Sito web a norma di legge nel 2026: GDPR, cookie banner e obblighi (checklist)

"Il sito è a norma?" è una domanda che ricevo sia da chi vuole un sito nuovo sia da chi ne ha uno da anni e non ci ha mai pensato. Come perito informatico mi capita anche di vedere l'altro lato: reclami, richieste del Garante, contenziosi nati da un modulo di contatto o da un cookie di troppo. Questa checklist raccoglie gli obblighi concreti per un sito di una piccola attività o di uno studio professionale in Italia, senza giuridichese.

1. I dati obbligatori in evidenza

Ogni sito di un'attività economica deve riportare, in modo facilmente raggiungibile (di solito nel footer): denominazione o nome del titolare, sede, partita IVA, contatti (email, e PEC se si tratta di impresa o professionista iscritto), eventuale numero REA e capitale sociale per le società. I professionisti iscritti a un albo indicano l'Ordine e il numero di iscrizione. Chi vende online aggiunge le condizioni generali di vendita e le informazioni sul diritto di recesso.

2. Informativa privacy

Il GDPR impone di informare chi visita il sito su quali dati vengono raccolti, perché, per quanto tempo, chi li riceve e quali diritti ha l'interessato. L'informativa deve descrivere il sito reale: il modulo di contatto, la prenotazione, la newsletter, la chat, le statistiche, i video incorporati, i pulsanti social. Un'informativa copiata da un altro sito, o generata per sembrare completa, è il primo problema che un reclamo fa emergere. Va indicato anche il titolare del trattamento con i suoi contatti e, se presente, il responsabile della protezione dei dati.

3. Cookie banner conforme

Le linee guida del Garante del giugno 2021 fissano le regole: i cookie tecnici non richiedono consenso; quelli di profilazione, statistici non anonimizzati e di terze parti (pubblicità, social, video) sì. Il banner deve avere un pulsante per accettare e uno, altrettanto visibile, per rifiutare o chiudere senza accettare; deve consentire la scelta per categoria; non deve installare nulla prima del consenso; deve permettere di cambiare idea in qualsiasi momento. Lo scroll o la navigazione non valgono come consenso. Il banner con il solo "OK" o con il rifiuto nascosto dietro tre clic non è conforme.

Attenzione a un dettaglio tecnico: il banner non basta, i tag vanno davvero bloccati finché l'utente non acconsente. Molti siti mostrano il banner mentre Google Analytics e il pixel di Facebook sono già partiti. Si verifica in due minuti con gli strumenti del browser, ed è la prima cosa che controllo.

4. Moduli di contatto e prenotazione

Ogni modulo deve avere un'informativa breve o un link a quella completa e, dove serve, una casella di consenso non preselezionata. La trasmissione deve avvenire in HTTPS. I dati raccolti vanno conservati solo per il tempo necessario e protetti: un modulo che invia le richieste a una casella Gmail condivisa, o che le salva su un foglio di calcolo pubblico, è una violazione in attesa di accadere. Per studi medici, psicologi e avvocati il discorso è ancora più delicato, perché la richiesta stessa rivela dati sulla salute o su una vicenda legale: ne ho scritto nell'articolo sui siti per studi professionali.

5. Newsletter e marketing

Serve un consenso specifico, separato da quello per rispondere alla richiesta, con la possibilità di disiscriversi da ogni messaggio. Il doppio opt-in (conferma via email) non è obbligatorio ma è la prova migliore che il consenso esiste. Vietato iscrivere automaticamente chi compila un modulo di contatto o chi ha comprato una volta senza averlo informato.

6. Servizi di terze parti e trasferimenti fuori UE

Font caricati da server esterni, mappe, video incorporati, chat, statistiche: ciascuno trasmette dati (almeno l'indirizzo IP) a un fornitore, spesso fuori dall'Unione. Vanno elencati nell'informativa e, per quelli non tecnici, attivati solo dopo il consenso. Dove possibile conviene scegliere alternative che non trasferiscono dati: font ospitati sul proprio server, statistiche senza cookie, video caricati in modalità privacy.

7. Sicurezza: non solo un obbligo formale

Il GDPR richiede misure adeguate: HTTPS, aggiornamenti, backup, accessi protetti, registro delle attività di trattamento per le realtà strutturate. In caso di violazione (sito compromesso, dati esposti) c'è l'obbligo di notifica al Garante entro 72 ore se c'è rischio per gli interessati. Come perito mi occupo proprio di queste situazioni, e quasi sempre nascono da un sito WordPress non aggiornato: la checklist di sicurezza è il minimo da fare.

