Rendere il sito conforme alla protezione dei dati: nLPD e GDPR per le PMI

Da quando è entrata in vigore la Legge sulla protezione dei dati riveduta (nLPD), presso molte PMI emerge la stessa domanda: devo ora cambiare qualcosa nel mio sito web? La risposta breve è quasi sempre sì, ma per fortuna non è un'impresa impossibile. Nella stragrande maggioranza dei casi si tratta di poche cose concrete e gestibili. In questo articolo Le spiego senza linguaggio da giuristi cosa significa la nLPD per il Suo sito web e come renderlo a norma passo dopo passo.

Prima di tutto, per chiarezza: sono uno sviluppatore web, non un avvocato. Quello che legge qui è esperienza pratica ricavata da veri progetti di PMI, non consulenza legale. Nei casi delicati dovrebbe consultare uno specialista, ma per la maggior parte dei piccoli siti aziendali bastano buon senso e una buona checklist.

nLPD e GDPR, cosa vale in realtà per Lei?

Due termini circolano e creano confusione. La nLPD è la legge svizzera sulla protezione dei dati, in vigore da settembre 2023. Il GDPR è la controparte europea. La buona notizia: i due si assomigliano molto. Chi rispetta la nLPD è di solito anche vicino al GDPR.

E come PMI svizzera Le serve davvero il GDPR? Non appena si rivolge o serve regolarmente clienti nell'UE, ad esempio con un negozio online che spedisce in Germania, sì. Se il Suo sito è rivolto esclusivamente alla Svizzera, in primo piano c'è la nLPD. In pratica io integro entrambi fin dall'inizio, perché lo sforzo è minimo e così Lei è al sicuro.

L'informativa sulla privacy: il Suo documento più importante

Il cuore è l'informativa sulla privacy. Non è opzionale, ma obbligatoria, e per giunta ben individuabile nel footer, collegata da ogni pagina. In essa spiega in un linguaggio comprensibile quali dati raccoglie e per quale scopo.

Un'informativa solida risponde tipicamente a:

• Chi è responsabile? Nome, azienda e un indirizzo di contatto.
• Quali dati vengono raccolti? Ad esempio tramite il modulo di contatto, i cookie o i log del server.
• Per quale scopo e per quanto tempo? La finalità e per quanto conserva i dati.
• Quali servizi sono in gioco? Google Analytics, font, mappe, strumenti per newsletter.
• Quali diritti hanno i visitatori? Informazione, rettifica e cancellazione dei loro dati.

Non deve formularla da solo. Esistono generatori seri, e io aiuto i miei clienti a redigere un'informativa adeguata, che corrisponda ai servizi effettivamente utilizzati. L'importante è solo: deve essere onesta. Un'informativa che elenca servizi che Lei non usa affatto, o al contrario ne omette alcuni, è peggio di nessuna informativa.

Cookie e il banner: meno è meglio

I banner dei cookie sono ciò che viene in mente per primo alla maggior parte, e ciò che più spesso si fa in modo sbagliato. Il punto centrale: può impostare cookie di tracciamento, ad esempio di Google Analytics, solo dopo che il visitatore ha acconsentito. Un banner che attiva già tutto al caricamento non Le serve a nulla.

Il mio consiglio alle PMI: mantenga tutto snello. Molti piccoli siti aziendali non hanno affatto bisogno di un banner invadente, se si rinuncia a tracciamenti superflui. I cookie tecnicamente necessari, ad esempio per un modulo di contatto, non sono problematici. Solo quando si aggiungono servizi di statistica o marketing serve il consenso. Spesso la soluzione più semplice è lavorare con pochi dati, invece di misurare ogni clic.

Modulo di contatto e servizi esterni

Il modulo di contatto è, in quasi ogni sito di PMI, il canale di dati centrale. Ecco due cose che spesso vengono trascurate:

• Crittografia: il Suo sito deve funzionare tramite HTTPS, affinché le immissioni siano trasmesse in modo sicuro. Oggi è standard, ma lo verifichi.
• Servizi esterni: i Google Fonts, le mappe o i video incorporati caricano spesso dati da server esterni. Qui aiuta integrare i font localmente e caricare le mappe solo al clic.

Questi dettagli non saltano all'occhio dei visitatori, ma fanno la differenza tra un sito che «in qualche modo funziona» e uno costruito in modo pulito. Come un sito tecnicamente pulito diventi anche più veloce, lo legge in altri articoli.

La Sua breve checklist

Se porta con sé solo tre cose, siano queste:

• Un'informativa sulla privacy onesta e ben collegata nel footer.
• Tracciamento solo dopo il consenso, oppure rinunciarvi del tutto.
• HTTPS attivo e servizi esterni utilizzati con consapevolezza.

Questo copre la maggior parte per la stragrande maggioranza dei piccoli siti aziendali. Non si tratta di essere perfetti, ma responsabili, e i Suoi visitatori se ne accorgono.

Meglio partire puliti che correggere dopo

La protezione dei dati sembra burocrazia, ma in fondo è una questione di correttezza: Lei tratta con cura i dati dei Suoi clienti. Chi lo considera fin dall'inizio si risparmia rappezzi successivi e appare oltretutto più affidabile. Un sito che dice apertamente cosa fa con i dati crea fiducia, e la fiducia vende.

Se non è sicuro se il Suo sito soddisfi la nLPD, ci do volentieri un'occhiata senza impegno. Mi contatti semplicemente tramite il modulo di contatto, e affrontiamo i punti insieme. Altri consigli su un buon sito per PMI li trova in altri articoli.