Marketing in Svizzera: la legge riveduta

Nota Questo articolo offre una panoramica e non sostituisce una consulenza legale. Per valutare il proprio caso — in particolare con dati degni di particolare protezione, profilazione o trasferimenti verso Paesi terzi — occorre rivolgersi a un professionista.

In breve

La legge riveduta è in vigore dal 1° settembre 2023 e non prevede alcun periodo transitorio.
Tre differenze sostanziali rispetto al GDPR: nessun consenso come regola generale, sanzioni verso le persone fisiche invece che verso le aziende, e nessun registro generalizzato per le piccole imprese.
Chi ha clienti nell'UE o si rivolge a cittadini dell'UE è soggetto anche al GDPR, e in pratica vale allora il criterio più severo.
Sei punti devono essere regolati su un sito aziendale svizzero, e l'informativa sulla protezione dei dati è solo uno di questi.

Le tre differenze sostanziali rispetto al GDPR

1. Il trattamento è in linea di principio consentito

Il GDPR vieta il trattamento dei dati personali finché non esiste una base giuridica. La legge svizzera ribalta il punto di partenza: il trattamento è lecito finché non lede illecitamente la personalità.

In pratica: la differenza è minore di quanto sembri. Trasparenza, vincolo di finalità, proporzionalità e sicurezza dei dati valgono anche qui. Per i dati degni di particolare protezione e per la profilazione ad alto rischio è richiesto anche qui un consenso esplicito.

2. Le sanzioni colpiscono le persone, non le aziende

Il GDPR prevede sanzioni verso le aziende, in percentuale sul fatturato. La legge svizzera prevede multe fino a 250.000 franchi verso la persona fisica responsabile, cioè la direzione o il dirigente competente.

In pratica: l'importo più basso viene spesso letto come un via libera. È un fraintendimento: la responsabilità personale cambia gli assetti di responsabilità in azienda, e si applica anche in caso di dolo per omissione.

3. Nessun registro dei trattamenti per le piccole imprese

Le aziende con meno di 250 collaboratori sono esentate dal registro delle attività di trattamento, purché il trattamento non comporti un rischio elevato e non si trattino su larga scala dati degni di particolare protezione.

In pratica: l'esenzione cade in fretta. Chi tratta dati sanitari o svolge una profilazione estesa ha comunque bisogno del registro, che è peraltro la panoramica più utile che si possa avere in casa.

Lo sapevi?

La maggior parte delle aziende svizzere con un sito è di fatto soggetta a entrambi gli impianti normativi insieme. Il GDPR si applica già quando ci si rivolge in modo mirato a persone nell'UE, per esempio con prezzi in euro, una versione linguistica orientata all'UE o spedizioni nell'Unione.

Ne deriva una conseguenza pratica: chi deve soddisfare entrambi gli impianti fa bene a orientarsi al più severo. Gestire due processi separati per due normative costa più che lavorare subito secondo il criterio più alto.

Sei punti che devono essere regolati

Punto	Che cosa si richiede	Errore frequente
Informativa sulla protezione dei dati	Comprensibile, completa, con tutti i fornitori impiegati	Fornitori nominati e non più in uso, o viceversa
Responsabile del trattamento	Contratto con ogni fornitore che tratta dati per voi	Manca per hosting, invio newsletter e analisi
Comunicazione all'estero	Verificare l'adeguatezza, altrimenti clausole contrattuali tipo	Servizi statunitensi in uso senza base documentata
Diritto d'accesso	Risposta entro 30 giorni, di norma gratuita	Nessun processo definito, mentre il termine corre lo stesso
Sicurezza dei dati	Misure tecniche e organizzative adeguate	Nessuna documentazione di ciò che è stato fatto
Notifica delle violazioni	Notifica all'IFPDT in caso di rischio elevato	Nessuno sa chi notifica in caso di necessità

Pubblicità via e-mail: una disciplina a sé

In Svizzera la pubblicità via e-mail non è regolata dalla legge sulla protezione dei dati ma dalla legge contro la concorrenza sleale. Tre condizioni devono essere soddisfatte insieme:

Consenso del destinatario, oppure una relazione di clientela esistente con prodotti propri e comparabili.
Indicazione corretta del mittente, con un indirizzo realmente raggiungibile.
Indicazione della possibilità di disiscrizione in ogni messaggio, gratuita e senza registrazione.

Una violazione qui è penalmente rilevante, e anche questa colpisce la persona responsabile. Chi scrive anche a destinatari nell'UE è inoltre soggetto ai requisiti più severi sul consenso dimostrabile: là l'eccezione svizzera per le relazioni di clientela esistenti è formulata in modo più stretto.

Dalla pratica

Il riscontro più frequente in una revisione è sempre lo stesso: l'informativa nomina servizi che in azienda non ci sono più, e non ne nomina altri che sono in uso da tempo. Uno strumento di analisi è stato sostituito, un servizio di newsletter cambiato, una rete di distribuzione introdotta.

