Un sito web a norma, prima di tutto, fa davvero quello che i suoi testi legali dichiarano, ed è lì che nascono quasi tutti i problemi che trovo. Sono Martina Tempesta, web designer a Roma con MarTe Graphics: non sono un avvocato e non do consulenza legale, ma controllo la parte tecnica, cioè cosa parte nel sito, quando e con quale consenso. È il punto in cui le cose, spesso, non tornano.
In breve: fra le cose che controllo per prime ci sono i dati dell’attività visibili, una privacy policy scritta per quel sito e, se il sito usa strumenti che richiedono il consenso, un banner che lascia rifiutare con la stessa facilità con cui si accetta e che non attiva quegli strumenti prima della scelta. Le foto devono essere tue o usate con licenza. L’accessibilità, con il decreto legislativo 82 del 2022, è obbligatoria solo per alcuni prodotti e servizi, e le microimprese che forniscono servizi ne sono esentate.
Cosa deve avere un sito per essere in regola?
Il sito di una piccola attività, per essere in regola, ha di solito cinque elementi: i dati dell’attività visibili, una privacy policy scritta per quel sito, una cookie policy e, se il sito usa strumenti che lo richiedono, un banner che chiede il consenso prima di attivarli, moduli con l’informativa e foto e testi che hai il diritto di usare. L’accessibilità si aggiunge solo in alcuni casi.
Cosa guardo per primo su un sito
- I dati dell’attività, a partire dalla partita IVA nella pagina iniziale.
- Privacy policy e cookie policy raggiungibili da ogni pagina, con link che funzionano.
- Il banner: cosa propone e, soprattutto, cosa fa partire prima della scelta.
- I moduli: informativa visibile e consensi separati per le comunicazioni promozionali.
- Le foto e i video: da dove vengono e con quale permesso.
- Gli strumenti esterni: statistiche, mappe, video, chat, pulsanti dei social.
Una precisazione: io mi occupo della parte tecnica, cioè che il sito faccia quello che i testi dicono. I testi legali, le valutazioni sul tuo caso e le scelte sui dati spettano a te: per quelle ne parli con il tuo legale o consulente privacy, e io metto in pratica sul sito quello che decidete.
Il banner dei cookie che hai è davvero a norma?
Un banner dei cookie è a norma quando lascia una scelta vera. Secondo le linee guida sui cookie del Garante per la protezione dei dati personali, del 10 giugno 2021, rifiutare deve essere semplice quanto accettare, chiudere il banner con la X deve lasciare attivi solo i cookie tecnici e scorrere la pagina non vale come consenso.
| Aspetto | Banner da sistemare | Banner in regola |
|---|---|---|
| Rifiuto | Solo «OK» o «Accetta» | Rifiuto o X con la stessa evidenza di «Accetta» |
| Scorrimento | «Continuando a navigare accetti» | Scorrere la pagina non vale come consenso |
| Prima della scelta | Statistiche e social già attivi | Solo i cookie tecnici |
| Dopo la scelta | Il banner ricompare a ogni visita | La scelta resta valida, e si chiede di nuovo dopo almeno sei mesi o se cambia qualcosa |
| Informativa | Link rotto o testo di un altro sito | Cookie policy di quel sito, sempre raggiungibile |
Sono regole che il Garante applica davvero. Nel febbraio 2025, per esempio, ha ammonito una ditta individuale il cui banner aveva un solo pulsante, «OK», e trattava come consenso anche la chiusura del banner e lo scorrimento della pagina; in più il banner ricompariva a ogni visita. Il controllo faceva parte di una campagna di verifiche online svolte con la Guardia di Finanza su commercio elettronico, vendita di auto, turismo e trasporti.
Gli errori che trovo io sono spesso meno vistosi. Sul sito di uno studio professionale il link alla cookie policy, in fondo a ogni pagina, portava a una pagina inesistente per un errore di battitura nell’indirizzo: il banner rimandava a un’informativa che nessuno poteva leggere. Su altri siti il banner blocca la verifica antispam del modulo, che viene da un servizio esterno, e chi rifiuta i cookie non riesce più a scriverti. In quei casi scelgo una verifica che non abbia bisogno del consenso, oppure lascio al visitatore un altro modo per contattarti: ne parlo nell’articolo sullo spam dal modulo contatti.
Le statistiche e i pulsanti social partono prima del consenso?
