GDPR e Cookie nel 2026: metti in regola il sito aziendale

Il cookie banner installato nel 2019 e mai più toccato è, statisticamente, la non conformità più diffusa nei siti aziendali italiani. Nel frattempo sono cambiate le linee guida del Garante, il modo in cui Google raccoglie il consenso e la sensibilità dei controlli. Questa guida è un percorso operativo, scritto da chi il sito lo mette in produzione: cosa serve davvero, cosa è leggenda metropolitana e come si sistema senza smontare il sito.

Nota necessaria: questo articolo tratta gli aspetti tecnici e implementativi. Non sostituisce il parere di un consulente privacy o di un legale, soprattutto se tratti categorie particolari di dati.

I tre livelli da non confondere

• Cookie e tracciamento: regolati dalla normativa ePrivacy e dalle linee guida del Garante. Riguardano ciò che scrivi o leggi sul dispositivo dell'utente
• Trattamento dei dati personali: regolato dal GDPR. Riguarda tutto ciò che fai con i dati, dal form contatti alla newsletter alla telecamera del negozio
• Sicurezza del trattamento: le misure tecniche che proteggono quei dati. Un sito perfettamente documentato ma vulnerabile non è conforme

Molti "adeguamenti" si fermano al primo livello — il banner — e lasciano scoperti gli altri due, che sono quelli su cui si misurano le conseguenze reali in caso di controllo o di incidente.

Il cookie banner fatto bene

Un banner conforme rispetta un elenco di requisiti sorprendentemente concreto:

• Pulsante di rifiuto allo stesso livello di quello di accettazione: stessa evidenza grafica, stessa gerarchia visiva. Il "solo X per chiudere" senza rifiuto esplicito è la contestazione più frequente
• Nessun cookie non tecnico prima del consenso: è il punto che quasi tutti sbagliano. Il banner c'è, ma gli script di tracciamento sono già partiti nell'head. Serve il blocco preventivo reale degli script, non solo la loro dichiarazione
• Scrolling e navigazione non equivalgono a consenso
• Granularità per categoria: tecnici, statistici, marketing, profilazione. L'utente deve poter scegliere per categoria, non solo tutto o niente
• Consenso revocabile in ogni momento: serve un link o un pulsante sempre raggiungibile che riapra le preferenze
• Conservazione della prova: data, ora, versione dell'informativa e scelte effettuate, in forma non identificativa oltre il necessario
• Ripresentazione periodica: la scelta non va richiesta a ogni visita, ma nemmeno considerata valida per sempre. Sei mesi è la prassi diffusa

Il blocco preventivo: come si fa davvero

Tecnicamente, gli script di terze parti non vanno inseriti come normali tag ma neutralizzati fino al consenso — tipicamente cambiando il tipo dello script e attivandolo solo quando la categoria corrispondente viene accettata. Sui CMS esistono soluzioni che lo fanno automaticamente, ma vanno verificate: un plugin installato non è un plugin configurato. Il controllo definitivo dura due minuti e lo puoi fare tu: apri il sito in una finestra anonima, apri gli strumenti per sviluppatori e guarda quali cookie e quali richieste esterne partono prima di toccare il banner.

Analytics e misurazione nel 2026

L'analisi del traffico resta legittima, ma va impostata correttamente:

• Consent Mode nella versione aggiornata è di fatto necessario se usi strumenti Google insieme alla pubblicità: comunica lo stato del consenso e adatta la raccolta di conseguenza
• Anonimizzazione e minimizzazione: raccogli ciò che ti serve per decidere, non tutto ciò che è tecnicamente raccoglibile
• Alternative rispettose della privacy: esistono strumenti di analisi che non usano cookie e non tracciano l'individuo. Su siti vetrina e blog aziendali coprono il 90% delle esigenze reali e semplificano parecchio la conformità
• Trasferimenti extra UE: vanno indicati in informativa con la base giuridica corretta
• Attenzione ai widget dimenticati: mappe, video incorporati, font caricati da server esterni, pixel di campagne concluse anni fa. Sono trattamenti a tutti gli effetti e spesso nessuno se ne ricorda

Informativa privacy: cosa deve contenere

Non la copia incollata dal sito di un concorrente — che è pratica diffusa e controproducente, perché descrive trattamenti che non fai e omette quelli che fai. Gli elementi obbligatori:

• Identità e contatti del titolare del trattamento, con dati reali e verificabili
• Finalità e base giuridica di ogni trattamento (consenso, contratto, obbligo di legge, legittimo interesse)
• Categorie di dati raccolti e origine
• Destinatari e responsabili esterni: hosting, servizio email, CRM, gestore dei pagamenti, agenzia
• Eventuali trasferimenti fuori dall'Unione europea e relative garanzie
• Tempi di conservazione, espressi in modo concreto e non con formule vaghe
• Diritti dell'interessato e modalità pratiche per esercitarli
• Diritto di reclamo al Garante

Va accompagnata da una cookie policy con l'elenco effettivo dei cookie presenti, la loro finalità e la durata. Se l'elenco non corrisponde a quello che il browser mostra realmente, l'informativa è inesatta.

