La gestione di un e-commerce o negozio online richiede in tutti i casi la gestione di dati personali necessari per instaurare una relazione con il cliente e per procedere alla vendita di un prodotto o un servizio .
Questo richiede un adeguamento al GDPR che deve tenere in conto diversi aspetti tra i principali ci sono: la configurazione del banner cookie, la gestione delle iscrizioni alla newsletter, l’uso dei dati per il retargeting, i tempi di conservazione e il trasferimento delle informazioni verso fornitori extraeuropei.
Consenso ai cookie e configurazione corretta del banner
Il banner costituisce lo strumento con cui il titolare acquisisce la base giuridica necessaria per installare strumenti di tracciamento sul dispositivo dell’utente. Una configurazione difettosa invalida il consenso raccolto e con esso ogni attività che ne dipende, compresa la misurazione delle campagne e la costruzione delle audience.
In questo ambito è necessario distinguere tra i cookie tecnici, indispensabili al funzionamento del servizio richiesto come la gestione del carrello, il mantenimento della sessione e la memorizzazione della lingua, dagli altri cookie come quelli analitici e pubblicitari o di terze parti.
Nello specifico i cookie tecnici si installano senza consenso esplicito dell’utente come previsto dall’articolo 122 del Codice privacy, mentre gli strumenti analitici non anonimizzati, i pixel pubblicitari e i cookie di terza parte richiedono un’accettazione preventiva, libera, specifica e revocabile.
Le linee guida del Garante fissano paletti precisi sull’interfaccia: il rifiuto deve essere raggiungibile con un solo clic al pari dell’accettazione, il pulsante di consenso non può avere un risalto grafico superiore, lo scroll della pagina non equivale ad accettazione e la chiusura del banner tramite la X non può essere interpretata come assenso.
Il cookie wall che condiziona l’accesso al sito alla prestazione del consenso all’utilizzo di cookie o altri strumenti di tracciamento è, in linea di principio, illecito; può ritenersi ammissibile, previa valutazione caso per caso, soltanto ove all’utente sia offerta la possibilità di accedere a contenuti o servizi equivalenti senza prestare tale consenso. A completare il quadro c’è la dimostrabilità, perché il titolare deve poter provare chi ha prestato il consenso, quando e per quali finalità, conservando il registro delle scelte con l’identificativo della sessione e la versione dell’informativa vigente in quel momento.
Newsletter e email marketing: consenso esplicito e soft spam
Sulla possibilità di scrivere ai clienti già acquisiti senza un consenso marketing dedicato circolano molte semplificazioni, mentre la norma applicabile in Italia è puntuale e si trova nell’articolo 130 comma 4 del Codice privacy. Questa disposizione consente al titolare di utilizzare l’indirizzo di posta elettronica fornito nel contesto della vendita di un prodotto o di un servizio per proporre beni analoghi.
Ma a questo proposito le condizioni sono tre e vanno soddisfatte tutte insieme:
- l’email deve essere stata raccolta direttamente in occasione di un acquisto già concluso, quindi non basta un’iscrizione generica o un contatto commerciale senza vendita;
- le comunicazioni devono riguardare prodotti o servizi analoghi a quelli già acquistati. L’analogia tra i prodotti o servizi non va intesa in senso meramente merceologico, ma deve essere valutata in concreto, considerando anche le ragionevoli aspettative dell’interessato alla luce del precedente acquisto e del rapporto commerciale instaurato. La comunicazione deve quindi riguardare prodotti o servizi che il cliente possa ragionevolmente attendersi di ricevere in promozione in connessione con quanto già acquistatoil cliente deve essere stato informato al momento della raccolta della possibilità di opporsi in modo agevole e gratuito, facoltà che va ripetuta in ciascuna comunicazione successiva.
Il perimetro così definito copre una porzione limitata delle attività di email marketing e lascia fuori le comunicazioni verso chi ha soltanto creato un account, abbandonato un carrello o partecipato a un concorso.
Per queste situazioni serve un consenso specifico, raccolto con una casella non preselezionata, distinta da quella relativa all’accettazione delle condizioni di vendita e accompagnata da un testo che indichi finalità e tipologia di messaggi.
La raccolta di un consenso esplicito conviene anche sul piano commerciale, perché produce tassi di apertura e di conversione superiori rispetto a un database alimentato per inerzia. Il consenso alla profilazione, cioè all’analisi dei comportamenti d’acquisto per personalizzare le offerte, va tenuto separato da quello alle comunicazioni promozionali generiche.
Retargeting, pixel e custom audience su Meta
Il caricamento di una lista di indirizzi email su Meta per costruire un pubblico personalizzato costituisce a tutti gli effetti un trattamento di dati personali, nonostante la piattaforma applichi una funzione di hash ai valori prima della trasmissione.
