Il GDPR non è la teoria astratta di un’aula universitaria: è un insieme di obblighi che si calano in modo molto concreto sulle operazioni di un ecommerce. Ogni registrazione utente, ogni ordine, ogni newsletter, ogni cookie di tracciamento è un trattamento di dati personali. Le sanzioni del Garante Privacy italiano, nel 2024, hanno superato gli 80 milioni di euro di importo cumulato, e una buona parte ha riguardato ecommerce e PMI digitali. Il punto non è “rispettare la legge per evitare multe”, ma costruire un assetto in cui privacy e operatività non si ostacolino a vicenda — perché un assetto fatto male costa tempo ogni settimana, oltre a esporre a contestazioni.
L’informativa privacy: cosa contiene davvero
L’informativa privacy ex artt. 13 e 14 GDPR è il primo documento obbligatorio. Va accessibile dal footer di ogni pagina del sito e, in versione sintetica, nei momenti di raccolta dei dati (registrazione, checkout, newsletter). Una buona informativa non è un testo legale di cinque pagine: è un documento chiaro, leggibile, che il visitatore può davvero capire.
Le informazioni minime da includere:
- Titolare del trattamento: chi è (denominazione, sede, contatti, P.IVA).
- Dati di contatto del responsabile della protezione dei dati (DPO), se nominato.
- Finalità del trattamento: per ogni categoria di dati raccolti (registrazione, evasione ordine, marketing, profilazione, customer care).
- Basi giuridiche: per ogni finalità, indicare se si tratta di esecuzione del contratto, consenso, obbligo legale, legittimo interesse.
- Destinatari dei dati: chi vede i dati oltre al venditore (fornitori di servizi, piattaforme di marketing, gateway di pagamento).
- Trasferimenti extra-UE eventuali, con indicazione delle garanzie.
- Periodi di conservazione: per ogni categoria di dati, quanto vengono tenuti e dopo quanto cancellati.
- Diritti dell’interessato: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, reclamo all’autorità.
- Conseguenze del mancato conferimento dei dati.
Il documento va aggiornato quando cambiano fornitori, finalità o strumenti. Un errore tipico: l’informativa indica come destinatario un servizio di email marketing che è stato sostituito sei mesi fa con un altro. Una piccola differenza, ma sufficiente a generare una contestazione se controllata.
Per la cornice complessiva degli obblighi di un ecommerce italiano, il riferimento è il pillar su normativa ecommerce e obblighi per chi vende online.
Basi giuridiche corrette: il punto su cui cadono in molti
Ogni trattamento di dati personali deve avere una base giuridica valida. È il punto su cui cadono le informative scritte male, perché non basta “dichiarare” una base — deve essere quella corretta per quel trattamento specifico.
L’esecuzione del contratto copre la raccolta dei dati necessari per eseguire l’ordine: nome, cognome, indirizzo, dati di contatto, dati di pagamento. Non copre il marketing: vendere a un cliente non autorizza automaticamente a inviargli newsletter promozionali.
Il consenso è la base più visibile, soprattutto per marketing e profilazione. Deve essere libero, specifico, informato, inequivocabile, e deve essere documentabile (chi ha dato il consenso, quando, per cosa). Il consenso pre-spuntato è nullo. Il consenso “in blocco” su finalità diverse è debole. Il consenso va separato dalle altre azioni: il classico checkbox unico “accetto i termini e la privacy policy” è generalmente insufficiente per autorizzare il marketing.
Il legittimo interesse è la base più sopravvalutata. Permette di trattare dati quando il titolare ha un interesse legittimo che prevale sui diritti dell’interessato, dopo aver fatto un bilanciamento documentato (LIA, legitimate interest assessment). Funziona per alcuni casi specifici (sicurezza del sito, prevenzione frodi, alcune analisi statistiche) ma è una base fragile per il marketing e per la profilazione.
Un caso speciale è il soft spam dell’art. 130 Codice Privacy: chi acquista può ricevere email su prodotti simili dello stesso venditore, salvo opposizione espressa comunicata al momento della raccolta e in ogni successiva email. Permette di costruire newsletter post-vendita senza consenso esplicito, ma solo verso clienti attivi e su prodotti analoghi a quelli acquistati.
Sicurezza, DPA con fornitori, gestione dei diritti
Tre fronti operativi spesso trascurati ma decisivi.
