Serve un banner cookie in Svizzera?
Il team AlpiStats · Pubblicato il · Aggiornato il
Risposta breve: il diritto svizzero non richiede necessariamente un banner di consenso. La Svizzera applica in linea di principio un sistema di opt-out: per i cookie non indispensabili occorre informare i visitatori e permettere loro di rifiutare, in modo visibile fin dalla prima visita (art. 45c LTC). Un consenso preventivo (opt-in) è obbligatorio solo in alcuni casi: dati sensibili, profilazione a rischio elevato, contenuti politici o religiosi, organi federali e visitatori dell'Unione europea. Un sito senza cookie non indispensabili non è tenuto a mostrare un banner in base alla LTC, ma deve comunque avere un'informativa sulla protezione dei dati. Nulla vieta di applicare ovunque la regola più severa, cioè il consenso preventivo per tutti i visitatori: è la scelta di AlpiStats.
Ultima verifica delle fonti: 16 ottobre 2026. Testo aggiornato il 17 ottobre 2026 (regime di AlpiStats). Questo articolo ha scopo informativo; non sostituisce una consulenza legale.
Cosa dice la legge svizzera
Si applicano contemporaneamente due testi:
- L'articolo 45c della legge sulle telecomunicazioni (LTC) riguarda qualsiasi trattamento di dati sul dispositivo di un'altra persona, come l'installazione o la lettura di un cookie. Impone di informare l'utente, di indicare la finalità e di permettergli di rifiutare. L'inosservanza è punibile con una multa.
- La legge sulla protezione dei dati (nLPD), in vigore dal 1° settembre 2023, si applica non appena i cookie servono a trattare dati personali, il che avviene quasi sempre.
L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) ha pubblicato nel gennaio 2025 una guida dedicata ai cookie e alle tecnologie simili, aggiornata il 6 ottobre 2025. Non crea nuovi obblighi, ma dice come l'autorità di vigilanza interpreta la legge. Oggi è il riferimento pratico in Svizzera.
La tabella da ricordare
| Tipo di cookie o di trattamento | Cosa fare in Svizzera |
|---|---|
| Cookie tecnicamente necessari (carrello, login, lingua, memorizzazione della scelta sui cookie, sicurezza, ripartizione del carico) | Nessun consenso. Limitarli allo stretto necessario e menzionarli nell'informativa sulla protezione dei dati. |
| Cookie funzionali di comodità, misurazione dell'audience, pubblicità con profilazione «normale» | Informazione + diritto di rifiuto (opt-out), visibile fin dalla prima visita e facile da esercitare. |
| Profilazione a rischio elevato (combinazione di dati che permette di valutare aspetti essenziali della personalità) | Consenso esplicito (opt-in) prima di qualsiasi installazione. |
| Dati sensibili (salute, religione, opinioni politiche, ecc.) o contenuti politici, sindacali o religiosi | Consenso esplicito (opt-in). |
| Siti degli organi federali | Consenso esplicito anche per una profilazione normale. |
| Visitatori situati nell'Unione europea | Consenso preventivo (opt-in) per qualsiasi cookie non indispensabile, misurazione dell'audience compresa (salvo rigorose esenzioni nazionali). |
Sintesi elaborata sulla base della guida dell'IFPDT (n. 3.5-3.13 e allegato A).
Punto importante: l'IFPDT chiede di presumere un rischio elevato finché il gestore non può escluderlo. Concretamente, gli strumenti pubblicitari che seguono i visitatori da un sito all'altro o incrociano più fonti di dati devono essere trattati con prudenza, con un opt-in.
La misurazione dell'audience richiede un consenso?
In Svizzera, in linea di principio no, ma non è per questo libera.
La guida dell'IFPDT ammette che l'analisi della frequentazione di un sito possa essere giustificata da un interesse preponderante del gestore, a tre condizioni: rendere anonimi i dati non appena la finalità lo consente, trasmettere a terzi solo dati che non permettono di identificare le persone e pubblicare i risultati in una forma non identificante. Se un'analisi resa anonima raggiunge lo stesso scopo, va preferita.
Anche in questo caso, il diritto di rifiuto dell'art. 45c LTC resta obbligatorio non appena lo strumento installa cookie. È per questo che la maggior parte dei siti svizzeri che usano Google Analytics mostra almeno un banner informativo con un pulsante di rifiuto.
Uno strumento di statistica senza cookie e che non legge nulla sul dispositivo del visitatore non rientra nel meccanismo dei cookie dell'art. 45c LTC. La nLPD continua ad applicarsi se tratta dati personali (anche brevemente, come un indirizzo IP): occorre allora menzionarlo nell'informativa sulla protezione dei dati. Vedere nLPD e statistiche del sito web. Questo descrive il diritto svizzero; ogni strumento è libero di richiedere di più, come fa AlpiStats (vedere più avanti).
Come deve essere un banner che rispetta i requisiti?
La guida dell'IFPDT fornisce indicazioni precise. A seconda del caso:
Per un semplice opt-out (il caso più frequente in Svizzera)
- Un'informazione chiara sui cookie utilizzati e sulle loro finalità, accessibile fin dalla prima visita e in quelle successive.
- Un modo per rifiutare che si eserciti con pochi clic, senza percorsi dissuasivi.
- Un rifiuto che blocchi effettivamente i cookie interessati (da verificare!).
- Un link all'informativa sulla protezione dei dati.
Un banner discreto a piè di pagina è generalmente sufficiente. L'IFPDT raccomanda una finestra più visibile (pop-up) per i trattamenti di maggiore intensità.
