GDPR e-commerce: la guida completa agli obblighi per chi vende online

28 luglio 2026

Se gestisci un negozio online e vendi a clienti in Italia o nell'Unione Europea, il GDPR e-commerce non è una formalità che puoi rimandare: è un insieme di obblighi legali che scattano dal primo ordine che ricevi. Ogni volta che un cliente inserisce nome, indirizzo, email o dati di pagamento, stai trattando dati personali. E il Regolamento Generale sulla Protezione dei Dati (Regolamento UE 2016/679) stabilisce regole precise su come raccoglierli, conservarli e proteggerli.

La buona notizia è che mettersi in regola non richiede un ufficio legale interno. Richiede però di capire quali sono gli obblighi concreti e di affrontarli con metodo. Questa guida pilastro ti accompagna passo passo: dalla base giuridica del trattamento all'informativa privacy, dal cookie banner alla gestione dei dati clienti, fino al consenso per la newsletter, ai diritti degli utenti, al data breach e alle sanzioni. Alla fine trovi una checklist operativa e alcune indicazioni su come verificare, in pratica, se il tuo shop è a norma.

Disclaimer: questo articolo ha finalità puramente informative e divulgative. Non costituisce consulenza legale e non sostituisce il parere di un avvocato o di un DPO qualificato. Per situazioni specifiche, rivolgiti a un professionista.

Perché il GDPR riguarda ogni negozio online

Molti pensano che il GDPR sia un problema delle grandi aziende. In realtà si applica a chiunque tratti dati personali di persone che si trovano nell'UE, indipendentemente dalle dimensioni. Un maker che vende prodotti artigianali da un sito costruito con strumenti no-code, una piccola boutique con uno shop su una piattaforma standard e un e-commerce con migliaia di ordini al giorno hanno gli stessi obblighi di base.

Il tema è ancora più delicato per chi ha realizzato il proprio sito con strumenti di AI e vibe coding (Lovable, Bolt.new, v0, Cursor). Questi strumenti generano interfacce velocissime, ma raramente si occupano di conformità: il risultato è spesso uno shop curato con cookie banner assenti, privacy policy generica e tracker che partono prima del consenso. Errori invisibili all'occhio, ma ben visibili a un'autorità di controllo.

Il principio cardine è quello di responsabilizzazione (accountability): non basta rispettare le regole, devi essere in grado di dimostrare di rispettarle. Documentazione, registri e prove del consenso non sono burocrazia: sono la tua difesa.

La base giuridica del trattamento: il punto di partenza

Prima ancora di raccogliere un dato, devi sapere perché hai il diritto di farlo. Il GDPR non permette di trattare dati "perché servono": ogni trattamento deve poggiare su una delle basi giuridiche previste dall'articolo 6. In un e-commerce le più rilevanti sono:

Base giuridica	Quando si applica in un e-commerce
Esecuzione di un contratto	Elaborare l'ordine, gestire spedizione, pagamento e resi. È la base per i dati indispensabili alla vendita.
Obbligo legale	Conservare le fatture e i documenti fiscali per il periodo previsto dalla legge italiana.
Consenso	Newsletter, email marketing, cookie di profilazione, remarketing.
Legittimo interesse	Prevenzione frodi, sicurezza del sito, alcune analisi statistiche (con bilanciamento documentato).

La distinzione è cruciale. I dati necessari a spedire un ordine non richiedono un consenso separato: la base è il contratto. Ma inviare offerte commerciali via email a chi ha già acquistato, o attivare un pixel di tracciamento, sono trattamenti ulteriori che quasi sempre richiedono un consenso libero, specifico e informato. Confondere le due cose è uno degli errori più comuni e più sanzionati.

L'informativa privacy specifica per e-commerce

L'informativa (o privacy policy e-commerce) è il documento con cui spieghi ai tuoi clienti come tratti i loro dati. Non è un testo copiato da un altro sito: deve riflettere ciò che accade realmente nel tuo shop.

