Banner dei cookie, tracciamento, newsletter: qui avviene la maggior parte delle violazioni della privacy nell’e-commerce. Che cosa vale nel 2026 in Italia secondo GDPR, Codice privacy e Linee guida del Garante, quanto costa e come mettere in sicurezza il Suo shop, con checklist e parte pratica su Shopware.
La maggior parte delle violazioni della privacy nell’e-commerce avviene in tre punti: banner dei cookie, tracciamento e newsletter. Tutti e tre si possono risolvere correttamente con un impegno contenuto.
Nel 2025 le autorità europee hanno inflitto sanzioni GDPR per circa 690 milioni di euro; in Germania, dove ha sede solution25, sono state 249 sanzioni per complessivi 47 milioni di euro circa. Non sono stati colpiti solo i grandi gruppi. Il retailer online Shein ha pagato da solo 150 milioni di euro perché impostava cookie senza consenso.
Chi ha sotto controllo consenso ai cookie, nomine dei responsabili del trattamento e double opt-in copre già la maggior parte dei rischi. La checklist di questo articolo La guida attraverso i dodici punti più importanti per un negozio online in Italia.
Questo articolo si rivolge ai gestori di negozi online in Italia che vogliono mettere in regola il proprio shop senza dover studiare giurisprudenza. Scoprirà quali obblighi valgono davvero nel 2026 secondo il GDPR, il Codice in materia di protezione dei dati personali (D.Lgs. 196/2003) e le Linee guida cookie del Garante per la protezione dei dati personali, dove le autorità guardano con più attenzione e come applicare concretamente i requisiti in Shopware 6.
Da ottobre 2026 sono responsabile della protezione dei dati certificato TÜV e in solution25 seguo i temi privacy dei nostri progetti e-commerce. Gli esempi di questo articolo provengono da audit e progetti reali. L’articolo non sostituisce una consulenza legale, ma mostra dove stanno le priorità.
Un negozio online tratta dati personali quasi in ogni punto: all’apertura della pagina, nel carrello, nel checkout, nella newsletter e nell’account cliente. Per ognuno di questi punti esiste un requisito giuridico chiaro.
| Ambito | Che cosa è richiesto | Base giuridica | Rischio in caso di violazione |
|---|---|---|---|
| Banner dei cookie | Consenso effettivo prima di installare cookie non tecnici, rifiutare semplice quanto accettare | Art. 122 Codice privacy, Linee guida cookie del Garante 2021, art. 6 GDPR | Sanzione, reclamo al Garante |
| Informativa privacy | Completa, aggiornata, con tutti i servizi utilizzati | Art. 13 GDPR | Sanzione, reclamo |
| Checkout | Solo campi obbligatori necessari, acquisto come ospite possibile | Art. 5 GDPR (minimizzazione dei dati) | Sanzione, reclami |
| Newsletter | Double opt-in, consenso documentato | Art. 7 GDPR, art. 130 Codice privacy | Sanzione, reclamo |
| Fornitori | Accordo con il responsabile del trattamento per hosting, pagamenti, strumenti | Art. 28 GDPR | Sanzione |
| Diritti degli interessati | Accesso e cancellazione entro un mese | Artt. 15, 17 GDPR | Sanzione, risarcimento |
| Sicurezza dei dati | Misure tecniche e organizzative, obbligo di notifica in caso di violazione | Artt. 32, 33 GDPR | Sanzione, responsabilità |
Il banner dei cookie è il cantiere privacy più visibile di uno shop e allo stesso tempo la fonte di errore più frequente. Nei nostri audit quasi nessun banner è configurato correttamente al primo controllo.
Quanto possa costare il tema lo mostra il caso Shein. L’autorità francese CNIL ha inflitto nel 2025 una sanzione di 150 milioni di euro perché il retailer installava cookie senza un consenso valido. Non è un caso riservato ai grandi gruppi: in Germania, per esempio, le autorità di controllo verificano ormai attivamente i banner, in parte con scansioni automatizzate. Un banner che avvia il tracciamento prima del clic si dimostra con pochi minuti di verifica.
Consiglio pratico: apra il Suo shop in una finestra di navigazione in incognito con gli strumenti per sviluppatori aperti. Se prima del clic su “Accetta” vengono già installati cookie di marketing o di analisi, è necessario intervenire.
