nLPD e statistiche del sito web
Il team AlpiStats · Pubblicato il · Aggiornato il
Risposta breve: non appena il Suo strumento di statistica tratta indirizzi IP, identificatori di cookie o «impronte» del browser, tratta dati personali e si applica la nLPD. Occorre allora: raccogliere il minimo necessario, informare i visitatori nell'informativa sulla protezione dei dati, stipulare un contratto di trattamento per conto terzi con il fornitore, regolare ogni trasferimento all'estero e garantire la sicurezza dei dati. Più le statistiche si avvicinano all'anonimato, più questi obblighi si alleggeriscono.
Ultima verifica delle fonti: 16 ottobre 2026. Testo aggiornato il 17 ottobre 2026 (regime di AlpiStats). Questo articolo ha scopo informativo; non sostituisce una consulenza legale.
La nLPD in due frasi
La legge federale sulla protezione dei dati riveduta (LPD, spesso chiamata «nLPD») è in vigore dal 1° settembre 2023. Si applica alle imprese e ai privati che trattano dati di persone fisiche, anche quando il trattamento avviene all'estero ma produce effetti in Svizzera.
Per un sito web, la questione non è dunque «la nLPD si applica?», ma «le mie statistiche trattano dati personali, e quali?».
Le statistiche di visita sono dati personali?
Un dato personale è un'informazione che si riferisce a una persona identificata o identificabile (art. 5 nLPD). La cifra «1'240 visite a settembre» non lo è. Ma per produrre questa cifra, la maggior parte degli strumenti manipola dati che spesso lo sono:
| Dato | Stato di regola |
|---|---|
| Indirizzo IP completo | Dato personale non appena il gestore o un terzo può ragionevolmente risalire alla persona. Per prudenza, trattarlo come tale. |
Identificatore di cookie persistente (es. _ga) | Dato personale: riconosce lo stesso browser da una visita all'altra. |
| Impronta del browser (fingerprinting) | Dato personale, e tecnica ritenuta intrusiva. |
| URL visitati contenenti un'e-mail, un nome o un numero cliente | Dato personale, spesso raccolto senza che il gestore se ne renda conto. |
| Contatori aggregati (pagine visualizzate, paese, tipo di dispositivo) senza identificatore | In linea di principio anonimi. |
Il criterio decisivo è la possibilità di re-identificare una persona, tenuto conto dei mezzi ragionevolmente disponibili. Un dato semplicemente pseudonimizzato (un IP sostituito da un codice costante, ad esempio) resta un dato personale. Un dato realmente anonimizzato esce dal campo di applicazione della legge.
I sette obblighi da verificare
1. Proporzionalità: raccogliere solo ciò che serve
Il trattamento deve essere necessario allo scopo perseguito (art. 6 nLPD). Se ha bisogno di sapere quali pagine vengono lette e da dove arrivano i visitatori, seguire ogni persona per due anni non è necessario. La guida dell'IFPDT sui cookie lo formula così: se un'analisi resa anonima raggiunge lo stesso obiettivo, è quella che occorre scegliere.
2. Protezione dei dati per impostazione predefinita
L'articolo 7 nLPD impone impostazioni predefinite il più possibile rispettose della privacy. Per le statistiche: anonimizzazione dell'IP attivata, conservazione breve, nessuna funzione pubblicitaria o di incrocio attivata senza motivo.
3. Trasparenza: l'informativa sulla protezione dei dati
Il dovere di informare (art. 19 nLPD) esige come minimo di indicare:
- l'identità e i dati di contatto del responsabile del sito;
- la finalità del trattamento (qui: misurazione dell'audience);
- i destinatari o le categorie di destinatari (il fornitore dello strumento);
- se i dati partono per l'estero: il paese e la garanzia utilizzata.
Una violazione intenzionale di questo dovere è punibile con una multa fino a CHF 250'000 per la persona fisica responsabile (art. 60 nLPD).