Per un opt-in (consenso esplicito)
- Nessun cookie soggetto a consenso prima dell'azione dell'utente: il blocco deve essere tecnico, non solo mostrato.
- Un atto positivo: un clic chiaro. Il silenzio o la prosecuzione della navigazione non valgono come consenso.
- Una scelta per finalità: l'IFPDT ritiene che una finestra che propone solo «accetta tutto» o «rifiuta tutto» non dia una dichiarazione di volontà sufficientemente chiara.
- Nessuna casella preselezionata difficile da deselezionare: deselezionare non deve essere più complicato che selezionare.
- Nessuna manipolazione (dark patterns, nudging): un pulsante «rifiuta» nascosto, in grigio o sepolto in un sottomenu può rendere nullo il consenso.
- Una revoca semplice quanto il consenso: un link permanente (ad esempio a piè di pagina) per modificare la propria scelta.
Gli errori più comuni sui siti svizzeri
- Copiare un banner europeo senza adattarlo. È spesso più vincolante di quanto richieda il diritto svizzero, e fa perdere dati. È una scelta possibile (vedere più avanti), a condizione di farla con cognizione di causa.
- Mostrare un banner che non blocca nulla. I cookie vengono installati fin dall'arrivo sulla pagina, qualunque sia la scelta. È il difetto più frequente, e il più facile da constatare.
- Dimenticare l'informativa sulla protezione dei dati. Il banner non la sostituisce: la nLPD esige un'informazione completa (identità del responsabile, finalità, destinatari, paesi esteri interessati).
- Non tenere conto dei visitatori europei. Un sito che vende o comunica verso la Francia, la Germania o l'Italia deve applicare a questi visitatori le regole dell'UE.
- Non rivedere mai l'elenco dei cookie. Un nuovo plugin, un video incorporato o un pixel pubblicitario aggiungono cookie senza che nessuno se ne accorga.
Si può rinunciare del tutto a un banner?
Dal solo punto di vista della LTC, sì: se il Suo sito utilizza solo cookie tecnicamente necessari, o nessun cookie, la legge non impone né un'informazione specifica né un diritto di rifiuto ai sensi dell'art. 45c. È il caso di un sito vetrina che:
- non usa alcuno strumento di misurazione dell'audience che installa cookie;
- non integra né pixel pubblicitari né pulsanti dei social network che installano cookie di terzi;
- integra i video in modalità «due clic» o in modalità senza cookie.
Un'informativa sulla protezione dei dati resta necessaria in ogni caso (nLPD). E non appena si vuole misurare il proprio pubblico, la questione del consenso si ripresenta, a seconda dello strumento scelto e del pubblico a cui ci si rivolge: il diritto svizzero fissa un minimo, l'UE richiede il consenso preventivo e uno strumento può decidere di imporsi ovunque la regola più severa.
È la scelta di AlpiStats, lo strumento di statistica svizzero: applica la regola più severa a tutti i visitatori, in Svizzera come nell'UE, e misura l'audience solo dopo il consenso del visitatore, in entrambe le modalità. Il banner AlpiStats propone due pulsanti identici, «Accetta» e «Rifiuta», e un badge permanente permette di cambiare idea; un sito che ha già un proprio banner può collegarlo ad AlpiStats. Se il visitatore rifiuta, non viene effettuata alcuna misurazione dell'audience da parte di AlpiStats, senza ripiegare su un conteggio più semplice. La modalità Essenziale misura l'audience (pagine, provenienza, dispositivo, paese) senza identificatore persistente di audience nel browser. La modalità Completa aggiunge il riconoscimento dei visitatori che tornano, grazie a un identificatore casuale, senza cookie, conservato nel browser per sei mesi al massimo; le visite dettagliate sono allora pseudonimizzate. Revocare il consenso tramite il badge interrompe la misurazione, cancella l'identificatore ed elimina i dati pseudonimizzati riconducibili al visitatore. La contropartita è assunta: le statistiche riguardano solo i visitatori che hanno accettato e non sono esaustive. La scelta del visitatore vale sei mesi; i dati dettagliati sono conservati al massimo sei mesi, e solo totali mensili e giornalieri realmente anonimi sono conservati 25 mesi. I dati di frequentazione sono ospitati e trattati in Svizzera. Saperne di più sulle statistiche senza cookie.
Domande frequenti
Il banner cookie è obbligatorio in Svizzera?
No, non in quanto tale. Ciò che è obbligatorio è informare e permettere di rifiutare i cookie non indispensabili. Un banner è semplicemente il mezzo più comune per farlo.
La Svizzera è in opt-in o in opt-out?
In opt-out per la maggior parte dei cookie. L'opt-in si impone per i dati sensibili, la profilazione a rischio elevato, alcuni contenuti e gli organi federali.
Serve un pulsante «Rifiuta» sul banner?
In opt-out serve un modo semplice e visibile per rifiutare; un pulsante è la soluzione più chiara. In opt-in il rifiuto deve essere facile quanto l'accettazione.
I cookie di Google Analytics sono «necessari»?
No. Sono cookie di misurazione dell'audience. In Svizzera richiedono come minimo un'informazione e un diritto di rifiuto.
Quale multa in caso di inosservanza?
L'art. 45c LTC è assistito da una multa. La nLPD prevede inoltre multe fino a CHF 250'000 contro le persone fisiche responsabili, in particolare in caso di violazione intenzionale del dovere di informare.