GDPR e il tuo sito: l'essenziale senza gergo

Per mettere in regola un sito con il GDPR servono quattro cose: un’informativa privacy che dica la verità, il consenso raccolto dove serve (e solo dove serve), un cookie banner a norma, e misure di sicurezza adeguate ai dati che tratti. Nei siti che consegno tutto questo è incluso nel prezzo, dai USD 400 della vetrina in su, perché la conformità non è un modulo da vendere a parte: è parte del costruire bene. Vediamo cosa significa ognuna delle quattro, senza gergo.

L’informativa: dire la verità su cosa raccogli

L’informativa privacy è la pagina che spiega quali dati raccogli, perché, per quanto tempo li tieni e chi li tocca. L’errore tipico è copiarne una generica da internet che descrive trattamenti che non fai (o peggio, non descrive quelli che fai). L’informativa giusta è corta e vera: se il tuo sito ha un modulo di contatto e la misurazione del traffico, deve dire esattamente questo, non quindici pagine di ipotesi.

Il metodo pratico: prima si elenca cosa il sito raccoglie davvero (moduli, statistiche, pagamenti, newsletter), poi si scrive l’informativa su quella lista. Mai il contrario.

Il consenso: dove serve e dove no

Non tutto richiede consenso, e chiederlo dove non serve peggiora l’esperienza senza aggiungere tutela. Rispondere a chi ti scrive dal modulo di contatto non richiede una casella in più: è la persona che ti sta chiedendo di essere contattata. La newsletter sì: iscrizione con consenso esplicito, non preselezionato, e disiscrizione a un clic. Usare i dati per uno scopo diverso da quello dichiarato: sempre nuovo consenso.

La regola di fondo del GDPR è il buon senso codificato: raccogli il minimo necessario, usalo per quello che hai detto, buttalo quando non serve più.

Il banner serve solo se usi cookie non tecnici (statistiche, marketing). Le regole italiane sono chiare: niente caselle preselezionate, rifiutare deve essere facile quanto accettare, e gli strumenti di misurazione non partono finché l’utente non acconsente. Un banner fatto bene è discreto e onesto; uno fatto male (il muro che nasconde tutto, il “rifiuta” introvabile) irrita gli utenti ed è pure sanzionabile.

Se il sito è una vetrina senza statistiche né marketing, la notizia buona è che il banner può non servire affatto: meno è meglio, anche qui.

La sicurezza: l’obbligo che nessuno vede

Il GDPR chiede misure di sicurezza adeguate: HTTPS, accessi protetti, backup, aggiornamenti. È la parte invisibile della conformità e quella che pesa davvero in caso di guaio, perché una violazione di dati con rischio per le persone va notificata al Garante entro 72 ore. Ho dedicato un articolo intero a questa parte: sicurezza web di base.

Nei miei progetti la conformità è inclusa e documentata; la manutenzione da USD 30 a 60 al mese la tiene aggiornata nel tempo. I prezzi completi sono nella sezione prezzi.

Domande frequenti

Sì, la conformità dipende da come è costruito il sito e da dove stanno i dati, non dal passaporto dello sviluppatore. Hosting e dati possono stare su server europei, e le regole che applico sono quelle italiane ed europee.

Rischio davvero una sanzione con un sito piccolo?

Le sanzioni milionarie riguardano i colossi, ma il Garante italiano sanziona anche piccole realtà, di solito su segnalazione di utenti irritati. Il rischio più concreto però è reputazionale: un sito palesemente fuori norma comunica trascuratezza.

Il modulo di contatto ha bisogno della casella di consenso?

Per rispondere alla richiesta, basta l’informativa linkata sotto il modulo. La casella serve se vuoi usare quel contatto anche per altro, come inviargli promozioni.

Ho già un sito: puoi metterlo in regola?

Sì: revisione di cosa raccoglie davvero, informativa riscritta su quella base, banner sistemato e sicurezza controllata. Preventivo chiuso per iscritto, come per tutto.

Se l’informativa del tuo sito l’hai copiata da un altro sito nel 2019, è il momento di guardarla. Scrivimi su WhatsApp: in 48 ore hai diagnosi, prezzo e tempi per iscritto.