GDPR e marketing: cosa controllare
Il GDPR è attivo dal 2018 ma molte PMI italiane continuano a sbagliare le basi: cookie banner non conformi, consensi email non tracciabili, profilazione senza base giuridica. Le sanzioni del Garante Privacy possono arrivare a milioni di euro. In questa guida vediamo una checklist pratica per verificare la conformità del tuo marketing.
I 5 ambiti più a rischio
1. Cookie banner: il banner deve avere "Accetta", "Rifiuta" e "Personalizza" con uguale visibilità'. 2. Newsletter: serve consenso esplicito, separato da altri (es. checkbox indipendente non pre-spuntato). 3. Lead form: privacy policy linkata, finalità chiare, base giuridica corretta. 4. Remarketing: richiede consenso preventivo. 5. Tracciamento e analytics: Google Analytics 4 con anonimizzazione e Consent Mode v2.
Cosa serve documentare
Devi essere in grado di dimostrare al Garante: quando l'utente ha dato il consenso, per cosa, con che testo era la richiesta, come lo ha dato (checkbox, doppio opt-in). Marketing automation come Brevo, ActiveCampaign, HubSpot tracciano automaticamente. Se gestisci email manualmente, devi conservare almeno screenshot del form e timestamp.
Checklist GDPR per il marketing
Una checklist sintetica per verificare la conformità GDPR del tuo marketing italiano. Cookie banner: tre pulsanti (Accetta, Rifiuta, Personalizza) con uguale visibilità grafica, scroll del sito non equivale a consenso, gestione granulare per categoria (necessari, analitici, marketing, profilazione).
Newsletter: form con checkbox separato dal consenso al trattamento dati, doppio opt-in attivo (email di conferma), unsubscribe in ogni email con un click, tracciamento data e contesto del consenso, conservazione delle prove per almeno 5 anni.
Lead form: privacy policy linkata accanto al pulsante invio, finalità specifiche elencate (marketing, profilazione separati), base giuridica documentata, retention dei dati definita, possibilità di revocare il consenso facilmente.
Tracciamento: GA4 configurato con IP anonimization, Consent Mode v2 implementato, Google Ads conversioni server-side dove possibile, Meta Pixel solo dopo consenso, no tracking di terze parti senza opt-in.
Database e contatti vecchi: verifica del consenso per ogni contatto, ri-engagement campaign per contatti senza prove di consenso, cancellazione di chi non risponde, no acquisto di liste contatti (quasi sempre illegale).
Trasferimenti dati USA: clausole contrattuali standard con fornitori USA, verifica adesione al Data Privacy Framework dove possibile, alternative europee per servizi critici.
Multe del Garante Privacy: casi reali italiani
Esempi di sanzioni reali aiutano a capire le aree di rischio concrete. 2023: una grande catena italiana di abbigliamento ha ricevuto 800.000 euro di multa per profilazione dei clienti senza consenso esplicito separato. Il consenso al trattamento dati era genericamente "firmato" all'iscrizione fidelity card senza specificare le finalità marketing.
2023: una PMI italiana di servizi B2B è stata sanzionata 50.000 euro per invio di email commerciali a contatti acquisiti da database esterni senza consenso, classico caso di liste comprate.
2024: un'e-commerce è stato sanzionato 150.000 euro per cookie banner non conforme ("accetta" evidenziato e "rifiuta" molto meno visibile) e per profilazione comportamentale senza opt-in granulare.
2024: una società del settore salute è stata multata 300.000 euro per data breach (esposizione dati clienti per configurazione cloud errata) con notifica al Garante oltre il termine di 72 ore previsto dal GDPR.
I tre pattern ricorrenti sono: consenso non specifico, cookie banner non conformi, data breach gestiti male. Per le PMI italiane, i primi due sono rischi quotidiani che molti sottovalutano. Investire 2.000-5.000 euro in audit GDPR fatto da un DPO esterno costa molto meno della prima sanzione.
Audit GDPR annuale: verifica strutturata di cookie banner, consensi attivi, retention dei dati, sicurezza tecnica, accordi con fornitori (DPA). Documentazione conservata 5+ anni come prova in caso di controllo del Garante.
Procedura passo-passo
- Audit dei consensi attuali: hai documentazione per ogni contatto in lista?
- Aggiorna il cookie banner: tre pulsanti pari peso, granularità per categoria.
- Implementa Consent Mode v2: serve per usare Google Ads e GA4 in modo conforme.
- Revisiona policy privacy: aggiornata negli ultimi 18 mesi? Linkata da ogni form?
- Forma il team marketing: chi gestisce email e ads deve conoscere le basi.
Errori comuni e come risolverli
- Cookie banner con "Accetta" evidenziato e "Rifiuta" nascosto: pratica sanzionata.
- Newsletter senza opt-in tracciato: se contesta, non puoi dimostrare il consenso.
- Acquisto liste contatti: quasi sempre illegale, GDPR vieta uso senza consenso del titolare originale.
- Trasferimento dati USA senza tutela: dopo il Data Privacy Framework si può ma con clausole specifiche.
Domande frequenti
D: Devo nominare un DPO?
R: Obbligatorio solo se profili sistematicamente larga scala o tratti categorie particolari. Per la maggior parte delle PMI non è obbligatorio ma consigliato.
D: Quanto sono le sanzioni reali?
R: Il Garante italiano ha sanzionato PMI da 5.000 a 100.000 euro per violazioni GDPR. I casi gravi (200.000+) sono per aziende grandi.
D: Pose contatti del 2020 nel CRM, sono ancora utilizzabili?
R: Sì, se erano stati raccolti con consenso valido e finalità marketing. Conserva la prova del consenso.
Hai bisogno di aiuto?
Se vuoi affidare il web marketing al team di G Tech Group, scrivici tramite il modulo di contatto.