I 4 Documenti Legali Obbligatori 2026

Un e-commerce italiano deve pubblicare quattro documenti. Non è una lista di buone pratiche: ciascuno discende da una norma diversa, con un’autorità diversa e un tipo di conseguenza diverso — ed è proprio questa distinzione che rende la checklist utile.

Chi tratta i quattro documenti come un unico blocco «adempimenti privacy» finisce per curarne uno e trascurare gli altri tre.

Quale documento, quale norma, quale autorità

Documento	Da dove discende	Chi vigila
Informativa privacy	artt. 13-14 GDPR, Codice Privacy	Garante per la protezione dei dati personali
Cookie policy e banner	direttiva ePrivacy, linee guida del Garante	Garante
Condizioni d’uso	diritto dei contratti, Codice del Consumo	giudice ordinario, su contenzioso
Condizioni di vendita	Codice del Consumo, D.lgs. 70/2003	AGCM e giudice ordinario

Due autorità distinte, quindi, e due percorsi distinti. Il Garante apre un procedimento su reclamo; l’AGCM interviene sulle pratiche commerciali scorrette; un cliente scontento va direttamente dal giudice.

1. Informativa privacy

Descrive come raccogli, usi e conservi i dati personali. Gli artt. 13-14 GDPR ne fissano il contenuto minimo: finalità e base giuridica di ogni trattamento, destinatari, tempi di conservazione, trasferimenti extra-UE, diritti dell’interessato.

L’errore più frequente non è l’assenza del documento ma la sua genericità: un’informativa che non nomina gli strumenti effettivamente caricati dal sito. La discrepanza tra il documento e il codice sorgente si verifica dall’esterno in pochi secondi.

Approfondimento: politica sulla privacy obbligatoria: rischi e sanzioni.

Sono due cose, e vanno insieme. La policy elenca i cookie con finalità e durata; il banner raccoglie il consenso.

La regola che conta è il consenso preventivo: nessun cookie non necessario prima del clic. Un banner che compare mentre lo script di analisi ha già caricato non è conforme — e questa è la contestazione più semplice da documentare, perché non richiede alcuna interpretazione.

Il nostro banner cookie gratuito blocca i tracker fino al consenso e si installa in una riga di codice.

3. Condizioni d’uso

Regolano l’uso del sito: creazione dell’account, contenuti pubblicati dagli utenti, proprietà intellettuale, sospensione dell’accesso, limiti di responsabilità.

Non sono imposte da una norma specifica, ma la loro assenza ha un costo concreto: senza clausola di sospensione non hai un fondamento per chiudere un account abusivo; senza regole sui contenuti non hai una base per rimuovere una recensione diffamatoria.

Vedi perché le condizioni d’uso proteggono legalmente il tuo e-commerce e la differenza tra condizioni d’uso e condizioni di vendita.

4. Condizioni generali di vendita

Sono quelle che il Codice del Consumo rende obbligatorie quando vendi a consumatori: prezzi, modalità di pagamento, consegna, diritto di recesso, garanzia legale di conformità.

⚠️ Dal 19 giugno 2026 scatta inoltre l’obbligo del pulsante di recesso elettronico (art. 54-bis del Codice del Consumo): un pulsante ben visibile e accessibile per tutta la durata del termine di recesso. Ogni modello anteriore a quella data lo ignora — vedi il pulsante di recesso obbligatorio 2026.

Evita anche i 5 errori costosi nelle condizioni di vendita.

E le informazioni sull’identità del venditore?

Ogni sito che esercita attività commerciale deve rendere identificabile chi lo gestisce: denominazione, sede, partita IVA, dati di iscrizione al registro delle imprese, contatti. L’obbligo per i siti italiani discende dal D.lgs. 70/2003 sul commercio elettronico e, per le società, dall’art. 2250 del Codice Civile.

⚠️ Una precisazione che questo articolo riportava in modo errato: questo obbligo non deriva dalla legge francese LCEN, e la sanzione di 75 000 € citata altrove è quella prevista dall’ordinamento francese. In Italia il quadro è diverso. Vedi le note legali tenendo presente questa distinzione.

Cosa succede se manca qualcosa

Dipende dal documento, ed è il motivo per cui vale la pena distinguerli.

Informativa o cookie mancanti → reclamo al Garante, richiesta di informazioni, ingiunzione ad adeguarsi. Il massimale dell’art. 83 GDPR esiste ma è riservato ai casi gravi: per una piccola impresa il rischio concreto è il tempo necessario a rispondere.
Condizioni di vendita non conformi → contestazione di un cliente, oppure segnalazione all’AGCM. Qui il rischio è anche commerciale: i processori di pagamento chiedono condizioni complete, e la loro assenza può portare alla sospensione dell’account.
Condizioni d’uso assenti → nessuna sanzione, ma nessuna difesa il giorno in cui serve.

Vale la pena essere precisi su quel massimale, perché è la cifra che circola di più e la meno rappresentativa. Il tetto è fissato dall’articolo 83(5) del GDPR — fino a 20 milioni di euro o al 4 % del fatturato annuo mondiale — ma quel paragrafo elenca le violazioni più gravi dei principi e dei diritti degli interessati, e la sanzione va comunque graduata caso per caso. Per una piccola impresa italiana con l’informativa mancante, l’esito ordinario non è una multa da record: è un reclamo al Garante e il tempo necessario a rispondere.

In conformità del paragrafo 2, la violazione delle disposizioni seguenti è soggetta a sanzioni amministrative pecuniarie fino a 20 000 000 EUR, o per le imprese, fino al 4 % del fatturato mondiale totale annuo dell’esercizio precedente, se superiore:

— GDPR, articolo 83(5)

Come metterti in regola

Un modello gratuito mostra la struttura, ma non conosce i tuoi strumenti, i tuoi fornitori di pagamento né il tuo sortimento — cioè le informazioni che rendono i documenti opponibili.

Il generatore WebLegal produce i quattro documenti coerenti tra loro, adattati alla giurisdizione e non semplicemente tradotti, come acquisto una tantum a partire da 19,90 €. Prima, lo scanner gratuito ti dice quali mancano e quali script partono senza consenso.

La procedura passo passo è in Garante Privacy: metti in regola il tuo sito.