Form e raccolta dati: gli errori più comuni

• Checkbox pre-spuntata per il consenso: mai valida
• Consenso unico per finalità diverse: contatto commerciale e newsletter sono due cose distinte e vanno chieste separatamente
• Consenso obbligatorio per ricevere una risposta: se il dato serve a rispondere a una richiesta, la base giuridica è il contratto o la misura precontrattuale, non il consenso
• Campi non necessari: chiedere partita IVA e indirizzo per un semplice contatto è raccolta eccessiva
• Messaggi che restano in eterno nella casella email e in una tabella del database: definisci e applica un tempo di conservazione
• Assenza di protezione anti-spam rispettosa della privacy: alcuni sistemi antibot sono a loro volta trattamenti da dichiarare

La parte che quasi tutti dimenticano: la sicurezza

Il GDPR chiede misure tecniche adeguate al rischio. Tradotto in pratica, per un sito aziendale:

• HTTPS su tutto il sito, con redirect corretti e certificato rinnovato automaticamente
• Software aggiornato: CMS, plugin e soprattutto la versione di PHP. Un sito su una versione fuori supporto è difficilmente difendibile in caso di incidente. Vedi migrare a PHP 8.4
• Backup verificati e ripristinabili, conservati anche fuori dal server principale: vedi backup e disaster recovery
• Accessi personali e non condivisi, con autenticazione a due fattori sulle utenze amministrative
• Log degli accessi e delle modifiche, indispensabili per ricostruire cosa è successo
• Procedura di gestione della violazione: in caso di data breach il titolare ha un termine molto stretto per la notifica. Improvvisare in quel momento significa sbagliare
• Nomina del fornitore come responsabile del trattamento: chi gestisce il tuo sito e il tuo hosting tratta dati per tuo conto e serve l'accordo scritto

Checklist di adeguamento in dieci punti

• Apri il sito in incognito e verifica quali cookie partono prima del consenso
• Controlla che il pulsante di rifiuto abbia la stessa evidenza dell'accettazione
• Verifica che la revoca del consenso sia raggiungibile da ogni pagina
• Riscrivi informativa e cookie policy sui trattamenti che fai realmente
• Elimina script, pixel e widget di terze parti non più utilizzati
• Separa i consensi dei form per finalità e togli le spunte precompilate
• Definisci i tempi di conservazione e applicali davvero, anche sul database
• Raccogli gli accordi di responsabile con hosting, agenzia e servizi esterni
• Attiva autenticazione a due fattori e backup verificati
• Scrivi una procedura di gestione delle violazioni di una pagina, e falla leggere a chi risponde al telefono

Domande frequenti

Un sito vetrina senza form ha bisogno del banner?

Se non usa cookie di terze parti né strumenti di analisi con tracciamento, non serve il banner di consenso: resta necessaria l'informativa privacy, perché anche i soli log del server contengono dati personali.

Quanto rischio concretamente?

Le sanzioni fanno notizia sulle grandi aziende, ma per una PMI il rischio più concreto è un altro: il reclamo di un utente o di un concorrente, o un incidente con perdita di dati. In entrambi i casi la prima domanda è "cosa avevi predisposto prima". Avere in ordine documenti e misure tecniche cambia radicalmente l'esito.

Basta un plugin per essere a norma?

Un plugin è uno strumento, non una conformità. Serve configurarlo con il blocco preventivo, mappare i trattamenti reali e mantenere la documentazione allineata quando il sito cambia.

Quanto costa mettersi in regola?

Per un sito aziendale standard la parte tecnica è tipicamente una o due giornate di lavoro, più l'eventuale consulenza legale sui documenti. È l'intervento con il miglior rapporto tra costo e rischio evitato tra tutti quelli che consiglio.

MameTech: adeguamento tecnico di siti e applicazioni

Mi occupo della parte tecnica della conformità: blocco preventivo degli script, banner configurato correttamente, revisione dei form, tempi di conservazione applicati sul database, hardening e backup. Lavoro con aziende e professionisti in tutta Italia, in collaborazione con il tuo consulente privacy o legale. Contattami per un audit gratuito: in un'ora ti dico cosa parte prima del consenso sul tuo sito e come sistemarlo.