1) Le variabili nome e cognome potrebbero contenere degli apici.
2) Forse non gli piace il trattino all'interno del nome della tabella
3) La query di INSERT INTO si esegue così:
conn.execute(sql)

e basta!