Sicurezza dei pagamenti online: quali requisiti per un negozio svizzero?

Perché la sicurezza dei pagamenti condiziona la fiducia in un negozio svizzero

In Svizzera, l'acquirente verifica prima di pagare. JUSTIS Protezione Giuridica raccomanda di controllare la sezione «Menzioni legali» o «Contatto». Questa deve riportare l'indirizzo, la località, il numero di telefono e l'indirizzo e-mail. Se questi dati sono difficili da trovare, la serietà del sito è dubbia. Queste informazioni costituiscono il primo segnale di affidabilità percepito dal cliente, ancor prima della pagina di pagamento.

Per un negozio svizzero, la base di conformità combina la LPD e le norme PCI DSS per i pagamenti elettronici, ricorda la guida alle piattaforme e-commerce di EWM. Il mercato impone anche scelte locali. Interfaccia disponibile in francese, tedesco e italiano. Supporto del franco svizzero (CHF) e dell'euro (EUR).

Formati di data, indirizzo e numero conformi agli standard svizzeri. Integrazione di PostFinance e TWINT. Una pagina di pagamento che ignora la lingua del cliente o il formato del suo indirizzo introduce un dubbio nel momento più sensibile della transazione.

La plausibilità economica fa parte del controllo. JUSTIS cita l'esempio di un negozio che vende uno smartphone a 150 CHF. Altri fornitori lo fatturano per oltre 500 CHF. JUSTIS sconsiglia la transazione.

I marchi di qualità come «Trusted Shops» sono meno radicati in Svizzera che in Germania. Sono generalmente troppo costosi per i piccoli fornitori o le giovani imprese. L'assenza di un marchio non prova quindi che un negozio sia dubbia. Un marchio non dispensa dal mettere realmente in sicurezza i flussi di pagamento.

Dati clienti e pagamento: applicare la LPD senza raccogliere eccessivamente

Dall'entrata in vigore della LPD rivista nel settembre 2023, le imprese svizzere devono garantire una sicurezza dei dati proporzionata ai rischi. Ciò passa in particolare per un regolamento informatico (weka.ch). Nel tunnel d'ordine, questo principio è concreto. Ogni campo aggiunto al modulo di pagamento amplia il perimetro da proteggere e documentare.

La prima misura è la minimizzazione. L'approccio raccomandato consiste nel chiedersi di quali dati si ha realmente bisogno per lavorare prima di raccogliere troppi elementi (schutz-law.ch). Per il pagamento, non conservare i dati della carta nel database del negozio quando il fornitore li gestisce direttamente. Meno dati archiviati, meno rischio e meno obblighi da documentare.

La trasparenza è un requisito distinto dalla sicurezza tecnica. Le imprese che vendono online devono istituire politiche sulla privacy solide. Devono informare i clienti sull'uso dei loro dati e garantirne la sicurezza (schutz-law.ch). Le condizioni generali devono indicare se il fornitore trasmette i dati a terzi (JUSTIS). Questa clausola è indispensabile ogni volta che un prestatore di servizi di pagamento, un trasportatore o uno strumento di analisi interviene nella catena.

La guida EWM richiama il requisito tecnico di server situati in Svizzera. schutz-law.ch ricorda che la protezione dei dati rientra nel RGPD in Europa e nella LPD in Svizzera.

Vantaggi e svantaggi dei marchi di qualità come Trusted Shops in Svizzera

PCI DSS: la norma da rispettare per i pagamenti con carta

La norma di sicurezza dei dati dell'industria delle carte di pagamento (PCI DSS) è stata presentata nel 2004. È destinata ai grandi marchi di carte di credito. Integra 12 misure strategiche volte a ridurre la frode con carta bancaria. Proviene dal Payment Card Industry Security Standards Council (isdecisions.com).

Per un negozio online, fissa il quadro applicabile a qualsiasi trattamento di dati dei titolari di carte. La conformità si basa ampiamente sul prestatore di servizi di pagamento.

Le dodici esigenze formano una lista di controlli da verificare. Proteggere i dati dei titolari di carte mediante un firewall. Eliminare le impostazioni predefinite delle password di sistema o dei parametri di sicurezza definiti dai fornitori. Proteggere i dati archiviati dei titolari di carte. Cifrare la trasmissione di questi dati sulle reti aperte pubbliche. Implementare controlli contro malware e virus. Implementare e gestire sistemi e applicazioni sicuri.

