- Normativa
GDPR: cos'è e cosa comporta per il sito di un'impresa
Che cos'è il GDPR, i principi e le basi giuridiche, l'informativa, i cookie, i diritti degli interessati, il registro dei trattamenti e cosa deve avere in ordine il sito di un'azienda.
Oleksandr Bratukh
8 min di lettura
Il GDPR è il Regolamento (UE) 2016/679 sulla protezione dei dati personali, applicabile dal 25 maggio 2018 in tutti i paesi dell'Unione. In Italia convive con il Codice in materia di protezione dei dati personali, adeguato dal D.Lgs. 101/2018, e l'autorità che vigila è il Garante per la protezione dei dati personali.
Letto dall'inizio sembra una materia da ufficio legale. Visto dal lato di chi gestisce un sito aziendale diventa una lista di cose concrete: quali dati raccogliete, perché, per quanto tempo, chi li tocca e cosa succede quando qualcosa va storto. Questa guida tiene quel secondo punto di vista.
Che cosa significa per voi
- Avete un sito con moduli — ogni richiesta di contatto è un trattamento di dati personali, con un'informativa e una base giuridica che devono esistere.
- Mandate newsletter o fate campagne — consenso e tracciamento hanno regole proprie, e sono le aree in cui si sbaglia più spesso.
- Vi appoggiate a fornitori — hosting, agenzie e servizi esterni trattano dati per vostro conto, con un contratto previsto dalla norma.
I concetti che servono davvero
| Termine | In pratica |
|---|---|
| Dato personale | Informazione che identifica una persona o la rende identificabile: nome, email, telefono, indirizzo IP, identificativi online |
| Categorie particolari | Salute, convinzioni, dati biometrici, orientamento: tutele rafforzate e divieto generale con eccezioni |
| Trattamento | Qualunque operazione sui dati: raccolta, conservazione, consultazione, invio, cancellazione |
| Titolare | Chi decide finalità e mezzi: la vostra azienda |
| Responsabile | Chi tratta per conto del titolare: hosting, software house, agenzia, servizio di invio email |
| Interessato | La persona a cui i dati si riferiscono |
La distinzione fra titolare e responsabile regge tutto il resto: le decisioni e le responsabilità verso le persone restano all'azienda, anche quando l'esecuzione tecnica sta altrove.
I sei principi, e il settimo che li tiene insieme
L'articolo 5 fissa i principi del trattamento. Vale la pena leggerli come criteri di progettazione, invece che come formule.
| Principio | Tradotto in pratica |
|---|---|
| Liceità, correttezza, trasparenza | Una base giuridica esiste, e la persona sa cosa succede ai suoi dati |
| Limitazione della finalità | I dati raccolti per rispondere a una richiesta restano per quello |
| Minimizzazione | Si chiede il minimo utile: un modulo con dodici campi obbligatori raramente lo rispetta |
| Esattezza | I dati sbagliati si correggono, quelli vecchi si aggiornano |
| Limitazione della conservazione | Ogni categoria ha un tempo, oltre il quale si cancella |
| Integrità e riservatezza | Misure di sicurezza adeguate al rischio |
Il settimo è la responsabilizzazione: il titolare deve essere in grado di dimostrare il rispetto dei principi. Da qui discendono informative, registri e documentazione delle scelte — che esistono proprio per rendere verificabile il resto.
Le basi giuridiche, con esempi dal sito
Ogni trattamento poggia su una delle basi dell'articolo 6. Sceglierla bene semplifica la vita, perché il consenso è la più fragile.
| Base | Esempio tipico su un sito |
|---|---|
| Consenso | Iscrizione alla newsletter, cookie di profilazione |
| Esecuzione di un contratto | Dati necessari a evadere un ordine o a erogare un servizio |
| Obbligo legale | Fatturazione e conservazione dei documenti contabili |
| Legittimo interesse | Sicurezza dei sistemi, prevenzione delle frodi, con valutazione documentata |
| Interesse vitale e compito di interesse pubblico | Situazioni particolari, rare nel contesto d'impresa |
Un errore frequente: chiedere il consenso per ciò che si fonda sul contratto. Spuntare una casella per «trattare i dati necessari a spedire il pacco» confonde la persona e indebolisce la posizione dell'azienda, perché un consenso si può revocare.
