Il tuo sito raccoglie dati: le 10 verifiche GDPR che un controllo fa per prime

Il tuo sito raccoglie dati di clienti e visitatori ogni giorno: un modulo di contatto, un’iscrizione alla newsletter, un account, un ordine, le statistiche di visita. Per il GDPR ognuna di queste cose è un trattamento di dati personali, con obblighi precisi. Non dipende dal fatturato: dipende da cosa raccogli e da come lo gestisci.

La parte che molti ignorano è un’altra. Buona parte di questi obblighi si vede dall’esterno, senza entrare nei tuoi sistemi. L’informativa, il banner dei cookie, gli strumenti di terze parti che partono quando si apre la pagina, le copie del sito lasciate in rete. Sono le prime cose che un reclamo o una verifica incontrano. E sono anche le prime che un concorrente, un cliente attento o un consulente che vuole venderti qualcosa possono controllare in dieci minuti.

Questo articolo elenca le dieci verifiche GDPR del sito web che contano davvero. Per ognuna trovi l’articolo del Regolamento, cosa si vede da fuori e cosa richiede un accesso ai sistemi. Le stesse dieci sono la seconda parte del nostro test di autovalutazione GDPR del sito: tre minuti, nessun dato da lasciare.

Perché un controllo guarda prima il sito?

Perché è l’unica parte della tua azienda che chiunque può esaminare senza chiedere il permesso. Informativa, banner, strumenti attivi e indirizzi raggiungibili sono pubblici per definizione. Il Garante riceve i reclami degli interessati (art. 77 del Regolamento) e ha poteri di indagine propri (art. 58). Un reclamo su un sito nasce spesso da un dettaglio visibile. Una newsletter mai richiesta, un banner che non permette di rifiutare, una richiesta di cancellazione rimasta senza risposta.

C’è poi un secondo motivo, più pratico. Quello che si vede da fuori racconta come sono gestiti i dati dentro. Due informative incoerenti sullo stesso sito dicono che nessuno le ha mai rilette. Un ambiente di test raggiungibile dice che nessuno ha una lista di cosa è esposto. Non sono prove di violazione, ma sono gli indizi che un controllo segue.

Il tuo sito tratta dati personali anche se non vende nulla?

Quasi sempre sì. Il GDPR considera dato personale qualsiasi informazione riferita a una persona identificabile, compresi gli identificativi online come l’indirizzo IP (art. 4, n. 1, e considerando 30). Un modulo di contatto raccoglie nome ed email. Una piattaforma di statistiche raccoglie identificativi del browser e, spesso, l’IP. Perfino un sito senza moduli produce i log del server, che il tuo hosting conserva per un certo periodo. Solo un sito statico, senza moduli e senza strumenti di tracciamento, resta ai margini: e anche lì conviene sapere quanto durano quei log.

Il perimetro cambia con quello che raccogli. Un modulo e una newsletter sono trattamenti piccoli ma veri: informativa, consenso separato per la newsletter, contratto con l’hosting e con la piattaforma di invio. Un e-commerce con account, ordini, pagamenti e spedizioni è un trattamento continuativo, con i fornitori a catena: pagamenti, corrieri, CRM, strumenti di marketing. Se poi fai marketing personalizzato su un database ampio, entrano in gioco la valutazione d’impatto e la figura del responsabile della protezione dei dati (DPO). Ne parliamo più sotto.

Cosa si vede da fuori in dieci minuti: un esempio reale, anonimizzato

Un e-commerce italiano di medie dimensioni, con un catalogo ampio e un database clienti nell’ordine delle decine di migliaia. Lo abbiamo esaminato dall’esterno, leggendo solo le pagine pubbliche. In dieci minuti sono emerse sette cose.

• Due informative diverse sullo stesso sito. La seconda era un modello generico, con riferimenti a dati che quel sito non tratta.
• L’informativa principale citava il Privacy Shield come base per i trasferimenti verso un fornitore statunitense. Quell’accordo è stato invalidato dalla Corte di giustizia dell’Unione europea il 16 luglio 2020.
• Il testo sui cookie diceva che continuando a navigare si accettavano anche quelli di profilazione.
• Più di dieci strumenti di terze parti dichiarati, in gran parte con sede negli Stati Uniti: statistiche, pixel social, retargeting, recensioni, chat e più piattaforme di newsletter.
• L’informativa non indicava i fornitori come responsabili del trattamento né le basi per i trasferimenti.
• Nel piè di pagina, i link a un ambiente di sviluppo su un altro dominio, raggiungibile.
• Nessun riferimento, nelle pagine pubbliche, a una valutazione d’impatto: da fuori non si può sapere se esista.

