Guida al GDPR e ai cookie per siti web (aggiornata 2026)

Che cos’è il GDPR

GDPR sta per General Data Protection Regulation, cioè il Regolamento generale sulla protezione dei dati personali: il Regolamento (UE) 2016/679, pienamente applicabile dal 25 maggio 2018. In Italia si affianca al Codice Privacy (D.lgs. 196/2003, aggiornato dal D.lgs. 101/2018) e ai provvedimenti del Garante per la protezione dei dati personali.

Il GDPR stabilisce come le organizzazioni possono raccogliere, usare e conservare i dati personali e quali diritti hanno le persone a cui quei dati si riferiscono.

Alcune definizioni utili

• Dato personale: qualsiasi informazione che identifica o rende identificabile una persona (nome, email, telefono, indirizzo IP, identificativi dei cookie…).
• Trattamento: qualsiasi operazione sui dati (raccolta, registrazione, consultazione, invio, cancellazione…).
• Titolare del trattamento: chi decide perché e come trattare i dati, per esempio l’azienda proprietaria del sito.
• Responsabile del trattamento: chi tratta i dati per conto del titolare, per esempio l’hosting, il consulente o il fornitore della newsletter.
• Interessato: la persona a cui si riferiscono i dati.

A chi si applica

Il GDPR si applica a chiunque tratti dati personali nell’ambito di un’attività svolta nell’Unione Europea, anche se i dati sono conservati altrove. Si applica anche alle organizzazioni con sede fuori dall’UE che offrono beni o servizi a persone che si trovano nell’UE o ne monitorano il comportamento, per esempio tramite cookie di tracciamento.

In pratica riguarda quasi tutti i siti aziendali: basta un modulo di contatto, una newsletter, un sistema di statistiche o una mappa di Google.

Le basi giuridiche del trattamento

I dati possono essere trattati solo se esiste almeno una base giuridica (art. 6 GDPR):

• il consenso dell’interessato;
• l’esecuzione di un contratto o di misure precontrattuali richieste dall’interessato (per esempio un preventivo);
• un obbligo di legge (per esempio la fatturazione);
• la salvaguardia di interessi vitali;
• un compito di interesse pubblico;
• il legittimo interesse del titolare, se non prevalgono i diritti dell’interessato.

Il consenso

Quando la base giuridica è il consenso, questo deve essere libero, specifico, informato e inequivocabile, e deve poter essere revocato in qualsiasi momento con la stessa facilità con cui è stato dato. Il titolare deve essere in grado di dimostrare di averlo raccolto (art. 7).

• Caselle non preselezionate e un consenso separato per ogni finalità (per esempio rispondere a una richiesta e inviare newsletter).
• Testi chiari che spieghino come verranno usati i dati, con il collegamento alla privacy policy.
• Conservazione di una prova del consenso: data, ora, versione dell’informativa e modulo compilato. La sola email ricevuta di solito non basta.

Cookie e strumenti di tracciamento

Per i cookie, oltre al GDPR, valgono la direttiva ePrivacy, l’art. 122 del Codice Privacy e le Linee guida del Garante sui cookie e altri strumenti di tracciamento del 10 giugno 2021. In sintesi:

• i cookie tecnici, necessari al funzionamento del sito, non richiedono consenso ma vanno indicati nella cookie policy;
• i cookie di statistica sono equiparati a quelli tecnici solo se i dati sono anonimizzati (almeno in parte dell’indirizzo IP), usati in forma aggregata e non incrociati con altri dati; altrimenti serve il consenso;
• i cookie di profilazione, marketing e dei contenuti di terze parti (mappe, video, pulsanti social) possono essere attivati solo dopo il consenso.

Il banner deve permettere di chiuderlo con una “X” senza accettare nulla, offrire “Accetta” e “Rifiuta” con la stessa evidenza, consentire scelte per categoria e non essere riproposto per almeno sei mesi dopo un rifiuto. Lo scorrimento della pagina non vale come consenso e i cookie non necessari devono restare bloccati finché l’utente non sceglie.

Google Analytics è legale?

Nel 2022 diverse autorità europee, tra cui il Garante italiano (provvedimento del 9 giugno 2022), avevano ritenuto illecito l’uso di Google Analytics (allora la versione “Universal Analytics”), perché i dati venivano trasferiti negli Stati Uniti senza garanzie adeguate.

