Sito conforme GDPR: la guida completa ai requisiti e alla checklist 2026
Avere un sito conforme GDPR non è un dettaglio burocratico da rimandare, ma una condizione di base per operare online in Italia e nell'Unione Europea. Se raccogli anche solo un indirizzo email tramite un modulo di contatto, se usi Google Analytics o un pixel pubblicitario, se vendi prodotti o gestisci account utente, stai trattando dati personali. E nel momento in cui tratti dati personali, il Regolamento generale sulla protezione dei dati (Regolamento UE 2016/679) ti impone una serie di obblighi precisi.
La buona notizia è che rendere un sito conforme GDPR non richiede di essere avvocati. Serve capire quali sono i requisiti fondamentali, metterli in ordine e verificarli con metodo. In questa guida completa — l'articolo centrale del nostro percorso sulla conformità — vediamo cosa serve davvero, requisito per requisito, con una checklist pratica e gli errori più comuni da evitare.
Perché la conformità GDPR riguarda anche il tuo sito
Molti pensano che il GDPR sia un problema solo delle grandi aziende. È il contrario: il Regolamento si applica a chiunque tratti dati personali di persone che si trovano nell'UE, indipendentemente dalle dimensioni. Un blog personale con newsletter, un piccolo e-commerce, una landing page con form, un'app costruita in un weekend con il vibe coding: tutti rientrano nel campo di applicazione.
Il rischio non è teorico. Il Garante per la protezione dei dati personali può irrogare sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo mondiale, e negli ultimi anni le contestazioni più frequenti riguardano proprio i siti più piccoli: cookie non a norma, informative assenti, tracker attivati senza consenso. Sono errori facili da commettere e, per fortuna, altrettanto facili da correggere una volta identificati.
I requisiti fondamentali di un sito conforme GDPR
Vediamo i pilastri su cui poggia la conformità. Ognuno di questi è un tassello: mancarne uno significa esporsi a contestazioni.
1. Informativa privacy chiara e specifica
L'informativa privacy (o privacy policy) è il documento con cui spieghi agli utenti quali dati raccogli, perché, per quanto tempo li conservi, con chi li condividi e quali diritti possono esercitare. Deve essere scritta in linguaggio chiaro, accessibile da ogni pagina (di solito nel footer) e — questo è il punto critico — deve rispecchiare ciò che il sito fa realmente.
Una privacy policy copiata da un altro sito o generata con valori di default è inutile e potenzialmente dannosa: dichiara trattamenti che non esistono o, peggio, ne omette altri che invece avvengono. Se vuoi capire davvero se e quando è obbligatoria e cosa deve contenere, abbiamo dedicato un approfondimento specifico su quando la privacy policy è obbligatoria per un sito web.
2. Cookie policy e cookie banner con consenso preventivo
Qui si concentra la maggior parte delle non conformità. La normativa (GDPR insieme alla Direttiva ePrivacy e alle linee guida del Garante) richiede che i cookie e i tracker non tecnici — analitici di profilazione, pixel pubblicitari, strumenti di marketing — vengano attivati solo dopo che l'utente ha prestato un consenso libero, specifico e inequivocabile.
Questo significa che al primo accesso il banner deve:
- bloccare i tracker non necessari finché l'utente non sceglie;
- offrire un pulsante "Rifiuta" tanto visibile quanto "Accetta";
- permettere una scelta granulare per categoria;
- non usare caselle pre-selezionate né il semplice scroll come forma di consenso.
La cookie policy, distinta o integrata nell'informativa, elenca nel dettaglio ogni cookie con finalità e durata. È l'area più delicata perché richiede una configurazione tecnica corretta, non solo un testo.
