Prima di mettere online un e-commerce devi verificare privacy, cookie e strumenti di tracciamento, non soltanto Partita IVA e SCIA. Un negozio online tratta dati durante registrazione, checkout, pagamento, spedizione, assistenza, newsletter, analytics e advertising: ogni flusso deve avere una finalità chiara, una base giuridica corretta e un’informativa coerente con ciò che accade realmente sul sito.
Il punto più importante è evitare la compliance “solo di facciata”: pubblicare una privacy policy o installare un cookie banner non basta se pixel, analytics o plugin continuano a tracciare l’utente prima della scelta oppure se il testo non descrive i fornitori realmente utilizzati.
Privacy e cookie e-commerce: cosa controllare prima del lancio
Prima di scrivere le informative conviene mappare tutti i trattamenti attivi.
- account cliente;
- checkout e ordini;
- pagamenti;
- spedizioni;
- assistenza;
- newsletter;
- recensioni;
- analytics;
- pixel pubblicitari;
- CRM;
- chat e automazioni.
Privacy policy e cookie policy: differenza
La privacy policy spiega come vengono trattati i dati personali: chi è il titolare, quali dati raccoglie, perché li usa, per quanto tempo, a chi li comunica e quali diritti può esercitare l’utente.
La cookie policy riguarda invece cookie e altri strumenti di tracciamento utilizzati dal sito e deve distinguere quelli necessari dagli strumenti per cui serve una scelta dell’utente.
Cosa deve contenere l’informativa privacy
L’articolo 13 del GDPR richiede informazioni chiare quando i dati vengono raccolti presso l’interessato.
- identità e contatti del titolare;
- eventuale DPO;
- finalità del trattamento;
- base giuridica;
- destinatari o categorie di destinatari;
- eventuali trasferimenti fuori dallo SEE;
- tempi o criteri di conservazione;
- diritti dell’interessato;
- diritto di reclamo al Garante;
- eventuale profilazione o decisione automatizzata.
Dati necessari per un ordine: non serve sempre il consenso
Per ricevere un ordine, incassare, spedire e gestire il contratto non si usa normalmente il consenso come unica base giuridica.
Il GDPR consente il trattamento quando è necessario per eseguire il contratto o misure precontrattuali richieste dall’utente e quando serve ad adempiere a obblighi legali, per esempio fiscali e contabili.
Principio di minimizzazione
Un e-commerce deve chiedere soltanto i dati realmente necessari rispetto alla finalità.
Se per spedire un pacco bastano nome, indirizzo e un recapito, aggiungere campi obbligatori non necessari aumenta il rischio privacy senza migliorare il servizio.
Account obbligatorio o checkout come ospite
Il checkout come ospite limita il trattamento ai dati necessari all’acquisto. Se imponi un account, devi spiegare perché viene creato e per quanto tempo conserverai le informazioni del profilo.
Newsletter e marketing
La newsletter promozionale deve essere separata dall’esecuzione dell’ordine quando non è necessaria alla vendita.
Se il marketing si basa sul consenso, la scelta deve essere libera, specifica, informata e revocabile.
Caselle marketing già selezionate: perché evitarle
Un consenso valido richiede un’azione positiva. Le caselle preselezionate non rappresentano una scelta libera e inequivocabile dell’utente.
Cookie tecnici
I cookie tecnici servono a far funzionare il servizio richiesto e non richiedono un consenso preventivo.
- sessione;
- carrello;
- autenticazione;
- sicurezza;
- preferenze necessarie al servizio.
Cookie analytics: non sono tutti uguali
Gli analytics possono essere assimilati ai cookie tecnici soltanto in specifiche condizioni indicate dal Garante, con uso statistico e misure che riducano il potere identificativo.
Se vengono usati per profilazione, advertising o tracciamento cross-site, la valutazione cambia e può essere necessario il consenso.
Cookie di profilazione e pubblicità
Gli strumenti che servono a creare profili o mostrare pubblicità personalizzata richiedono normalmente un consenso preventivo valido.
Pixel e altri strumenti di tracciamento
Le regole non riguardano soltanto i cookie. Pixel, SDK, fingerprinting e tecnologie simili possono tracciare l’utente e devono essere valutati in base alla funzione effettiva.
Come deve funzionare il banner cookie
Al primo accesso devono restare attive impostazioni che non consentano strumenti non tecnici prima della scelta dell’utente.
