GDPR siti web: obblighi, cookie e privacy. Cosa deve avere un sito

Si parte da ciò che il sito fa davvero

Una privacy policy utile non è un testo standard scelto per riempire il footer. Deve descrivere trattamenti, finalità, basi giuridiche, tempi e soggetti coinvolti in modo coerente con form, newsletter, analytics, mappe, video, chat e servizi esterni effettivamente presenti.

Il primo passo pratico è un inventario: quali dati raccoglie ogni modulo, dove arrivano, chi vi accede, quali fornitori li trattano e se ci sono script che comunicano con terze parti. Senza questo elenco è difficile capire se documenti e configurazione raccontano la stessa storia.

Cookie: il banner da solo non risolve

Un banner visibile non prova che il consenso sia gestito correttamente. Bisogna distinguere ciò che è necessario al funzionamento del sito da strumenti di misurazione o marketing che possono richiedere scelte specifiche. La configurazione deve rispettare la scelta dell’utente prima che le tecnologie non necessarie entrino in funzione.

Per questo è importante testare il comportamento reale: apri il sito in una sessione pulita, rifiuta o accetta e osserva se le preferenze vengono rispettate. Le regole e le interpretazioni possono cambiare, quindi il confronto con un professionista privacy resta indispensabile per situazioni non standard.

Form e contatti richiedono una filiera chiara

Quando qualcuno compila un modulo, deve capire quali dati sta inviando e per quale motivo. L’attività deve sapere dove finiscono quei messaggi, chi li riceve, per quanto tempo restano disponibili e se sono collegati a strumenti di marketing o CRM.

Ridurre i campi al necessario migliora sia il percorso dell’utente sia la gestione interna. Chiedere più dati di quelli utili “per sicurezza” aumenta responsabilità e rende più difficile mantenere una pratica coerente nel tempo.

La conformità è un controllo periodico

Un sito cambia: si aggiunge un video, si installa una mappa, si sostituisce un form o si collega una newsletter. Ogni cambiamento può modificare il perimetro dei dati trattati. Aggiornare solo il design senza rivedere privacy e cookie lascia facilmente disallineamento tra testo e comportamento.

Programmare una verifica periodica con chi segue la compliance permette di individuare differenze prima che diventino problemi. Dal lato tecnico, è utile mantenere un elenco degli strumenti e delle decisioni prese, così ogni intervento futuro parte da una base verificabile.

Una checklist tecnica da condividere con il consulente privacy

Elenca tutti gli elementi incorporati: analytics, pixel pubblicitari, mappe, video, font esterni, chat, form, newsletter e widget. Per ciascuno indica chi è il fornitore, quale dato può ricevere, quando viene caricato e se può essere disattivato. Questa mappa rende la consulenza legale molto più precisa.

Conserva le versioni delle informative e annota quando sono state aggiornate. Se aggiungi un servizio o cambi piattaforma, verifica subito se il testo e il consenso devono essere rivisti. Rimandare questo controllo alla prossima riprogettazione aumenta il rischio di dimenticare modifiche piccole ma rilevanti.

Testa i form anche come utente: l’informativa è raggiungibile? Il testo vicino al pulsante spiega cosa succede? I messaggi arrivano all’indirizzo corretto? Ridurre l’ambiguità nel percorso migliora insieme trasparenza e usabilità.

Questi controlli non sostituiscono la valutazione di un professionista, in particolare per trattamenti complessi o campagne marketing. Servono a fornire a quel professionista un sito documentato, invece di un insieme di strumenti da ricostruire a posteriori.