Apri lo spazio

Guida · Normativa svizzera

FADP: la legge svizzera sui dati spiegata a chi vive di pubblicità

La Svizzera non fa parte dell'Unione Europea e ha una propria legge sui dati, rivista nel 2023. È più flessibile del GDPR in alcuni punti e più dura in un altro: la multa ricade sulla persona responsabile. Scopri cosa vale per cookie, banner e annunci Google con visitatori svizzeri.

Fai l'audit del mio traffico dalla SvizzeraLeggi la guida
  • ✓Basato sulla legge federale e sulle indicazioni ufficiali dell'autorità svizzera
  • ✓Esempi di siti con annunci, anche brasiliani
  • ✓Lettura senza modificare il sito
CHF 250 milamulta massima, applicata alla persona responsabile e non all'azienda
2023anno in cui la legge rivista è entrata in vigore, il 1° settembre, senza periodo di adattamento
250dipendenti: sotto questa soglia, le aziende con trattamenti a basso rischio possono essere esentate dal registro delle attività
CHF 5 milamulta massima della legge sulle telecomunicazioni per chi non rispetta la regola sui cookie

Che cos'è

Una legge propria, simile al GDPR ma non uguale

La Legge federale svizzera sulla protezione dei dati, nota con la sigla FADP in inglese, nLPD in francese e nDSG in tedesco, è stata rivista dal Parlamento nel 2020 ed è entrata in vigore il 1° settembre 2023. La nuova versione ha avvicinato la legge svizzera al GDPR europeo, ma ha mantenuto una logica propria.

Nel GDPR, ogni trattamento di dati personali ha bisogno di una base giuridica. In Svizzera, il trattamento è permesso purché rispetti i principi della legge, come trasparenza, finalità e proporzionalità. La giustificazione, come il consenso o un interesse preponderante, è richiesta solo quando il trattamento viola questi principi o la personalità della persona.

Il controllo spetta all'Incaricato federale della protezione dei dati e della trasparenza, l'FDPIC, chiamato PFPDT in francese e EDÖB in tedesco. Indaga, dà ordini e pubblica indicazioni, ma non applica multe. Le multe sono penali e spettano alle autorità dei cantoni.

Anche i cookie seguono una regola della legge sulle telecomunicazioni. Richiede che il sito informi sull'uso e sulla finalità dei cookie e offra al visitatore la possibilità di rifiutarli. L'indicazione dell'FDPIC spiega come queste due leggi si combinano.

Checklist

Cosa devi rispettare

Questi sono i punti che la guida dell'IFPDT e Google richiedono a un sito con annunci che riceve visitatori dalla Svizzera.

  1. Usa una CMP certificata da Google

    Dal 31 luglio 2024, Google richiede una CMP certificata e integrata con IAB TCF per mostrare annunci personalizzati in Svizzera. Senza di essa, il traffico svizzero può ricevere solo annunci non personalizzati o limitati.

    Esempio

    Includi la Svizzera nelle regioni della CMP, perché non fa parte né dell'Unione Europea né dello SEE.

  2. Lascia sempre rifiutare i cookie

    L'IFPDT dice che il sito deve sempre dare al visitatore la possibilità di rifiutare i cookie non essenziali. L'opzione di rifiuto deve essere ben visibile.

    Esempio

    Il banner mostra un pulsante Rifiuta visibile, e non solo un piccolo link nel testo.

  3. Non usare un banner con solo accetta tutto

    Per l'IFPDT, una finestra che permette solo di accettare tutto non è una dichiarazione chiara di consenso. Pesa ancora di più quando mescola cookie essenziali e cookie che richiedono il consenso.

  4. Chiedi il consenso esplicito nei casi ad alto rischio

    I dati sensibili e la profilazione ad alto rischio richiedono il consenso esplicito. L'IFPDT spiega che il tracciamento pubblicitario su più siti può raggiungere questo livello. In caso di dubbi, verifica con il tuo legale.

    Esempio

    I cookie pubblicitari di terze parti vengono salvati solo dopo il clic attivo su accetta.

  5. Informa al momento della raccolta

    Il visitatore deve essere informato quando i dati vengono raccolti, a livelli, con le cose più importanti per prime. Non basta mettere la privacy policy in un angolo nascosto del sito.

    Esempio

    Il banner riassume l'uso dei cookie e porta con un clic alla policy completa.

  6. Dì chi riceve i dati e in quale paese

    La policy deve indicare quando i dati vanno a terze parti o fornitori, con la finalità. Se i dati lasciano la Svizzera, va indicato anche il paese di destinazione.

    Esempio

    Nella policy: usiamo Google e altre reti pubblicitarie, e i dati possono essere inviati negli Stati Uniti.