Spesso sì, ed è l’errore più frequente fra quelli che non si vedono. Il banner c’è e ha i pulsanti giusti, ma lo strumento di statistiche, il codice pubblicitario o il video incorporato si attivano appena la pagina si apre, prima che il visitatore abbia scelto. In quel caso il banner chiede un permesso per qualcosa che è già successo, e l’informativa descrive un sito diverso da quello vero.
Su un sito che ho preso in carico, uno strumento di statistiche che registra come i visitatori si muovono nelle pagine partiva prima di qualsiasi scelta. E la privacy policy, nello stesso sito, dichiarava che non veniva usato nessuno strumento di statistica. Due errori che si coprivano a vicenda: chi leggeva l’informativa era rassicurato, mentre il sito raccoglieva dati. Nel sito nuovo lo strumento parte solo dopo il consenso; il testo della privacy, che è del titolare, va corretto da chi lo segue.
Non tutte le statistiche richiedono il consenso. Le linee guida del Garante equiparano ai cookie tecnici gli strumenti di statistica solo a condizioni precise: indirizzo del visitatore mascherato, dati usati in forma aggregata e per quel solo sito, nessun incrocio con altri dati da parte del fornitore. Se manca anche una sola condizione, serve il consenso. E anche quando il consenso non serve, lo strumento va descritto nell’informativa.
Cosa non fare: fidarti del fatto che il banner «c’è». La verifica si fa guardando cosa parte davvero quando la pagina si apre, prima e dopo il rifiuto: è un controllo tecnico che faccio con strumenti appositi, pagina per pagina.
Una privacy policy copiata da un altro sito va bene?
No. La privacy policy descrive i trattamenti di quel sito specifico: chi è il titolare, quali dati raccogli, con quali strumenti, per quanto tempo e a chi li passi. Copiata da un altro sito descrive i trattamenti di un’altra attività, con un altro titolare e altri strumenti, e quindi dice cose false sul tuo. È uno degli errori più comuni nei siti con qualche anno.
Cosa deve dire, fra le altre cose, una privacy policy
- Chi è il titolare e come contattarlo.
- Quali dati raccogli e per quali finalità.
- Su quale base giuridica li tratti.
- A quali fornitori li passi, anche fuori dall’Unione europea.
- Per quanto tempo li conservi.
- Quali diritti ha chi ti affida i suoi dati, compresi la revoca del consenso e il reclamo al Garante.
Sono alcuni dei contenuti che l’articolo 13 del Regolamento europeo sulla protezione dei dati chiede di comunicare. Su un sito che ho preso in carico la cookie policy era copiata da un altro sito: descriveva cookie e servizi che lì non c’erano e non diceva niente di quelli presenti davvero. Nel sito nuovo l’ho segnalata come testo da rifare, invece di ricopiarla.
La privacy va anche tenuta aggiornata. Ogni volta che aggiungi uno strumento, una chat, un sistema di prenotazione, una newsletter, il testo deve dirlo. Un’informativa scritta bene cinque anni fa può essere sbagliata oggi, se nel frattempo il sito è cambiato.
Le foto prese da internet: cosa rischi?
Usare una foto trovata su internet senza averne il permesso ti espone a una richiesta di risarcimento da parte di chi ne detiene i diritti. Che venga da un motore di ricerca, da un sito di notizie o dal profilo di un fotografo, quasi ogni foto ha un autore o un’agenzia che la tutela, e la legge sul diritto d’autore protegge anche le fotografie più semplici.
Sullo stesso sito le notizie erano illustrate con foto prese dai siti ufficiali degli eventi di cui parlavano. È arrivata una contestazione per diritto d’autore e il titolare ha dovuto togliere tutte le notizie con quelle foto. Quando ha voluto rimetterle nel sito nuovo, la prima domanda è stata: come si fa senza rischi?
In generale, e senza entrare nel tuo caso specifico, le strade sicure sono queste: foto tue o scattate per te, foto da archivi con una licenza che copre l’uso che ne fai, oppure un permesso scritto di chi ha i diritti. Citare la fonte sotto la foto, da solo, di solito non basta, e se nella foto ci sono persone riconoscibili può servire anche il loro consenso. Per una contestazione già arrivata ne parli con il tuo legale.
Come lavoro ioLe foto che uso nei siti vengono da archivi con licenza o dagli scatti del cliente, e tengo traccia della provenienza di ogni immagine. Quando rifaccio un sito vecchio, le foto di origine incerta le segnalo prima di riportarle online.
L’accessibilità è obbligatoria anche per te?