Nessuna di queste sette cose richiede un accesso ai sistemi. Tutte compaiono nelle dieci verifiche che seguono. Il sito ha un impianto di base: titolare indicato, finalità e diritti elencati, canale per le richieste attivo. Quello che manca, da fuori, è una rilettura recente: il sito è cambiato, i testi no.

Verifica 1: l’informativa è una sola, aggiornata e scritta per il tuo sito?

L’articolo 13 del GDPR elenca cosa deve dire l’informativa a chi lascia i dati. Chi è il titolare, perché raccogli i dati e su quale base. A chi li comunichi e se li trasferisci fuori dall’Unione. Per quanto li conservi e quali diritti ha la persona. Non serve un trattato: serve che descriva il tuo sito, non un sito generico.

I tre segnali di un’informativa mai rivista sono gli stessi in quasi tutti i siti che esaminiamo. Testi copiati da altri servizi, con riferimenti a cose che non fai. Due versioni diverse che convivono. Riferimenti normativi superati, primo fra tutti il Privacy Shield. Un’informativa sbagliata non protegge. Dichiara cose che non corrispondono alla realtà, e in un controllo pesa più dell’assenza.

Si vede da fuori: sì, in due minuti.

Verifica 2: il banner dei cookie blocca gli script prima del consenso?

Le Linee guida del Garante del 10 giugno 2021 hanno chiuso una stagione. La norma è l’articolo 122 del Codice privacy; le Linee guida dicono come applicarla. Il consenso ai cookie di profilazione deve essere preventivo ed esplicito. Lo scorrimento della pagina non è un consenso valido. Il banner deve avere tre comandi: accettare, accedere alle scelte granulari e una X che lo chiude. La X lascia le impostazioni predefinite, cioè nessun cookie non necessario. Chi chiude il banner con la X continua a navigare, senza profilazione.

La prova più semplice la puoi fare tu. Apri il sito in una finestra in incognito, non toccare il banner e guarda cosa parte. Se i pixel dei social o il retargeting si caricano prima di qualsiasi clic, il banner è un ornamento. È uno dei difetti più comuni e il più facile da contestare, perché visibile a tutti.

Si vede da fuori: sì, con gli strumenti di sviluppo di qualsiasi browser.

Verifica 3: i moduli dicono a cosa servono i dati e chiedono un consenso separato per la newsletter?

Il consenso, quando è la base del trattamento, deve essere libero, specifico, informato e inequivocabile (art. 4, n. 11). Deve essere dimostrabile (art. 7, par. 1) e revocabile con la stessa facilità con cui è stato dato (art. 7, par. 3). Tradotto in un modulo: una casella già spuntata non vale e un consenso unico «per tutto» non vale. La newsletter ha la sua casella, separata dalla richiesta di contatto.

Dimostrabile significa che, se qualcuno contesta, puoi mostrare quando ha dato il consenso e a quale testo. Le piattaforme di moduli e di newsletter conservano data, ora e versione del testo. Va solo verificato che lo facciano davvero, e che nessuno importi liste a mano saltando il passaggio.

Si vede da fuori: in parte. Le caselle e i testi sì, la prova del consenso no.

Verifica 4: hai un contratto con chi tratta i dati per te?

Hosting, piattaforma di newsletter, CRM, corrieri, chi gestisce il sito, chi fa le campagne: ognuno tratta dati dei tuoi clienti per conto tuo. L’articolo 28 chiede che il rapporto sia regolato da un contratto o altro atto giuridico. I contenuti sono fissati: istruzioni, riservatezza, sicurezza, subfornitori, assistenza, cancellazione a fine servizio.

Nella pratica, per i grandi fornitori il contratto esiste già: è l’accordo sul trattamento dei dati, spesso chiamato DPA, dentro i termini di servizio. Va trovato, letto e conservato. Per l’agenzia o il consulente locale, invece, spesso non c’è nulla di scritto. È il caso in cui va fatto firmare.

Si vede da fuori: solo l’elenco dei fornitori, se l’informativa li dichiara. I contratti no.