  7. Non rendere difficile la revoca del consenso

    Richiedere molto più sforzo per revocare il consenso che per darlo viola la libertà del consenso, secondo l'IFPDT. Le caselle già selezionate sono accettate solo dove non è richiesto il consenso esplicito.

    Esempio

    Un link fisso nel footer riapre le preferenze con un clic.

In pratica

Giusto e sbagliato

Strumenti ufficiali

CMP certificate e link ufficiali

Per gli annunci personalizzati in Svizzera, Google richiede una CMP certificata, e queste sono le pagine ufficiali per sceglierla e configurarla.

A chi si applica e definizioni

Cosa copre la legge

La legge guarda all'effetto in Svizzera, non all'indirizzo dell'azienda. Questi sono i concetti che pesano di più per un sito con annunci.

Effetto in Svizzera

La legge vale per le situazioni che producono effetti nel paese, anche se il sito è ospitato e gestito altrove.

Solo persone fisiche

La nuova versione protegge solo i dati delle persone fisiche. I dati delle aziende non sono più coperti.

Dati sensibili

Includono salute, origine etnica, religione, opinioni politiche, dati genetici e biometrici e procedimenti penali. Richiedono cautela e, spesso, il consenso esplicito.

Profilazione ad alto rischio

È l'incrocio di dati che permette di valutare aspetti essenziali della personalità di qualcuno. Il tracciamento degli annunci tra più siti può arrivare a questo livello.

Titolare e responsabile del trattamento

Il titolare decide la finalità e i mezzi, come il proprietario del sito. Il responsabile tratta i dati per suo conto, come un hosting.

Rappresentante in Svizzera

Le aziende estere che offrono prodotti o monitorano persone nel paese hanno bisogno di un rappresentante locale quando il trattamento è regolare, su larga scala e ad alto rischio.

Consenso e cookie

Quando basta avvisare e quando bisogna chiedere

La regola di base per i cookie in Svizzera è avvisare e permettere di rifiutare. Il sito deve informare, al momento della raccolta, che usa cookie e per quale scopo, e ricordare al visitatore che può dire no. L'indicazione dell'FDPIC chiarisce che il diritto di rifiutare è obbligatorio in qualsiasi scenario.

Il consenso esplicito, con un clic attivo su un pulsante o su una casella, è richiesto nei casi di rischio maggiore: trattamento di dati sensibili e profilazione ad alto rischio. Vale anche per i siti con contenuti politici, sindacali o religiosi quando i cookie vanno oltre quanto previsto.

La versione aggiornata dell'indicazione, pubblicata a ottobre 2025, tratta la pubblicità. Spiega che i cookie di terze parti sparsi su più siti, che cedono dati dei visitatori in cambio di un pagamento, possono configurare una profilazione ad alto rischio. Se il sito non riesce a escludere questo rischio, deve considerarlo alto e chiedere il consenso esplicito.

Sul banner, l'FDPIC afferma che una finestra che offre solo accetta tutto non genera un consenso chiaro, che il rifiuto deve essere visibile e che revocare il consenso non può essere più difficile che darlo. Le caselle preselezionate sono accettate solo per usi che non richiedono il consenso esplicito.

Diritti delle persone

Cosa può chiedere il visitatore svizzero

Il sito deve avere un contatto per ricevere le richieste e rispondere entro il termine.

Accesso

Sapere se il sito tratta dati sulla persona e ricevere le informazioni previste dalla legge, di norma entro 30 giorni e gratuitamente.

Correzione e cancellazione

Chiedere che i dati errati siano corretti e che i dati trattati in modo irregolare siano cancellati.

Opposizione

Opporsi a un trattamento, compreso rifiutare i cookie. Per la legge sulle telecomunicazioni, questo rifiuto deve essere sempre possibile.

Portabilità

Ricevere i dati che ha fornito in un formato elettronico comune o chiedere che vengano inviati a un'altra azienda.

Revisione umana

Essere informato sulle decisioni prese solo da un sistema che abbiano un effetto importante e chiedere che una persona le riveda.

Informazione alla raccolta

Essere avvisato su chi raccoglie, per quale scopo, con chi condivide e verso quali paesi vanno i dati.