Cosa tocca concretamente un sito aziendale
| Elemento | Cosa guardare |
|---|---|
| Moduli di contatto | Campi ridotti al necessario, informativa collegata, base giuridica chiara |
| Newsletter | Consenso separato, prova dell'iscrizione, disiscrizione semplice |
| Cookie e tracciamento | Consenso prima dell'attivazione per tutto ciò che va oltre i cookie tecnici |
| Area clienti | Accessi personali, password gestite bene, cancellazione dell'account prevista |
| E-commerce | Dati d'ordine, pagamenti tramite fornitori qualificati, conservazione fiscale |
| Registri tecnici | Log di accesso: durata definita e motivata |
| Copie di sicurezza | Protette e provate, perché la disponibilità è parte della sicurezza |
| Fornitori | Elenco aggiornato e contratti ai sensi dell'articolo 28 |
L'informativa: il documento che la gente legge davvero poco e che conta molto
L'articolo 13 elenca cosa deve contenere. Una buona informativa per un sito d'impresa sta in una pagina e risponde a queste voci.
- Chi è il titolare, con i recapiti, e il responsabile della protezione dei dati quando designato.
- Quali dati si raccolgono e per quali finalità, con la base giuridica di ciascuna.
- A chi vengono comunicati: fornitori, consulenti, autorità.
- Se escono dall'Unione europea, e con quali garanzie.
- Per quanto tempo si conservano, per categoria.
- Quali diritti ha la persona e come esercitarli, compreso il reclamo al Garante.
- Se il conferimento è necessario e cosa accade in caso contrario.
Il consiglio pratico vale più di molte pagine di teoria: scrivetela in italiano comprensibile e tenetela allineata alla realtà. Un'informativa copiata da un altro sito descrive trattamenti estranei alla vostra attività, e questo è un problema in sé.
Cookie e tracciamento
Il consenso serve per tutto ciò che va oltre i cookie tecnici: statistiche che conservano identificativi, profilazione, pixel pubblicitari, servizi di terze parti che tracciano la navigazione. Le linee guida del Garante del 2021, in vigore da gennaio 2022, hanno chiuso alcune pratiche diffuse: il consenso richiede un gesto esplicito, la chiusura del banner con la X equivale a un rifiuto, e rifiutare deve costare quanto accettare.
Il meccanismo corretto, con la distinzione fra categorie e il comportamento del banner, è descritto in cookie banner: quando è obbligatorio, mentre il documento che lo accompagna è trattato in cookie policy: cos'è e cosa contiene.
I diritti delle persone, e come si risponde
| Diritto | Cosa chiede la persona |
|---|---|
| Accesso | Copia dei dati che la riguardano e informazioni sul trattamento |
| Rettifica | Correzione di dati inesatti o incompleti |
| Cancellazione | Rimozione, nei casi previsti |
| Limitazione | Sospensione temporanea del trattamento |
| Portabilità | I propri dati in formato leggibile, per trasferirli altrove |
| Opposizione | Stop al trattamento fondato su legittimo interesse o a fini di marketing |
La risposta va data entro un mese, prorogabile di due in casi complessi con comunicazione motivata. Conviene preparare prima tre cose: un indirizzo dedicato alle richieste, una procedura interna breve, e un modo per verificare l'identità di chi chiede, così da evitare di consegnare dati alla persona sbagliata.
Registro dei trattamenti e contratti con i fornitori
Il registro dell'articolo 30 descrive cosa trattate, perché, per quanto, con quali misure. L'obbligo ha un'eccezione per le realtà sotto i 250 dipendenti, che però decade in casi frequenti — trattamenti abituali, rischi per i diritti, categorie particolari — quindi nella pratica quasi ogni azienda con clienti e dipendenti finisce per tenerlo. Anche fosse facoltativo resterebbe utile: è la mappa che serve il giorno in cui qualcosa succede.