8. E-commerce: obblighi aggiuntivi

Condizioni di vendita chiare, prezzi con IVA e costi di spedizione prima del pagamento, conferma d'ordine, diritto di recesso di 14 giorni con modulo tipo, garanzia legale di conformità di due anni, indicazione dei metodi di pagamento e dei tempi di consegna, trattamento dei dati di pagamento tramite fornitori certificati (mai conservare i numeri di carta). Ho riassunto il percorso nella guida su come iniziare un e-commerce.

9. Accessibilità

L'European Accessibility Act, in vigore dal giugno 2025, estende gli obblighi di accessibilità a molti servizi digitali rivolti ai consumatori, con esenzioni per le microimprese. Anche dove non è obbligatoria, un'accessibilità di base (contrasti, testi alternativi, navigazione da tastiera) è una buona pratica che migliora anche il posizionamento.

Checklist rapida

1. Dati del titolare, partita IVA e contatti nel footer.
2. Informativa privacy che descrive il sito reale.
3. Banner cookie con rifiuto visibile e blocco effettivo degli script.
4. Moduli con informativa, consenso e HTTPS.
5. Consenso separato per la newsletter.
6. Elenco dei servizi di terze parti e alternative senza trasferimenti.
7. Aggiornamenti, backup e accessi protetti.
8. Per chi vende: condizioni, recesso, garanzia, prezzi completi.

Quanto costa mettere a norma un sito

Nei siti che realizzo, cookie banner conforme, informative e impostazione corretta dei servizi esterni sono inclusi: un sito vetrina parte da 299 €. Per un sito esistente l'adeguamento rientra in un intervento di restyling o nel canone di manutenzione, a seconda di quanto va sistemato. Le sanzioni GDPR per le piccole realtà non sono quelle da titolo di giornale, ma anche poche migliaia di euro, più il tempo e il danno di immagine, costano più di qualsiasi adeguamento.

Come verificare da soli, in dieci minuti

Prima di chiamare un consulente puoi fare tre controlli. Apri il sito in una finestra in incognito, non accettare il banner e apri gli strumenti del browser nella scheda Rete: se vedi richieste verso domini di statistiche, pubblicità o social, i tag partono senza consenso. Leggi l'informativa privacy e confrontala con il sito: se descrive una newsletter che non hai o non menziona il modulo di prenotazione che usi, va riscritta. Compila il modulo di contatto con un dato di prova e chiediti dove finisce: casella aziendale protetta, gestionale, o un'email personale su un telefono senza codice di blocco? La risposta dice se il trattamento è sicuro. Questi tre controlli coprono la maggior parte dei problemi che trovo nelle verifiche.

Cosa succede in caso di reclamo

Il percorso tipico parte da un cliente o un concorrente che segnala al Garante un banner non conforme o un'email promozionale non richiesta. Il Garante chiede informazioni al titolare, che deve rispondere documentando cosa fa il sito e come raccoglie i consensi. Se il sito è in regola e si può dimostrare, la pratica si chiude; se non lo è, arrivano un'ingiunzione a conformarsi e, nei casi più gravi o reiterati, una sanzione proporzionata alle dimensioni dell'attività. Il punto non è la paura della multa: è che senza documentazione (informative datate, registro dei consensi, configurazione del banner) non si riesce nemmeno a dimostrare di essere in regola. Per questo nei siti che realizzo conservo e consegno al cliente la documentazione delle scelte fatte.

Domande frequenti

Il mio sito è solo una vetrina senza moduli: devo avere il cookie banner?

Se usa solo cookie tecnici no, ma basta Google Analytics standard, un video YouTube o una mappa per farlo diventare necessario. Va verificato cosa carica davvero il sito.

Posso usare un generatore gratuito di privacy policy?

Come base sì, a patto di adattarlo al sito reale. Il problema non è lo strumento ma l'informativa che non corrisponde a ciò che il sito fa.

Chi è responsabile se il sito l'ha fatto un'agenzia?

Il titolare dell'attività. L'agenzia può avere responsabilità contrattuali, ma il Garante si rivolge a chi tratta i dati.

Vuoi sapere se il tuo sito è a norma? Mandami l'indirizzo: faccio una verifica tecnica gratuita di banner, script e informative e ti dico cosa manca. Scrivimi o richiedi un preventivo.