Il 1° settembre 2023 è entrata in vigore la nuova Legge federale sulla protezione dei dati. Da allora molte PMI svizzere hanno copiato il banner cookie di un sito europeo, incrociato le dita e sperato di essere a posto. Ma il rapporto tra nLPD e marketing digitale non funziona così: la legge svizzera assomiglia al GDPR solo in superficie, e trattarla come una fotocopia porta a due errori opposti, fare troppo o fare troppo poco.
Fare troppo significa bloccare metà del tracciamento senza che la legge lo chieda, e poi prendere decisioni di budget con dati dimezzati. Fare troppo poco significa esporsi a sanzioni che, a differenza del GDPR, colpiscono le persone fisiche responsabili, non solo l’azienda.
Vediamo cosa cambia davvero, cosa resta uguale e cosa fare in pratica su cookie, pixel e consensi. Una premessa doverosa: questo è un articolo scritto da chi fa marketing, non una consulenza legale. Per i casi delicati serve un avvocato.
Cosa chiede la nLPD a chi raccoglie dati
La legge si applica a qualsiasi azienda che tratta dati di persone in Svizzera, a prescindere dalla dimensione. I pilastri sono tre: trasparenza, cioè dire quali dati raccogli, per quale scopo e con chi li condividi; un’informativa sulla privacy che indichi anche i Paesi verso cui i dati vengono esportati; misure di sicurezza adeguate al rischio. Per il marketing questo tocca ogni pixel, ogni piattaforma pubblicitaria e ogni CRM: i dati che passano da Meta o da Google finiscono negli Stati Uniti, e l’informativa deve dirlo chiaramente.
nLPD e marketing: le differenze vere rispetto al GDPR
Le due leggi condividono l’impianto: principi simili, diritti simili per le persone, stessa attenzione a raccogliere solo i dati necessari. Chi era già in regola con il GDPR parte quindi avvantaggiato. Le differenze operative però esistono, e per chi fa marketing sono soprattutto tre.
Consenso: divieto contro trasparenza
La differenza più grossa. Il GDPR parte dal divieto: non tratti dati personali senza una base giuridica, e per i cookie di marketing quella base è quasi sempre il consenso preventivo. La nLPD parte dal permesso: puoi trattare dati se rispetti i principi della legge e informi le persone in modo chiaro, dando loro la possibilità di opporsi. Il consenso esplicito serve solo in casi specifici, come la profilazione ad alto rischio o i dati degni di particolare protezione.
Sanzioni: la persona, non solo l’azienda
Il GDPR multa le aziende, con importi che possono arrivare a percentuali del fatturato globale. La nLPD prevede multe fino a 250’000 CHF, ma dirette alla persona fisica responsabile della violazione. Cifre più basse sulla carta, incentivo personale molto più concreto: il titolare o il responsabile che decide come trattare i dati risponde in prima persona.
Adempimenti più leggeri
Niente obbligo generalizzato di responsabile della protezione dei dati: nominare un consulente è facoltativo. Il registro dei trattamenti è obbligatorio solo per le aziende con almeno 250 collaboratori, salvo trattamenti a rischio elevato. Le violazioni della sicurezza dei dati vanno notificate all’IFPDT il prima possibile, senza il vincolo rigido delle 72 ore previsto dal GDPR. Per una PMI ticinese la burocrazia è oggettivamente minore.
Cookie, pixel e consenso: cosa fare in pratica
Prima domanda: a chi vendi? Se il tuo pubblico è solo svizzero, la nLPD ti dà più margine del GDPR: serve un’informativa completa e la possibilità concreta di rifiutare il tracciamento, ma in molti scenari puoi tracciare senza consenso preventivo. Se vendi anche in Italia o nel resto dell’UE, come gran parte delle aziende ticinesi, il GDPR si applica ai tuoi utenti europei e il banner con consenso preventivo diventa necessario per loro. Nel dubbio, quasi tutti adottano lo standard più severo per tutti i visitatori.
Seconda domanda: cosa perdi? Ogni persona che rifiuta il consenso sparisce dai report di analytics e delle piattaforme pubblicitarie. Strumenti come il Consent Mode di Google e il tracciamento lato server aiutano a recuperare parte del quadro in modo conforme, ma il risultato non è mai il 100% dei dati. Per questo le decisioni vanno prese su tendenze e confronti tra canali, non su conteggi assoluti: ne parliamo in dettaglio in perché l’attribuzione all’ultimo clic non ti racconta tutta la storia.
Gli errori che vediamo più spesso
- Copiare un banner GDPR senza adattarlo: spesso blocca più del necessario per un pubblico svizzero e regala dati alla concorrenza che non lo fa.
- Ignorare il GDPR quando si vende oltre confine: chi visita il tuo sito dall’Italia è un utente UE a tutti gli effetti.
- Informativa privacy generica, senza i Paesi di esportazione dei dati né l’elenco reale degli strumenti di terze parti in uso.
- Nessuna procedura per le richieste di accesso: la nLPD dà a chiunque il diritto di sapere quali dati hai su di lui, e devi saper rispondere.
- Newsletter inviate a liste vecchie, senza traccia di come e quando è stato raccolto ogni indirizzo.
Il filo comune è sempre lo stesso: banner e informative trattati come adempimenti da copiare da qualche altro sito, invece che come descrizione onesta di quello che il tuo sito fa davvero con i dati. Quando i due piani coincidono, la conformità smette di essere un cantiere aperto e diventa manutenzione ordinaria.
Il lato positivo: dati più puliti
C’è un effetto collaterale che pochi raccontano: mettere in ordine il tracciamento per la nLPD costringe a mappare pixel, tag e flussi di dati. E quasi ogni volta saltano fuori tag duplicati, conversioni contate due volte e strumenti che nessuno usa più. Il risultato è un sistema di misurazione più snello e numeri di cui ci si può fidare.
Su quei numeri poi si costruisce il quadro che interessa davvero all’imprenditore: quanto rende ogni franco investito in marketing. Come passare dai report grezzi a quel quadro lo spieghiamo in come costruire una dashboard con il ROI reale del marketing.
Il passo successivo
Tre verifiche da fare questa settimana: la tua informativa privacy cita i Paesi di esportazione e gli strumenti che usi davvero; il banner riflette il tuo pubblico reale, solo svizzero o anche europeo; sai esattamente quali dati passano ai pixel pubblicitari. Se una delle tre risposte è un no, o se vuoi che tracciamento e misurazione li sistemiamo noi, guarda i nostri servizi di misurazione e growth marketing: l’audit del tracking è il primo passo di ogni collaborazione.
Altri articoli su Tracking e misurazione, oppure torna al diario di bordo.
Giovanni Lorenzi
Founder di Growth Pirates. Dal 2017 costruisce sistemi di acquisizione per brand in Italia e all'estero, con oltre 50.000€ di budget gestito ogni mese.