I siti conformi al GDPR hanno bisogno di sei cose: privacy policy a norma di legge, cookie banner con scelta reale, hosting crittografato nella UE, contratti di trattamento dati con i fornitori, form di contatto sicuri e processi di protezione dati documentati. Le sanzioni arrivano fino al 4 percento del fatturato annuo.
GDPR. Quattro lettere che fanno paura a molti gestori di siti. E non a torto: le multe sono salate, le regole complesse e le ondate di diffide non si fermano. Ma niente panico. In questo articolo ricevi una checklist chiara e pratica da spuntare punto per punto.
Non sono un avvocato e questo non sostituisce una consulenza legale. Ma come persona che crea siti per attività locali conosco le trappole tipiche e so come evitarle.
Perché la conformità GDPR nel 2026 è più importante che mai
Il Regolamento Generale sulla Protezione dei Dati vige dal 2018, ma l'applicazione si fa più severa ogni anno. Nel 2025 e 2026 ci sono diversi sviluppi che devi conoscere:
- Nuovo nome per la legge sui cookie: dal 14 maggio 2024 la legge tedesca TTDSG si chiama TDDDG (Telekommunikation-Digitale-Dienste-Datenschutz-Gesetz, la legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali). È stata solo rinominata, la regola sui cookie del § 25 resta invariata
- Multe più alte: le autorità garanti applicano sempre più spesso multe anche a piccole imprese. Fino a 20 milioni di euro o il 4% del fatturato annuo
- Ondate di diffide: studi legali specializzati guadagnano con le diffide GDPR. Ogni sito senza un banner cookie corretto è un bersaglio facile
- AI e protezione dati: arrivano nuove regole per il trattamento dati basato su AI nei siti
La buona notizia: se applichi i punti seguenti, sei al sicuro.
Parte 1: implementare correttamente il cookie consent
Il banner cookie è la prima cosa che i visitatori vedono. Ed è il motivo più frequente di diffide. Come farlo bene:
Cosa deve contenere un banner cookie
- Informazione chiara su quali cookie vengono impostati e per cosa
- Un pulsante "Rifiuta" altrettanto evidente del "Accetta"
- La possibilità di selezionare singole categorie di cookie, controllo granulare
- Link alla privacy policy
- Nessuna casella pre-selezionata: niente opt-out, solo opt-in
Cosa NON è ammesso
- Dark pattern: il pulsante Rifiuta non può essere più piccolo o meno visibile
- Cookie wall: non puoi subordinare l'accesso al sito all'accettazione dei cookie
- Nudging: formule come "Per la migliore esperienza accetta tutti i cookie" sono problematiche
- Pre-caricamento: i cookie possono essere impostati solo dopo il consenso, non prima
Cookie tecnicamente necessari vs. opzionali
Non tutti i cookie richiedono consenso. Quelli tecnicamente necessari puoi impostarli senza consenso. Tra questi:
- Cookie di sessione per il carrello
- Cookie di login per l'area utente
- Impostazioni di lingua
- Lo stesso stato del consenso ai cookie
Tutto il resto: tracking, analytics, marketing, social, richiede consenso esplicito.
Parte 2: informativa privacy
Ogni sito ha bisogno di un'informativa privacy. Deve essere raggiungibile da ogni pagina, di solito nel footer. E deve essere completa e aggiornata.
Cosa deve esserci nell'informativa
- Nome e contatti del titolare: il tuo nome, indirizzo, email
- DPO: se ne hai o serve uno
- Quali dati raccogli: IP, dati dei form, cookie, ecc.
- Base giuridica: perché raccogli i dati (consenso, contratto, legittimo interesse)
- Destinatari dei dati: hoster, newsletter, analytics, ecc.
- Durata di conservazione: per quanto vengono conservati i dati?
- Diritti dell'interessato: accesso, cancellazione, opposizione, portabilità
- Trasferimento extra-UE: i dati vengono trattati fuori UE? Se sì, su quale base?
Parte 3: imprint
Non è in senso stretto un tema GDPR, ma altrettanto importante e spesso errato. Ogni sito commerciale in Germania necessita di un imprint ai sensi del §5 DDG (ex TMG).
- Nome completo e indirizzo
- Indirizzo email e telefono
- Registro delle imprese e numero, se applicabile
- Partita IVA, se applicabile
- Dati professionali per professioni regolamentate
L'imprint deve essere raggiungibile da ogni pagina con al massimo due clic. Un link nel footer basta.
Parte 4: moduli di contatto ed email
Ogni modulo di contatto sul tuo sito tratta dati personali. Devi tenere presente:
- Avviso sul trattamento direttamente nel modulo, non solo nell'informativa
- Casella del consenso spesso non necessaria: se usi i dati solo per rispondere alla richiesta, di solito la base giuridica è la richiesta stessa. In quel caso basta quasi sempre un rimando ben visibile all'informativa sulla privacy
- Trasmissione cifrata: il modulo deve passare via HTTPS
- Minimizzazione: chiedi solo i dati necessari. Telefono come campo obbligatorio per la newsletter? Non ammesso
- Termine di cancellazione: definisci quando cancelli i dati
Parte 5: hosting e requisiti tecnici
Il certificato SSL è obbligatorio
Un sito senza HTTPS nel 2026 non è solo un problema SEO ma una violazione della privacy. Ogni trasmissione deve essere cifrata. La maggior parte degli hoster offre SSL gratuito via Let's Encrypt.
