 ore). (5) Il registro delle attività di trattamento si applica secondo la nLPD solo alle aziende con 250+ dipendenti o ai trattamenti ad alto rischio (GDPR: quasi tutti i titolari/responsabili). Nella sostanza i due regimi sono ormai strettamente allineati; la differenza pratica riguarda l'onere amministrativo e la struttura della responsabilità personale.
Che cos'è una valutazione d'impatto sulla protezione dei dati (DPIA) secondo la nLPD?
Una DPIA (Datenschutz-Folgenabschätzung, art. 22 nLPD) è richiesta quando il trattamento può comportare un rischio elevato per la personalità o i diritti fondamentali dell'interessato — tipicamente per il trattamento su larga scala di dati sensibili, il monitoraggio sistematico di aree pubbliche o l'introduzione di nuove tecnologie di tracciamento.
Il titolare deve documentare il rischio, le misure di mitigazione e il rischio residuo. Se un consulente per la protezione dei dati è notificato all'IFPDT, il titolare può autorizzare autonomamente le DPIA ad alto rischio senza consultare l'autorità (art. 23 nLPD) — un vantaggio operativo significativo per la profilazione, i motori di raccomandazione e lo scoring antifrode nell'e-commerce.
L'informativa sulla privacy è obbligatoria per i negozi online svizzeri?
Sì — il dovere di informare (art. 19 nLPD) impone al titolare di fornire agli interessati informazioni su identità, finalità, categorie di destinatari, periodi di conservazione, trasferimenti all'estero e diritti degli interessati. In pratica ciò avviene tramite un'informativa sulla privacy / dichiarazione sulla protezione dei dati sul sito, facilmente accessibile dal piè di pagina di ogni pagina.
L'IFPDT pubblica linee guida dettagliate sul contenuto minimo. Errori comuni sono informative tedesche copiate e incollate che rimandano al GDPR anziché alla nLPD, finalità generiche, mancata indicazione dei trasferimenti transfrontalieri e assenza di un canale funzionante per le richieste di accesso. Il pacchetto di conformità di Zunapro genera automaticamente un'informativa conforme al diritto svizzero in DE/FR/IT/EN.
E i dati dei bambini e dei minori nell'e-commerce svizzero?
La nLPD non fissa un'età specifica per il consenso come l'articolo 8 del GDPR (13–16 anni a seconda dello Stato membro). Si applica il diritto civile svizzero generale: i minori capaci di discernimento (Urteilsfähigkeit) — di solito tra 14 e 16 anni a seconda della questione — possono acconsentire autonomamente al trattamento dei dati. Per i bambini più piccoli è richiesto il consenso dei genitori.
I venditori e-commerce che si rivolgono ad acquirenti sotto i 16 anni (giocattoli, videogiochi, moda, articoli scolastici) dovrebbero implementare controlli dell'età e processi di verifica genitoriale in fase di registrazione e di checkout, documentare la logica di verifica dell'età nel registro delle attività di trattamento e applicare una sicurezza rafforzata ai dati dei minori. L'IFPDT ha segnalato un'attenzione crescente a questo ambito nel suo programma di vigilanza 2025–2026.
Lanciati in Svizzera — conforme alla nLPD fin dal primo giorno
Informativa sulla privacy · CMP · portale per le richieste di accesso · procedura di gestione delle violazioni · registro delle attività di trattamento · registro dei trasferimenti transfrontalieri · prove pronte per l'IFPDT — tutto in un unico pannello Zunapro, insieme alle integrazioni dei marketplace Galaxus, Digitec, Brack e Ricardo. Nessuna demo obbligatoria, nessun contratto vincolante a lungo termine. Avvia oggi il tuo e-commerce in Svizzera.
🇨🇭 Lanciati ora in Svizzera →Hai bisogno di aiuto?
Servizio correlato: E-Commerce