Il GDPR segue il principio di minimizzazione dei dati: si raccoglie solo ciò che è necessario per lo scopo. Per il contratto di vendita servono nome, indirizzo di consegna e di fatturazione, indirizzo e-mail e dati di pagamento; in Italia, per la fattura elettronica, eventualmente codice fiscale o partita IVA. Una data di nascita serve solo se vende merce soggetta a limiti di età. Un numero di telefono è obbligatorio solo se il corriere ne ha davvero bisogno.
Importante è anche l’acquisto come ospite. In Germania la conferenza delle autorità di controllo (DSK) ha chiarito nel 2022 che un account cliente non può essere obbligatorio. Per l’Italia non ci risulta una presa di posizione specifica del Garante, ma il principio di minimizzazione va nella stessa direzione. Consentire l’ordine senza registrazione è anche un vantaggio per la conversion, perché l’obbligo di registrazione è uno dei motivi più frequenti di abbandono del carrello.
Il tracciamento non è vietato, ha solo bisogno di una base corretta. Google Analytics, Meta Pixel e strumenti simili funzionano esclusivamente con il consenso tramite il banner dei cookie. Senza consenso nessun tag può attivarsi, nemmeno “per sicurezza”.
Tre punti che nella pratica mancano spesso: primo, ogni strumento va indicato nell’informativa privacy. Secondo, con Google serve un accordo sul trattamento dei dati, che si stipula nelle impostazioni dell’account. Terzo, il Consent Mode dovrebbe essere integrato correttamente, in modo che i servizi Google rispettino lo stato del consenso. Chi vuole andare sul sicuro valuta anche il tracciamento lato server oppure alternative senza consenso per le statistiche di base: secondo le Linee guida del Garante, i cookie analitici possono essere equiparati a quelli tecnici solo se l’indirizzo IP viene mascherato almeno nella quarta componente, i dati servono solo a statistiche aggregate e il fornitore non li incrocia con altre informazioni. Matomo senza cookie è un esempio di soluzione di questo tipo.
Per la newsletter vale una doppia tutela. Il consenso va confermato con double opt-in: il cliente si iscrive e conferma l’iscrizione tramite un link nella prima e-mail. Solo dopo può inviare comunicazioni promozionali. Registri la conferma con data e ora, perché in caso di contestazione deve dimostrare il consenso.
Per i clienti esistenti c’è un’eccezione, il cosiddetto soft spam ai sensi dell’art. 130, comma 4, del Codice privacy: se ha ottenuto l’indirizzo e-mail nel contesto di una vendita, può inviare comunicazioni su prodotti o servizi analoghi, a condizione che il cliente sia stato informato e possa opporsi in qualsiasi momento, sia al momento della raccolta sia in ogni comunicazione. Questa eccezione è utile, ma viene spesso applicata male. Se manca l’informazione nel checkout, la base giuridica viene meno.
Il Suo shop non funziona da solo. Hosting, provider di pagamento (per esempio PayPal, Satispay o Scalapay), strumento di newsletter, logistica e software di assistenza trattano i dati dei clienti per Suo conto. Con ciascuno di questi fornitori serve un accordo con il responsabile del trattamento ai sensi dell’art. 28 GDPR. Con i grandi fornitori basta un clic nell’area clienti, ma qualcuno deve farlo e archiviarlo.
Con i fornitori fuori dall’UE si aggiunge il trasferimento verso paesi terzi. Per i servizi statunitensi la base principale dal luglio 2023 è l’EU-US Data Privacy Framework: verifichi se il Suo fornitore è certificato. In caso contrario servono clausole contrattuali tipo e una valutazione del rischio. Tenga inoltre un registro delle attività di trattamento ai sensi dell’art. 30 GDPR. Sembra burocrazia, ma in sostanza è una tabella che accelera enormemente qualsiasi audit.
Come dovrebbe essere impostato l’hosting nel complesso lo abbiamo descritto in dettaglio nell’articolo sull’hosting Shopware 2026.
Ogni cliente può chiedere l’accesso ai propri dati, la loro rettifica o la loro cancellazione. Lei ha un mese di tempo. Ciò che molti sottovalutano: anche una semplice e-mail di due righe fa decorrere il termine. Stabilisca quindi internamente chi risponde a queste richieste e come verificare l’identità del richiedente.
Per la cancellazione vale questo: in Italia le scritture contabili e le fatture vanno conservate per dieci anni (art. 2220 del Codice civile) e non vengono cancellate, ma bloccate per ogni altro utilizzo. I dati di marketing, i profili di tracciamento e gli account cliente inattivi richiedono invece un piano di cancellazione con termini chiari.