La situazione è cambiata con il Data Privacy Framework UE-USA, la decisione di adeguatezza della Commissione europea del 10 luglio 2023: Google vi aderisce, quindi oggi il trasferimento dei dati di Google Analytics verso gli Stati Uniti è considerato lecito. Il 3 settembre 2025 il Tribunale dell’UE ha respinto il ricorso contro il Data Privacy Framework; contro la sentenza è stato presentato appello alla Corte di giustizia, quindi è una situazione da tenere d’occhio.

Restano comunque alcune regole pratiche:

• Google Analytics 4 utilizza cookie di terze parti e non rientra tra le statistiche anonimizzate: va attivato solo dopo il consenso dell’utente.
• Dal 2024 Google richiede il Consent Mode v2 per chi misura o fa pubblicità verso utenti dello Spazio economico europeo: il sistema di gestione dei cookie deve comunicare a Google le scelte dell’utente.
• Nella privacy policy vanno indicati l’uso di Google Analytics, le finalità e il trasferimento dei dati verso gli Stati Uniti.

In alternativa si possono usare strumenti di statistica configurati in modo anonimo e senza trasferimenti fuori dall’UE, che rientrano tra i cookie tecnici.

I diritti degli utenti

Gli interessati hanno diritto di accedere ai propri dati, chiederne la rettifica o la cancellazione, la limitazione del trattamento e la portabilità, di opporsi al trattamento (sempre per il marketing diretto), di revocare il consenso e di proporre reclamo al Garante. Il titolare deve rispondere di norma entro un mese.

Trasferimento dei dati fuori dall’UE

I dati possono uscire dall’Unione Europea solo verso paesi con una decisione di adeguatezza (come gli Stati Uniti per le aziende aderenti al Data Privacy Framework) oppure con garanzie adeguate, per esempio le clausole contrattuali standard. Vale per molti servizi usati ogni giorno: email, cloud, newsletter, statistiche.

Privacy by design e by default

La protezione dei dati va prevista fin dalla progettazione di un sito o di un servizio, e le impostazioni predefinite devono raccogliere solo i dati necessari (art. 25).

Data breach

In caso di violazione dei dati (accesso non autorizzato, perdita, furto) il titolare deve notificarla al Garante entro 72 ore, se comporta un rischio per le persone, e avvisare gli interessati se il rischio è elevato. Ogni violazione va comunque annotata in un registro interno.

Il Responsabile della protezione dei dati (DPO)

Il DPO è obbligatorio per enti pubblici, per chi monitora le persone in modo regolare e sistematico su larga scala e per chi tratta su larga scala dati particolari (per esempio sanitari) o giudiziari. Negli altri casi è facoltativo ma può essere utile.

Registro dei trattamenti e valutazione d’impatto

Il registro delle attività di trattamento (art. 30) descrive quali dati si trattano, per quali finalità, con chi vengono condivisi e per quanto tempo si conservano. È obbligatorio per le organizzazioni con almeno 250 dipendenti, ma anche per quelle più piccole se i trattamenti non sono occasionali, come avviene quasi sempre per clienti, fornitori e dipendenti: in pratica conviene a tutte le aziende tenerlo.

La valutazione d’impatto (DPIA) (art. 35) serve quando un trattamento può comportare un rischio elevato, per esempio con videosorveglianza su larga scala, profilazione o dati sanitari.

Le conseguenze del mancato adeguamento

Il Garante può ordinare di modificare o sospendere un trattamento e applicare sanzioni fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore (art. 83). Chi subisce un danno può inoltre chiedere un risarcimento. Le verifiche partono spesso da segnalazioni o reclami degli utenti.

Come mettere in regola il tuo sito

• Fai un elenco dei dati raccolti e dei servizi esterni usati dal sito (moduli, newsletter, statistiche, mappe, video, social, chat).
• Pubblica una privacy policy e una cookie policy specifiche per il tuo sito, raggiungibili da ogni pagina.
• Installa un banner dei cookie conforme, con blocco preventivo degli strumenti non necessari.
• Aggiungi le caselle di consenso ai moduli e conserva la prova del consenso.
• Ripeti il controllo ogni volta che aggiungi un servizio o un plugin al sito.

Sui siti WordPress che realizziamo usiamo Complianz, che scansiona il sito, blocca cookie e script finché l’utente non acconsente, gestisce il Consent Mode v2 di Google, genera cookie policy e privacy policy e conserva il registro dei consensi. Scopri di più nella pagina Privacy e cookie a norma con Complianz o contattaci per una verifica del tuo sito.

Questa guida ha scopo informativo e non sostituisce una consulenza legale. Aggiornata a ottobre 2026.