- possibilità di accettare;
- possibilità di proseguire senza accettare;
- accesso a preferenze granulari;
- link all’informativa completa.
Chiudere il banner non significa accettare
Il Garante chiarisce che, chiudendo il banner tramite l’apposito comando, devono essere mantenute le impostazioni predefinite che non consentono cookie o strumenti diversi da quelli tecnici.
Lo scrolling non è consenso
Il semplice scorrimento della pagina non rappresenta da solo un consenso valido. La scelta deve essere registrabile, documentabile e inequivocabile.
Cookie wall
Impedire l’accesso al sito finché l’utente non accetta il tracciamento è generalmente problematico, salvo situazioni particolari in cui venga offerta un’alternativa equivalente senza consenso ai cookie di profilazione.
L’utente deve poter cambiare scelta
Il consenso deve poter essere modificato o revocato facilmente. È utile mantenere un link o un’icona sempre accessibile per riaprire le preferenze.
Come conservare la prova del consenso
Quando il trattamento si basa sul consenso, il titolare deve poter dimostrare che la scelta è stata acquisita correttamente.
La CMP dovrebbe quindi registrare le preferenze senza introdurre a sua volta tracciamenti non necessari.
Una CMP non rende automaticamente conforme il sito
Installare un plugin o una Consent Management Platform non basta: devi verificare che i tracciatori vengano realmente bloccati prima del consenso e che rifiuto, revoca e categorie funzionino.
Google Analytics e Meta Pixel
Per ogni strumento devi verificare dati raccolti, finalità, destinatari, trasferimenti e configurazione.
Non è sufficiente indicare il nome del servizio nella policy se il comportamento effettivo del sito è diverso.
Gateway di pagamento
Stripe, PayPal e altri gateway ricevono dati necessari all’elaborazione dei pagamenti. Il loro ruolo deve essere valutato sulla base del servizio effettivamente utilizzato e delle relative condizioni.
Corrieri e logistica
Nome, indirizzo e contatto del cliente vengono normalmente comunicati al corriere per consegnare l’ordine. Anche questo flusso deve essere descritto nell’informativa.
Hosting, CRM ed email marketing
Quando un fornitore tratta dati personali per conto del titolare, va verificato se ricorrono gli obblighi dell’articolo 28 GDPR e se il rapporto contrattuale è impostato correttamente.
Trasferimenti fuori dallo SEE
Servizi cloud, advertising o analytics possono comportare trasferimenti verso Paesi terzi. Quando accade, l’informativa deve spiegare il trasferimento e le garanzie applicabili.
Tempi di conservazione
Per ogni finalità bisogna definire un tempo o almeno un criterio di conservazione: ordini, documenti fiscali, account, newsletter e ticket di assistenza non devono essere conservati senza una regola.
Sicurezza dei dati dell’e-commerce
- HTTPS;
- software aggiornato;
- accessi amministrativi protetti;
- autenticazione forte;
- backup;
- privilegi limitati;
- procedure in caso di violazione.
Privacy by design e by default
Il sito dovrebbe essere configurato fin dall’inizio per raccogliere soltanto ciò che serve e mantenere impostazioni rispettose della privacy come configurazione predefinita.
Privacy nel checkout
Nel checkout non conviene mescolare in un’unica casella privacy, condizioni di vendita e marketing.
- presa visione dell’informativa;
- eventuale accettazione delle condizioni contrattuali;
- eventuale consenso marketing;
- eventuali consensi ulteriori separati.
Diritti del cliente sui propri dati
Il GDPR riconosce diritti come accesso, rettifica, cancellazione, limitazione, opposizione e, quando ricorrono i presupposti, portabilità.
L’informativa deve spiegare come esercitarli e indicare un canale realmente monitorato.
Come gestire una richiesta privacy
- registra la data;
- verifica l’identità quando necessario;
- individua sistemi e dati coinvolti;
- coinvolgi eventuali fornitori;
- documenta la risposta;
- conserva traccia dell’attività.
Data breach
Accessi abusivi, database esposti o credenziali sottratte possono costituire una violazione dei dati personali. Quando ricorrono le condizioni previste dal GDPR, la violazione va notificata al Garante entro 72 ore dal momento in cui il titolare ne viene a conoscenza.