Limitare l'accesso ai dati delle carte alle sole persone che ne hanno bisogno. Identificare gli accessi ai componenti del sistema e sottoporli ad autenticazione. Limitare l'accesso fisico ai dati dei titolari di carte. Monitorare e sorvegliare gli accessi ai dati delle carte e alle risorse di rete. Testare i processi e i sistemi di sicurezza a intervalli regolari. Creare e aggiornare una politica di sicurezza delle informazioni per tutti i collaboratori.

Due punti hanno un effetto diretto sull'organizzazione di una PMI svizzera. La limitazione degli accessi alle sole persone che ne hanno bisogno. I test regolari, che presuppongono di pianificare i controlli piuttosto che improvvisarli. La dodicesima regola chiede di creare e aggiornare una politica di sicurezza delle informazioni per tutti i collaboratori (isdecisions.com).

Norme chiave per la sicurezza dei pagamenti online in Svizzera

Prestatori di servizi di pagamento: ripartire le responsabilità e mettere in sicurezza i flussi

Prima di firmare, la questione da dirimere è quella della responsabilità. Chi risponde di cosa in caso di frode, fuga di dati o controversia con un cliente? schutz-law.ch invita esplicitamente a informarsi su chi sia responsabile. Le condizioni generali del negozio devono indicare se i dati vengono trasmessi a terzi.

Il contratto con il prestatore, la politica sulla privacy e le CG devono dire la stessa cosa. Devono precisare il perimetro dei dati trasmessi e il ruolo di ciascuno.

Sul piano tecnico, i blocchi da esigere sono documentati pubblicamente dai prestatori svizzeri. Worldline Suisse tratta della sicurezza dei dati e della PCI DSS, del 3-D Secure e della norma di sicurezza EMV. Questa rubrica è dedicata alla sicurezza dei pagamenti senza contanti.

Per il negozio, ciò si traduce in domande precise al prestatore. Il pagamento è autenticato tramite 3-D Secure? Le carte sono trattate secondo EMV? A quale livello è attestata la conformità PCI DSS, essendo il negozio allora fuori dal perimetro dei dati delle carte?

Il budget fa parte della scelta. A titolo di esempi di costi di piattaforma rilevati per il mercato svizzero, una soluzione SaaS si situa tra 23 CHF e 299 CHF al mese. L'installazione è rapida, la manutenzione inclusa, ma le opzioni di personalizzazione sono limitate. Una soluzione open source si situa tra 100 CHF e 300 CHF al mese. È più flessibile ma richiede competenze tecniche (EWM).

Il costo della conformità ai pagamenti — test, sorveglianza, politica di sicurezza — si aggiunge a questi importi. Deve essere arbitrato in funzione del volume di transazioni e del livello di personalizzazione scelto.

La scelta dell'hosting si tratta contemporaneamente. EWM cita i server situati in Svizzera come requisito tecnico associato alla protezione dei dati. Un prestatore di servizi di pagamento estero non è escluso. Bisogna allora verificare le garanzie contrattuali. Bisogna anche informare i clienti della trasmissione dei loro dati a terzi nelle CG (JUSTIS) e nella politica sulla privacy (schutz-law.ch).

Soluzioni e-commerce: costi e caratteristiche comparate (Mercato svizzero)

Mezzi di pagamento locali: conciliare aspettative svizzere e sicurezza

Sul mercato svizzero, le aspettative degli acquirenti orientano la scelta dei mezzi di pagamento. EWM ritiene l'integrazione di PostFinance e TWINT. Ritiene anche il supporto del franco svizzero (CHF) e dell'euro (EUR). I formati di data, indirizzo e numero devono essere conformi agli standard svizzeri. Un negozio che mostra solo soluzioni internazionali e formati stranieri aggiunge attrito proprio là dove il cliente deve inserire i suoi dati.

Ogni mezzo di pagamento aggiunto deve passare lo stesso filtro di sicurezza della carta. Esigere un prestatore conforme alla PCI DSS. L'autenticazione tramite 3-D Secure e il trattamento secondo la norma EMV fanno parte degli argomenti di sicurezza documentati da Worldline Suisse. L'approccio di minimizzazione raccomandato da schutz-law.ch invita a limitare la conservazione dei dati di pagamento a quanto necessario.

