Obblighi nell'online shop svizzero: Impressum, protezione dei dati e processo d'ordine

Quando scatta l'obbligo dell'Impressum – e quando no

La Svizzera non conosce un obbligo generale di Impressum per tutti i siti web. Non esiste né una legge sui servizi della società dell'informazione né una norma che imponga a ogni sito web l'identificazione del fornitore. Pagine puramente informative, portfolio o blog senza offerta commerciale non necessitano di un Impressum.

Non appena vengono offerte merci, opere o prestazioni nel commercio elettronico, entra in gioco l'art. 3 cpv. 1 lett. s n. 1 UFG (Legge federale contro la concorrenza sleale). Agisce in modo sleale chi formula tali offerte senza fornire indicazioni chiare e complete sull'identità e sull'indirizzo di contatto, inclusa l'indirizzo e-mail.

Il concetto di commercio elettronico è ampio. Comprende non solo i classici online shop, ma anche la maggior parte delle app, sistemi di prenotazione, fornitori di servizi cloud, provider di hosting, media online e piattaforme social. Anche la presenza sui social media di influencer che si finanziano tramite content marketing e pubblicità può rientrarvi.

Se un'offerta è gratuita o meno non ha importanza. Decisivo è se viene esercitata un'attività commerciale o professionale. Sono escluse le offerte puramente ideali, private o scientifiche, così come blog, piattaforme social e informative senza offerte commerciali.

Basta già un banner pubblicitario su un sito web affinché questo non sia più considerato puramente privato. Le associazioni non sono esentate solo perché non possono perseguire scopi di lucro. Non appena offrono prodotti o servizi tramite un sito web, operano nel commercio elettronico.

Per le imprese mediali vale un obbligo di Impressum speciale: ai sensi dell'art. 322 cpv. 2 CP (Codice penale), giornali e riviste devono indicare in un Impressum la sede dell'impresa mediatica, partecipazioni significative in altre imprese nonché il redattore responsabile.

Queste indicazioni sono richieste dalla legge – e queste no

Sono obbligatoriamente richieste indicazioni chiare e complete sull'identità e sull'indirizzo di contatto, inclusa l'indirizzo e-mail: nome o ditta, indirizzo postale e indirizzo e-mail. Il testo di legge non menziona altro. Il numero di telefono non è prescritto – viene citato solo l'indirizzo di posta elettronica –, tuttavia il portale PMI della SECO lo raccomanda comunque.

Nel caso di una ditta individuale, la ragione sociale deve contenere il cognome. Chi non dispone di un domicilio commerciale separato utilizza l'indirizzo privato come indirizzo di contatto.

Impressum e informativa sulla protezione dei dati sono due documenti distinti con scopi diversi e devono essere pubblicati separatamente. L'Impressum, chiamato anche identificazione del fornitore, informa il visitatore su chi è responsabile del contenuto del sito web e come questa persona può essere contattata.

L'informativa sulla protezione dei dati chiarisce come il responsabile tratta i dati personali. Chi pubblica solo uno dei due documenti non adempie all'altro obbligo rispettivo.

Quattro obblighi nel processo d'ordine, non solo uno

La stessa disposizione dell'UFG esige complessivamente quattro elementi: oltre all'identità e all'indirizzo di contatto, indicazioni sul procedimento d'ordine, la possibilità di correggere errori di inserimento e una conferma d'ordine immediata. Le indicazioni sul fornitore sono quindi solo uno dei quattro obblighi.

Per la progettazione del checkout questo significa: lo shop deve rendere riconoscibile lo svolgimento dell'ordine. La clientela deve sapere quali passaggi compie e quando invia l'ordine in modo vincolante.

Prima dell'invio deve poter verificare e correggere i propri inserimenti. Un checkout che dopo il clic su «Ordinare» non permette di tornare ai dati di indirizzo o ai dati di pagamento non soddisfa questo requisito.

Dopo il completamento, l'ordine deve essere confermato immediatamente, solitamente via e-mail all'indirizzo indicato.

Il corretto processo d'ordine nell'online shop svizzero

L'informativa sulla protezione dei dati secondo la LPD riveduta

Dal 1° settembre 2023 è in vigore la Legge federale sulla protezione dei dati (LPD) riveduta. L'art. 19 cpv. 2 lett. a LPD ha introdotto un obbligo generale di informazione: l'informativa sulla protezione dei dati deve contenere indicazioni simili a quelle di un Impressum. L'obbligo di Impressum in senso lato che ne deriva vale per siti web, app e profili o pagine su piattaforme social come Instagram, LinkedIn o TikTok.

