Ogni PMI attiva nelle vendite raccoglie dati di contatto: biglietti da visita, richieste, elenchi di clienti, indirizzi e-mail. Dal 1° settembre 2023 vale la legge federale sulla protezione dei dati (LPD; DSG) riveduta, e chi gestisce dati di contatto deve poter provare diverse cose: da dove provengono i dati, a che cosa servono e su che cosa si fonda una e-mail pubblicitaria. Questa guida mostra quando il consenso per i dati di contatto è necessario e quando no, che cosa conviene documentare, come gestire disiscrizione, accesso e richieste di cancellazione e che cosa significa nel quotidiano un archivio di contatti in ordine.
Quali dati di contatto protegge la legge
La LPD si applica al trattamento di dati personali concernenti persone fisiche da parte di privati e organi federali (art. 2 cpv. 1). Sono dati personali tutte le informazioni concernenti una persona fisica identificata o identificabile (art. 5 lett. a). «Trattamento» è qualsiasi operazione relativa a dati personali, dalla raccolta e registrazione fino alla cancellazione (art. 5 lett. d).
Per il Suo elenco di contatti ciò significa: la persona di riferimento con nome, funzione, indirizzo e-mail e numero di telefono è protetta. L’azienda come tale no: la legge si riferisce a persone fisiche. Appena a un’azienda è collegata una persona identificabile, tratta dati personali, anche in contatti puramente commerciali.
I principi nel quotidiano
L’art. 6 LPD enuncia i principi. I dati personali devono essere trattati in modo lecito (cpv. 1), conforme alla buona fede e proporzionato (cpv. 2). Possono essere raccolti soltanto per uno scopo determinato e riconoscibile per la persona interessata e trattati ulteriormente solo in modo compatibile con tale scopo (cpv. 3). Sono distrutti o resi anonimi appena non sono più necessari per lo scopo (cpv. 4). Chi li tratta deve accertarsi della loro esattezza e prendere misure adeguate per rettificare o cancellare i dati inesatti o incompleti (cpv. 5).
Nelle vendite ciò si traduce così: registri solo ciò che serve al rapporto con il cliente. Annoti per quale scopo è stato registrato un indirizzo. Elimini doppioni e voci obsolete. E cancelli ciò che non ha più uno scopo. Per quanto tempo può tenere un indirizzo la legge non lo dice in anni; conta lo scopo.
Consenso o altro motivo?
Una lesione della personalità è illecita se non è giustificata dal consenso della persona interessata, da un interesse preponderante privato o pubblico oppure dalla legge (art. 31 cpv. 1 LPD). Il consenso è dunque una delle tre possibilità, non l’unica. Un interesse preponderante del titolare del trattamento può sussistere in particolare se questi tratta dati personali riguardanti l’altra parte contraente in relazione diretta con la conclusione o l’esecuzione di un contratto (art. 31 cpv. 2 lett. a). Per l’indirizzo di fatturazione di un cliente non serve quindi un consenso separato (per la fattura stessa: Creare una fattura QR).
È diverso per la pubblicità di massa via e-mail (per esempio la newsletter). Qui l’art. 3 cpv. 1 lett. o della legge federale contro la concorrenza sleale (LCSl; UWG) richiede il consenso preliminare, salvo che si applichi l’eccezione per la clientela. L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT; EDÖB) descrive i requisiti: esplicito, libero, dopo debita informazione, revocabile in qualsiasi momento; l’accettazione di condizioni generali non basta. La LPD aggiunge (art. 6 cpv. 6): se il consenso è necessario, è valido soltanto se, dopo debita informazione, è dato in modo libero in riferimento a uno o più trattamenti specifici. Le regole sulla newsletter stessa le tratta la guida «Newsletter a norma di legge» di questa serie.
Informare: che cosa comunicare
Chi raccoglie dati personali informa in modo adeguato la persona interessata, anche se i dati non sono raccolti presso di lei (art. 19 cpv. 1 LPD). Vanno comunicati almeno identità e dati di contatto del titolare del trattamento, la finalità del trattamento e, se del caso, i destinatari (cpv. 2). Se i dati non provengono dalla persona stessa, si aggiungono le categorie di dati trattati (cpv. 3) e l’informazione avviene entro un mese dalla ricezione dei dati (cpv. 5). L’informazione deve essere precisa, trasparente, comprensibile e facilmente accessibile (art. 13 OPDa).
L’obbligo non sussiste, tra l’altro, se la persona dispone già delle informazioni (art. 20 cpv. 1 lett. a) e, per i dati non raccolti presso di lei, se l’informazione non è possibile o richiede un onere sproporzionato (art. 20 cpv. 2). È consueta un’informativa sulla protezione dei dati sul sito, richiamata da moduli e firme e-mail (prassi). Chi omette intenzionalmente l’informazione rischia, a querela di parte, una multa fino a CHF 250’000 (art. 60 cpv. 1 lett. b).