La regola operativa è di limitare il numero di canali aperti piuttosto che aggiungerne senza controllo. Ogni integrazione supplementare amplia il perimetro tecnico da testare e monitorare.

La configurazione commerciale fa parte del lavoro di messa in sicurezza, poiché evita le controversie. Implica una visualizzazione chiara dei prezzi e dei tempi di consegna. Esige condizioni di vendita aggiornate e conformi al modello di business, senza copia-incolla di testi generici (schutz-law.ch).

Il trattamento dell'IVA svizzera e l'organizzazione della consegna rientrano nella stessa logica. EWM cita La Posta Svizzera e DHL Suisse. Informazioni esatte al momento dell'ordine riducono le contestazioni di pagamento e le domande di rimborso.

Regole interne, phishing e incidenti: l'anello umano

Il regolamento informatico è lo strumento che inquadrava legalmente l'uso degli apparecchi da parte dei collaboratori senza necessitare del loro accordo esplicito (weka.ch). Sebbene non obbligatorio, serve come direttiva unilaterale vincolante. Definisce le regole di utilizzo del materiale, i divieti e gli obblighi di segnalazione in caso di incidente. Per un negozio online, copre direttamente le postazioni che accedono al back-office, ai dati clienti e agli strumenti di pagamento.

Il suo contenuto deve trattare almeno dell'utilizzo del materiale informatico dell'impresa. Deve anche coprire l'utilizzo del materiale informatico privato, il lavoro mobile, l'obbligo di dichiarazione, la sorveglianza e le sanzioni (weka.ch). L'articolo precisa che deve coprire la sicurezza dei dati.

Deve anche vietare certi software non approvati e inquadrare l'uso di strumenti di intelligenza artificiale. Questo punto è delicato ogni volta che un collaboratore incolla dati di ordine in uno strumento esterno.

La misura più operativa è l'obbligo di segnalazione immediata in caso di perdita di apparecchio o tentativo di phishing (weka.ch). Ha valore solo se il collaboratore sa a chi segnalare e entro quale termine. Il regolamento deve designare un destinatario interno.

Deve precisare che la segnalazione non comporta sanzioni per chi la effettua, altrimenti gli incidenti saranno taciuti. Il documento serve infine da base giuridica per le misure di sorveglianza e le sanzioni in caso di mancato rispetto.

Checklist prima del lancio: i requisiti da validare

Sul piano giuridico e contrattuale, prevedere menzioni legali complete. Indirizzo, località, telefono e indirizzo e-mail devono essere facili da trovare (JUSTIS). Le condizioni generali devono essere conformi al diritto svizzero, aggiornate e senza copia-incolla. Precisano l'eventuale trasmissione dei dati a terzi (JUSTIS, schutz-law.ch).

La politica sulla privacy deve descrivere l'uso dei dati e le misure di sicurezza. Tiene conto della LPD in Svizzera e del RGPD in Europa (schutz-law.ch). La struttura giuridica — ditta individuale, Sagl o SA — deve essere scelta conoscendo le implicazioni di responsabilità e fiscali (schutz-law.ch).

Sul piano tecnico e dei pagamenti, confermare il livello di conformità PCI DSS applicabile al prestatore e al negozio. Questa conferma si basa sulle dodici esigenze della norma (isdecisions.com).

Implementare un firewall. Eliminare le password e i parametri predefiniti. Cifrare le trasmissioni su reti aperte. Limitare gli accessi ai dati delle carte alle sole persone che ne hanno bisogno. Testare la sicurezza a intervalli regolari. Redigere una politica di sicurezza delle informazioni (isdecisions.com).

Attivare il 3-D Secure e trattare le carte secondo la norma EMV (Worldline Suisse). Ospitare i server in Svizzera. Rispettare i formati di data, indirizzo e numero conformi agli standard svizzeri (EWM).

Sul piano organizzativo, prevedere un regolamento informatico che copra il materiale dell'impresa, il materiale privato, il lavoro mobile, i software non approvati, gli strumenti di IA, la sorveglianza e le sanzioni (weka.ch).

Scrivere una procedura di gestione degli incidenti con obbligo di segnalazione immediata in caso di perdita di apparecchio o tentativo di phishing (weka.ch). Integrare effettivamente i mezzi di pagamento locali come TWINT e PostFinance, e gestire le valute CHF ed EUR (EWM).