Il Garante per la protezione dei dati personali è una delle autorità più attive in Europa. Ma il modo in cui interviene è spesso frainteso, e da questo fraintendimento nascono due decisioni sbagliate: chi si paralizza davanti al massimale teorico, e chi non fa nulla perché «tanto controllano solo le grandi aziende».
Questa guida spiega cosa il Garante guarda per primo, come si svolge concretamente un accertamento e quali documenti ti mettono in regola.
Cosa guarda il Garante, e in che ordine
Un accertamento su un sito parte da ciò che si vede dall’esterno, senza accesso ai tuoi sistemi. Tre aree concentrano la gran parte delle contestazioni.
1. I cookie caricati prima del consenso. È il primo controllo perché è il più semplice: si apre la pagina, si guardano le richieste di rete e si verifica se un tracker è partito prima di qualsiasi clic. Non serve interpretazione — o la richiesta è partita, o non è partita. Le linee guida del Garante in materia di cookie sono esplicite sul consenso preventivo.
2. L’informativa privacy assente o generica. Un documento che parla di «alcuni dati» e «terze parti» senza nominare né gli strumenti né le finalità né le basi giuridiche è riconoscibile a colpo d’occhio. Quando l’informativa non nomina strumenti che il sito carica visibilmente, la discrepanza è essa stessa il rilievo.
3. Le condizioni di vendita per gli e-commerce, che ricadono sotto il Codice del Consumo prima ancora che sotto il GDPR.
Per la portata reale delle sanzioni, vedi la rassegna sui casi recenti di multe del Garante e la classifica delle 15 sanzioni più alte in Italia.
Come si svolge davvero un procedimento
Qui la pratica si discosta da come viene raccontata.
Il procedimento nasce quasi sempre da un reclamo — un visitatore, un ex dipendente, a volte un concorrente — molto più raramente da un controllo programmato. Il Garante apre con una richiesta di informazioni: hai un termine per rispondere e per documentare i tuoi trattamenti.
Da lì le strade sono tre: archiviazione, ingiunzione ad adeguarsi entro un termine, oppure sanzione. Per un sito piccolo con una lacuna documentale, la seconda è di gran lunga la più frequente. Il massimale di 20 milioni di euro dell’articolo 83 esiste, ma è parametrato a gravità, durata, intenzionalità e fatturato: non è il punto di partenza, è il tetto.
⚠️ Questo non significa che il rischio sia trascurabile. Significa che il rischio principale non è la multa: è il tempo. Rispondere a una richiesta di informazioni, ricostruire i propri trattamenti e adeguarsi entro un termine costa settimane a chi non ha nulla di pronto.
I documenti che ti mettono in regola
- Informativa privacy ex artt. 13-14 GDPR, che descriva i tuoi trattamenti reali: finalità, basi giuridiche, destinatari, tempi di conservazione, diritti dell’interessato. Cosa deve contenere lo spieghiamo in privacy policy obbligatoria: rischi e sanzioni.
- Cookie policy e banner a consenso preventivo, che blocchi i tracker fino al consenso. Il nostro banner cookie gratuito lo fa in una riga di codice, e l’articolo sui 37 tracker da bloccare elenca quali.
- Condizioni di vendita per gli e-commerce, generabili con il generatore gratuito.
L’elenco completo è nei 4 documenti legali obbligatori.
L’errore più rischioso: copiare un’altra informativa
Copiare l’informativa di un altro sito sembra la scorciatoia ovvia. È invece il modo più rapido per costruirsi un rilievo.
Un’informativa copiata descrive i trattamenti di qualcun altro: i suoi strumenti, i suoi fornitori, i suoi tempi di conservazione. Se il tuo sito carica un widget di chat che il documento non nomina, o se il documento nomina un CRM che non usi, la contraddizione è documentata prima ancora che qualcuno faccia una domanda.
C’è anche un effetto meno ovvio: un’informativa copiata da un sito più grande promette spesso più di quanto tu possa mantenere — un responsabile della protezione dei dati che non hai nominato, tempi di risposta che non puoi rispettare.
Metterti in regola, in pratica
- Scansiona il tuo sito — gratis, in trenta secondi: quali tracker partono prima del consenso, quali documenti mancano, cosa dicono davvero quelli che pubblichi.
- Genera i documenti sui tuoi dati reali, rispondendo a poche domande sui tuoi strumenti e sulle tue finalità.
- Pubblica il banner e i documenti, e collegali dal footer di ogni pagina.
Acquisto una tantum a partire da 19,90 €, senza abbonamento. Lo scanner e il banner restano gratuiti.
Ogni quanto rivedere i documenti
Ogni volta che cambia un trattamento: un nuovo strumento di analisi, un nuovo fornitore di pagamento, un modulo di iscrizione alla newsletter, una chat. Sono proprio queste aggiunte, fatte senza toccare l’informativa, a creare nel tempo lo scarto tra quello che il sito dichiara e quello che fa.
In assenza di cambiamenti, una revisione annuale è ragionevole. Nella maggior parte dei casi rivela che qualcosa è cambiato comunque.
Conclusione
Evitare un rilievo del Garante non richiede un avvocato: richiede documenti aderenti ai tuoi trattamenti reali e un banner che blocchi davvero. Chi viene contestato non è quasi mai chi ha sbagliato una clausola sottile — è chi ha copiato, o chi ha lasciato partire un tracker prima del consenso.
Parti dalla diagnosi: scansiona il tuo sito e confronta ciò che carica con ciò che dichiari.
