Il GDPR (Regolamento UE 2016/679) e il Codice Privacy italiano impongono obblighi precisi a qualsiasi sito web che raccoglie dati di utenti europei. Non si tratta solo del banner dei cookie: la conformità riguarda l'intera gestione dei dati degli utenti, dalla raccolta al trattamento, dalla conservazione alla cancellazione.
La non conformità espone a sanzioni significative (fino al 4% del fatturato globale annuo o 20 milioni di euro, il maggiore dei due valori) e, soprattutto, a un danno reputazionale difficile da quantificare. In questa guida analizziamo gli adempimenti concreti per un sito web aziendale.
Gli adempimenti GDPR fondamentali per i siti web
1. Privacy Policy
Ogni sito che raccoglie dati personali — anche solo attraverso form di contatto o analytics — deve avere una Privacy Policy chiara, completa e accessibile. Deve descrivere:
- Quali dati vengono raccolti e con quale finalità
- La base giuridica di ogni trattamento
- Per quanto tempo vengono conservati i dati
- Se vengono condivisi con terze parti (provider email, analytics, advertising) e chi sono
- I diritti dell'utente (accesso, rettifica, cancellazione, portabilità, opposizione)
- I recapiti del Titolare del trattamento e, se presente, del DPO
2. Cookie Policy e banner di consenso
I cookie si dividono in due categorie con trattamento diverso:
- Cookie tecnici strettamente necessari: non richiedono consenso (cookie di sessione, preferenze lingua, carrello e-commerce)
- Cookie di profilazione e tracciamento: richiedono consenso esplicito prima di essere installati (Google Analytics con dati personali, Facebook Pixel, cookie pubblicitari, cookie di terze parti per social)
Il Garante Privacy italiano ha emanato linee guida precise sul banner dei cookie: il consenso deve essere preventivo e informato, le opzioni di accettazione e rifiuto devono essere ugualmente evidenti (nessun dark pattern che rende difficile rifiutare), deve essere possibile modificare le preferenze in qualsiasi momento.
3. Form GDPR-compliant
Ogni form di raccolta dati deve avere:
- Link alla Privacy Policy
- Checkbox (non pre-selezionata) per il consenso al marketing, separata dal consenso al trattamento necessario per erogare il servizio richiesto
- Indicazione della base giuridica del trattamento
4. Analytics e tracciamento: attenzione agli strumenti
Google Analytics 4, se configurato in modo da non raccogliere IP completi e con le impostazioni di anonimizzazione corrette, può essere usato senza consenso in alcune interpretazioni. Il Garante italiano ha però in passato sanzionato l'uso di Google Analytics con server negli USA senza misure aggiuntive. È consigliabile configurare correttamente il consenso e valutare soluzioni alternative conformi (analytics con server in UE).
5. Registro dei trattamenti
Per aziende con trattamenti sistematici di dati (non solo pmi micro), il GDPR richiede la tenuta di un Registro delle attività di trattamento: un documento interno che descrive tutti i trattamenti, le categorie di dati, le finalità, i tempi di conservazione e le misure di sicurezza adottate.
Le sanzioni del Garante Privacy italiano: casi reali
Il Garante Privacy italiano ha inflitto sanzioni significative negli ultimi anni a siti web per:
- Cookie banner che rendevano difficile il rifiuto o non rispettavano il consenso
- Google Analytics installato senza consenso o senza misure di anonimizzazione
- Form con consenso pre-selezionato
- Privacy Policy assente o incompleta
- Mancata risposta alle richieste di esercizio dei diritti degli utenti
Come verificare la conformità del proprio sito
Un audit di conformità GDPR del sito include:
- Scansione dei cookie effettivamente installati (spesso più di quelli dichiarati)
- Verifica del funzionamento del banner di consenso
- Revisione della Privacy Policy
- Controllo dei form e delle checkbox di consenso
- Verifica della configurazione degli strumenti analytics
- Test dei flussi di esercizio dei diritti degli utenti
NEO WEB supporta i clienti nella realizzazione di siti web GDPR-compliant, dalla configurazione del cookie banner alla revisione della documentazione privacy. Per gli aspetti legali, collaboriamo con consulenti specializzati in privacy. Contattaci per un audit gratuito della conformità del tuo sito.