4. Trattamento per conto terzi: un contratto con il fornitore
Il fornitore dello strumento di statistica è in genere un responsabile del trattamento (trattamento per conto terzi): tratta i dati per Suo conto (art. 9 nLPD). Occorre avere un contratto (spesso chiamato DPA, Data Processing Agreement) e assicurarsi che garantisca la sicurezza dei dati. Affidare dati a un responsabile del trattamento senza rispettare queste condizioni è anch'esso un reato (art. 61 nLPD).
Attenzione: se il fornitore utilizza i dati anche per scopi propri (miglioramento dei suoi prodotti pubblicitari, ad esempio), non è più un semplice responsabile del trattamento, e la Sua informazione deve rifletterlo.
5. Trasferimenti all'estero
Se i dati sono memorizzati o consultabili fuori dalla Svizzera, la comunicazione deve fondarsi su una base legale: un paese riconosciuto come adeguato dal Consiglio federale (ne fanno parte gli Stati dell'UE, così come le imprese statunitensi certificate nell'ambito dello Swiss-U.S. Data Privacy Framework dal 15 settembre 2024), oppure garanzie come le clausole contrattuali standard (art. 16 e 17 nLPD).
Un hosting in Svizzera, presso un fornitore svizzero, elimina questa questione.
6. Sicurezza dei dati
I dati devono essere protetti contro la perdita, l'accesso non autorizzato e la modifica (art. 8 nLPD): cifratura degli scambi, gestione degli accessi, backup. Le violazioni della sicurezza dei dati che presentano un rischio elevato devono essere notificate all'IFPDT (art. 24 nLPD).
7. Registro delle attività di trattamento
Ogni impresa deve in linea di principio tenere un registro dei propri trattamenti (art. 12 nLPD). Le imprese con meno di 250 collaboratori ne sono dispensate, salvo se trattano dati sensibili su larga scala o praticano una profilazione a rischio elevato (art. 24 dell'ordinanza sulla protezione dei dati). Una misurazione dell'audience classica non rientra in queste eccezioni.
Il caso particolare dei cookie
Se il Suo strumento installa cookie, alla nLPD si aggiunge una regola supplementare: l'articolo 45c della legge sulle telecomunicazioni impone di informare e di permettere di rifiutare. L'IFPDT ammette che la misurazione dell'audience possa essere giustificata da un interesse preponderante del gestore, a condizione di rendere anonimi i dati il prima possibile e di pubblicare solo risultati non identificanti, ma il diritto di rifiuto resta dovuto. I dettagli sono nel nostro articolo Serve un banner cookie in Svizzera?.
La trappola che quasi nessuno vede: gli URL
Gli strumenti di statistica registrano l'indirizzo di ogni pagina visualizzata. Ora, molti URL contengono dati personali senza che nessuno lo abbia voluto:
…/confirmation?email=marie.dupont@exemple.ch…/reset-password?token=8f3a……/mon-compte?client=104587
Queste informazioni si ritrovano poi nei report, presso il fornitore, a volte all'estero, e per tutta la durata di conservazione. È un difetto frequente dopo l'installazione di un modulo, di un negozio online o di un sistema di prenotazione. Verifichi i Suoi report sulle pagine e preferisca uno strumento che ripulisce gli URL prima di registrarli.
Checklist nLPD per le Sue statistiche
- So quali dati il mio strumento raccoglie effettivamente (IP, cookie, identificatori, URL completi).
- L'IP è anonimizzato o non viene conservato.
- La durata di conservazione è limitata alla necessità reale.
- Le funzioni pubblicitarie, di incrocio e di tracciamento tra siti sono disattivate se non le uso.
- La mia informativa sulla protezione dei dati nomina lo strumento, la sua finalità, il fornitore e il paese di hosting.
- Ho un contratto di trattamento per conto terzi (DPA) con il fornitore.
- Se i dati lasciano la Svizzera, conosco la garanzia utilizzata.