Documentare il consenso
L’art. 6 LPD non prevede una forma particolare per il consenso. Dev’essere espresso, tra l’altro, per il trattamento di dati personali degni di particolare protezione (cpv. 7 lett. a). Raccomandazione pratica (non di legge): per ogni consenso annoti
- l’indirizzo a cui si riferisce,
- la finalità (per esempio «newsletter» od «offerte»),
- data, fonte e testo mostrato (modulo, colloquio, biglietto),
- una revoca con data.
Separi le finalità. Chi si iscrive alla newsletter non ha per questo consentito a telefonate o e-mail con offerte. E separi consenso e rapporto con il cliente: l’acquisto fa di qualcuno un cliente, ma non automaticamente un abbonato alla newsletter.
Diritti dei contatti: accesso, rettifica, cancellazione
Accesso. Chiunque può domandare se dati personali che lo concernono sono oggetto di trattamento (art. 25 cpv. 1 LPD). Riceve tra l’altro identità e dati di contatto del titolare del trattamento, i dati trattati, lo scopo, la durata di conservazione o i criteri per stabilirla e le informazioni disponibili sulla provenienza (cpv. 2). Di norma le informazioni sono gratuite (cpv. 6); se comportano un onere sproporzionato si può chiedere una partecipazione alle spese di al massimo CHF 300, da comunicare prima (art. 19 OPDa). Di norma sono fornite entro 30 giorni (cpv. 7); secondo l’art. 18 OPDa entro 30 giorni dalla ricezione della domanda; se non è possibile, si informa la persona indicando il termine. La domanda è presentata per iscritto, anche per via elettronica (art. 16 OPDa); la persona va identificata. Secondo l’IFPDT la domanda non deve essere motivata. Chi fornisce intenzionalmente informazioni inesatte o incomplete rischia una multa (art. 60 cpv. 1 lett. a).
Rettifica e cancellazione. La persona interessata può esigere che i dati personali inesatti siano rettificati (art. 32 cpv. 1). Con un’azione può chiedere, tra l’altro, che un trattamento sia proibito, che sia proibita la comunicazione a terzi o che i dati siano cancellati (art. 32 cpv. 2). Un trattamento contro l’espressa volontà della persona è una lesione della personalità (art. 30 cpv. 2 lett. b).
Obblighi di conservazione. Le fatture fungono di regola da documenti contabili (art. 957a cpv. 3 CO); i documenti contabili vanno conservati dieci anni dalla fine dell’esercizio (art. 958f cpv. 1 CO). Di più nella guida Obbligo contabile per le PMI. Come una richiesta di cancellazione si rapporti a questo obbligo nel singolo caso è una questione giuridica. Come prassi conviene bloccare per pubblicità e follow-up i contatti con riferimento a fatture e lasciare invariati i documenti.
Esempio pratico: Beispiel Holzbau AG
La Beispiel Holzbau AG (fittizia) passa a una nuova gestione dei contatti e riprende il proprio elenco di abbonati alla newsletter con 1’200 righe, salvato da Excel come file CSV. Pulendo l’elenco emergono 85 righe che contengono una seconda volta lo stesso indirizzo. Restano 1’115 indirizzi. Sul consenso l’elenco riporta quanto segue:
| Gruppo | Righe | Trattamento |
|---|---|---|
| Data d’iscrizione e fonte presenti | 640 | riprese come consenso |
| Data d’iscrizione mancante | 360 | «non chiarito», non scrivere |
| Fonte mancante | 115 | «non chiarito», non scrivere |
| Totale indirizzi | 1’115 |
La direttrice decide: 640 indirizzi riceveranno la newsletter, gli altri 475 (360 più 115) no. Non vuole chiedere a questi 475 il consenso con una e-mail collettiva: anche questa può valere come pubblicità di massa senza consenso (interpretazione; se vi sia pubblicità di massa lo decide nel singolo caso il giudice). Si rivolge alle persone personalmente, se comunque si fanno vive. Tre settimane dopo un contatto chiede informazioni; lei fornisce nome e dati di contatto dell’azienda, i dati registrati (nome, e-mail), la finalità, la durata di conservazione o i criteri e la provenienza («Lista di importazione ottobre 2026») entro otto giorni, quindi prima dei 30 giorni. Un’altra persona revoca il consenso; l’indirizzo è bloccato per la pubblicità, le fatture restano invariate.
Checklist
- Per ogni indirizzo pubblicitario sono annotati finalità, data e fonte del consenso
- Le finalità sono separate (newsletter, offerte, telefono)
- L’informativa sulla protezione dei dati indica identità, finalità e destinatari
- Per i dati non raccolti direttamente l’informazione è avvenuta entro un mese o l’eccezione è documentata
- Revoca e disiscrizione hanno effetto immediato e sono tracciabili
- I doppioni sono ripuliti, un indirizzo è gestito una sola volta
- Il processo per le domande d’accesso è definito: chi risponde, entro quando (30 giorni)
- I contatti con riferimento a fatture sono bloccati anziché cancellati, se rifiutano la pubblicità
- I contatti obsoleti senza scopo sono cancellati regolarmente
La soluzione KMU | base
In Sales | base ogni contatto ha una pagina con schede. Nella «Panoramica» trova deal aperti, cronologia, recapiti e relazioni, in «Marketing» tag e consensi, ciò che serve di rado in «Altro».
