Sito web non a norma GDPR e cookie? I rischi (e come metterti in regola)

Moltissimi siti di piccole e medie attività, oggi, non sono a norma in materia di privacy e cookie. Spesso senza che il proprietario lo sappia: un banner “fai da te”, un’informativa copiata anni fa, Google Analytics che parte prima del consenso. Sembrano dettagli, ma il Garante per la protezione dei dati personali controlla e sanziona, e le cifre non sono simboliche. In questa guida vediamo, in modo chiaro, cosa serve a un sito per essere in regola, quali sono gli errori più comuni e come rimediare.

Nota: questo articolo ha scopo informativo e divulgativo e non costituisce consulenza legale. Per la tua situazione specifica rivolgiti a un avvocato o a un DPO (Data Protection Officer). Qui ci occupiamo del lato tecnico e pratico del sito.

Cosa rischi davvero

Partiamo dalla parte che spaventa, ma senza allarmismi. Il GDPR prevede sanzioni che, nei casi più gravi, possono arrivare fino al 4% del fatturato annuo dell’azienda (o a importi fissi molto elevati). Nella pratica quotidiana delle piccole attività non si parla quasi mai di cifre simili, ma le sanzioni concrete esistono: il Garante ha multato siti per migliaia di euro, ad esempio per moduli di contatto che raccoglievano dati senza un consenso valido. Oltre alla multa, però, c’è un costo spesso ignorato: un sito non conforme può farti sospendere le campagne pubblicitarie (Google e Meta richiedono una gestione del consenso corretta) e intacca la fiducia di chi nota un banner fatto male. In altre parole, non è solo una questione di multe: è anche una questione di poter lavorare e fare marketing senza intoppi.

Cosa serve a un sito per essere “a norma”

Mettiamo ordine sugli elementi che un sito dovrebbe avere. Sono il pacchetto base della conformità lato sito.

La privacy policy è il documento che spiega quali dati raccogli, perché, su quale base giuridica, a chi li comunichi e quali diritti ha l’utente (accesso, rettifica, cancellazione). Deve essere scritta in modo chiaro, aggiornata e specifica per la tua attività: non un modello generico copiato che cita norme ormai superate. Accanto a questa serve la cookie policy, che descrive nel dettaglio i cookie e gli strumenti di tracciamento usati.

Poi c’è il pezzo più visibile e più sbagliato: il banner dei cookie. Le Linee Guida del Garante (2021) sono precise. Al primo accesso non può partire alcun cookie non tecnico (analytics, marketing, profilazione) finché l’utente non dà il consenso. Il banner deve permettere di rifiutare con la stessa facilità con cui si accetta (la chiusura con la “X” equivale al rifiuto di tutti i cookie non tecnici), offrire una scelta granulare per categoria, e non avere opzioni pre-selezionate né “cookie wall” che bloccano il sito se non accetti.

Attenzione anche ai moduli di contatto: ogni form che raccoglie dati deve avere il link all’informativa e, per le finalità non essenziali (es. newsletter, marketing), checkbox separate e non pre-spuntate. Gli strumenti di analytics e tracciamento (Google Analytics, Meta Pixel) vanno caricati solo dopo il consenso, con attenzione ai trasferimenti di dati fuori dall’Unione Europea. Infine un classico tecnico che in pochi conoscono: i font esterni (come Google Fonts richiamati da remoto) possono trasferire l’indirizzo IP dell’utente a terzi senza consenso, ed è già stato oggetto di contestazioni: la soluzione è caricarli localmente.

Gli errori più comuni (che fanno scattare le contestazioni)

Nella stragrande maggioranza dei siti non conformi ritroviamo sempre gli stessi sbagli. Il banner con solo “Accetto” e “Informativa”, senza un modo chiaro per rifiutare. I cookie che si attivano prima del consenso (il caso più frequente in assoluto). Informative datate e generiche, che richiamano normative abrogate e non indicano i reali destinatari dei dati. Moduli di contatto senza informativa né consenso. E i font o script esterni caricati da remoto. Sono tutti problemi risolvibili, ma finché restano lì espongono l’attività a rischi del tutto evitabili.

Come metterti in regola

L’adeguamento, lato sito, segue pochi passi logici. Si parte da un audit tecnico: quali cookie e strumenti di tracciamento sono attivi, quali dati raccogli e dove finiscono. Si passa alla revisione dei documenti (privacy e cookie policy aggiornate e coerenti con ciò che fai davvero). Si implementa un sistema di gestione del consenso (consent management) che blocca i cookie non tecnici finché l’utente non sceglie e registra le sue preferenze: strumenti molto diffusi come iubenda aiutano a generare privacy e cookie policy sempre aggiornate e a gestire il consenso a norma, ma vanno comunque configurati e integrati nel sito con attenzione. Infine si sistemano i dettagli tecnici: moduli a norma, font in locale, analytics condizionati al consenso. La parte strettamente legale (nomine, registro dei trattamenti, eventuale DPO) va invece affrontata con un professionista: lì il nostro lavoro si ferma e inizia quello del legale o del consulente privacy.

Domande frequenti

Il mio sito ha bisogno del banner dei cookie?

Se il sito usa solo cookie tecnici (necessari al funzionamento) non serve il banner, ma resta utile l’informativa. Nel momento in cui usi analytics, mappe, video incorporati, pixel social o strumenti di marketing, il banner con consenso preventivo diventa necessario.

Basta scrivere “questo sito utilizza i cookie”?

No, è uno degli errori più diffusi. La semplice frase informativa non equivale a una raccolta del consenso valida: servono banner conforme, scelta granulare, possibilità di rifiuto e blocco dei cookie non tecnici prima del consenso.

Rischio davvero una sanzione anche se ho una piccola attività?

Sì. Il Garante interviene anche su realtà piccole, soprattutto a seguito di segnalazioni. Le sanzioni possono arrivare a percentuali elevate del fatturato; nella pratica delle PMI si sono visti provvedimenti da alcune migliaia di euro. Mettersi in regola costa molto meno del rischio.

Google Analytics è a norma?

Può esserlo, ma solo se caricato dopo il consenso dell’utente e configurato con attenzione (anonimizzazione, gestione dei trasferimenti dati). Caricarlo “a prescindere”, come fanno molti siti, è proprio una delle violazioni più contestate.

Quanto costa mettere a norma il sito?

Dipende dallo stato di partenza e dagli strumenti usati. Spesso, quando realizziamo un sito, la conformità lato tecnico è già inclusa di base; per un sito esistente si fa un intervento mirato dopo un breve audit. In ogni caso è una spesa contenuta rispetto al rischio.