Cosa deve contenere

Una privacy policy per un negozio online completa include almeno:

Identità e contatti del titolare del trattamento (tu o la tua azienda), ed eventualmente del DPO se nominato.
Tipologie di dati raccolti: anagrafici, di contatto, di pagamento, di navigazione, cronologia ordini.
Finalità e basi giuridiche di ciascun trattamento, distinte con chiarezza.
Destinatari dei dati: corrieri, gateway di pagamento, piattaforme di email marketing, servizi di analytics.
Trasferimenti extra-UE, se usi servizi con server fuori dallo Spazio Economico Europeo.
Tempi di conservazione dei dati, differenziati per finalità.
Diritti dell'utente e modalità per esercitarli.
Diritto di reclamo al Garante per la protezione dei dati personali.

Un errore frequente negli shop creati rapidamente è avere una policy di default, generica o addirittura assente. Approfondisci il tema nella nostra guida dedicata al perché la privacy policy di un sito web è obbligatoria: vale a maggior ragione quando raccogli dati di pagamento e indirizzi di spedizione.

Dove e come mostrarla

L'informativa deve essere facilmente accessibile: tipicamente linkata nel footer di ogni pagina e richiamata nei punti in cui raccogli dati (checkout, iscrizione newsletter, creazione account). Deve essere scritta in linguaggio chiaro, non in legalese incomprensibile: la trasparenza è un requisito, non un optional.

Cookie banner e consenso: l'errore più diffuso

I cookie e-commerce sono il terreno su cui inciampa la maggior parte dei negozi online. La regola, ribadita più volte dal Garante italiano e dalle linee guida europee, è semplice nella teoria: i cookie e i tracker non tecnici (marketing, profilazione, analytics di terze parti) possono essere attivati solo dopo che l'utente ha prestato un consenso esplicito.

L'errore tipico: i tracker che partono prima del consenso

Ecco lo scenario che si vede continuamente: un utente arriva sullo shop, il cookie banner compare in sovrimpressione, ma nel frattempo Google Analytics, il pixel di Meta e altri script hanno già raccolto dati. Questo è una violazione, anche se poi l'utente clicca "Accetta". Il consenso deve essere preventivo: nessun tracker di marketing o analytics deve caricarsi prima del clic.

Un cookie banner a norma deve rispettare alcuni requisiti minimi:

Nessun tracker non tecnico attivo prima della scelta dell'utente.
Pulsanti "Accetta" e "Rifiuta" equivalenti: rifiutare deve essere facile quanto accettare.
Nessun consenso implicito: il semplice scroll della pagina o la chiusura del banner non valgono come accettazione.
Granularità: possibilità di scegliere per categorie (analytics, marketing, ecc.).
Revoca semplice: l'utente deve poter cambiare idea in qualsiasi momento.

I cookie tecnici, quelli strettamente necessari al funzionamento del sito (per esempio il carrello o la sessione di login), non richiedono consenso, ma vanno comunque descritti nella cookie policy.

Se non sei sicuro di come si comporta il tuo banner, uno strumento di verifica GDPR del sito può mostrarti esattamente quali script partono e quando, senza doverli cercare manualmente nel codice.

Gestione dei dati clienti e degli ordini

Ogni ordine genera dati che devi custodire con criterio. La gestione corretta dei dati clienti GDPR si basa su tre principi pratici.

Minimizzazione

Raccogli solo i dati che ti servono davvero. Chiedere la data di nascita o il numero di telefono quando non sono necessari alla vendita è una pratica da evitare: ogni dato in più è una responsabilità in più.

Limitazione della conservazione

I dati non vanno tenuti "per sempre". Devi definire per quanto tempo conservi ciascuna categoria:

Categoria di dato	Riferimento pratico per la conservazione
Dati fiscali e fatture	Periodo previsto dalla normativa fiscale italiana (in genere 10 anni)
Dati account e cronologia ordini	Finché l'account è attivo, poi in base a policy definita
Dati per marketing (con consenso)	Fino a revoca del consenso o periodo predefinito
Log tecnici e di sicurezza	Tempi brevi, proporzionati alla finalità

Questi non sono valori assoluti validi in ogni caso: definiscili con il tuo consulente in base alla tua attività.

Sicurezza dei dati

Il GDPR impone misure tecniche e organizzative adeguate. Per un e-commerce significa, come minimo: HTTPS su tutto il sito, gestione sicura delle password, aggiornamenti costanti di CMS e plugin, accessi limitati e, dove possibile, cifratura dei dati sensibili. Una falla di sicurezza non è solo un rischio tecnico: se espone dati personali, diventa un problema di conformità a tutti gli effetti. Per un quadro più ampio, vedi la nostra guida su come avere un sito conforme al GDPR.