Obblighi

Cosa deve fare un sito con visitatori svizzeri

  1. Informare al momento della raccoltaAbbi un'informativa sulla privacy con identità e contatto del responsabile, finalità, destinatari e paesi verso cui vanno i dati. L'indicazione chiede un'informazione a livelli, con l'essenziale per primo, e mai nascosta in un angolo della pagina.
  2. Offrire il rifiuto dei cookieMostra un avviso sui cookie con una chiara opzione di rifiuto. Per gli annunci con tracciamento tra siti, preferisci il consenso esplicito, che è anche ciò che Google richiede per gli annunci personalizzati.
  3. Partire dal minimoLa legge richiede protezione fin dalla progettazione e per impostazione predefinita. In pratica, nulla che non sia essenziale deve partire solo perché la pagina si è caricata.
  4. Valutare il rischioFai una valutazione d'impatto prima dei trattamenti ad alto rischio e tieni un registro delle attività, a meno che l'azienda abbia meno di 250 dipendenti e svolga solo trattamenti a basso rischio.
  5. Avvisare in caso di violazioniComunica all'FDPIC il prima possibile quando una violazione può comportare un rischio elevato per le persone, e avvisa gli interessati quando serve per proteggerli.
  6. Curare i trasferimentiL'invio di dati fuori dalla Svizzera richiede un paese con protezione adeguata o garanzie come le clausole contrattuali. Per gli Stati Uniti, le aziende certificate nello Swiss-U.S. Data Privacy Framework sono accettate dal 15 settembre 2024.

Controlli e sanzioni

In Svizzera, a pagare è la persona

A differenza del GDPR, la multa svizzera non si calcola sul fatturato dell'azienda. È penale e colpisce l'individuo che ha deciso o eseguito la violazione.

Fino a CHF 250 mila

Multa per la persona fisica responsabile che viola intenzionalmente doveri come informare, rispondere alle richieste di accesso o proteggere i dati al momento del trasferimento.

Azienda solo in via eccezionale

Quando individuare la persona responsabile richiederebbe un'indagine sproporzionata, l'azienda può essere multata al suo posto, purché la multa non superi CHF 50 mila.

Ordini dell'FDPIC

L'incaricato indaga e può ordinare che il trattamento sia corretto, sospeso o che i dati siano cancellati. Anche disobbedire all'ordine è reato.

Regola sui cookie

La legge sulle telecomunicazioni prevede una multa fino a CHF 5 mila per chi non rispetta, intenzionalmente o per negligenza, il dovere di informare e di permettere il rifiuto.

Cronologia

Le date che contano

Dall'approvazione della legge rivista all'aggiornamento più recente dell'indicazione sui cookie.

  1. 25 settembre 2020

    Legge rivista approvata

    Il Parlamento svizzero approva la revisione completa della legge sulla protezione dei dati.

  2. 1° settembre 2023

    Entrata in vigore

    La nuova legge e l'ordinanza che la regolamenta iniziano a valere, senza periodo di transizione per la maggior parte delle regole.

  3. 31 luglio 2024

    Google richiede una CMP certificata

    Per gli annunci personalizzati ai visitatori della Svizzera, AdSense e Ad Manager iniziano a richiedere una CMP certificata e integrata con IAB TCF.

  4. 15 settembre 2024

    Accordo con gli Stati Uniti

    Le aziende americane certificate nello Swiss-U.S. Data Privacy Framework vengono considerate una destinazione adeguata per i dati.

  5. Gennaio 2025

    Indicazione sui cookie

    L'FDPIC pubblica l'indicazione sul trattamento dei dati con cookie e tecnologie simili.

  6. Ottobre 2025

    Indicazione aggiornata

    La versione 1.1 dettaglia la pubblicità personalizzata, i dati di posizione e il modello paga o accetta.

Per chi ha AdSense o Ad Manager

Cosa cambia in pratica per i ricavi

Dal 31 luglio 2024, Google richiede per i visitatori della Svizzera lo stesso che richiede per lo Spazio economico europeo e il Regno Unito: una CMP certificata e integrata con IAB TCF. Senza di essa, il traffico svizzero riceve solo annunci non personalizzati o limitati.

Questo significa che, anche se la legge svizzera si accontenta di avvisare e far rifiutare in alcuni casi, chi vuole annunci personalizzati di Google ha bisogno del consenso registrato nella TC string. In pratica, lo standard di Google finisce per essere il più esigente.

Un esempio comune: un sito brasiliano di offerte di lavoro in francese che riceve visitatori da Ginevra e Losanna. Se la CMP è stata configurata solo per l'Unione Europea, la Svizzera resta fuori, perché non è membro dell'Unione né del SEE. Il risultato è traffico svizzero senza TC string e con annunci limitati.

Il Messaggio sulla privacy di AdSense e di Ad Manager è già certificato e permette di includere la Svizzera. Con un'altra CMP, controlla che la Svizzera compaia nell'elenco delle regioni e che Google sia tra i fornitori.

In pratica

Cosa si può e cosa non si può fare con i visitatori svizzeri

Esempi di tutti i giorni di siti di contenuti, offerte di lavoro e finanza con pubblico in Svizzera.