La sicurezza dei dati è un obbligo del GDPR. Per un ecommerce significa: certificato SSL/TLS attivo (HTTPS), cifratura dei dati sensibili (carte, password) sia in transito che a riposo, controllo degli accessi al backend con autenticazione a due fattori, backup regolari, procedure di gestione degli incidenti. Non è materiale “tecnico” delegabile interamente al fornitore di hosting: la responsabilità resta del titolare.
Le nomine dei responsabili (DPA) ex art. 28 GDPR sono il fronte più dimenticato. Ogni fornitore che tratta dati personali per conto del titolare deve essere nominato Responsabile con un atto scritto (Data Processing Agreement). Esempi: piattaforma ecommerce, hosting, gateway di pagamento, fornitore email marketing, courier per le spedizioni, software di customer support, agenzia di marketing che vede i dati dei clienti. Lavorare con un fornitore senza DPA significa essere in violazione del GDPR, anche se il fornitore è serio e affidabile. La firma del DPA è una procedura formale che richiede pochi minuti, ma va fatta.
La gestione dei diritti dell’interessato è il terzo fronte. Un utente può chiedere accesso ai propri dati, rettifica, cancellazione, portabilità. Il titolare deve rispondere entro 30 giorni. Un ecommerce maturo ha procedure interne per gestire queste richieste: chi le riceve, dove cercare i dati nei sistemi, come rispondere, come documentare la risposta. Senza procedure, le richieste creano emergenze imbarazzanti.
A questi obblighi si aggiungono il registro dei trattamenti (richiesto da quasi tutte le organizzazioni, in versione semplificata per le PMI), le procedure di data breach (notifica al Garante entro 72 ore in caso di violazione che presenti un rischio), la DPIA (valutazione d’impatto) per trattamenti ad alto rischio. Per gli aspetti specifici sui cookie, che hanno una disciplina propria con le Linee guida del Garante del 2021, c’è l’approfondimento dedicato alla normativa cookie per ecommerce. Per i documenti contrattuali correlati (informative, condizioni di vendita), il riferimento è l’approfondimento sui documenti obbligatori di un ecommerce.
Domande frequenti
Il GDPR si applica a un ecommerce piccolo con pochi clienti?
Sì, senza soglie minime. Il GDPR si applica a chiunque tratti dati personali nel territorio dell’Unione o di interessati nell’Unione, indipendentemente dalla dimensione. Alcuni obblighi accessori (dettaglio del registro dei trattamenti, nomina obbligatoria di un DPO, redazione di DPIA) sono modulati sulla dimensione e sul tipo di trattamento, ma i principi di fondo — informativa, basi giuridiche corrette, sicurezza, gestione dei diritti — valgono per ogni ecommerce, anche piccolo.
Posso usare il modello di informativa privacy generato automaticamente dalla piattaforma?
I generatori automatici sono un punto di partenza, mai un punto di arrivo. Producono testi standard che non corrispondono ai trattamenti reali del tuo ecommerce: fornitori usati, finalità specifiche, periodi di conservazione effettivi, basi giuridiche corrette. Un’informativa generata e non personalizzata è quasi sempre inadeguata. Vale come bozza da rivedere insieme a un consulente, non come documento definitivo.
Quando serve nominare un DPO (Data Protection Officer)?
La nomina è obbligatoria nei casi previsti dall’art. 37 GDPR: trattamenti su larga scala di categorie particolari di dati, monitoraggio sistematico su larga scala, pubblica amministrazione. Per un ecommerce standard, anche di medie dimensioni, la nomina obbligatoria è rara. Resta una scelta volontaria, utile per chi vuole un punto di riferimento esterno qualificato per la gestione privacy. Quando non c’è DPO, le funzioni di coordinamento privacy restano in capo al titolare.
Cosa succede se ricevo una richiesta di cancellazione dei dati da un cliente?
Devi rispondere entro 30 giorni, valutando se la richiesta è applicabile. La cancellazione non è automatica: alcuni dati vanno conservati per obblighi di legge (fatturazione, garanzia, antiriciclaggio). Il titolare deve cancellare quelli per cui non c’è più una base giuridica valida e spiegare al richiedente quali dati vengono conservati e perché. Senza procedure interne, queste richieste diventano fonte di errori — meglio averle predefinite.
