Cosa significa essere a norma GDPR?
Essere conformi al GDPR significa rispettare un insieme di requisiti specifici su raccolta, uso, conservazione e protezione dei dati personali: ottenere il consenso esplicito degli utenti prima di raccogliere i loro dati, informarli chiaramente su come verranno usati, permettere loro di accedervi, modificarli o cancellarli, e proteggerli da accessi non autorizzati o violazioni.
Questa tabella riassume i 5 elementi da verificare per primi sul tuo sito.
| Elemento | Cosa verificare |
|---|---|
| Cookie banner | Blocca i cookie non tecnici finché l’utente non sceglie |
| Privacy policy | Contiene tutti gli elementi richiesti ed è facilmente accessibile |
| Cookie policy | Riflette i cookie realmente installati sul sito |
| Form e moduli | Raccolgono solo i dati necessari, con consensi separati per finalità |
| Fornitori e hosting | Sono a loro volta conformi e i dati non escono dall’UE senza garanzie |
La checklist essenziale in 5 punti
1. Cookie banner conforme
Il cookie banner è la finestra che compare al primo accesso a un sito: informa l’utente della presenza di cookie, della loro tipologia (tecnici, statistici, marketing) e gli dà la possibilità di accettarli o rifiutarli. La sua funzione principale è bloccare preventivamente tutti i cookie non tecnici finché l’utente non fa una scelta: se chiude il banner o rifiuta, il sito non deve rilasciare cookie statistici, di marketing o di profilazione.
Una piattaforma come Avacy permette di creare un cookie banner personalizzabile che si adatta al design del sito e all’immagine del brand: segui questa guida per configurarlo.
2. Privacy policy completa
La privacy policy è il documento che riporta in modo esaustivo, chiaro e trasparente come vengono gestiti e usati i dati raccolti sul sito. Deve indicare chi è il titolare del trattamento, quali dati vengono raccolti, come vengono usati, per quanto tempo vengono conservati, per quali finalità, chi vi ha accesso e come l’utente può richiedere la cancellazione.
Deve essere ben visibile e accessibile da ogni pagina del sito e da ogni form che richiede dati personali: creare una pagina dedicata e linkarla dal footer, dal cookie banner e dai moduli di richiesta dati è la pratica più solida. Per la lista completa degli elementi richiesti: Come creare una privacy policy efficace: guida passo-passo per il tuo sito.
3. Cookie policy completa
La cookie policy descrive come il sito usa i cookie e altre tecnologie di tracciamento. Deve contenere: una spiegazione generale di cosa sono i cookie e come funzionano (inclusi pixel di tracciamento e script di monitoraggio simili), le tipologie usate (tecnici, di prestazione, di funzionalità, di targeting), le finalità di ciascuna, informazioni sui cookie di terze parti, le istruzioni per gestire le preferenze, la durata di conservazione (sessione o permanente) e come i dati raccolti vengono trattati e condivisi. Per approfondire le tipologie di cookie: Cosa sono i cookie e quali tipologie esistono.
Presentarla è obbligatorio: il GDPR richiede di informare gli utenti sull’uso dei cookie e ottenere il loro consenso prima di installarli o accedervi. Avacy può generare la cookie policy in modo automatizzato, scansionando il sito per rilevare i cookie realmente attivi e inserendoli nel documento.
4. Consenso raccolto correttamente nei form
Se il tuo sito ha moduli di contatto, iscrizione newsletter o checkout e-commerce, verifica questi 4 punti:
- Richiedi solo i dati necessari per la finalità prevista: chiedere il numero di telefono in un form di newsletter, ad esempio, è eccessivo rispetto allo scopo.
- Includi sempre una casella con link all’informativa privacy, con un messaggio tipo “Ho letto e accetto le modalità di trattamento dei dati descritte nella Privacy Policy”.
- Prevedi caselle separate per ogni finalità: una per il marketing, una per la profilazione, eventualmente una per il trasferimento dei dati ad altri titolari.