Verifica 5: i tuoi fornitori hanno sede negli Stati Uniti. Su quale base trasferisci i dati?

Statistiche, pixel, newsletter, CRM, chat: una parte dei fornitori più diffusi ha sede negli Stati Uniti. Un trasferimento fuori dall’Unione è lecito solo con una base prevista dagli articoli 44 e seguenti. Nella pratica, per una PMI, le basi utili sono due. La prima è la certificazione del fornitore al Data Privacy Framework, reso operativo dalla decisione di adeguatezza della Commissione europea del 10 luglio 2023. La seconda sono le clausole contrattuali standard, con le valutazioni che le accompagnano.

Il Privacy Shield, che molte informative citano ancora, è stato invalidato dalla sentenza Schrems II del 16 luglio 2020. Un’informativa che lo nomina oggi dice una cosa falsa. E sulle statistiche c’è un precedente italiano che conviene conoscere. Con il provvedimento del 9 giugno 2022 il Garante ha dichiarato illecito il trasferimento verso Google fatto da un sito italiano tramite Google Analytics. Nella configurazione di allora mancava una base valida. Quel quadro è cambiato con il Data Privacy Framework del 2023. Il principio no: il trasferimento va giustificato, fornitore per fornitore.

Si vede da fuori: gli strumenti sì, le basi dichiarate sì. La verifica che il fornitore sia davvero certificato richiede dieci minuti sul registro del Data Privacy Framework.

Verifica 6: esiste un registro delle attività di trattamento?

Il registro (art. 30) è la fotografia di cosa raccogli, perché, per quanto e con chi lo condividi. Di solito è il primo documento che un controllo chiede, perché da lì si capisce tutto il resto. La deroga per chi ha meno di 250 dipendenti esiste, ma il paragrafo 5 la esclude quando il trattamento non è occasionale. Gli ordini di un e-commerce, gli iscritti a una newsletter, i contatti di un CRM non sono occasionali. Nella pratica, per un sito che raccoglie dati con regolarità il registro serve.

Non deve essere un documento legale. Basta una tabella con i trattamenti del sito, i dati, le finalità, i fornitori, i tempi di conservazione e le misure di sicurezza. Copre l’obbligo e, soprattutto, ti dice dove sono i dati quando un cliente chiede di cancellarli.

Si vede da fuori: no. Ma la sua assenza si intuisce da informative generiche e fornitori non dichiarati.

Verifica 7: se un cliente chiede di vedere o cancellare i suoi dati, chi risponde?

Accesso, rettifica, cancellazione, limitazione, portabilità, opposizione: gli articoli da 15 a 21 danno alle persone diritti precisi. L’articolo 12 fissa il termine per rispondere, di regola un mese. La difficoltà non sta nel rispondere, ma nel sapere in quali sistemi stanno i dati: e-commerce, newsletter, CRM, gestionale, backup. Cancellare dal sito e dimenticare la piattaforma di newsletter è il modo classico per trasformare una richiesta ordinaria in un reclamo.

Serve un canale dichiarato nell’informativa, una persona che riceve le richieste e una lista dei sistemi da toccare. Tre righe, non un progetto.

Si vede da fuori: il canale sì. La procedura no.

Verifica 8: se il database viene copiato, chi fa cosa nelle 72 ore?

L’articolo 33 chiede di notificare al Garante una violazione dei dati personali entro 72 ore da quando ne sei venuto a conoscenza. L’eccezione è il caso in cui un rischio per le persone sia improbabile. Se invece il rischio è elevato, l’articolo 34 chiede di avvisare anche gli interessati. Le Linee guida 9/2022 del Comitato europeo per la protezione dei dati (EDPB) spiegano quando scatta la conoscenza e cosa deve contenere la notifica.

Settantadue ore passano in fretta nel pieno di un’emergenza. Senza una procedura scritta si consumano a capire chi chiama chi, cosa è stato copiato e se la notifica va fatta. Chi rientra nella NIS2 ha già un obbligo parallelo con tempi ancora più stretti. Lo abbiamo descritto nel runbook delle 24 e 72 ore. Le due procedure si scrivono insieme.

Si vede da fuori: no. È la verifica più invisibile e quella che costa di più quando manca.

Verifica 9: backup provato, aggiornamenti, accessi con secondo fattore. Valgono anche per il sito?