Per i fornitori vale l'articolo 28: chi tratta dati per conto vostro lavora su istruzioni documentate, con un contratto che regola finalità, durata, misure di sicurezza, sub-fornitori e comportamento in caso di violazione. Vale per l'hosting, per il servizio di newsletter, per l'agenzia che gestisce le campagne.
Quando i dati escono dall'Unione europea servono garanzie adeguate: decisioni di adeguatezza, clausole contrattuali tipo, e una valutazione del contesto del paese di destinazione.
Quando qualcosa va storto
Una violazione di dati personali attiva due obblighi distinti: la notifica al Garante, senza ingiustificato ritardo e ove possibile entro 72 ore, e la comunicazione alle persone coinvolte quando il rischio è elevato. Il percorso completo, con i termini, le esclusioni e il registro delle violazioni, sta in data breach: cosa fare nelle prime 72 ore.
Le sanzioni, e il rischio che pesa di più
Le sanzioni hanno due fasce: fino a dieci milioni di euro o al 2% del fatturato mondiale annuo per alcune violazioni, fino a venti milioni o al 4% per quelle che toccano principi, basi giuridiche e diritti degli interessati, applicando l'importo più elevato.
Per una PMI italiana, però, il rischio concreto passa prima da altro: la segnalazione di un cliente scontento, la richiesta di accesso a cui si risponde male, il provvedimento pubblicato che resta consultabile. Sono eventi che costano tempo e credibilità molto prima di costare denaro.
Checklist per il sito
- Informativa aggiornata, collegata da ogni modulo
- Base giuridica definita per ciascun trattamento
- Moduli ridotti ai campi necessari
- Consenso alla newsletter separato e dimostrabile
- Banner cookie che blocca davvero prima della scelta
- Tempi di conservazione decisi, per categoria
- Elenco fornitori con contratti ai sensi dell'articolo 28
- Procedura per le richieste degli interessati
- Copie di sicurezza protette e provate
- Registro dei trattamenti compilato
Quando conviene farsi aiutare, e da chi
La materia ha due metà, e conviene tenerle distinte. La parte giuridica — inquadrare i trattamenti, redigere informative su misura, valutare il legittimo interesse, designare un responsabile della protezione dei dati — è lavoro da avvocato o da consulente privacy.
La parte tecnica è la nostra: moduli che raccolgono il minimo, banner che blocca prima della scelta, pagine delle informative collegate correttamente, accessi separati per ruolo, copie di sicurezza verificate, log con durata definita, contratti con i fornitori tecnici. Le due metà funzionano quando dialogano, e di solito la seconda rende la prima molto più semplice da scrivere.
Il percorso tecnico, con la verifica gratuita del sito, sta nella pagina privacy e cookie. Se preferite partire dal vostro caso, scriveteci dalla pagina preventivo: guardiamo moduli, banner, informative e fornitori e vi diciamo cosa sistemare per primo.
Fonti
- Regolamento (UE) 2016/679 (GDPR), in particolare artt. 4, 5, 6, 13, 15-22, 28, 30, 33, 34, 37, 83
- D.Lgs. 196/2003, come adeguato dal D.Lgs. 101/2018
- Garante per la protezione dei dati personali, linee guida sull'uso di cookie e altri strumenti di tracciamento, 2021
- EDPB, linee guida sul consenso e sulla notifica delle violazioni di dati personali
Aggiornato il 17.10.2026.
Approfondisci
Consenso, tecnici e profilazione.
Il documento che accompagna il banner.
Notifica al Garante e avviso agli interessati.
Informativa, consenso e dati dei moduli.
Aggiornamenti, copie e monitoraggio.
Risposta entro 30 minuti negli orari di lavoro.
Leggi anche
Violazione di dati personali: quando scattano la notifica al Garante entro 72 ore e la comunicazione agli interessati, cosa scrivere, il registro delle violazioni e il ruolo dei fornitori.
PubblicitàQuando un contenuto diventa pubblicità occulta, cosa dice il Codice del consumo, come si etichettano post di influencer, affiliazioni, pubbliredazionali e contenuti generati con l'AI.
AccessibilitàCosa sono le WCAG, chi le pubblica, come una linea guida internazionale diventa obbligo per un'impresa italiana e quali criteri toccano davvero un sito già online.