- Le caselle non devono essere pre-selezionate.
Se usi i dati raccolti tramite form per profilazione e marketing, ti serve anche un archivio dei consensi che registri la prova che l’utente ha effettivamente acconsentito. Ne parliamo nel dettaglio in Consensi GDPR: tutto quello che devi sapere per essere conforme: Avacy permette di gestirlo in modo centralizzato per tutti i tuoi moduli.
Il tuo sito è a norma GDPR? Verificalo in 12 punti
Una checklist chiara per controllare la conformità del tuo sito, punto per punto: cosa verificare e i riferimenti normativi, senza legalese.
5. Fornitori e hosting conformi
I fornitori di un sito sono le entità che generano e gestiscono i cookie e i servizi usati: fornitori di analisi (Google Analytics, Hotjar), pubblicità (Google Ads, Meta Ads), social media, plugin e widget, servizi di hosting. Gestiscono i cookie per finalità diverse (monitoraggio, pubblicità, esperienza utente, sicurezza), e l’informativa sui cookie deve specificarli con le rispettive finalità: gli utenti devono sapere a chi vengono inviati i loro dati se accettano. Anche i fornitori del sito devono essere conformi al GDPR.
Sull’hosting, gli articoli 44-46 del GDPR stabiliscono che il trasferimento di dati di residenti UE verso paesi terzi privi di garanzie adeguate richiede sempre il consenso esplicito degli interessati; in assenza di questo consenso, il trattamento è illecito. Molti siti usano hosting su datacenter distribuiti nel mondo: è importante sapere dove i dati sono effettivamente conservati, specialmente se il paese terzo non ha normative chiare sulla protezione dei dati (ad esempio Russia, Cina, India).
Un punto da aggiornare rispetto a qualche anno fa: per il trasferimento dati verso gli Stati Uniti, il vecchio “Privacy Shield” non è più valido, è stato invalidato dalla Corte di Giustizia UE nel 2020. Il meccanismo attuale è l’EU-US Data Privacy Framework (2023), ma è bene sapere che è sotto una nuova sfida legale nel 2026: per questo, oltre a verificare che il fornitore aderisca al Data Privacy Framework, conviene che il contratto preveda anche le Clausole Contrattuali Standard come garanzia aggiuntiva.
Se scegli un hosting extra UE, informa chiaramente gli utenti nella privacy policy, indicando dove i dati sono conservati e se il Paese offre garanzie di adeguatezza; se non sono presenti, serve il consenso esplicito degli utenti per il trasferimento.
È possibile avere un sito web 100% conforme?
Rendere un sito completamente conforme è un obiettivo raggiungibile, ma la conformità al 100% assoluta è difficile da garantire nel tempo, perché normative e linee guida continuano a evolversi. Seguire i 5 punti di questa checklist aiuta a minimizzare i rischi e a mantenere un livello alto di conformità, ma ogni sito è diverso: per situazioni specifiche o dati particolarmente sensibili, vale sempre la pena consultare un legale esperto in digital.
Tutti i siti web devono essere a norma GDPR?
Il GDPR si applica principalmente ai siti che raccolgono e trattano dati personali. Un sito puramente informativo che non raccoglie alcun dato potrebbe non essere soggetto agli stessi obblighi, ma la maggior parte dei siti, anche quelli apparentemente semplici, raccoglie qualche forma di dati personali (anche solo tramite cookie di analisi) e quindi deve adeguarsi.
Cosa succede se non ti adegui al GDPR?
La non conformità può comportare sanzioni fino al 4% del fatturato globale annuo o 20 milioni di euro, a seconda di quale importo sia maggiore. Nei casi più gravi sono possibili anche sanzioni penali, a seconda della normativa nazionale, oltre all’obbligo di risarcire i danni causati agli interessati e a un eventuale divieto temporaneo di trattamento fino al ripristino della conformità.
