Verifica GDPR sito: la checklist pratica per controllare se il tuo è già a norma

28 luglio 2026

Hai un sito o un e-commerce e ti stai chiedendo se è davvero a posto con la privacy? La verifica GDPR sito è il passaggio che quasi tutti saltano: si pubblica, si aggiunge un cookie banner trovato online e ci si convince che basti così. Spesso non basta. In questa guida vediamo come verificare se un sito è conforme al GDPR con una checklist punto per punto, qualche test manuale che puoi fare oggi stesso e i limiti del controllo fai-da-te.

Una premessa utile: qui non parliamo di cosa serve per essere in regola (per quello trovi la guida completa su come rendere un sito conforme al GDPR), ma di come controllare se già lo sei. È un audit, non un manuale di adempimenti.

Perché fare un audit GDPR del tuo sito

Il GDPR non chiede un bollino o una certificazione: chiede che tu tratti i dati dei visitatori in modo trasparente e con il loro consenso quando serve. Il problema è che molte violazioni non si vedono a occhio. Un sito può sembrare perfetto e caricare comunque Google Analytics, il pixel di Meta o una mappa di Google prima che l'utente abbia cliccato "Accetta".

Questo vale ancora di più per chi ha costruito il sito da solo o con l'aiuto dell'AI (vibe coding): template e generatori mettono spesso tracker e font esterni "di serie", senza chiederti il permesso. Ecco perché un controllo GDPR del sito periodico ha senso anche se pensi di essere già a norma.

Checklist di verifica GDPR: i 6 controlli fondamentali

Ecco la checklist da seguire in ordine. Puoi farla su qualsiasi sito, il tuo o quello di un cliente, in una decina di minuti.

La privacy policy esiste ed è raggiungibile? Deve essere linkata da ogni pagina (di solito nel footer) e apribile con un clic, senza login. Se la trovi solo cercandola su Google, per l'utente medio è come se non ci fosse.
La privacy policy dice le cose giuste? Deve indicare chi è il titolare del trattamento (nome/ragione sociale e un contatto reale), quali dati raccogli, perché e per quanto tempo, oltre ai diritti dell'utente. Una policy generica copiata da un altro sito, con il nome di un'altra azienda dentro, non vale.
C'è una cookie policy separata? La cookie policy elenca i cookie e i tracker in uso e le loro finalità. Può essere una sezione dedicata o un documento a parte, ma deve esistere e deve essere collegata al banner.
Il cookie banner blocca davvero i tracker prima del consenso? È il controllo più importante e più spesso fallito. Il banner non deve solo comparire: deve impedire il caricamento di analytics e pixel finché l'utente non accetta. Vediamo tra poco come testarlo.
Le caselle di consenso non sono pre-spuntate? Il consenso deve essere attivo. Se apri il banner e trovi già le spunte su "statistica" o "marketing", oppure se "Accetta tutto" è vistoso e "Rifiuta" è nascosto o assente, non è un consenso valido.
È indicato il titolare del trattamento e c'è un contatto? L'utente deve poter capire con chi ha a che fare e come esercitare i suoi diritti (accesso, cancellazione, opposizione). Serve almeno un'email o un modulo di contatto.

Se anche uno solo di questi punti è rosso, il tuo sito ha una lacuna di conformità da sistemare.

Come verificare se un sito è conforme al GDPR: i test manuali

La checklist ti dice cosa guardare. Ora vediamo come controllarlo davvero, perché su un paio di punti l'occhio non basta.

Test 1: apri il sito in incognito e guarda cosa parte

Questo è il test decisivo sul consenso ai cookie. Apri una finestra in navigazione in incognito (così parti senza cookie salvati) e vai sul tuo sito. Non cliccare nulla sul banner: lascialo lì.

Poi apri gli strumenti per sviluppatori del browser (tasto F12, oppure clic destro → "Ispeziona") e vai nella scheda Network (Rete). Ricarica la pagina. Ti compare la lista di tutte le richieste che il sito invia. Cerca chiamate verso domini come google-analytics.com, googletagmanager.com, facebook.net, doubleclick.net, hotjar, o font e mappe esterne.

Se vedi partire questi tracker prima che tu abbia cliccato "Accetta", il banner è decorativo: raccoglie il consenso ma non lo rispetta. È una delle non conformità più comuni e più sanzionate.

