Hai un sito da tre anni, funziona, porta anche qualche contatto. Non ci pensi più. Poi un cliente ti scrive: "scusi, non trovo la partita IVA da nessuna parte, è tutto regolare?". Oppure arriva una PEC dal Garante della Privacy perché qualcuno ha segnalato il tuo cookie banner. Succede più spesso di quanto pensi, e quasi sempre per le stesse quattro dimenticanze.
Non è burocrazia fine a se stessa: sono obblighi con sanzioni concrete, e nessuno te li ricorda finché non li violi.
1. Dati societari in home page o in footer
Se il tuo sito è di un'attività commerciale (non un blog personale), la legge (art. 7 del Codice del Consumo, D.Lgs. 70/2003) impone di rendere facilmente accessibili: ragione sociale, sede legale, partita IVA, numero REA se sei una società. Non basta metterli nella pagina "Chi siamo" sepolti in fondo: devono essere raggiungibili in un paio di click da qualunque pagina. La soluzione più comune è un footer fisso con questi dati, ripetuto su tutto il sito.
Costo per sistemarlo: zero, o al massimo un'ora di lavoro di chi gestisce il sito. Eppure su una ventina di siti di PMI che guardiamo, in almeno 5 questi dati mancano del tutto o sono nascosti in un PDF scaricabile che nessuno apre.
2. Cookie banner che chiede il consenso prima, non dopo
Qui la confusione è tanta. Le linee guida del Garante Privacy del 2021 dicono una cosa precisa: se il tuo sito usa cookie di terze parti (Google Analytics, pixel di Facebook, chat esterne), quei cookie non possono partire finché l'utente non ha dato un consenso esplicito. Il banner con scritto solo "Accetta" e senza un vero pulsante "Rifiuta" altrettanto visibile non è a norma. Lo stesso vale se il sito continua a caricare Analytics anche quando l'utente chiude il banner senza scegliere.
Verifica in due minuti: apri il tuo sito in incognito, apri gli strumenti sviluppatore (F12), tab "Network", e guarda se partono richieste verso google-analytics.com o facebook.com prima ancora di aver cliccato qualcosa sul banner. Se sì, hai un problema.
3. Privacy Policy aggiornata, non copiata da un altro sito nel 2019
L'articolo 13 del GDPR obbliga ad avere un'informativa privacy che dica esattamente quali dati raccogli, perché, per quanto tempo li conservi e a chi li giri (spedizionieri, email marketing, hosting). Un'informativa generica scaricata da un template gratuito, che magari cita ancora servizi che non usi più o omette il tuo provider di email marketing attuale, non ti protegge: se il Garante chiede conto, la incoerenza tra quello che dichiari e quello che fai davvero è un'aggravante, non un'attenuante.
4. Se vendi online: diritto di recesso e termini di vendita
Se il sito è anche un e-commerce, si aggiungono altri obblighi: informazioni chiare sul diritto di recesso (14 giorni per il consumatore), termini di vendita, modalità di reso e rimborso, tutte raggiungibili prima che il cliente paghi, non dopo. Un sito vetrina che non vende nulla online non ha questo problema.
Quanto rischi davvero
Le sanzioni del Garante per violazioni sui cookie vanno da poche migliaia di euro a cifre molto più alte per le aziende grandi: per una PMI, nella grande maggioranza dei casi reali, si parte con una diffida a mettersi a norma entro un termine, non con una multa immediata. Ma la diffida arriva quasi sempre dopo una segnalazione di un concorrente scontento o di un cliente infastidito dal banner invasivo — non da un controllo a tappeto. Il rischio reale, più che economico, è l'immagine: un cliente che nota che il tuo sito "non è in regola" si fa un'idea precisa di come gestisci il resto.
Quando non serve preoccuparsi
Se hai un sito vetrina semplice, senza cookie di terze parti (niente Analytics, niente pixel, solo hosting e font), gli obblighi si riducono quasi a zero: basta l'informativa privacy essenziale e i dati societari in footer. Non serve chiamare un consulente legale per un sito di cinque pagine statiche. La complicazione arriva quando aggiungi tracciamento, moduli che raccolgono dati, o vendita online: lì la checklist si allunga davvero.
Checklist rapida
- P.IVA, ragione sociale, sede legale visibili in footer su tutte le pagine
- Cookie banner con "Rifiuta" ben visibile quanto "Accetta", nessun cookie di terze parti prima del consenso
- Privacy Policy che descrive esattamente i servizi che usi oggi, non quelli di tre anni fa
- Se vendi online: recesso, termini di vendita e resi chiari prima del pagamento
Se non sei sicuro di dove stai, il modo più veloce per scoprirlo è farsi controllare il sito da chi lo gestisce tecnicamente insieme a chi si occupa degli aspetti legali: sono due competenze diverse, e serve chi le mette insieme.