Sito svizzero e visitatori europei: nLPD, RGPD o entrambi?
Il team AlpiStats · Pubblicato il · Aggiornato il
Risposta breve: spesso entrambi. Un'impresa svizzera resta soggetta alla nLPD, ma il RGPD (in inglese GDPR) si applica anche a lei se offre beni o servizi a persone nell'UE, o se ne monitora il comportamento online (art. 3 par. 2 RGPD). Per questi visitatori, le regole europee sui cookie esigono in linea di principio un consenso preventivo per qualsiasi cookie non indispensabile, misurazione dell'audience compresa, mentre la Svizzera si accontenta di un diritto di rifiuto. La soluzione più semplice: applicare le regole europee a tutti i visitatori, con un proprio banner o con uno strumento che lo fa fin dall'inizio (al prezzo di statistiche limitate ai visitatori che accettano).
Ultima verifica delle fonti: 16 ottobre 2026. Testo aggiornato il 17 ottobre 2026 (regime di AlpiStats). Questo articolo ha scopo informativo; non sostituisce una consulenza legale.
Quando il RGPD si applica a un'impresa svizzera?
Il regolamento generale sulla protezione dei dati (RGPD) si applica anzitutto alle organizzazioni stabilite nell'UE. Un'impresa priva di stabilimento nell'UE vi è soggetta anche in due casi (art. 3 par. 2 RGPD):
- Offre beni o servizi a persone che si trovano nell'UE, a titolo gratuito o oneroso.
- Monitora il comportamento di queste persone, nella misura in cui tale comportamento ha luogo nell'UE.
Il criterio dell'offerta mirata
Il semplice fatto che il Suo sito sia accessibile da Lione o da Monaco non basta. Ciò che conta, secondo le linee guida del Comitato europeo per la protezione dei dati (CEPD), è l'intenzione di rivolgersi a persone nell'UE. Gli indizi tipici:
- prezzi indicati in euro, consegna o prestazione in un paese dell'UE;
- versione linguistica o nome di dominio destinati a un paese dell'UE (
.fr,.de); - campagne pubblicitarie rivolte a paesi dell'UE;
- menzione di clienti o di numeri di telefono nell'UE.
Una PMI vodese che consegna in Francia, un hotel vallesano che fa pubblicità in Germania o un editore di software ginevrino che vende in euro sono tipicamente interessati. Un artigiano che lavora solo nella Svizzera romanda, in generale no.
Il criterio del monitoraggio del comportamento
Il CEPD ritiene che il tracciamento online di una persona, in particolare tramite cookie o tecniche simili, per analizzarne o prevederne il comportamento, possa costituire un «monitoraggio del comportamento». Gli strumenti pubblicitari e di profilazione sono chiaramente contemplati. Per una semplice misurazione dell'audience aggregata, la questione è più dibattuta, ma il rischio non è nullo non appena lo strumento riconosce i visitatori da una visita all'altra.
Cosa cambia concretamente
1. I cookie: consenso preventivo per i visitatori dell'UE
Nell'UE i cookie rientrano nella direttiva «ePrivacy», recepita in ciascun paese (in Francia, l'articolo 82 della legge Informatique et Libertés). Regola generale: qualsiasi cookie non indispensabile esige un consenso preventivo, dato con un atto positivo, con un rifiuto semplice quanto l'accettazione.
La misurazione dell'audience non sfugge a questa regola, salvo ristrette esenzioni nazionali. La CNIL, ad esempio, dispensa dal consenso gli strumenti di misurazione dell'audience che rispettano condizioni rigorose: finalità limitata alla misurazione del sito stesso, dati usati solo per produrre statistiche anonime, nessun incrocio con altri trattamenti, nessun tracciamento su altri siti, durata di vita dei traccianti e durata di conservazione limitate. Google Analytics, nella sua configurazione standard, non soddisfa queste condizioni.
| Visitatori in Svizzera | Visitatori nell'UE | |
|---|---|---|
| Cookie tecnicamente necessari | Nessun consenso | Nessun consenso |
| Misurazione dell'audience con cookie | Informazione + diritto di rifiuto | Consenso preventivo (salvo rigorosa esenzione nazionale) |
| Pubblicità, profilazione | Opt-out o opt-in a seconda del rischio | Consenso preventivo |
| Strumento senza cookie né accesso al dispositivo | Informazione nell'informativa sulla protezione dei dati | Nessuna regola sui cookie; il RGPD si applica se ci sono dati personali |
2. L'informativa sulla protezione dei dati
Il RGPD esige un'informazione più dettagliata della nLPD, in particolare la base giuridica di ciascun trattamento (consenso, legittimo interesse, contratto…) e la durata di conservazione. Un'informativa redatta per soddisfare il RGPD copre in genere anche la nLPD; il contrario non è vero.
3. Un rappresentante nell'UE
Un'impresa svizzera soggetta al RGPD in virtù dell'articolo 3 par. 2 deve in linea di principio designare un rappresentante stabilito nell'UE (art. 27 RGPD). Esiste un'eccezione per i trattamenti occasionali, che non riguardano su larga scala dati sensibili e non presentano rischi per le persone. Molte PMI svizzere ignorano questo obbligo.
