Sito in regola: cosa serve davvero tra privacy, cookie e GDPR (senza allarmismi)
Le sanzioni sui cookie non colpiscono solo le grandi aziende: i controlli partono da segnalazioni e da controlli automatici. Ecco cosa serve avere, in concreto, e come verificare in un minuto se il tuo sito è scoperto.
Sulla conformità dei siti web circolano due posizioni opposte, entrambe sbagliate: "tanto non controlla nessuno" e "rischi multe milionarie domani".
La realtà sta nel mezzo, ed è più semplice di come viene raccontata. I controlli partono quasi sempre da segnalazioni — un concorrente, un utente attento, un cliente scontento — oppure da verifiche automatiche su categorie di siti. E quando arrivano, le violazioni sui cookie sono le più facili da accertare: bastano dieci secondi con gli strumenti del browser.
La buona notizia: mettersi in regola è un lavoro finito, non un problema perenne.
Cosa serve avere (l'elenco concreto)
1. Informativa privacy
Obbligatoria per qualsiasi sito che raccolga anche solo un'email da un form. Deve dire chi sei (dati completi dell'azienda), quali dati raccogli, perché, per quanto tempo li tieni, a chi li comunichi e quali diritti ha l'utente.
Non basta copiarla da un altro sito: se dichiara cose diverse da quello che il tuo sito fa davvero, è peggio di non averla — perché documenta la violazione.
2. Cookie policy + banner fatto bene
Qui si concentra la maggior parte degli errori. Un banner conforme deve:
- Bloccare i cookie non tecnici finché l'utente non accetta. È il punto critico: molti banner sono decorativi, i tracker partono comunque. È la violazione più contestata in assoluto.
- Avere "Rifiuta" facile quanto "Accetta", già al primo livello. Un banner con solo "Accetta" non è valido.
- Permettere di cambiare idea dopo, in modo semplice.
- Essere accompagnato da una cookie policy che elenca i cookie: nome, fornitore, finalità, durata.
3. Trasferimenti extra-UE dichiarati
Se usi Google Analytics, Meta Pixel o strumenti simili, i dati vanno negli Stati Uniti. Va dichiarato nell'informativa, con la base giuridica che lo regola. È un dettaglio che quasi nessuno scrive, ed è tra i primi che un controllo verifica.
4. Condizioni di vendita (se vendi)
Per l'e-commerce: diritto di recesso, tempi di consegna, garanzia, resi, foro competente. E i dati societari completi visibili sul sito.
5. Sicurezza minima (art. 32)
HTTPS su tutto il sito, header di sicurezza, accessi protetti. Non è burocrazia: è il requisito di "misure adeguate" che il GDPR chiede espressamente.
L'errore più comune (e più costoso)
Non è l'assenza dei documenti. È la contraddizione: un'informativa che dichiara "usiamo solo cookie tecnici" mentre il sito carica Google Analytics e il pixel di Meta.
È l'errore peggiore perché rende la violazione evidente e documentata dalle tue stesse parole. Ed è frequentissimo: succede quando i documenti vengono scritti una volta e poi il sito cambia, si aggiungono strumenti, e nessuno torna ad aggiornarli.