Consenso per newsletter ed email marketing

Il consenso per la newsletter merita un capitolo a sé perché è tra le aree più delicate. Inviare comunicazioni commerciali via email richiede quasi sempre un consenso specifico e dimostrabile.

Le regole d'oro

Niente caselle pre-flaggate. Il consenso deve essere frutto di un'azione positiva dell'utente: la casella di iscrizione deve essere vuota di default. Una casella già spuntata non costituisce consenso valido.
Consenso separato dall'acquisto. L'iscrizione alla newsletter non può essere una condizione per completare l'ordine, né essere nascosta nell'accettazione dei termini di vendita.
Finalità chiara. L'utente deve sapere a cosa acconsente: promozioni, novità di prodotto, offerte personalizzate.
Disiscrizione sempre disponibile. Ogni email deve contenere un link di cancellazione funzionante e immediato.
Prova del consenso. Devi poter dimostrare quando e come l'utente si è iscritto (double opt-in è la prassi più solida).

Un caso particolare è il cosiddetto soft spam: in alcune condizioni puoi inviare comunicazioni su prodotti analoghi a chi ha già acquistato da te, ma solo con precise garanzie e sempre offrendo la possibilità di opporsi. Le condizioni sono specifiche: verificale con un professionista prima di applicarle.

I diritti degli utenti: come rispondere alle richieste

Il GDPR attribuisce agli interessati una serie di diritti che, come titolare, sei tenuto a rispettare, in genere entro un mese dalla richiesta. I principali sono:

Accesso: l'utente può chiederti quali dati suoi tratti e ottenerne copia.
Rettifica: correzione di dati inesatti.
Cancellazione ("diritto all'oblio"): rimozione dei dati, salvo obblighi di conservazione (per esempio quelli fiscali).
Limitazione e opposizione al trattamento.
Portabilità: ricevere i propri dati in un formato strutturato e leggibile da un altro sistema.
Revoca del consenso, in qualsiasi momento e con la stessa facilità con cui è stato dato.

In pratica ti serve un canale chiaro (una email dedicata alla privacy va benissimo per una piccola attività) e un processo interno per gestire le richieste nei tempi. Ignorare una richiesta o rispondere in ritardo è di per sé una violazione.

Data breach: cosa fare se qualcosa va storto

Un data breach è una violazione della sicurezza che porta a distruzione, perdita, modifica o accesso non autorizzato a dati personali. Un database rubato, un account admin compromesso, un backup finito online: sono tutti data breach.

Gli obblighi sono precisi:

Notifica al Garante entro 72 ore dalla scoperta, se la violazione comporta un rischio per i diritti e le libertà delle persone.
Comunicazione agli interessati senza ingiustificato ritardo, quando il rischio è elevato.
Registro delle violazioni: devi documentare ogni breach, anche quelli che non notifichi, con le valutazioni fatte.

Per rispettare la finestra delle 72 ore serve accorgersi della violazione in tempo. È qui che il monitoraggio della sicurezza fa la differenza: molte piccole attività scoprono un problema settimane dopo, quando ormai i termini sono ampiamente superati.

Responsabili esterni: payment gateway, spedizionieri e plugin

Quando vendi online, non sei l'unico a maneggiare i dati dei tuoi clienti. Il gateway di pagamento vede i dati della transazione, il corriere l'indirizzo di spedizione, la piattaforma di email marketing gli indirizzi degli iscritti, alcuni plugin raccolgono dati di navigazione. Tutti questi soggetti sono, ai sensi del GDPR, responsabili del trattamento (data processor).

L'obbligo del DPA

Per ciascun fornitore che tratta dati per tuo conto devi avere in essere un accordo sul trattamento dei dati (Data Processing Agreement, DPA) ai sensi dell'articolo 28. Il DPA definisce cosa può fare il fornitore con i dati, quali garanzie offre e come li protegge. I grandi provider mettono a disposizione un DPA standard che va accettato o firmato: verifica di averlo per ognuno.