1. Documentare il consenso. Nel menu Vendita apra Contatti, il contatto e la scheda Marketing. Sotto «Basi giuridiche e blocchi di recapito» sceglie «Registra base giuridica» con indirizzo, finalità (per esempio newsletter o offerte), tipo di base giuridica e prova. Un consenso vale solo con prova (quando, dove, come è stato dato). Altri tipi come rapporto con il cliente, registrazione o ricerca non sono espressamente un consenso. La funzione «Consenso per indirizzo e finalità, blocchi, disiscrizione, revoca» prova in ogni momento su che cosa si fonda un contatto.
2. Revoca e blocco. Un consenso lo revoca sulla voce («Revoca»). Dopo una revoca l’indirizzo vale di nuovo solo se registra un nuovo consenso con prova. Con «Blocca indirizzo» blocca un indirizzo a mano: non riceve più invii, quelli in attesa vengono fermati. Disiscrizioni, reclami e richieste di cancellazione restano bloccati in modo permanente. Interi contatti li blocca con «Blocca contatto» («Escludere e bloccare»); si può annullare.
3. Vedere la cronologia. La cronologia mostra note, attività, chiamate, e-mail e file e sotto lo storico con deal, e-mail, consensi e protocollo («Cronologia per contatto»). Per ogni valore vede da dove proviene e che cosa valeva prima («Priorità delle fonti e valori precedenti»). Aiuta per la domanda sulla provenienza.
4. Evitare i doppioni. Gestisce più recapiti e-mail e telefonici per contatto, uno come principale; lo stesso indirizzo non può essere creato due volte («Più indirizzi con protezione dai doppioni»). Una disiscrizione vale per l’indirizzo; poiché ogni indirizzo è gestito una volta sola, non può sfuggire a una seconda scheda.
5. Importare con prova. Una lista newsletter la riprende in Controllo › Altro › Importazione con il profilo «Lista newsletter» da un file CSV o TSV. La prova mostra totali e rilievi e non modifica nulla («Importazione con prova obbligatoria (contatti CSV, lista newsletter, lista di ricerca)»). Un consenso vale solo con data d’iscrizione e fonte, altrimenti l’indirizzo resta «non chiarito» e non riceve invii. Interi archivi da Excel o CSV li riprende con l’assistente all’importazione in Impostazioni aziendali › Scambio di dati: con prova, rapporto di confronto, approvazione e annullamento («Importare contatti da CSV o Excel»). Se nella colonna consenso c’è un «sì», Sales | base lo riprende come consenso per la newsletter con l’annotazione «Consenso dal file di importazione». La prova originale non la vede; la conservi Lei e inserisca «sì» solo dove la possiede.
Limiti. In Sales | base non esiste un’informazione con un clic per i contatti, come nel settore Personale: le indicazioni le compone da pagina del contatto, cronologia e protocollo oppure esporta l’elenco come CSV, se ne ha il diritto. Un contatto lo cancella solo se non ha riferimento a fatture; altrimenti resta «Escludi». Termini di cancellazione automatici per i contatti Sales | base non li prevede; la cura dell’archivio resta a Lei.
Il funzionamento nel dettaglio è nella guida a Sales | base. Se desidera provarlo di persona, guardi la demo o apra un conto di prova. In caso di domande La aiutiamo tramite la pagina dei contatti. Prezzi: Prezzi.
Fonti
- Legge federale sulla protezione dei dati (LPD; DSG, RS 235.1), art. 2 cpv. 1, art. 5 lett. a e d, art. 6, art. 19, art. 20 cpv. 1 lett. a e cpv. 2, art. 25, art. 30 cpv. 2 lett. b, art. 31 cpv. 1 e cpv. 2 lett. a, art. 32 e art. 60 cpv. 1, stato 7 luglio 2025: fedlex.admin.ch, consultato il 27.10.2026.
- Ordinanza sulla protezione dei dati (OPDa; DSV, RS 235.11), art. 13, 16, 18 e 19, stato 1° dicembre 2025: fedlex.admin.ch, consultato il 27.10.2026.
- Legge federale contro la concorrenza sleale (LCSl; UWG, RS 241), art. 3 cpv. 1 lett. o, stato 1° gennaio 2025: fedlex.admin.ch, consultato il 27.10.2026.
- Codice delle obbligazioni (CO; OR, RS 220), art. 957a cpv. 3 e art. 958f cpv. 1, stato 1° ottobre 2026: fedlex.admin.ch, consultato il 27.10.2026.
- IFPDT: Diritto d’accesso (pagina senza indicazione di data), consultato il 27.10.2026.
- IFPDT: Pubblicità e marketing, sezione sulla pubblicità per e-mail (pagina senza indicazione di data), consultato il 27.10.2026.
Questa guida non sostituisce una consulenza legale o fiscale. Stato delle informazioni: 27.10.2026.