3. Base giuridica del trattamento
Ogni trattamento di dati deve poggiare su una delle basi giuridiche previste dall'articolo 6 del GDPR: il consenso, l'esecuzione di un contratto, un obbligo legale, il legittimo interesse e altre. Non puoi trattare dati "perché ti servono": devi sapere su quale base lo fai. Per una newsletter la base è il consenso; per evadere un ordine è l'esecuzione del contratto; per la fatturazione è l'obbligo legale. Mappare correttamente le basi giuridiche è ciò che rende difendibile ogni tua scelta.
4. Registro dei trattamenti
Il registro delle attività di trattamento è un documento interno in cui elenchi tutti i trattamenti che effettui: quali dati, per quali finalità, con quali basi giuridiche, per quanto tempo, con quali soggetti li condividi. Per le realtà molto piccole ci sono alcune semplificazioni, ma nella pratica è uno strumento prezioso anche per l'attività più modesta, perché ti costringe a mettere ordine e ti serve a dimostrare la tua conformità in caso di controllo.
5. Gestione dei diritti degli interessati
Gli utenti hanno diritti precisi: accesso ai propri dati, rettifica, cancellazione ("diritto all'oblio"), limitazione, portabilità e opposizione al trattamento. Un sito conforme deve prevedere un canale semplice per esercitarli — tipicamente un indirizzo email dedicato indicato nell'informativa — e una procedura interna per rispondere entro i termini di legge (di norma un mese).
6. Sicurezza dei dati
Il GDPR impone misure tecniche e organizzative adeguate a proteggere i dati. Sul piano del sito significa quanto meno: certificato HTTPS attivo, software e plugin aggiornati, password robuste, backup, controllo degli accessi e attenzione a eventuali vulnerabilità. Una falla di sicurezza che porta a un data breach comporta obblighi di notifica e può trasformarsi in una sanzione. La sicurezza e la conformità viaggiano insieme: un sito vulnerabile non è mai davvero a norma.
7. Nomina dei responsabili esterni (DPA)
Ogni fornitore che tratta dati per tuo conto — l'hosting, il servizio di email marketing, il gateway di pagamento, i sistemi di analytics — è un "responsabile del trattamento". Con ognuno di questi devi avere in essere un accordo sul trattamento dei dati, il cosiddetto DPA (Data Processing Agreement). Molti fornitori lo mettono a disposizione con un clic nelle impostazioni dell'account: il punto è sapere quali soggetti sono coinvolti e assicurarsi che il contratto ci sia.
8. Eventuale nomina del DPO
Il Responsabile della protezione dei dati (DPO) è obbligatorio solo in casi specifici: trattamenti su larga scala di categorie particolari di dati, monitoraggio sistematico su vasta scala, o quando il titolare è un'autorità pubblica. La maggior parte dei piccoli siti non è tenuta a nominarlo, ma è importante valutare la propria situazione anziché darlo per scontato.
Checklist di conformità GDPR
Ecco una lista sintetica per fare il punto sul tuo sito. Ogni voce spuntata è un passo verso un sito conforme GDPR.
- Informativa privacy presente, specifica e linkata dal footer di ogni pagina
- Cookie policy dettagliata con elenco dei cookie, finalità e durata
- Cookie banner con consenso preventivo, pulsante "Rifiuta" e scelta granulare
- Tracker non tecnici bloccati fino al consenso
- Nessuna casella pre-selezionata nei moduli
- Base giuridica individuata per ogni trattamento
- Registro dei trattamenti compilato e aggiornato
- Canale attivo per l'esercizio dei diritti degli interessati
- Certificato HTTPS attivo e software aggiornato
- DPA in essere con tutti i fornitori esterni
- Valutazione sulla necessità del DPO effettuata
Se vuoi verificare a colpo d'occhio in che stato è il tuo sito, puoi partire da una verifica GDPR del sito che analizza in pochi minuti i punti più esposti.
