Un e-commerce raccoglie rapidamente dati: identità, indirizzi, ordini, account, messaggi, newsletter, cookie pubblicitari e statistiche. Nel settore esoterico possono rivelare indirettamente interessi personali. Il GDPR non è quindi soltanto un banner cookie installato una volta.
Raccogliere solo dati utili
Ogni dato deve avere una finalità. L'indirizzo serve a consegnare; una data di nascita completa potrebbe non servire a vendere incenso. Più dati si raccolgono, maggiori sono le responsabilità in caso di accesso non autorizzato o uso scorretto.
I moduli devono distinguere campi obbligatori e facoltativi.
Newsletter B2C: il consenso è la regola
Per comunicazioni commerciali elettroniche ai privati è generalmente necessario un consenso preventivo, libero, specifico, informato e inequivocabile. Una casella dedicata non preselezionata è il metodo classico.
Esiste una deroga per alcuni clienti già acquirenti di prodotti o servizi simili della stessa impresa, alle condizioni previste. Aprire un account senza comprare non basta per beneficiare dell'eccezione.
Ogni messaggio deve permettere un'opposizione facile
Disiscriversi deve essere semplice ed efficace. Obbligare ad accedere a un account di cui si è dimenticata la password ostacola il diritto. Sincronizzate le preferenze: un indirizzo cancellato dalla newsletter non deve essere reimportato da un vecchio elenco.
Cookie: requisiti diversi
I tracciatori strettamente necessari al servizio richiesto possono essere esenti da consenso: autenticazione, carrello o sicurezza, ad esempio. Cookie pubblicitari, personalizzazione e alcuni tracciatori social lo richiedono invece.
Alcuni strumenti di analisi del pubblico possono essere esenti soltanto con requisiti rigorosi. Installare uno strumento noto non significa automaticamente esenzione.
Rifiutare deve essere semplice quanto accettare
Il banner non deve spingere artificialmente verso « accetta tutto ». Le scelte devono essere comprensibili e il rifiuto accessibile senza percorsi ingannevoli. Bisogna poter modificare la decisione in seguito.
Attenzione ai pixel nelle email
Gli strumenti di marketing possono integrare pixel per rilevare aperture o comportamenti. La CNIL ha chiarito ulteriormente nel 2026 le norme applicabili. Controllate le funzioni attive per impostazione predefinita nel software di emailing invece di considerarle tutte necessarie.
Documentare i trattamenti
Anche un piccolo negozio dovrebbe tenere un elenco di strumenti: Shopify, pagamenti, corrieri, newsletter, analytics, pubblicità, assistenza e contabilità. Per ognuno registrate dati trattati, finalità, durata e fornitori.
Questo aiuta a rispondere ai clienti e individuare applicazioni dimenticate che ricevono ancora informazioni.
La sicurezza rientra nel GDPR
Account amministrativi condivisi, password deboli e app inutilizzate sono rischi concreti. Autenticazione multifattore, permessi corretti e rimozione degli accessi degli ex collaboratori sono misure semplici.
Quando il negozio cresce, la gestione dei dati deve seguirlo come magazzino e liquidità.
Fonti ufficiali
CNIL — Commercio e pubblicità · CNIL — Comunicazioni commerciali via email · CNIL — Cookie e tracciatori: norme applicabili · CNIL — Cookie e altri tracciatori