Un sito che non vende niente, non apre conti e non mostra pubblicità tocca pochi dati personali, ma qualcuno lo tocca comunque: ogni pagina aperta lascia una traccia nei registri del servizio che ospita il sito, la misura delle visite parte soltanto con il consenso e chi ci scrive ci affida il suo indirizzo. Qui diciamo chi tratta quei dati, per quale scopo, dove finiscono, quanto restano e come si fa valere un diritto su di essi.
In questa pagina
Il titolare e le due leggi che seguiamo
Titolare del trattamento è [OWNER], che pubblica il sito e risponde anche di questa pagina, come indicano le note legali. Per una domanda sui dati o per esercitare un diritto basta scrivere a casinosvizzeri@atomicmail.io, l’indirizzo della pagina dei contatti, senza moduli, perché l’ordinanza svizzera sulla protezione dei dati ammette che le informazioni si chiedano e si diano «per via elettronica» (art. 16 cpv. 3 OPDa).
La legge è quella federale sulla protezione dei dati del 25 settembre 2020 (LPD, RS 235.1), in vigore dal 1° settembre 2023 e detta «nuova LPD» (nLPD). Il suo art. 19 chiede al titolare di informare «in modo adeguato» chi gli lascia dei dati, almeno sull’identità e i contatti del titolare, sullo scopo e sui destinatari, e di dire anche il paese quando i dati vanno all’estero.
«Al momento della raccolta, il titolare del trattamento fornisce alla persona interessata le informazioni necessarie affinché questa possa far valere i propri diritti secondo la presente legge e sia garantito un trattamento trasparente dei dati; fornisce almeno le informazioni seguenti: a. l’identità e i dati di contatto del titolare del trattamento; b. lo scopo del trattamento; c. se del caso, i destinatari o le categorie di destinatari cui sono comunicati dati personali.»
Per chi si trova nell’Unione europea vale anche l’art. 13 del regolamento (UE) 2016/679, il «GDPR», che alla stessa lista aggiunge la base giuridica di ogni trattamento, la durata della conservazione e il diritto di reclamo. Le due liste, in questa pagina, hanno una risposta sola.
Quello che resta di una visita nei registri del server
Il sito è ospitato su AWS Amplify, un servizio di Amazon Web Services che consegna le pagine attraverso la rete di distribuzione Amazon CloudFront e annota le richieste nei «log» d’accesso (i registri tecnici del servizio). Ogni riga, nel formato dei log standard di CloudFront a cui rimanda la documentazione di Amplify, porta la data e l’ora, l’indirizzo IP della richiesta, la pagina chiesta, la pagina di provenienza (il campo «Referer»), la stringa d’identificazione del browser (il campo «User-Agent») e il nodo della rete che ha risposto.
Questi dati servono a consegnare la pagina, a capire un errore e a riconoscere un abuso, come un programma che tempesta il sito di richieste, e non li usiamo per sapere chi ha letto che cosa; per il GDPR la base è il «legittimo interesse» del titolare al funzionamento e alla sicurezza del sito (art. 6, paragrafo 1, lettera f). Secondo la documentazione di AWS, Amplify conserva i log di un’applicazione «until you delete the app», cioè finché esiste, e non ci risulta un modo per accorciare quel tempo. È il dato meno comodo di questa pagina.
Il contratto con Amazon Web Services lo ha il titolare, e la società del gruppo che lo firma dipende dal paese del conto. Per i conti dell’area che AWS chiama «EMEA», Svizzera compresa, è Amazon Web Services EMEA SARL, con sede in Lussemburgo, altrove un’altra società del gruppo, come Amazon Web Services, Inc., negli Stati Uniti.
La misura delle visite, soltanto dopo «Accetto»
Per sapere quali pagine si leggono usiamo Google Analytics 4, caricato tramite Google Tag Manager, ma soltanto dopo la scelta di «Accetto» sul banner dei cookie. Prima della scelta, e dopo un «Rifiuto», il contenitore di Tag Manager (GTM-K5V5LRC2) non si carica e la proprietà di Analytics (G-21SM8FNRVL) non riceve niente.