Sì. L’articolo 32 chiede misure di sicurezza adeguate al rischio. Cita espressamente la capacità di ripristinare la disponibilità dei dati e la verifica regolare dell’efficacia delle misure. Per un sito significa tre cose concrete. Un backup del sito e del database con un ripristino provato almeno una volta, perché un backup mai ripristinato è un’ipotesi. Aggiornamenti regolari di CMS, tema e plugin, che sono una delle vie d’ingresso più comuni. Accesso al pannello di amministrazione con un secondo fattore, non con la sola password.

Sono le stesse misure che proteggono la continuità del tuo lavoro, non adempimenti separati. Le abbiamo raccolte nella checklist di sicurezza per le PMI e, per il backup, nella regola del 3-2-1.

Si vede da fuori: in parte. La versione del CMS e dei plugin spesso sì; backup e accessi no.

Verifica 10: ambienti di test, copie del sito e pannelli sono raggiungibili da fuori?

Quando si rifà un sito, l’agenzia lavora su una copia: un sottodominio, un dominio di appoggio, una cartella. Finito il lavoro, la copia resta online, con gli stessi dati del sito vero e nessuna delle sue protezioni. Un link dimenticato nel piè di pagina, o un motore di ricerca, la rende pubblica. L’articolo 25 chiede protezione dei dati fin dalla progettazione e per impostazione predefinita. L’articolo 32, di nuovo, chiede misure adeguate. Una copia esposta viola entrambi senza che nessuno se ne accorga.

La regola è semplice: ogni ambiente che non è il sito di produzione sta dietro una password o non sta in rete. E ogni tre mesi qualcuno controlla cosa risponde sui domini dell’azienda.

Si vede da fuori: sì. È esattamente il modo in cui lo si scopre.

Le dieci verifiche in una tabella

Elaborazione Aeon Lab sul Regolamento (UE) 2016/679 e sui provvedimenti citati nel testo.

Le dieci verifiche secondo quanto si può osservare dall’esterno del sito. Elaborazione Aeon Lab.

Valutazione d’impatto e DPO: quando servono davvero a chi ha un e-commerce?

Non sempre, e non per il solo fatto di vendere online. La valutazione d’impatto (art. 35) è dovuta quando un trattamento può presentare un rischio elevato. Il Regolamento cita fra i casi tipici la valutazione sistematica delle persone basata sulla profilazione e il trattamento su larga scala di dati particolari. Il responsabile della protezione dei dati, il DPO (art. 37), è obbligatorio fra l’altro in un caso preciso: quando l’attività principale comporta il monitoraggio regolare e sistematico degli interessati su larga scala.

Un e-commerce con poche migliaia di clienti e senza marketing personalizzato di solito non rientra in nessuno dei due. Un e-commerce con un database ampio, retargeting ed email automatiche in base agli acquisti deve almeno porsi la domanda. E mettere per iscritto la risposta. È la valutazione stessa, anche quando conclude che il DPO non serve, a proteggerti.

Cosa rischi davvero, e come parte un controllo

Le sanzioni amministrative arrivano fino al maggiore tra 20 milioni di euro e il 4% del fatturato mondiale totale annuo per le violazioni più gravi (art. 83, par. 5). Per altre, fino al maggiore tra 10 milioni e il 2% (par. 4). L’importo effettivo è graduato su natura, gravità, durata e numero di persone coinvolte. Nessuno di questi massimali descrive il caso tipico di una PMI, ma nessuno dei due è teorico.

Il percorso più frequente è un reclamo di un interessato al Garante (art. 77): una newsletter non richiesta, una cancellazione ignorata, una profilazione non consensuale. Da lì partono richieste di informazioni, a cui va risposto con documenti: informativa, registro, contratti, procedure. Le verifiche 1, 4, 6 e 7 di questo articolo coprono esattamente quei documenti. Il Garante ha anche poteri di indagine propri (art. 58), compresi gli accertamenti presso i titolari.

Il danno più concreto, però, resta l’incidente: un database copiato, un sito bloccato, clienti da avvisare. Le verifiche 8, 9 e 10 servono prima di tutto a questo. Per molte misure dell’articolo 32 vale lo stesso ragionamento fatto per la checklist delle misure minime NIS2: proteggono l’azienda prima che la conformità.