Non è un difetto formale: un'informativa che nomina un servizio non usato è sbagliata quanto una che tace un servizio usato. Un appuntamento fisso una volta all'anno in cui si confronta l'elenco dei fornitori con l'informativa elimina di gran lunga il difetto più frequente.

Servizi dagli Stati Uniti e da altri Paesi terzi

È il punto in cui nella pratica ci si inceppa più facilmente, perché riguarda quasi ogni strumento di marketing.

La Svizzera tiene un elenco di Stati con un livello di protezione adeguato. Per gli Stati Uniti esiste dal 2024 un quadro che consente il trasferimento verso destinatari certificati. Due cose vanno verificate:

Il fornitore concreto è certificato? Il quadro non vale in blocco per tutte le imprese statunitensi, ma solo per quelle che si sono fatte certificare. Lo si può verificare nel registro pubblico.
Se non lo è: clausole contrattuali tipo più una valutazione del rischio propria. Le clausole da sole non bastano; serve la valutazione se nel Paese di destinazione una protezione equivalente sia davvero possibile.

Suggerimento Tenete un elenco semplice di tutti i servizi che trattano dati personali: fornitore, finalità, ubicazione dei server, base del trasferimento, data dell'ultima verifica. Questo elenco risponde in pochi minuti alla maggior parte delle domande di una verifica, ed è la base per il registro nel caso ve ne serva uno.

Prompt

Aiutami a verificare le lacune nella nostra documentazione sulla
protezione dei dati. Siamo un'azienda svizzera.

La nostra situazione:
- Collaboratori: [numero]
- Abbiamo clienti nell'UE o ci rivolgiamo a cittadini dell'UE?
  [sì/no]
- Servizi che trattano dati personali: [elenco con finalità e
  ubicazione dei server, per quanto noto]
- Che cosa abbiamo già: [informativa / contratti di
  responsabile / registro / nulla di tutto ciò]

Compiti:
1. Indica per ogni servizio quale base richiede la comunicazione
   all'estero e che cosa dobbiamo avere agli atti.
2. Verifica in base ai nostri dati se dobbiamo tenere un registro
   delle attività di trattamento. Motiva.
3. Indica quali informazioni mancano probabilmente nella nostra
   informativa.
4. Elenca i punti in cui si applica anche il GDPR e in che cosa
   là è più severo.
5. Segnala tutto ciò che deve essere valutato da un
   professionista.

Non inventare articoli di legge né termini. Se non conosci con
certezza un dato, segnalalo come da verificare.

Conclusione

La legge svizzera riveduta è meno severa del GDPR e non è comunque un motivo per rilassarsi, soprattutto perché la responsabilità è personale e perché la maggior parte delle aziende svizzere è comunque soggetta a entrambe le normative.

In pratica ne deriva una raccomandazione semplice: lavorare secondo il criterio più severo, tenere un elenco curato di tutti i fornitori e verificare una volta all'anno se l'informativa descriva ancora ciò che è effettivamente in uso. Questo copre la parte maggiore di ciò che in una verifica salta davvero fuori.

Domande frequenti

Il GDPR vale per le aziende svizzere?

Sì, non appena ci si rivolge in modo mirato a persone nell'UE — per esempio con prezzi in euro, spedizioni nell'Unione o una versione linguistica orientata ai clienti UE — oppure se ne osserva il comportamento. In quel caso valgono insieme la legge svizzera e il GDPR, e nella pratica è più semplice lavorare subito secondo il criterio più severo.

Qual è la differenza più importante tra la legge svizzera riveduta e il GDPR?

Il punto di partenza: il GDPR vieta il trattamento finché non esiste una base giuridica, la legge svizzera lo consente finché non lede illecitamente la personalità. Più rilevanti nella pratica sono altre due differenze: le multe fino a 250.000 franchi si rivolgono alla persona fisica responsabile, e le piccole imprese sono a certe condizioni esentate dal registro dei trattamenti.

Una piccola azienda svizzera ha bisogno di un registro dei trattamenti?

Le aziende con meno di 250 collaboratori sono esentate, purché il trattamento non comporti un rischio elevato e non si trattino su larga scala dati degni di particolare protezione. L'esenzione cade in fretta, per esempio con una profilazione estesa. A prescindere, un elenco dei servizi impiegati è la panoramica più utile che si possa avere in casa.

Si possono usare dalla Svizzera servizi statunitensi?

Sì, a certe condizioni. Va verificato se il fornitore concreto sia certificato secondo il quadro in vigore dal 2024: non vale in blocco per tutte le imprese statunitensi. Se non lo è, servono clausole contrattuali tipo e in più una valutazione propria se nel Paese di destinazione una protezione equivalente sia davvero possibile.

Quali regole valgono in Svizzera per la pubblicità via e-mail?

Non la legge sulla protezione dei dati ma la legge contro la concorrenza sleale. Servono tre cose insieme: consenso o una relazione di clientela esistente con prodotti propri comparabili, un'indicazione del mittente corretta e raggiungibile, e un avviso di disiscrizione gratuito in ogni messaggio. Con destinatari nell'UE si applicano in più i requisiti più severi sul consenso dimostrabile.