Diciamolo subito: la maggior parte dei siti delle PMI italiane non è in regola con il GDPR. Non per malafede — per stratificazione: il sito l'ha fatto uno, il banner l'ha messo un altro, la newsletter è partita da sé. Le sanzioni intanto sono reali (il Garante ha colpito anche piccole realtà) e i controlli si stanno automatizzando. Ecco la checklist completa, punto per punto.

Le regole del Garante italiano (Linee Guida 2021, vigenti e applicate):

  • I cookie non tecnici NON partono prima del consenso (il banner che «informa» mentre Analytics già traccia = violazione)
  • Il tasto «Rifiuta» allo stesso livello di «Accetta» — non nascosto in seconda schermata
  • Niente cookie wall (negare l'accesso a chi rifiuta) né caselle pre-spuntate
  • Scelte revocabili in qualsiasi momento (link permanente nel footer)
  • Il consenso va documentato: data, versione, scelte

La policy copiata dal sito altrui è essa stessa una violazione: deve descrivere i TUOI trattamenti — quali dati raccogli, con che base giuridica, per quanto li tieni, con quali fornitori li condividi (hosting, newsletter, analytics...), e i diritti dell'interessato con un contatto reale. Lingua: comprensibile, non legalese ornamentale.

3. I form di contatto

  • Solo i dati necessari (il form che chiede la data di nascita per un preventivo infissi: perché?)
  • Link all'informativa privacy prima dell'invio
  • Se usi i dati anche per marketing: consenso separato e facoltativo, mai accorpato
  • Trasmissione cifrata (HTTPS ovunque, ovviamente)

4. Newsletter e marketing

Consenso esplicito e documentabile (doppio opt-in: lo standard di fatto), disiscrizione in un click in ogni email, e mai liste comprate — illegali oltre che inutili. Per i clienti esistenti esiste il «soft spam» (proporre servizi analoghi ai propri clienti), ma con possibilità di opporsi fin dal primo contatto.

5. Analytics e strumenti di terze parti

Il punto più tecnico e più trascurato:

  • Google Analytics 4: va configurato con le opzioni privacy (IP anonimizzato, consent mode) e attivato solo dopo il consenso
  • Censimento degli script: pixel Meta, mappe, video incorporati, chat — ogni terza parte che carica cookie va dichiarata e gestita dal banner
  • Trasferimenti extra-UE: i fornitori USA vanno verificati (framework di adeguatezza) e citati nella policy

6. Sicurezza di base

HTTPS con certificato valido, CMS e plugin aggiornati, password decenti sugli accessi admin, backup. Il GDPR richiede «misure adeguate»: il sito bucato che spande dati dei clienti è una violazione da notificare al Garante entro 72 ore — meglio non arrivarci.

7. Registro e responsabilità (la parte invisibile)

Dietro il sito: il registro dei trattamenti (obbligatorio in quasi tutti i casi pratici), i contratti coi fornitori che trattano dati per te (hosting, agenzia, tool: serve il DPA, di solito è nei loro termini ma va verificato), e le procedure per rispondere a chi esercita i suoi diritti (accesso, cancellazione...).

Quanto costa mettersi in regola?

Per un sito PMI standard: da 500€ a 2.000€ per l'adeguamento completo (banner conforme, policy redatte sul caso specifico, configurazioni tecniche). Una frazione della sanzione minima — e nei nostri progetti web la conformità GDPR è integrata fin dal primo giorno, non aggiunta dopo.

Non sai se il tuo sito è in regola? Mandacelo: il check di conformità è una delle prime cose che facciamo.