Il GDPR non è "una cosa da grandi aziende". Riguarda anche il sito del panificio sotto casa. E le sanzioni, dal 2018 ad oggi, sono state comminate anche a PMI italiane per violazioni banali: banner cookie fatti male, form contatti senza consenso, log non protetti.
Questa è la checklist operativa per mettere in regola un sito aziendale nel 2026 — senza avvocati, senza costi assurdi.
Le 8 cose che DEVI avere
1. Cookie banner conforme
- Deve apparire prima che venga caricato qualsiasi cookie non tecnico
- Deve avere 3 opzioni chiare: Accetta tutti, Rifiuta tutti, Personalizza
- Le scelte devono essere tra loro equivalenti (non nascondere il "Rifiuta")
- Deve bloccare script di analytics e marketing finché non c'è consenso
- Deve salvare la scelta per un tempo determinato (consigliato: 6 mesi)
2. Privacy Policy
- Titolare del trattamento (nome, P.IVA, email, indirizzo)
- Quali dati raccogli (email, telefono, IP, cookie)
- Perché (finalità) e con quale base giuridica
- Per quanto tempo li conservi
- Con chi li condividi (hosting, email, pagamenti)
- Diritti dell'interessato (accesso, rettifica, cancellazione, portabilità)
- Come contattarti per esercitarli
3. Cookie Policy
- Tabella con: nome cookie, fornitore, finalità, durata
- Distinguere cookie tecnici, analitici, di profilazione
- Link alle informative dei fornitori terzi (Google, Meta, ecc.)
- Istruzioni per disabilitare i cookie dal browser
4. Informativa breve nei form
Ogni form che raccoglie dati (contatti, newsletter, login) deve avere:
- Checkbox non pre-selezionata per il consenso
- Link a Privacy Policy completa
- Se newsletter, consenso separato dal form contatti
- Finalità specifica: "ti ricontatto per il preventivo" ≠ "ti mando newsletter"
5. Registro dei trattamenti
Un documento interno che elenca:
- Quali categorie di dati tratti (clienti, dipendenti, fornitori)
- Per quali finalità
- Dove sono conservati (server, cloud, software)
- Chi vi accede
- Per quanto tempo
Non serve un tomo. Un foglio Excel ben fatto è sufficiente per la maggior parte delle PMI.
6. Nomina dei fornitori come responsabili
Se usi servizi che trattano dati per te (hosting, email, CRM, cloud), devi avere un DPA (Data Processing Agreement) firmato con ciascuno.
- Vercel, Supabase, Resend, Stripe → hanno tutti DPA già pronti da accettare
- Basta attivare il DPA dai loro pannelli, è una formalità
- Senza DPA sei tu il responsabile diretto di eventuali violazioni
7. Misure di sicurezza minime
- HTTPS su tutto il sito (certificato SSL)
- Password di accesso al CMS/sito complesse e cambiate periodicamente
- 2FA sull'email aziendale e sui pannelli hosting
- Backup automatico giornaliero dei dati
- Accesso ai dati limitato a chi serve
8. Procedura data breach
Cosa fai se qualcuno viola i tuoi dati? Devi avere:
- Chi contattare (referente interno)
- Come valutare la gravità
- Entro 72 ore: notifica al Garante (se c'è rischio per gli interessati)
- Comunicazione agli utenti se il rischio è alto
Le 5 violazioni più comuni in Italia
| Violazione | Sanctor tipica |
|---|---|
| Banner cookie senza opzione "Rifiuta" | 5.000-20.000€ |
| Analytics caricati prima del consenso | 3.000-15.000€ |
| Form senza informativa breve | 2.000-8.000€ |
| Privacy Policy assente o incompleta | 3.000-10.000€ |
| Data breach non notificato | 10.000-50.000€ |
La maggior parte di queste violazioni si risolve con 500-800€ di lavoro una volta. Il costo di non farlo è 10 volte tanto.
Checklist finale — 12 punti
- ☐ Cookie banner con 3 opzioni equivalenti
- ☐ Script analytics/marketing bloccati prima del consenso
- ☐ Privacy Policy completa e aggiornata
- ☐ Cookie Policy con tabella dettagliata
- ☐ Informativa breve su tutti i form
- ☐ Checkbox consenso non pre-selezionate
- ☐ Consenso newsletter separato dai contatti
- ☐ Registro trattamenti (foglio Excel)
- ☐ DPA firmati con hosting, email, CRM, pagamenti
- ☐ HTTPS + 2FA + backup automatico
- ☐ Procedura data breach scritta
- ☐ Revisione annuale della documentazione
Quanto costa mettersi in regola
- Fai-da-te completo: 0€ (ma servono 20-30 ore di studio + testi legali da adattare)
- Setup GDPR base (banner + policy + DPA): 499€
- Consulenza legale GDPR (avvocato specializzato): 800-2.500€
- Registro trattamenti + audit: 300-800€
- Manutenzione annuale (aggiornamenti): 150-300€/anno
La strada più sensata per una PMI: setup tecnico (banner + policy) da un'agenzia, consulenza legale solo per il registro trattamenti e i DPA. Così spendi 500-900€ invece di 3.000€.
Errori che vedo ogni settimana
- ❌ Banner che nasconde l'opzione "Rifiuta" in caratteri piccoli
- ❌ Google Analytics che carica prima del consenso (basta controllare il codice)
- ❌ Privacy policy copiata da un altro sito (nome sbagliato = sanzione)
- ❌ "Accetta" senza possibilità di revocare la scelta
- ❌ DPA non firmati con Vercel/Supabase/Stripe (bastano 5 minuti per attivarli)
- ❌ Backup mai testato (backup inutile se non sai ripristinarlo)
Il mio consiglio pratico
Se hai un sito aziendale e non hai mai toccato il GDPR:
- Controlla il banner cookie (è la cosa più facile da sbagliare)
- Verifica che Google Analytics non carichi senza consenso
- Fai scrivere/aggiornare Privacy Policy e Cookie Policy
- Firma i DPA con i tuoi fornitori (Vercel, Supabase, ecc.)
- Crea un foglio Excel con il registro trattamenti (basta mezza giornata)
Fatto questo, sei al 90% della conformità. Il restante 10% sono dettagli che puoi gestire con calma.
Il GDPR non è un nemico. È una tutela — per i tuoi clienti, e per te stesso. Un sito conforme è un sito di cui ti puoi fidare.