- Se lo strumento installa cookie, i visitatori possono rifiutarli facilmente.
- I miei URL non contengono e-mail, token o numeri cliente, oppure lo strumento li rimuove.
- Se il mio sito si rivolge anche all'UE, ho verificato le regole europee (vedere Sito svizzero e visitatori europei).
Come semplificare la conformità
Più uno strumento si avvicina all'anonimato, più l'elenco qui sopra si accorcia. Uno strumento senza cookie, che non conserva gli indirizzi IP, non segue i visitatori da un giorno all'altro e ospita i dati in Svizzera, evita sia la questione dei cookie sia quella dei trasferimenti all'estero. Restano una menzione nell'informativa sulla protezione dei dati e un contratto di trattamento per conto terzi.
È la base di AlpiStats, che va oltre il diritto svizzero: lo strumento applica la regola più severa a tutti i visitatori, in Svizzera come nell'UE, e misura l'audience solo dopo il consenso del visitatore, in entrambe le modalità. Se il visitatore rifiuta, non viene effettuata alcuna misurazione dell'audience da parte di AlpiStats, senza ripiegare su un conteggio più semplice. La modalità Essenziale misura l'audience (pagine, provenienza, dispositivo, paese) senza identificatore persistente di audience nel browser; la modalità Completa aggiunge il riconoscimento dei visitatori che tornano, grazie a un identificatore casuale, senza cookie, conservato nel browser per sei mesi al massimo, con visite dettagliate pseudonimizzate. Il visitatore può revocare il proprio consenso in qualsiasi momento tramite un badge permanente: la misurazione si interrompe, l'identificatore viene cancellato e i dati pseudonimizzati che lo riguardano vengono eliminati. La scelta del visitatore vale sei mesi, i dati dettagliati sono conservati al massimo sei mesi, e solo totali mensili e giornalieri realmente anonimi sono conservati 25 mesi. Le statistiche riguardano solo i visitatori che hanno accettato e non sono esaustive. I dati di frequentazione sono ospitati e trattati in Svizzera presso Infomaniak, gli URL vengono ripuliti da e-mail, numeri e token prima della registrazione, e un contratto di trattamento per conto terzi e l'elenco dei responsabili del trattamento sono pubblici. Vedere come AlpiStats tratta i dati dei visitatori.
Domande frequenti
Un indirizzo IP è un dato personale in Svizzera?
Il più delle volte sì, perché può permettere di risalire a una persona con l'aiuto di terzi (provider di accesso). Per prudenza, va trattato come tale.
Le statistiche anonime sono soggette alla nLPD?
No, i dati realmente anonimi non sono dati personali. Ma il trattamento che precede l'anonimizzazione (la lettura dell'IP, ad esempio) può essere soggetto alla legge.
Devo menzionare il mio strumento di statistica nell'informativa sulla protezione dei dati?
Sì non appena tratta dati personali, anche brevemente. È anche una buona pratica in ogni caso, per trasparenza.
La nLPD si applica a un piccolo sito vetrina?
Sì. La legge non prevede eccezioni in base alle dimensioni del sito. Solo il registro dei trattamenti è alleggerito per le imprese con meno di 250 collaboratori.
Chi è responsabile se il mio fornitore di statistiche non rispetta la legge?
Lei resta responsabile del trattamento: è Lei a scegliere lo strumento e a decidere di utilizzarlo. Da qui l'importanza del contratto di trattamento per conto terzi e della scelta del fornitore.
Fonti
- Legge federale sulla protezione dei dati (LPD), RS 235.1
- Ordinanza sulla protezione dei dati (OPDa), RS 235.11
- IFPDT, Guida sui trattamenti di dati mediante cookie e tecnologie simili, versione 1.1 del 6 ottobre 2025 (versione francese)
- Consiglio federale, comunicato del 14 agosto 2024 sullo Swiss-U.S. Data Privacy Framework
- Legge sulle telecomunicazioni (LTC), RS 784.10