GDPR e cookie: cosa prevede la normativa italiana

Cos’è il GDPR

Il GDPR (General Data Protection Regulation) è il regolamento europeo sulla protezione dei dati personali, in vigore dal 25 maggio 2018. Si applica a tutte le organizzazioni che trattano dati personali di cittadini dell’Unione Europea, indipendentemente dalla sede dell’azienda.

In Italia il GDPR è integrato dal Codice Privacy (D.Lgs. 196/2003, aggiornato dal D.Lgs. 101/2018) e dalle disposizioni specifiche del Garante per la protezione dei dati personali.

Chi deve adeguarsi

Il GDPR si applica a qualsiasi sito web che raccoglie dati personali di utenti europei. Sono inclusi siti con form di contatto, iscrizioni a newsletter, cookie di analytics, sistemi di tracciamento e strumenti di profilazione.

Non esistono esenzioni per dimensione: anche un sito vetrina con un semplice form di contatto deve rispettare la normativa.

Questo vale per PMI, professionisti, e-commerce, blog e portali istituzionali. La conformità non è facoltativa e non dipende dal volume di traffico del sito.

Obblighi per i siti web italiani

Le Linee Guida del Garante Privacy del 10 giugno 2021, operative dal 9 gennaio 2022, definiscono i requisiti specifici per i siti web italiani in materia di cookie e strumenti di tracciamento.

Informativa e cookie policy

• Ogni sito deve pubblicare un’informativa privacy completa, indicando finalità, base giuridica, tempi di conservazione e diritti dell’interessato.
• Se il sito utilizza cookie non tecnici, deve essere presente una cookie policy separata o integrata nell’informativa, con l’elenco dei cookie installati, le relative finalità e i link alle informative dei servizi terzi.

Cookie banner: i requisiti obbligatori

Il cookie banner è obbligatorio per tutti i siti che utilizzano cookie di profilazione o strumenti di tracciamento non tecnici. I requisiti stabiliti dal Garante sono precisi:

• I pulsanti “Accetta” e “Rifiuta” devono essere presenti allo stesso livello di evidenza visiva. Non è consentito rendere un’opzione più visibile dell’altra.
• Lo scrolling della pagina non costituisce consenso valido. L’utente deve compiere un’azione esplicita e inequivocabile.
• I cookie wall (blocco dell’accesso al sito senza consenso) sono considerati illegittimi, salvo che venga offerta un’alternativa equivalente.
• La scelta dell’utente deve essere registrata e non richiesta nuovamente per almeno 6 mesi, salvo modifiche sostanziali ai trattamenti.
• L’utente deve poter revocare il consenso in qualsiasi momento con la stessa facilità con cui lo ha prestato.

Blocco preventivo

Tutti i cookie e gli strumenti di tracciamento non tecnici devono essere disattivati per impostazione predefinita. L’attivazione può avvenire solo dopo il consenso esplicito dell’utente. Questo principio si applica anche a script di terze parti come analytics, pixel pubblicitari e widget social.

Google Consent Mode v2

Dal marzo 2024, Google richiede l’implementazione del Consent Mode v2 per tutti gli inserzionisti che operano nello Spazio Economico Europeo. Il Consent Mode comunica a Google il livello di consenso prestato dall’utente, consentendo di adattare il comportamento dei tag di Google (Analytics, Ads, Tag Manager) senza compromettere la conformità.

L’assenza del Consent Mode v2 può comportare la perdita di dati nelle piattaforme pubblicitarie e di analytics, con un impatto diretto sulle campagne e sulle capacità di misurazione.

Sanzioni: cosa prevede la normativa

Il GDPR prevede sanzioni amministrative pecuniarie fino a 20 milioni di euro o fino al 4% del fatturato annuo globale dell’azienda, applicando l’importo più elevato tra i due.

A livello europeo, le sanzioni cumulative hanno superato i 6 miliardi di euro dalla piena applicazione del regolamento. L’Italia è tra i Paesi più attivi sul fronte ispettivo.

Le cifre per PMI indicano gli importi più frequenti nei provvedimenti del Garante Privacy italiano. L’importo effettivo dipende dalla gravità, dalla durata della violazione e dal grado di cooperazione.

Checklist di conformità per il tuo sito

Una verifica rapida per capire se il tuo sito rispetta i requisiti fondamentali del GDPR e delle Linee Guida del Garante.

Come Permissor semplifica la conformità

Permissor gestisce in modo automatico i principali requisiti normativi, riducendo al minimo gli interventi manuali e il rischio di errore.

Cookie banner conforme

Il banner Permissor rispetta le Linee Guida del Garante: pulsanti Accetta e Rifiuta allo stesso livello di evidenza, nessun dark pattern, gestione completa delle preferenze per categoria di cookie.

Blocco preventivo degli script

Tutti i cookie e i tracker non tecnici vengono bloccati automaticamente prima del consenso dell’utente. L’attivazione avviene solo dopo una scelta esplicita.

Registro delle prove di consenso

Ogni consenso viene registrato con data, ora, preferenze selezionate e identificativo anonimizzato. L’archivio è consultabile dal pannello e utilizzabile in caso di verifica o ispezione.

Google Consent Mode v2 integrato

Permissor è compatibile con Google Consent Mode v2 e supporta nativamente Microsoft Consent Mode (UET, Clarity). L’integrazione è attiva di default, senza configurazioni aggiuntive.

Aggiornamenti normativi automatici

Quando il quadro normativo cambia, le configurazioni vengono aggiornate dalla piattaforma. Non è necessario monitorare le evoluzioni regolamentari o intervenire manualmente.

Scansione automatica dei cookie

Permissor esegue una scansione periodica del sito per identificare i cookie e i tracker presenti, aggiornando automaticamente la cookie policy con le informazioni rilevate.