Dipende da cosa offri e da quanto è grande la tua attività. Dal 28 giugno 2025 il decreto legislativo 27 maggio 2022, n. 82, che recepisce in Italia l’European Accessibility Act, si applica ad alcuni servizi, fra cui il commercio elettronico, i servizi bancari per i consumatori e alcuni servizi di trasporto passeggeri. Le microimprese che forniscono servizi ne sono esentate.
Per il decreto è microimpresa chi occupa meno di 10 persone e ha un fatturato annuo oppure un totale di bilancio annuo non superiore a 2 milioni. L’esenzione riguarda i requisiti di accessibilità dei servizi; per chi produce o mette in commercio prodotti valgono regole diverse.
| Situazione | Cosa prevede il decreto |
|---|---|
| Sito che presenta l’attività, senza vendite online | Di norma non rientra fra i servizi elencati |
| Vendita online di una microimpresa | Esentata dai requisiti di accessibilità dei servizi |
| Vendita online ai consumatori di un’impresa più grande | Il servizio deve rispettare i requisiti di accessibilità, salvo le eccezioni previste e documentate |
| Vendita online solo ad aziende e professionisti | Di norma non rientra fra i servizi elencati |
Sono casi generali: prenotazioni online, situazioni di confine e attività che stanno vicino alle soglie vanno valutate con il tuo consulente. Anche quando non è obbligatoria, però, l’accessibilità conviene. Testi leggibili e con il giusto contrasto, pulsanti grandi abbastanza, immagini descritte, un sito che si usa anche da tastiera: sono le stesse cose che rendono il sito più comodo per tutti, compresi i clienti più anziani e chi lo apre da telefono sotto il sole. Sono scelte che applico già quando costruisco un sito.
Se hai un dubbio sul banner, sulla privacy o sulle foto, parto da un controllo tecnico del sito: è uno dei controlli che faccio nell’assistenza siti web. Raccontami il tuo sito e ti rispondo con una proposta chiara.
Domande frequenti
Le risposte più richieste
Su privacy e cookie vigila il Garante per la protezione dei dati personali, che può avviare controlli, anche a campione, ricevere reclami dagli utenti e adottare provvedimenti che vanno dall’ammonimento alle sanzioni. Per le foto il rischio arriva di solito da chi ne detiene i diritti, con una richiesta di risarcimento. Per l’accessibilità, dove si applica, ci sono autorità di vigilanza dedicate. Per valutare la tua posizione ne parli con il tuo legale o consulente privacy.
Possono essere un punto di partenza, ma il testo che producono è giusto solo se le risposte che dai sono giuste e se il sito fa davvero quello che dichiari. Il problema che trovo più spesso è un’informativa generata anni fa, mai aggiornata, che non nomina gli strumenti aggiunti dopo. Il testo va riletto ogni volta che il sito cambia, e sui dubbi legali ne parli con il tuo consulente privacy.
Deve avere il collegamento all’informativa privacy, visibile prima dell’invio. Per rispondere a chi ti scrive di solito non serve un consenso in senso stretto, perché i dati servono a dare seguito alla sua richiesta. Serve invece una casella separata, non già spuntata, se vuoi usare quell’indirizzo anche per offerte o newsletter. Su come impostare le caselle nel tuo caso ne parli con il tuo consulente privacy.
Una mappa incorporata carica contenuti da un servizio esterno, che può leggere o salvare informazioni sul dispositivo di chi visita il sito. Per questo, di solito, la imposto in modo che si attivi solo dopo il consenso o dopo un clic del visitatore, mostrando al suo posto un’immagine con l’indirizzo e un link per aprirla. Lo stesso vale per i video incorporati e per i pulsanti dei social.
Se fornisci servizi e sei una microimpresa, cioè meno di 10 persone e un fatturato o un bilancio annuo non superiore a 2 milioni, il decreto legislativo 82 del 2022 ti esenta dai requisiti di accessibilità dei servizi. Di norma restano fuori anche i siti che presentano l’attività senza vendere online. L’accessibilità resta comunque una scelta che conviene, e sui casi di confine ne parli con il tuo consulente.
A livello europeo è in discussione una proposta della Commissione, il cosiddetto Digital Omnibus, che tocca anche le regole sui cookie. Il testo sta ancora cambiando. Finché non viene approvata ed entra in vigore, valgono le regole attuali: il Codice privacy e le linee guida del Garante del 2021. Quando le regole cambieranno, il banner e le informative andranno adeguati di conseguenza.
Martina TempestaWeb designer a Roma, titolare di MarTe Graphics. Dal 2013 progetto siti per studi professionali, aziende e attività locali.