Consentito

  • Usare cookie essenziali, come quello che salva la scelta del banner, senza chiedere il consenso
  • Informare sull'uso dei cookie a livelli, con il riepilogo nel banner e il dettaglio nella pagina della privacy
  • Includere la Svizzera nella stessa configurazione della CMP usata per il SEE e il Regno Unito
  • Mostrare annunci non personalizzati a chi ha rifiutato
  • Offrire nel footer un link fisso per far cambiare la scelta al visitatore

Non consentito

  • Mostrare un banner con il solo pulsante accetta tutto
  • Attivare pixel di remarketing di terze parti prima di qualsiasi risposta
  • Dimenticare la Svizzera perché non fa parte dell'Unione Europea
  • Rendere la revoca del consenso più difficile dell'accettazione
  • Nascondere l'informativa sulla privacy in un angolo difficile da trovare

Errori comuni

Dove i siti sbagliano di più

Errori che compaiono spesso nei siti con traffico svizzero.

Svizzera fuori dall'elenco delle regioni

La CMP mostra il messaggio per l'Unione Europea, ma non per la Svizzera. Google riceve richieste senza un consenso valido e limita gli annunci.

Affidarsi solo all'opt-out

La legge accetta di avvisare e far rifiutare in alcuni casi, ma il tracciamento degli annunci tra siti può richiedere il consenso esplicito, e Google richiede il consenso per personalizzare.

Pensare che la multa sia un problema dell'azienda

In Svizzera, la multa penale ricade sulla persona che ha deciso. Il proprietario del sito, il gestore o il responsabile tecnico possono risponderne personalmente.

Informativa senza paesi di destinazione

La legge richiede di informare verso quali paesi vanno i dati. Molti testi citano Google e dimenticano di dire che i dati escono dalla Svizzera.

Banner che non riconosce il rifiuto

Il visitatore clicca su rifiuta e i cookie pubblicitari restano lì. L'indicazione dice che un rifiuto impedito dal sito non può essere usato contro il visitatore.

Paga o accetta senza cautela

Subordinare l'accesso all'accettazione del tracciamento o al pagamento di un abbonamento è trattato dall'indicazione con condizioni specifiche. Copiare il modello di un altro paese senza revisione è rischioso.

In ConsentMode

Cosa controlla l'audit per la Svizzera

  • Apre il sito come visitatore dalla Svizzera e registra se il banner compare, quali pulsanti offre e se il rifiuto è visibile.
  • Identifica la CMP dal codice della pagina e verifica se è nell'elenco delle CMP certificate di Google.
  • Legge la TC string e i segnali di Consent Mode inviati nelle richieste di annunci.
  • Confronta cookie e richieste di rete prima e dopo la scelta e segnala cosa parte troppo presto.
  • Controlla se l'informativa sulla privacy contiene responsabile, finalità, destinatari e paesi di destinazione.
Avvia un auditVedi tutto ciò che viene controllato

Domande frequenti

Il mio sito è brasiliano. La legge svizzera vale per me?

La legge raggiunge situazioni con effetto in Svizzera, anche se iniziate all'estero. Se il sito traccia i visitatori svizzeri per gli annunci, c'è un effetto nel paese. E Google richiede una CMP certificata per personalizzare gli annunci per questo pubblico, indipendentemente da dove si trovi il sito.

In Svizzera il banner può essere solo informativo?

Per i cookie a basso rischio, la legge accetta di informare e offrire il rifiuto. Per il tracciamento degli annunci tra siti, i dati sensibili o la profilazione ad alto rischio, serve il consenso esplicito. Per gli annunci personalizzati di Google, la CMP certificata con consenso è obbligatoria.

Chi controlla e chi multa?

L'FDPIC indaga, orienta e può dare ordini. Le multe sono applicate dalle autorità penali dei cantoni.

La multa può arrivare al proprietario del sito?

Sì. La multa fino a CHF 250 mila si applica alla persona fisica responsabile della violazione intenzionale. L'azienda viene multata solo in casi eccezionali.

Mi serve un rappresentante in Svizzera?

Solo se l'azienda è fuori dal paese e tratta dati di persone in Svizzera in modo regolare, su larga scala e con alto rischio. La maggior parte dei siti di contenuti piccoli e medi non arriva a questo livello, ma conviene valutare.

Uso la stessa CMP del GDPR. Mi serve qualcosa di diverso?

Di solito no. Basta confermare che la Svizzera sia tra le regioni configurate e che i testi del banner e dell'informativa rispettino anche la legge svizzera, come la menzione dei paesi di destinazione.

Biblioteca

Fonti ufficiali

Questa guida è stata scritta a partire da queste pagine ufficiali. Leggi direttamente alla fonte:

Scopri come appare il tuo sito a un visitatore svizzero

L'audit apre il sito dalla Svizzera, registra il banner, la TC string e i cookie e mostra cosa correggere, senza modificare nulla.

Avvia l'audit