La base è il consenso, quello dell’art. 6, paragrafo 1, lettera a, del GDPR e, per il diritto svizzero, uno dei motivi giustificativi elencati dall’art. 31 nLPD. Si revoca in ogni momento dal pulsante della pagina dei cookie, che riapre il banner, cioè «con la stessa facilità» con cui è stato dato, come vuole l’art. 7 del GDPR; la revoca vale per il futuro e non rende illecito quanto è stato misurato prima.
Con il consenso Google riceve l’indirizzo delle pagine viste e quello della pagina di provenienza, le interazioni che Tag Manager rileva da sé, il tipo di dispositivo con il sistema operativo, il browser e la risoluzione dello schermo, e una posizione approssimativa, la città, ricavata dall’indirizzo IP. Le interazioni sono lo scorrimento fino in fondo a una pagina, il clic su un link verso un altro sito, la visione di un video, lo scaricamento di un file e gli altri eventi nella pagina; restano fuori quelle con i moduli, come i calcolatori, i cui numeri non escono comunque dalla pagina.
Secondo Google, Analytics non registra e non conserva gli indirizzi IP di chi si trova nell’Unione, in Svizzera o nel Regno Unito: li usa per ricavare la posizione su server di quelle stesse aree e poi li scarta.
Il browser di chi accetta riceve due cookie di Analytics, «_ga» e un secondo dal nome che comincia con «_ga_», descritti con le loro durate nella pagina dei cookie. Nei dati della misura non c’è il nome di nessuno. Nella proprietà sono spenti i «Google Signals» (che legherebbero le visite agli account Google) e la raccolta dei «dati forniti dagli utenti», spenta anche in Tag Manager. Chi vuole esserne escluso ha la via più semplice nel rifiuto o nella revoca, insieme alla cancellazione dei cookie del sito.
Google tratta questi dati come «responsabile del trattamento» per conto del titolare, secondo le condizioni sul trattamento dei dati dei suoi servizi di misura e pubblicità (Google Ads Data Processing Terms, versione 8.0 del 30 maggio 2024), che considerano anche la legge svizzera. I dati legati al singolo utente e ai singoli eventi restano per il periodo impostato nella proprietà, quattordici mesi, mentre i rapporti aggregati non sono toccati da quel termine; il banner, infine, dichiara a Google negati i tre consensi pubblicitari della sua «modalità di consenso», e il sito non mostra pubblicità di nessun genere.
Senza cookie, e fuori dalla misura, il browser ricorda soltanto la lingua che il lettore sceglie dal selettore IT · DE · FR o dalla barra che gli propone quella del suo browser: la tiene nella memoria locale (localStorage, chiave cs_lingua), non la manda a nessuno e la perde quando si cancellano i dati del sito.
La posta che riceviamo
Chi scrive a casinosvizzeri@atomicmail.io ci affida il suo indirizzo, il nome se lo indica e il contenuto del messaggio, dati che servono soltanto a rispondere e, quando una segnalazione porta a una correzione, a ricordarne l’origine. Li conserviamo finché servono a quello, poi li cancelliamo, e nessun indirizzo finisce in un elenco o in un invio non richiesto (il sito, del resto, non ha newsletter); la base, per il GDPR, è il legittimo interesse a rispondere a chi ci interpella.
La casella sta presso AtomicMail Systems OÜ, a Tallinn (Estonia), che secondo la sua informativa, aggiornata il 23 settembre 2026, conserva i messaggi cifrati in un «User Vault» su server propri, in centri dati propri, senza poterne leggere il contenuto, e tiene i log della posta per sette giorni.
A chi arrivano i dati e in quali paesi
I destinatari sono questi tre fornitori e nessun altro: Amazon Web Services per l’hosting, Google per la misura (soltanto con il consenso) e AtomicMail per la posta. Non vendiamo dati, non ne diamo a chi organizza giochi (con i quali, come spiega la pagina della redazione, il sito non ha rapporti) e non li comunichiamo a terzi, salvo un obbligo di legge.
L’Estonia, il Lussemburgo e gli altri Stati dell’Unione figurano nell’elenco dei paesi con una protezione adeguata dell’ordinanza sulla protezione dei dati (allegato 1 OPDa, RS 235.11), che dal 15 settembre 2024 comprende anche gli Stati Uniti per le organizzazioni certificate secondo il «quadro per la protezione dei dati tra la Svizzera e gli Stati Uniti». Google LLC e Amazon, di cui AWS fa parte, hanno quella certificazione e anche quella del quadro fra l’Unione e gli Stati Uniti, riconosciuto dalla Commissione europea con la decisione di esecuzione 2023/1795 del 10 luglio 2023; i loro contratti prevedono inoltre le «clausole contrattuali tipo» per i trasferimenti che una decisione di adeguatezza non copre.