Ogni nuovo plugin può cambiare la compliance
Un nuovo sistema di chat, pixel pubblicitario, plugin recensioni o tool email può introdurre nuovi cookie, destinatari o trasferimenti. Privacy e cookie vanno quindi ricontrollati ogni volta che cambia lo stack tecnologico.
Collegamento con apertura e-commerce e SCIA
Privacy e cookie non sostituiscono gli adempimenti fiscali e amministrativi. Per il lato SUAP puoi consultare la guida sulla SCIA e-commerce.
Per il quadro fiscale generale vedi invece regime forfettario e-commerce.
Audit tecnico del sito: controlla ciò che parte davvero
La verifica non deve fermarsi ai testi pubblicati. È utile controllare quali richieste di rete partono al primo accesso, quali cookie vengono installati e se analytics, pixel o script pubblicitari restano effettivamente bloccati prima del consenso.
Il test andrebbe ripetuto dopo aggiornamenti di tema, plugin, CMP, gateway di pagamento o strumenti marketing, perché una modifica tecnica può introdurre nuovi tracciatori senza che privacy e cookie policy vengano aggiornate automaticamente.
Registro dei fornitori privacy
Per evitare policy incomplete conviene mantenere un elenco interno dei fornitori che ricevono dati: hosting, email marketing, CRM, assistenza, analytics, advertising, corrieri e pagamenti.
Per ciascuno puoi annotare ruolo, finalità, dati coinvolti, eventuale trasferimento extra SEE, contratto o DPA e link all’informativa aggiornata. In questo modo diventa più semplice capire quando un cambio di software richiede anche un aggiornamento della documentazione.
Quando aggiornare privacy e cookie policy
Le informative vanno riesaminate quando cambia il modo in cui il sito tratta i dati. Non serve aspettare un controllo formale: basta introdurre un nuovo servizio, un nuovo pixel, una nuova newsletter automation o un nuovo Paese di trattamento per rendere necessario un riesame.
È utile indicare una data di ultimo aggiornamento e conservare le versioni precedenti, così da poter ricostruire quali informazioni erano pubblicate in un determinato periodo.
Controllo periodico della compliance
Una verifica periodica dovrebbe confrontare sito reale, banner, cookie effettivi, servizi di terze parti, preferenze di consenso e contenuto delle informative. Questo controllo riduce il rischio che la documentazione resti corretta solo sulla carta mentre il sito evolve.
Errori frequenti
- copiare privacy e cookie policy da un altro sito;
- attivare pixel prima del consenso;
- usare caselle marketing preselezionate;
- considerare lo scrolling come consenso;
- non consentire la revoca;
- non aggiornare la policy quando cambia un plugin;
- non mappare corrieri e gateway;
- conservare dati senza criteri definiti.
Checklist prima di pubblicare l’e-commerce
- Mappa tutti i dati raccolti.
- Individua finalità e basi giuridiche.
- Prepara l’informativa privacy.
- Censisci cookie e tracciatori.
- Blocca quelli non necessari prima del consenso.
- Configura il banner.
- Consenti rifiuto e revoca.
- Verifica newsletter e marketing.
- Mappa fornitori e trasferimenti esteri.
- Definisci tempi di conservazione.
- Controlla sicurezza e accessi.
- Ripeti l’audit dopo modifiche tecniche.
Fonti ufficiali
- Garante Privacy — FAQ cookie
- Garante Privacy — Linee guida cookie e strumenti di tracciamento
- EUR-Lex — Regolamento UE 2016/679
Domande frequenti
Un e-commerce deve avere una privacy policy?
Sì, quando tratta dati personali deve fornire le informazioni richieste dal GDPR in modo coerente con i trattamenti effettivamente svolti.
Serve sempre il cookie banner?
No. Se il sito usa soltanto cookie tecnici non serve il consenso preventivo; con profilazione o altri strumenti non necessari serve invece una gestione corretta del consenso.
Posso attivare Meta Pixel prima del consenso?
Se è utilizzato per profilazione o advertising non dovrebbe partire prima che l’utente abbia espresso un consenso valido.
Google Analytics richiede sempre il consenso?
Dipende dalla configurazione e dalle finalità: l’assimilazione ai tecnici è possibile soltanto in specifiche condizioni.
Privacy policy e condizioni di vendita sono la stessa cosa?
No. La privacy policy riguarda i dati personali; le condizioni di vendita regolano invece il contratto con il cliente.