Un aspetto spesso trascurato riguarda i trasferimenti extra-UE: se un fornitore conserva o elabora dati fuori dallo Spazio Economico Europeo, servono garanzie adeguate. Fai una mappatura onesta di tutti gli strumenti collegati al tuo shop: spesso sono più di quanti pensi.

Sanzioni: cosa si rischia davvero

Il GDPR prevede sanzioni che possono arrivare fino a 20 milioni di euro o al 4% del fatturato annuo mondiale, a seconda di quale importo sia più alto. Sono cifre pensate per le grandi violazioni, ma il Garante italiano sanziona regolarmente anche realtà piccole, soprattutto per cookie non a norma, informative assenti e marketing senza consenso.

Al di là della multa, il danno più concreto per un piccolo e-commerce è spesso reputazionale: un reclamo o la perdita di fiducia dei clienti pesano quanto la sanzione. La conformità, vista così, non è un costo: è parte della qualità del servizio.

Checklist operativa GDPR per e-commerce

Usa questa lista come punto di partenza per capire a che punto sei:

Come verificare la conformità del tuo e-commerce

Spuntare una checklist a memoria è un buon inizio, ma il modo più affidabile per sapere se il tuo shop è davvero a norma è osservare cosa fa realmente il sito quando un utente lo visita: quali script partono, in che ordine, prima o dopo il consenso, e se privacy e cookie policy sono presenti e coerenti.

Questo tipo di controllo, fatto a mano, richiede competenze tecniche e tempo. Uno scanner automatico come Appurai analizza il tuo e-commerce e ti mostra i problemi di conformità GDPR e le eventuali falle di sicurezza in pochi minuti: cookie banner non a norma, privacy policy assente o generica, tracker che si attivano prima del consenso. È utile anche se hai realizzato lo shop con strumenti di AI, dove questi problemi sono particolarmente frequenti. La versione gratuita ti mostra dove intervenire; se hai bisogno anche di generare i documenti legali di base, esistono strumenti dedicati come i generatori di privacy policy che ti fanno partire da un testo già strutturato.

Qualunque strumento tu usi, ricorda: la conformità non è un traguardo che raggiungi una volta e dimentichi. Ogni nuovo plugin, ogni nuovo strumento di marketing e ogni modifica al sito può introdurre un rischio. Trattala come una manutenzione periodica, non come un adempimento una tantum.

Domande frequenti

Il GDPR si applica anche a un piccolo e-commerce o a un maker?

Sì. Il GDPR si applica a chiunque tratti dati personali di persone nell'UE, indipendentemente dal fatturato o dal numero di ordini. Anche un singolo maker che vende da un sito no-code ha gli stessi obblighi di base di un grande negozio online.

Posso usare Google Analytics sul mio negozio online?

Puoi, ma solo dopo aver ottenuto il consenso dell'utente tramite il cookie banner e dopo aver verificato le condizioni sul trasferimento dei dati. Analytics non deve attivarsi prima del clic sull'accettazione: è uno degli errori più sanzionati negli e-commerce.

La casella di iscrizione alla newsletter può essere già spuntata?

No. Il consenso deve derivare da un'azione positiva dell'utente, quindi la casella deve essere vuota di default. Una casella pre-flaggata non costituisce un consenso valido secondo il GDPR.

Devo per forza nominare un DPO per il mio e-commerce?

Non sempre. La nomina del DPO (Data Protection Officer) è obbligatoria solo in casi specifici, tipicamente per trattamenti su larga scala o di categorie particolari di dati. Molti piccoli e-commerce non sono obbligati, ma la valutazione va fatta caso per caso con un professionista.

Per quanto tempo devo conservare i dati dei clienti?

Dipende dalla finalità. I dati fiscali seguono i termini della normativa fiscale (in genere 10 anni), i dati di marketing durano fino alla revoca del consenso, altri dati vanno cancellati quando non servono più. Devi definire una policy di conservazione differenziata.

Cosa devo fare se subisco un attacco e i dati vengono rubati?

Se la violazione comporta un rischio per gli utenti, devi notificarla al Garante entro 72 ore dalla scoperta e, nei casi più gravi, informare anche gli interessati. In ogni caso devi documentare l'accaduto in un registro delle violazioni.