Il quadro con gli Stati Uniti è stato contestato davanti ai giudici dell’Unione: il 3 settembre 2025 il Tribunale ha respinto il ricorso contro la decisione (causa T-553/23), e contro quella sentenza è stata proposta un’impugnazione alla Corte di giustizia (causa C-703/25 P). Se la decisione cadesse, o se il Consiglio federale togliesse gli Stati Uniti dall’elenco, lo scriveremmo qui.
I diritti di chi legge
Per la nLPD chiunque può chiedere al titolare se tratta dati che lo riguardano, e riceve gratuitamente le informazioni dell’art. 25 (i dati stessi, lo scopo, la durata della conservazione, i destinatari, i paesi), con un termine fissato così: «Di norma l’informazione è fornita entro 30 giorni». Può anche chiedere che i dati inesatti siano rettificati e, davanti al giudice civile, che un trattamento sia vietato o che i dati siano cancellati (art. 32 nLPD).
Chi si trova nell’Unione ha in più i diritti degli articoli da 15 a 21 del GDPR, cioè l’accesso, la rettifica, la cancellazione, la limitazione, la portabilità e l’opposizione al trattamento fondato sul legittimo interesse, con una risposta da dare «senza ingiustificato ritardo» e comunque «entro un mese dal ricevimento della richiesta» (art. 12, paragrafo 3). Non prendiamo «decisioni individuali automatizzate» su nessuno e non profiliamo i lettori.
Nessuno è obbligato a darci dati. Senza consenso il sito si legge per intero, e scriverci resta una scelta di chi ha qualcosa da dire.
Se la nostra risposta non basta
In Svizzera la via è la denuncia all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT, Feldeggweg 1, 3003 Berna), che apre un’inchiesta «d’ufficio o su denuncia» quando ci sono indizi sufficienti di una violazione (art. 49 nLPD) e informa chi ha denunciato del seguito dato. Va saputo, però, che chi denuncia non diventa parte del procedimento (art. 52 nLPD, e la pagina dell’IFPDT lo scrive in chiaro: «non sarete parte di un eventuale procedimento»), che l’IFPDT chiede di rivolgersi prima al titolare e interviene soltanto per fatti «sufficientemente indicativi di una violazione grave», e che per una lite individuale, come una richiesta di risarcimento, la strada resta il giudice civile.
Il modulo per le persone interessate sta sulla pagina dell’IFPDT dedicata alle denunce, da leggere per intero prima di scrivere: dice con franchezza cosa l’autorità può fare e cosa no.
«L’IFPDT apre, d’ufficio o su denuncia, un’inchiesta nei confronti di un organo federale o di un privato se indizi sufficienti lasciano presumere che un trattamento di dati potrebbe violare le disposizioni sulla protezione dei dati.»
Chi si trova nell’Unione europea può proporre reclamo a un’autorità di controllo, in particolare nello Stato membro in cui risiede abitualmente, lavora o si è verificata la presunta violazione, «fatto salvo ogni altro ricorso amministrativo o giurisdizionale» (art. 77 GDPR).
«Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l’interessato che ritenga che il trattamento che lo riguarda violi il presente regolamento ha il diritto di proporre reclamo a un’autorità di controllo, segnatamente nello Stato membro in cui risiede abitualmente, lavora oppure del luogo ove si è verificata la presunta violazione.»
Quando questa pagina cambia
Se cambia un fornitore, uno scopo o un tempo di conservazione, cambia anche questa pagina, e un consenso già dato non vale per usi qui non descritti. Chi vuole lasciare al sito il meno possibile ha già gli strumenti: legge senza accettare i cookie, revoca quando vuole e ci scrive soltanto se ha qualcosa da dirci.
Testo della redazione di Casinò Svizzeri, aggiornato il 9 novembre 2026. Nessun operatore, nessun link d’affiliazione, nessuna pubblicità : come lavoriamo.