L’operazione richiede quindi una base giuridica documentata e una menzione esplicita nell’informativa, dove va indicato che gli indirizzi possono essere condivisi con fornitori pubblicitari per finalità di marketing. Per gli utenti che hanno soltanto visitato il sito la situazione è più netta, perché il tracciamento tramite pixel dipende interamente dal consenso raccolto attraverso il banner.
Un visitatore che ha rifiutato i cookie pubblicitari non può essere inserito in alcuna audience di remarketing, e le implementazioni che continuano a inviare eventi in questa ipotesi generano un trattamento privo di base giuridica difficilmente difendibile in caso di controllo.
Va considerato inoltre che la giurisprudenza europea ha riconosciuto una responsabilità condivisa tra gestore del sito e piattaforma pubblicitaria per la fase di raccolta e trasmissione dei dati, circostanza che impedisce di scaricare interamente sul fornitore le conseguenze di una configurazione scorretta. Il gestore dello store risponde della qualità del consenso e della coerenza tra quanto dichiarato nell’informativa e quanto effettivamente trasmesso.
Un meccanismo di opposizione dedicato al marketing basato su audience esterne, distinto dalla disiscrizione dalla newsletter, rappresenta la soluzione più solida per rispondere alle richieste degli interessati.
Tempi di conservazione dei dati degli ordini e principio di minimizzazione
La durata della conservazione dipende dalla finalità che giustifica il trattamento.I dati necessari alla fatturazione e alle scritture contabili seguono l’articolo 2220 del codice civile, che impone dieci anni di conservazione, mentre ai fini dell’accertamento tributario rilevano i termini più brevi previsti dalla normativa fiscale.
Per i dati trattati per finalità di marketing non è previsto un termine di conservazione predeterminato in via generale. Spetta al titolare, in applicazione del principio di accountability, individuare e indicare nell’informativa un periodo di conservazione proporzionato alla finalità perseguita, tenendo conto delle caratteristiche del rapporto con l’interessato, della natura dei prodotti o servizi, della frequenza delle interazioni e delle ragionevoli aspettative degli interessati. Un profilo che non registra interazioni oltre quella soglia va cancellato oppure reso anonimo. Il principio di minimizzazione agisce anche a monte della conservazione e riguarda la quantità di informazioni richieste in fase di registrazione o di checkout.
Campi come la data di nascita, il numero di telefono o il codice fiscale vanno raccolti soltanto quando servono a una finalità concreta e dichiarata, mentre la loro presenza per eventuali utilizzi futuri non specificati contrasta con il Regolamento.
La definizione di una politica di retention scritta, con i termini associati a ciascuna categoria di dati e i responsabili delle cancellazioni periodiche, semplifica la risposta alle richieste di accesso e riduce l’esposizione in caso di violazione dei dati, perché un archivio più contenuto limita l’impatto dell’incidente.
Invio server-side e trasferimento dei dati verso fornitori statunitensi
L’adozione delle API di conversione, che trasmettono gli eventi dai server dello store direttamente alla piattaforma pubblicitaria senza dipendere dallo script del browser, migliora la qualità della misurazione ma non modifica in alcun modo il regime dei consensi.
Gli eventi relativi a un utente che ha rifiutato i cookie pubblicitari non vanno inviati, e questo richiede che il sistema di gestione del consenso sia integrato con la logica di invio lato server anziché operare soltanto sul lato client. I parametri trasmessi, tipicamente email, numero di telefono e indirizzo IP sottoposti a hash, devono comparire nell’informativa insieme all’indicazione del destinatario e della finalità.
Il vantaggio dell’approccio server-side sul piano della conformità consiste nel controllo puntuale su quali dati escono e per quali utenti, controllo che con il solo script lato browser risulta più difficile da esercitare. Sul trasferimento verso gli Stati Uniti la situazione richiede attenzione superiore a quella di due anni fa.
La decisione di adeguatezza sul Data Privacy Framework resta formalmente in vigore ed è stata confermata dal Tribunale dell’Unione europea nel settembre 2025, ma il ricorso è approdato in appello davanti alla Corte di giustizia e la sentenza della Corte suprema statunitense sull’indipendenza della Federal Trade Commission ha riaperto il dibattito sulla tenuta delle garanzie, tanto che è stata chiesta alla Commissione la revoca dell’adeguatezza.
Le indicazioni aggiornate del Comitato europeo per la protezione dei dati chiariscono che il richiamo al Framework non esonera dai controlli sul fornitore, a partire dalla verifica che la certificazione sia attiva e copra la categoria di dati effettivamente trasferita.
Predisporre in anticipo un percorso alternativo basato su clausole contrattuali standard, accompagnate da una valutazione d’impatto sul trasferimento, riduce il rischio di trovarsi senza copertura giuridica nel caso in cui la decisione di adeguatezza venga meno.