Shopware 6 offre già molto di ciò che serve. Deve solo essere configurato correttamente. Questi punti li verifichiamo in ogni progetto:
Uno sguardo all’applicazione delle norme mostra che la protezione dei dati non è più una tigre di carta. Nel 2025 in Europa sono state inflitte sanzioni GDPR per circa 690 milioni di euro. In Germania sono state 249 sanzioni per un totale di circa 47 milioni di euro, oltre a più di 10.000 violazioni dei dati notificate. Per l’Italia non riportiamo cifre proprie; le decisioni del Garante sono consultabili sul sito garanteprivacy.it.
| Azienda | Sanzione | Motivo |
|---|---|---|
| TikTok | 530 mln € | Trasferimento illecito di dati verso la Cina |
| 325 mln € | Pubblicità in Gmail senza consenso | |
| Shein | 150 mln € | Cookie senza consenso valido |
| Vodafone | 45 mln € | Carenze presso agenzie partner e nell’autenticazione |
Per gli shop più piccoli contano meno le cifre record che il numero dei procedimenti. In Germania la maggior parte delle sanzioni si colloca tra le quattro e le cinque cifre e riguarda proprio i temi di questo articolo: consensi mancanti, richieste di accesso senza risposta e dati dei clienti non protetti. A questo si aggiungono i reclami degli interessati al Garante e le possibili richieste di risarcimento ai sensi dell’art. 82 GDPR, un rischio particolarmente alto per gli errori visibili come il banner dei cookie.
Deve bloccare i cookie non tecnici fino al consenso, rendere il rifiuto semplice quanto l’accettazione e registrare la scelta. In Italia, secondo le Linee guida del Garante, chiudere il banner con la “X” equivale al rifiuto. Caselle preselezionate, opzioni di rifiuto nascoste e consenso tramite scroll non sono ammessi.
In Italia vale direttamente l’art. 37 GDPR: il responsabile della protezione dei dati (RPD o DPO) è obbligatorio se le attività principali consistono in un monitoraggio regolare e sistematico degli interessati su larga scala o nel trattamento su larga scala di categorie particolari di dati. Non esiste una soglia basata sul numero di dipendenti come in Germania. Molti piccoli shop non ne hanno bisogno, ma devono rispettare il GDPR allo stesso modo.
Sì, con un consenso valido tramite il banner dei cookie, un accordo sul trattamento dei dati con Google e l’integrazione corretta del Consent Mode. Senza consenso lo strumento non deve caricarsi.
Il massimo arriva a 20 milioni di euro o al 4 % del fatturato annuo. In Germania le sanzioni per gli shop più piccoli si collocano realisticamente tra le quattro e le cinque cifre. A queste si aggiungono reclami al Garante e possibili richieste di risarcimento degli interessati ai sensi dell’art. 82 GDPR.
È fortemente consigliato. In Germania le autorità di controllo ritengono che un account cliente non possa essere obbligatorio. Per l’Italia non ci risulta una presa di posizione specifica del Garante, ma il principio di minimizzazione dei dati va nella stessa direzione.
Solo con consenso oppure tramite l’eccezione del soft spam prevista dall’art. 130, comma 4, del Codice privacy. Deve informare il cliente al momento dell’acquisto, promuovere solo prodotti o servizi analoghi e consentire in ogni momento un’opposizione semplice.
È un contratto ai sensi dell’art. 28 GDPR con ogni fornitore che tratta dati per Suo conto: hosting, pagamenti, strumento di newsletter, logistica, software di assistenza. Con la maggior parte dei fornitori lo stipula in formato digitale nell’area clienti.
Entro un mese. Il termine decorre dal ricevimento della richiesta, anche se arriva informalmente via e-mail. Nei casi complessi è possibile una proroga di due mesi, che deve motivare entro il primo mese.
Verifichiamo banner dei cookie, checkout, tracciamento e contratti del Suo shop e Le mostriamo dove è necessario intervenire. Seguiamo anche negozi online in Italia. Come agenzia Shopware applichiamo direttamente le misure, dalla configurazione del consenso al piano di cancellazione.
Richieda il check privacy gratuito
Henrik Schäfer è responsabile della protezione dei dati certificato TÜV e in solution25 segue i temi di protezione dei dati e compliance nei progetti e-commerce. Aiuta i gestori di shop ad applicare i requisiti del GDPR in modo pratico, senza perdere di vista la conversion. Contattaci
Aggiornato a novembre 2026. Prossima revisione dei contenuti: febbraio 2027.