Gli errori più comuni (e come riconoscerli)
Alcune non conformità si ripetono con impressionante regolarità. Ecco le tre più frequenti.
| Errore | Perché è un problema | Come si riconosce |
|---|---|---|
| Tracker attivati prima del consenso | Google Analytics, Meta Pixel o simili partono al caricamento della pagina, prima che l'utente scelga | Il sito invia dati a terze parti già al primo accesso, senza interazione |
| Privacy policy copiata o di default | Dichiara trattamenti inesistenti o ne omette di reali | Nomi di aziende terze, indirizzi o strumenti che non usi |
| Caselle pre-flaggate | Il consenso non è libero né inequivocabile | Nei form la spunta è già attiva all'apertura della pagina |
Il primo errore è di gran lunga il più diffuso e il più difficile da individuare a occhio nudo, perché avviene "dietro le quinte" nel codice. È esattamente il tipo di problema per cui uno scanner automatico come Appurai è utile: analizza il sito, individua i tracker che partono prima del consenso, segnala il cookie banner non a norma e le informative assenti o generiche, senza che tu debba ispezionare il codice manualmente.
Adeguamento GDPR: da dove cominciare
Se stai partendo da zero, l'ordine più efficace è questo: prima mappa cosa fa il sito e quali dati raccoglie, poi sistema informativa e cookie policy, quindi configura correttamente il banner e blocca i tracker, infine metti a posto DPA, registro e gestione dei diritti. L'adeguamento GDPR del sito è un percorso iterativo, non un singolo intervento: ogni volta che aggiungi uno strumento nuovo — un chat widget, un nuovo pixel, un plugin — torni a verificare.
Per generare i documenti mancanti in modo che rispecchino il tuo sito reale, esistono generatori di privacy policy che partono dalle tue effettive attività di trattamento, un approccio molto più solido rispetto a copiare un testo altrui. Chi ha un negozio online ha poi requisiti aggiuntivi specifici, che approfondiamo nella guida dedicata al GDPR per l'e-commerce.
Domande frequenti
Il GDPR si applica anche a un piccolo blog personale?
Sì, se tratti dati personali di visitatori che si trovano nell'UE — e una newsletter, i commenti o anche solo gli analytics lo comportano. Le dimensioni riducono alcuni adempimenti, ma non escludono l'applicazione del Regolamento.
La privacy policy e la cookie policy sono la stessa cosa?
No. La privacy policy descrive tutti i trattamenti di dati del sito; la cookie policy è specifica sui cookie e sui tracker. Possono convivere ma coprono ambiti diversi e servono entrambe.
Posso usare un template gratuito per l'informativa privacy?
Un template può essere un punto di partenza, ma va sempre adattato ai trattamenti reali del tuo sito. Un'informativa che non rispecchia ciò che fai è, di fatto, una non conformità.
Cosa rischio se il mio sito non è conforme?
Le sanzioni del Garante possono arrivare a 20 milioni di euro o al 4% del fatturato annuo. Nei casi più comuni si tratta di importi inferiori, ma anche una singola segnalazione può innescare un controllo.
Meglio uno strumento tutto-in-uno o soluzioni separate?
Dipende dalle esigenze. Alcuni preferiscono piattaforme integrate; per un confronto ragionato puoi leggere la nostra analisi delle alternative a Iubenda e valutare cosa si adatta meglio al tuo caso.
In sintesi
Rendere un sito conforme GDPR significa coprire in modo ordinato otto aree: informativa, cookie, base giuridica, registro, diritti, sicurezza, responsabili esterni ed eventuale DPO. Nessuna di queste è insormontabile, ma insieme richiedono metodo e verifiche periodiche. Il primo passo concreto è sapere esattamente dove si trovano oggi i problemi: uno scanner come Appurai te li mostra gratuitamente e, se vuoi, ti guida su come risolverli e a generare i documenti mancanti. Da lì, la conformità diventa una questione di manutenzione anziché di ansia.
Questo articolo ha finalità puramente informative e non sostituisce una consulenza legale professionale. Per situazioni specifiche rivolgiti a un legale o a un DPO qualificato.