Localizzazione del server
L'ideale è che il tuo server web si trovi nell'UE. Se usi un hosting fuori dall'UE, per esempio negli USA, ti serve una base giuridica valida per il trasferimento dei dati. L'EU-US Data Privacy Framework offre questa base dal 2023. Il Tribunale dell'UE l'ha confermato il 3 settembre 2025, ma è ancora possibile un ricorso alla Corte di giustizia dell'UE.
Accordo di trattamento dati (DPA)
Con ogni fornitore che tratta dati personali per tuo conto serve un DPA. Riguarda:
- Il tuo hoster
- Il tuo provider di email marketing
- Il tuo tool di analytics, se raccoglie dati personali
- Ogni tool esterno che raccoglie dati sul sito
La maggior parte dei provider seri ha un DPA già pronto da firmare.
Parte 6: Google Analytics e tracking
Google Analytics è il tool di tracking più usato e più spesso mal configurato sui siti tedeschi.
Usare Google Analytics 4 in modo GDPR-compliant
- Raccogliere il consenso: GA4 può caricarsi solo dopo il consenso ai cookie
- Indirizzi IP: GA4 non salva indirizzi IP completi, un'impostazione apposita non esiste più
- Disattivare Google Signals: abilita il tracking cross-device ed è problematico
- Limitare la retention: impostare a 14 mesi o meno
- Firmare il DPA con Google: possibile dalle impostazioni di GA
Alternative a Google Analytics
Se vuoi andare sul sicuro ci sono alternative privacy-friendly:
- Matomo: open source, può girare su server proprio, niente consenso cookie con la giusta configurazione
- Plausible: leggero, senza cookie, GDPR-compliant, server UE
- Fathom: simile a Plausible, facile, server UE disponibili
Parte 7: social media ed embed esterni
Ogni elemento esterno sul tuo sito che invia dati a terzi è rilevante per la privacy:
Pulsanti social
I classici pulsanti Like e Condividi di Facebook, Instagram & co. inviano dati alle piattaforme ancora prima del clic. Soluzione: Shariff o simili soluzioni a due clic, dove la connessione si attiva solo dopo il clic.
Google Maps
Gli embed di Google Maps trasmettono IP e dati d'uso a Google. Soluzione GDPR-compliant: caricare Maps solo dopo il consenso. Prima mostrare un placeholder statico con pulsante di attivazione.
Video YouTube
Anche i video YouTube trasmettono dati a Google. Usa la modalità privacy avanzata di YouTube (youtube-nocookie.com) e carica i video solo dopo il consenso.
Google Fonts
Dalla famosa sentenza del LG Monaco 2022 è chiaro: i Google Fonts non possono essere caricati dai server di Google senza consenso. Soluzione: ospitare i Google Fonts in locale. Facile da implementare e migliora pure i tempi di caricamento.
Parte 8: newsletter ed email marketing
Se offri una newsletter valgono regole speciali:
- Double opt-in: obbligatorio in Germania. Dopo l'iscrizione va inviata una email di conferma
- Link di disiscrizione: ogni email deve avere un link funzionante
- Registrazione: devi poter dimostrare il consenso: timestamp, IP, email confermata
- Niente aggiramento del divieto di accoppiamento: non puoi subordinare l'iscrizione alla newsletter a un download o servizio
La checklist GDPR completa da spuntare
Ecco la tua checklist pratica. Lavorala punto per punto:
Basi
- Imprint completo e raggiungibile da ogni pagina
- Informativa privacy completa e aggiornata
- Certificato SSL attivo, intero sito in HTTPS
- Server in UE o base giuridica valida per trasferimento extra-UE
Cookie e tracking
- Banner cookie con pulsanti Accetta e Rifiuta equivalenti
- Nessun cookie prima del consenso, eccetto quelli tecnicamente necessari
- Selezione granulare di categorie cookie possibile
- Tool di analytics configurato GDPR-compliant
- DPA firmato con tutti i trattamenti
Form e comunicazione
- Avviso privacy in ogni modulo di contatto
- Casella del consenso solo dove serve (per esempio per la newsletter), e mai preselezionata
- Minimizzazione: solo campi necessari
- Newsletter con double opt-in e link di disiscrizione
Servizi esterni
- Google Fonts ospitati in locale
- Google Maps caricato solo dopo il consenso
- Video YouTube in modalità privacy avanzata
- Pulsanti social a due clic
Cosa succede se non lo fai?
Le conseguenze sono reali e possono costare care:
- Multe: fino a 20 milioni o 4% del fatturato annuo
- Diffide: costi di diffida per ogni violazione, più le spese legali
- Risarcimento: gli interessati possono chiedere risarcimento
- Danno reputazionale: una violazione resa pubblica danneggia la fiducia
In pratica non riguarda solo i grandi gruppi. Anche piccole imprese e singoli imprenditori vengono diffidati regolarmente, spesso per violazioni banali come banner cookie errati o Google Fonts non locali.
Conclusione: il GDPR non è un mostro, è una checklist
Sì, il GDPR è complesso. Ma se lo tratti come una checklist invece che come una minaccia, è realizzabile in un pomeriggio. La maggior parte dei punti si fa una volta sola e poi serve solo qualche aggiornamento.
E non scordare: la conformità GDPR non è solo un dovere legale. È anche un segnale di fiducia per i tuoi clienti. Chi vede che tratti i dati con cura si fiderà di te anche in altri ambiti.
La protezione dei dati non è un ostacolo per il tuo business. È un marchio di qualità.
Stefanos Svarnas, Knusperholz a Ludwigsburg. Creo siti web e faccio in modo che le attività vengano trovate su Google. Di persona, senza i giri di un'agenzia.
