GDPR e-commerce: checklist completa

Il GDPR è in vigore dal 25 maggio 2018 ma molti e-commerce italiani sono ancora non conformi. Le sanzioni possono raggiungere il 4% del fatturato annuo o 20 milioni di euro e i controlli del Garante sono in aumento costante, spesso innescati da segnalazioni di singoli utenti. Vediamo una checklist operativa completa per mettere in regola il proprio shop online passo dopo passo, dai documenti alla formazione del personale.

I principi fondamentali del GDPR

Il regolamento si basa su sette principi: liceità, correttezza e trasparenza, limitazione delle finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza, accountability. Ogni e-commerce deve dimostrare di rispettarli tramite il principio di accountability, ovvero documentare le scelte fatte con un registro dei trattamenti aggiornato, valutazioni d'impatto se necessario (DPIA) e procedure interne scritte. Non basta essere conformi: serve poter dimostrare di esserlo con documentazione strutturata.

Il registro dei trattamenti

Il registro dei trattamenti è il documento cardine della compliance GDPR. Deve elencare ogni finalità di trattamento (vendita, marketing, assistenza, analytics), le categorie di dati raccolti, le categorie di interessati, le basi giuridiche, i destinatari interni ed esterni, i tempi di conservazione, le misure di sicurezza adottate. Va aggiornato ad ogni nuovo trattamento o fornitore. Si può tenere in formato Excel per piccole realtà o con software dedicati come OneTrust, Privacylab o Lex Spring per aziende strutturate.

Procedura passo-passo

1. Compila il registro dei trattamenti con tutti i flussi di dati gestiti, ordinati per finalità.
2. Verifica le basi giuridiche per ogni finalità di trattamento (contratto, consenso, obbligo legale, interesse legittimo).
3. Aggiorna privacy policy e informativa al momento della raccolta dati con tutti i requisiti dell'art. 13 GDPR.
4. Implementa il principio di privacy by design in ogni nuova funzionalità del sito.
5. Firma accordi di nomina a responsabile (DPA) con tutti i fornitori esterni che processano dati.
6. Predisponi procedure per esercitare i diritti degli interessati entro 30 giorni dalla richiesta.
7. Forma il personale che tratta dati personali con sessioni periodiche e attestato di partecipazione.
8. Definisci una procedura di gestione data breach con notifica al Garante entro 72 ore.
9. Esegui audit interni almeno annuali per verificare la conformità nel tempo.
10. Conserva la documentazione di consensi, log, modifiche policy per almeno 5 anni.

Errori comuni e come risolverli

• Newsletter senza doppio opt-in: il consenso deve essere documentabile, il doppio opt-in con email di conferma è la prassi sicura e dimostrabile.
• Conservare i dati a vita: ogni dato ha una scadenza, gli ordini per scopi fiscali 10 anni, i log di navigazione 6-12 mesi, le newsletter solo finché c'è iscrizione attiva.
• Form con dati eccessivi: chiedere data di nascita o codice fiscale senza necessità viola il principio di minimizzazione, raccogli solo quanto serve.
• Mancata gestione del diritto all'oblio: serve una procedura chiara per cancellare i dati su richiesta entro 30 giorni, mantenendo solo quanto richiesto per legge.
• DPA non firmati con i fornitori: ogni provider esterno (Google, Mailchimp, hosting) deve avere un'accordo scritto di nomina a responsabile esterno del trattamento.
• Mancanza di crittografia in transito: HTTPS è obbligatorio, senza certificato SSL il sito è automaticamente non conforme.

Domande frequenti

D: Il GDPR si applica anche se vendo solo in Italia?
R: Sì, il GDPR è una legge europea direttamente applicabile in ogni Stato membro a partire dall'attività di trattamento dati.

D: Cosa succede in caso di data breach?
R: Devi notificare il Garante entro 72 ore con descrizione dell'evento, dati coinvolti, rischi e misure adottate. Se c'è rischio elevato per i diritti degli interessati, anche gli utenti vanno informati.

D: Posso usare Google Analytics?
R: Sì, ma solo con configurazione anonimizzata (IP anonimizzato, consenso preventivo, retention 14 mesi) o tramite alternative europee come Matomo, Plausible o Simple Analytics.

D: Quanto tempo serve per mettersi a norma?
R: Per un'e-commerce piccolo 1-2 mesi di lavoro, per realtà strutturate 6-12 mesi includendo audit, formazione e implementazioni tecniche.

Trasferimenti dati extra-UE

L'uso di servizi americani come Google, Mailchimp, Stripe, Cloudflare comporta trasferimenti dati extra-UE. Dal 2023 il Data Privacy Framework UE-USA fornisce garanzie per provider certificati, prima si usavano le Standard Contractual Clauses. È necessario verificare che ogni fornitore sia certificato DPF o abbia firmato le SCC, documentando questa verifica nel registro dei trattamenti. Per i provider non conformi vanno valutate alternative europee o adottate misure tecniche aggiuntive come la cifratura end-to-end.

Le sanzioni in casi reali

Tra le sanzioni più note del Garante: 20 milioni di euro a Enel Energia per trattamenti illeciti, 6 milioni a Wind Tre per telemarketing aggressivo, 75.000 euro a una piccola società di e-commerce per cookie policy non conforme e mancata raccolta del consenso. I casi mostrano che anche piccole realtà sono nel mirino. Le segnalazioni partono spesso da singoli utenti consapevoli dei propri diritti che reclamano direttamente al Garante con procedura online in pochi minuti.

Hai bisogno di aiuto?

Se vuoi un'e-commerce ottimizzato dal team di G Tech Group, scrivici tramite il modulo di contatto.