Come ti aiuta Aeon Lab

La parte legale di un’informativa o di un contratto la scrive un consulente privacy. Noi ci occupiamo della parte che sta sotto. Come è costruito il sito, cosa parte dalle sue pagine, dove finiscono i dati, chi può accedere e come si ripristina. Lo facciamo dentro l’IT gestito, insieme a sicurezza e continuità operativa, perché sono le stesse misure. Per i siti web che seguiamo, le dieci verifiche fanno parte della manutenzione.

• Scansione esterna del sito: le verifiche visibili dall’esterno, con un rapporto scritto. È il primo passo del test GDPR del sito, se ci lasci l’indirizzo.
• Mappa dei fornitori e dei flussi: chi tocca i dati, dove, con quale contratto.
• Misure dell’art. 32 sul sito: backup con ripristino provato, aggiornamenti, accessi con secondo fattore, isolamento degli ambienti di test.
• Procedura per le 72 ore, scritta insieme a quella NIS2 dove serve.
• Allineamento con gli altri obblighi che toccano il sito: accessibilità per chi vende online, NIS2 per chi rientra.

Presa in carico entro 4 ore lavorative, intervento on-site entro 24 ore su Roma e provincia.

Chiedi la scansione esterna del tuo sito, gratuita →

Domande frequenti

Un sito vetrina con il solo modulo di contatto deve rispettare il GDPR?

Sì, per i dati che raccoglie: il modulo tratta nome ed email, le statistiche trattano identificativi del browser. Servono un’informativa che lo descriva e un contratto con l’hosting e con gli strumenti terzi. Serve il banner dei cookie se le statistiche non sono anonimizzate. Gli obblighi sono proporzionati, ma non assenti.

Il banner che dice «continuando a navigare acconsenti» è ancora valido?

No. Le Linee guida del Garante del 10 giugno 2021 escludono lo scorrimento come forma di consenso. I cookie non necessari devono restare bloccati finché l’utente non sceglie, e la chiusura del banner con la X deve lasciare le impostazioni predefinite.

Posso ancora usare Google Analytics e i pixel dei social?

Sì, a condizione di avere una base per il trasferimento verso il fornitore e il consenso dove serve. Dal 10 luglio 2023 la certificazione al Data Privacy Framework copre i fornitori statunitensi che vi aderiscono. In alternativa valgono le clausole contrattuali standard. Il provvedimento del Garante del 9 giugno 2022 su Google Analytics riguardava la situazione precedente a quella decisione.

Il registro dei trattamenti è obbligatorio per un e-commerce con cinque dipendenti?

Nella pratica sì. La deroga dell’articolo 30, paragrafo 5, per chi ha meno di 250 dipendenti non si applica quando il trattamento non è occasionale. Gli ordini e gli account di un negozio online non lo sono.

Quanto tempo ho per notificare una violazione?

Settantadue ore da quando ne sei venuto a conoscenza (art. 33), salvo che sia improbabile un rischio per le persone. Se il rischio è elevato, vanno avvisati anche gli interessati senza ingiustificato ritardo (art. 34). Le Linee guida EDPB 9/2022 spiegano come si calcola il momento della conoscenza.

In breve

Il tuo sito tratta dati personali dal primo modulo in poi, e buona parte degli obblighi che ne derivano si vede dall’esterno. Le dieci verifiche sono queste: informativa unica e aggiornata, cookie bloccati prima del consenso, fornitori con un contratto e una base per i trasferimenti, registro, procedure per i diritti e per le 72 ore, backup provato e ambienti di test chiusi. Nessuna richiede di rifare il sito. Richiedono di sapere cosa raccogli e dove finisce. Da lì il resto viene di conseguenza. Per la procedura delle 72 ore vedi la guida al data breach sul sito.

Pubblicato il 19 ottobre 2026.

Fonti

• Regolamento (UE) 2016/679 — artt. 4, 6, 7, 12, 13, 15-21, 25, 28, 30, 32, 33, 34, 35, 37, 44-49, 58, 77, 83.
• Garante per la protezione dei dati personali — Linee guida cookie e altri strumenti di tracciamento, 10 giugno 2021.
• Garante — Provvedimento del 9 giugno 2022 [9782890] sull’uso di Google Analytics da parte di un sito italiano.
• Commissione europea — EU-US data transfers: decisione di adeguatezza sul Data Privacy Framework, 10 luglio 2023.
• EDPB — Guidelines 9/2022 on personal data breach notification under GDPR, versione 2.0.