4. I trasferimenti di dati verso la Svizzera
Buona notizia: la Commissione europea riconosce la Svizzera come paese che offre un livello di protezione adeguato, e ha confermato questa decisione nel gennaio 2024. I dati dei visitatori europei possono quindi essere ospitati in Svizzera senza garanzie supplementari.
Tre modi per organizzarsi
Opzione 1: un banner diverso a seconda del paese del visitatore.
Le piattaforme di gestione del consenso (CMP) sanno mostrare un opt-out in Svizzera e un opt-in nell'UE. È la soluzione che preserva più dati, ma è più complessa da configurare e da testare, e la geolocalizzazione non è sempre affidabile (VPN, frontalieri).
Opzione 2: applicare le regole europee a tutti.
Un unico banner opt-in per tutti i visitatori. Semplice e prudente, ma si perde una parte delle statistiche dei visitatori svizzeri, che non avevano bisogno di acconsentire.
Opzione 3: scegliere uno strumento che applica fin dall'inizio la regola più severa a tutti.
Uno strumento di misurazione che chiede l'accordo di ogni visitatore prima di qualsiasi misurazione, qualunque sia il suo paese, evita di gestire due regimi o di indovinare dove si trovano i visitatori, e permette di descrivere un solo funzionamento nell'informativa sulla protezione dei dati. Lo svantaggio è assunto: le statistiche riguardano solo i visitatori che accettano e non sono mai esaustive. Da abbinare a video in modalità «due clic» e all'assenza di pixel pubblicitari sulle pagine correnti.
Cosa potrebbe cambiare sul versante UE
Nel novembre 2025 la Commissione europea ha proposto, in un pacchetto chiamato Digital Omnibus, di integrare le regole sui cookie nel RGPD. Il testo prevede in particolare un'esenzione dal consenso per una misurazione dell'audience aggregata, effettuata dal gestore per il proprio servizio e a uso interno. Gli strumenti che seguono i visitatori attraverso più servizi o clienti resterebbero soggetti al consenso. Si tratta di una proposta, ancora in negoziazione: nulla cambia finché non sarà adottata e non sarà entrata in applicazione.
Come AlpiStats gestisce questo caso
AlpiStats, lo strumento di statistica svizzero, applica la regola più severa a tutti i visitatori, in Svizzera come nell'UE: nessuna differenza di trattamento a seconda del paese, nessun rilevamento geografico. La misurazione dell'audience avviene solo dopo il consenso del visitatore, in entrambe le modalità, con il banner AlpiStats (pulsanti «Accetta» e «Rifiuta» identici, badge permanente per cambiare idea) o con un proprio banner collegato ad AlpiStats. Se il visitatore rifiuta, non viene effettuata alcuna misurazione dell'audience da parte di AlpiStats, e non c'è alcun ripiego su un conteggio più semplice. La modalità Essenziale misura l'audience (pagine, provenienza, dispositivo, paese) senza identificatore persistente di audience nel browser. La modalità Completa aggiunge il riconoscimento dei visitatori che tornano, grazie a un identificatore casuale, senza cookie, conservato nel browser per sei mesi al massimo; le visite dettagliate sono allora pseudonimizzate. Il visitatore può revocare il proprio consenso in qualsiasi momento tramite il badge: la misurazione si interrompe, l'identificatore viene cancellato e i dati pseudonimizzati che lo riguardano vengono eliminati. Le statistiche riguardano solo i visitatori che hanno accettato e non sono esaustive. I dati di frequentazione sono ospitati e trattati in Svizzera. Scoprire AlpiStats.
Domande frequenti
La mia impresa ha sede in Svizzera: il RGPD può davvero applicarsi a me?
Sì, se si rivolge a persone nell'UE (offerta di beni o servizi) o ne monitora il comportamento online. La sede dell'impresa non basta a escluderlo.
Basta avere qualche visitatore francese per essere soggetti al RGPD?
No. Visite occasionali su un sito che non si rivolge all'UE non bastano. Ciò che conta è l'intenzione di rivolgersi a persone nell'UE.
Serve il consenso dei visitatori europei per Google Analytics?
Sì, in linea di principio: i suoi cookie non sono indispensabili e la sua configurazione standard non soddisfa le condizioni delle esenzioni nazionali.
Posso ospitare in Svizzera i dati dei visitatori europei?
Sì. L'UE riconosce la Svizzera come paese adeguato; non è necessario alcun meccanismo di trasferimento supplementare.
Quale legge è più severa?
Per i cookie e l'informazione delle persone, il RGPD e le regole ePrivacy sono più esigenti del diritto svizzero. Rispettare il RGPD copre in genere anche la nLPD su questi punti.
Fonti
- Regolamento (UE) 2016/679 (RGPD), art. 3 e 27
- CEPD, Linee guida 3/2018 sull'ambito di applicazione territoriale del RGPD
- Ufficio federale di giustizia, Adeguatezza della Svizzera riconosciuta dall'UE
- CNIL, Esenzione dal consenso per la misurazione dell'audience (esempio di configurazione)
- Taylor Wessing, The Digital Omnibus: Cookies
- IFPDT, Guida sui trattamenti di dati mediante cookie e tecnologie simili, versione 1.1 del 6 ottobre 2025 (versione francese)
- Legge federale sulla protezione dei dati (LPD), RS 235.1