Test 2: controlla i cookie salvati

Sempre negli strumenti per sviluppatori, vai nella scheda Application (o "Archiviazione" / Storage) e apri la sezione Cookies. Qui vedi tutti i cookie che il sito ha scritto sul browser. Prima di accettare, dovrebbero esserci solo cookie tecnici necessari. Se trovi già cookie di profilazione o analitici, hai la conferma del problema del Test 1.

Test 3: prova il pulsante "Rifiuta"

Rifiutare i cookie deve essere facile quanto accettarli. Clicca "Rifiuta" (se c'è) e rifai il Test 1: nessun tracker di marketing o statistica dovrebbe partire. Se dopo il rifiuto continua a caricarsi tutto, il consenso è ignorato.

Per un e-commerce questi controlli sono ancora più delicati, perché ai cookie si aggiungono account clienti, dati di pagamento e newsletter: se gestisci un negozio online, vale la pena approfondire con la guida dedicata al GDPR per e-commerce.

I limiti del controllo fai-da-te

I test manuali sono ottimi per farti un'idea, ma hanno tre limiti concreti.

Il primo è la copertura: controlli la home, ma il tracker problematico magari parte solo nella pagina prodotto, nel checkout o in un articolo con un video incorporato. Testare a mano ogni pagina è lungo e ci si dimentica sempre qualcosa.

Il secondo è la competenza tecnica: leggere la scheda Network, distinguere un cookie tecnico da uno di profilazione e capire quale script carica cosa non è immediato per chi non è del mestiere.

Il terzo è la continuità: un sito conforme oggi non lo è per sempre. Aggiungi un plugin, un pixel per una campagna, un nuovo strumento di chat, e reintroduci un tracker senza accorgertene. L'audit andrebbe rifatto a ogni modifica.

Qui entra in gioco uno scanner automatico. Uno strumento come Appurai analizza il sito pagina per pagina, rileva i tracker che partono prima del consenso, segnala privacy policy o cookie banner mancanti o non a norma e individua anche falle di sicurezza che a occhio non vedresti. In pratica automatizza tutta la checklist qui sopra e ti restituisce l'elenco dei problemi in pochi minuti, senza dover aprire gli strumenti per sviluppatori. La versione gratuita ti mostra cosa non va; se vuoi, i piani superiori spiegano come sistemarlo e generano i documenti mancanti.

Cosa fare dopo la verifica

Una volta completato l'audit hai una lista di lacune. L'ordine di priorità è quasi sempre lo stesso:

Bloccare i tracker prima del consenso — è il punto a rischio sanzione più alto.
Sistemare o creare la privacy policy, se assente o generica. Se hai dubbi sull'obbligo, qui trovi il perché la privacy policy sul sito è obbligatoria.
Aggiungere la cookie policy e collegarla al banner.
Correggere il banner: niente caselle pre-spuntate, pulsante "Rifiuta" ben visibile.

Non serve fare tutto in un giorno, ma i primi due punti conviene affrontarli subito.

Domande frequenti

Ogni quanto va fatta la verifica GDPR del sito?

Almeno una volta all'anno e ogni volta che aggiungi funzioni, plugin o strumenti di marketing. Ogni modifica può reintrodurre un tracker o cambiare i dati che raccogli.

Un test GDPR online basta per essere sicuri di essere a norma?

Un test automatico copre la parte tecnica e ti dà una fotografia molto più completa del controllo a mano. Non sostituisce però la valutazione legale della tua situazione specifica, soprattutto per trattamenti particolari.

Il cookie banner mi mette al riparo da solo?

No. Il banner conta solo se blocca davvero i tracker prima del consenso e permette di rifiutare con la stessa facilità con cui si accetta. Un banner che compare ma lascia partire tutto non serve a niente.

Vale anche per un sito piccolo o fatto con l'AI?

Sì. Il GDPR si applica a chiunque tratti dati di utenti in UE, a prescindere dalle dimensioni. Anzi, i siti creati con template o generatori AI hanno spesso tracker attivi "di default" senza che il proprietario lo sappia.

Cosa rischio se il sito non è conforme?

Oltre alle possibili sanzioni, rischi reclami degli utenti e danni di reputazione. Il punto più esposto è il trattamento di dati senza una base valida, come i tracker caricati prima del consenso.

Questo articolo ha finalità informative e non costituisce consulenza legale. Per la valutazione della tua situazione specifica rivolgiti a un professionista.