Ai sensi dell'art. 5 lett. a LPD, i dati personali sono tutte le informazioni che si riferiscono a una persona fisica determinata o determinabile. Ciò include non solo dati palesi come nomi, indirizzi e-mail e dati bancari o di carte di credito, ma anche indirizzi IP e identificatori online come numeri ID in un cookie, che possono attribuire un profilo comportamentale a una specifica utente. I dati di persone giuridiche non rientrano nella LPD.

Il trattamento, ai sensi dell'art. 5 lett. b LPD, è qualsiasi operazione con dati personali, indipendentemente dai mezzi e dalle procedure. Vi rientrano in particolare la raccolta, la conservazione, l'archiviazione, l'utilizzo, la modifica, la comunicazione, l'archiviazione a lungo termine, la cancellazione o la distruzione.

La LPD comprende i trattamenti automatizzati di dati nonché i trattamenti manuali di sistemi di file, ovvero dati ordinati sistematicamente come fascicoli del personale.

Si deve informare sull'ampiezza e sullo scopo del trattamento dei dati, sulla comunicazione a terzi – ad esempio a un fornitore di servizi esterno – e sulla durata della conservazione. L'informativa dovrebbe coprire le attività di trattamento offline, ad esempio l'evasione dei contratti con i clienti, e online, in particolare la gestione del sito web.

Per singole attività potrebbero essere necessarie informative sulla protezione dei dati supplementari, ad esempio per una piattaforma online di candidatura. Lì va spiegato inoltre quali dati vengono raccolti, se vengono trasmessi a terzi e per quanto tempo vengono conservati dopo il completamento della procedura.

Gli obblighi non terminano con l'informazione. Come requisiti organizzativi valgono in particolare il consulente o il responsabile della protezione dei dati, il registro delle attività di trattamento, la valutazione d'impatto sulla protezione dei dati (VIPD), un accordo sulla protezione dei dati con i fornitori di servizi nonché la designazione di un rappresentante nell'UE.

Si aggiungono requisiti tecnici: misure tecniche e organizzative (MTO) nonché protezione dei dati attraverso la tecnologia e impostazioni predefinite favorevoli alla protezione dei dati. Tali prescrizioni riguardano la configurazione dello shop, non solo il testo dell'informativa sulla protezione dei dati.

Quando si aggiungono GDPR, cookie e newsletter

Per gli shop svizzeri che spediscono nell'UE, si aggiunge il GDPR (Regolamento generale sulla protezione dei dati). Vale il principio del luogo di mercato: indipendentemente dalla sede dell'impresa, devono essere soddisfatti i requisiti del GDPR se merci o servizi vengono offerti o venduti nell'UE. Se un'impresa svizzera conclude un'affare giuridico tramite il suo shop con una persona che si trova nell'UE, si applica il GDPR.

La LPD dal canto suo si applica a fattispecie che hanno effetti in Svizzera, anche se sono state initiate all'estero. Nella pratica vanno quindi esaminati entrambi i regolamenti contemporaneamente; il GDPR contiene complessivamente prescrizioni più severe.

Oltre alla LPD e al GDPR possono applicarsi altre leggi specifiche per paese. Va menzionato ad esempio la Legge federale tedesca sulla protezione dei dati (BDSG).

Due ambiti tematici non derivano dalla LPD stessa, ma dall'ambiente della comunicazione elettronica. Vi rientrano le regole per l'impostazione dei cookie e la protezione dei dispositivi terminali. Queste derivano ad esempio dalla direttiva ePrivacy e da leggi specifiche per paese come il TTDSG tedesco.

Ne consegue nella pratica una gestione del consenso, spesso implementata come banner cookie. Per la newsletter e-mail è necessario il consenso dei destinatari, ottenuto tramite la procedura double opt-in.

Per la pubblicità di massa elettronica esiste inoltre un proprio obbligo concorrenziale: ai sensi dell'art. 3 cpv. 1 lett. o UFG agisce in modo sleale chi non indica il mittente corretto. Newsletter e altra pubblicità di massa via e-mail necessitano quindi di un'indicazione corretta del mittente – indipendentemente dal fatto che sul sito web sia presente un Impressum.

Cosa minaccia effettivamente in caso di violazione

Una violazione intenzionale dell'obbligo di identificazione del fornitore secondo l'UFG è un reato perseguibile a querela. Può essere punita con pena detentiva fino a tre anni o con multa. La Svizzera non conosce un sistema di diffide come in Germania, dove concorrenti o avvocati inviano diffide a pagamento. L'applicazione richiede piuttosto una querela penale.

Indipendentemente da ciò, le indicazioni influiscono sulla credibilità dello shop. L'Impressum crea trasparenza su chi sta dietro un sito web e serve agli utenti come indizio della sua affidabilità.

Se manca completamente o riporta indirizzi o indicazioni di contatto sospetti – ad esempio semplici coordinate o una forma giuridica che non esiste in Svizzera – aumenta la probabilità che si tratti di un'offerta poco seria o persino fraudolenta.