Un e-commerce conforme al GDPR distingue i dati necessari per vendere da quelli utilizzati per promuovere altri acquisti, analizzare il comportamento o prevenire frodi. L’indirizzo inserito per ricevere un ordine non diventa automaticamente disponibile per qualsiasi campagna. Allo stesso modo, il consenso ai cookie non equivale all’iscrizione alla newsletter e la cancellazione dell’account non comporta necessariamente la distruzione delle fatture.
Per un negozio italiano il quadro comprende il GDPR e le regole nazionali degli articoli 122 e 130 del Codice Privacy. Il lavoro utile consiste nel seguire il percorso del cliente, dalla prima visita alla chiusura del rapporto, e verificare quali operazioni avvengano davvero. Questa guida spiega le decisioni principali, compresi i limiti delle eccezioni per il marketing e la differenza fra conservazione contabile e riutilizzo commerciale.
Partire dall’ordine, senza raccogliere un consenso inutile
Il trattamento può fondarsi sull’articolo 6, paragrafo 1, lettera b), quando è necessario per eseguire un contratto di cui l’interessato è parte o misure precontrattuali richieste dallo stesso. In un acquisto del cliente per sé, indirizzo di consegna e dati necessari alla gestione dell’ordine possono rientrare in questo ambito. Inserire la pubblicità nelle condizioni di vendita non la rende necessaria al contratto.
La fatturazione e altri adempimenti previsti dalla legge devono essere distinti dalle operazioni contrattuali. Anche i dati di un destinatario diverso dall’acquirente richiedono una valutazione propria: quella persona non diventa automaticamente parte del contratto solo perché riceve un regalo. Riducete i dati raccolti a ciò che serve e definite il fondamento del trattamento e le informazioni da fornire in relazione al caso concreto.
Nel modulo di acquisto, separate campi obbligatori e facoltativi. Chiedere una data di nascita completa per ogni prodotto o una copia del documento per qualsiasi ordine non è giustificato dalla sola comodità organizzativa. Se un controllo è necessario per ragioni specifiche, spiegate la finalità e scegliete una modalità proporzionata. Il cliente deve poter capire perché un dato venga richiesto prima di inserirlo.
Informativa e registro devono descrivere il negozio reale
L’informativa resa quando i dati vengono raccolti deve identificare il titolare, le finalità e le basi giuridiche, i destinatari, la conservazione e i diritti, con gli altri elementi richiesti dall’articolo 13. Se viene invocato il legittimo interesse, vanno indicati gli interessi perseguiti. Contatti del DPO e trasferimenti internazionali devono essere descritti quando pertinenti, senza copiare clausole relative a servizi che il negozio non utilizza.
La presenza di un collegamento all’informativa non costituisce consenso al marketing. Potete documentare quale versione fosse disponibile, evitando di trasformare una presa visione in un’autorizzazione generica a tutti i trattamenti. Se i dati provengono da terzi, valutate invece l’articolo 14: il termine ragionevole non supera un mese e, quando applicabile, l’informazione deve essere resa al più tardi alla prima comunicazione con l’interessato o alla prima divulgazione, salve le eccezioni previste.
Il registro delle attività di trattamento permette di collegare ordini, account, assistenza, campagne e sicurezza ai rispettivi sistemi. L’esenzione per organizzazioni con meno di 250 dipendenti non copre indistintamente un piccolo negozio: vengono in rilievo trattamenti non occasionali, trattamenti che possono presentare un rischio per le persone, categorie particolari dell’articolo 9 e dati su condanne penali o reati dell’articolo 10. La gestione ordinaria degli ordini è un’attività continuativa, anche con pochi addetti.
Email promozionali: quando funziona il soft spam
L’articolo 130, comma 4, consente una deroga al consenso per la vendita diretta di propri prodotti o servizi analoghi, usando l’indirizzo email fornito nel contesto di una vendita. Il cliente deve essere adeguatamente informato e non aver rifiutato quell’uso. Deve inoltre poter opporsi agevolmente e gratuitamente fin dalla raccolta e in ogni comunicazione. Non basta inserire in fondo al messaggio un collegamento che, in concreto, non funziona.
L’analogia va spiegata in rapporto a quanto acquistato, non al solo fatto che tutto venga venduto sul medesimo sito. Una lista acquistata o una semplice registrazione senza vendita non soddisfano questa condizione. Il soft spam non è un generico legittimo interesse che il negozio può invocare per superare un rifiuto: è una deroga specifica con condizioni proprie, da verificare prima di selezionare i destinatari della campagna.
Questa eccezione riguarda l’email e non si estende automaticamente a SMS o ad altri canali. Le chiamate con operatore seguono regole proprie, comprese quelle sul Registro pubblico delle opposizioni: non vanno assimilate né all’email né ai sistemi automatizzati senza operatore. Per una newsletter che richiede consenso, gli esempi di consenso GDPR aiutano a predisporre una scelta libera e informata, distinta dalle condizioni di acquisto.
Un carrello abbandonato non equivale a una vendita
Il provvedimento del Garante del 23 ottobre 2025 su Bluepillow distingue il recupero del carrello dal soft spam. Nel caso esaminato non era stata conclusa una vendita: l’Autorità ha ricondotto la specifica comunicazione di recupero al legittimo interesse, senza considerarla un’email promozionale fondata sull’articolo 130, comma 4. Questo non autorizza qualsiasi sequenza automatica di offerte dopo una visita.
Esaminate contenuto, frequenza, aspettative e dati utilizzati. Un richiamo strettamente collegato al tentativo interrotto e una campagna che propone sconti o prodotti ulteriori possono avere finalità diverse. Il nome assegnato dal gestionale alla funzione non decide il regime giuridico. Se la finalità è promozionale, occorre applicare le relative regole; se si valuta il legittimo interesse per una funzione diversa, documentatene effettiva necessità e bilanciamento.
Quando il cliente si oppone al marketing, fermate anche la profilazione nella misura in cui sia collegata a quella finalità. La gestione del diritto di opposizione deve raggiungere piattaforma, strumenti di invio e liste eventualmente affidate ad altri soggetti. Un elenco minimo di esclusione può essere necessario per rispettare la scelta, con accessi e durata adeguati: cancellare ogni traccia del rifiuto può causare una successiva reiscrizione involontaria.
Cookie, analytics e retargeting: verificare l’uso effettivo
L’articolo 122 distingue l’accesso o la memorizzazione nel terminale dalle successive operazioni sui dati personali. I cookie strettamente necessari al servizio richiesto, come quelli indispensabili al carrello o all’autenticazione, possono beneficiare dell’eccezione al consenso. Un cookie non diventa tecnico soltanto perché viene installato dal dominio del negozio; la provenienza da una terza parte, da sola, non impone invece la qualificazione pubblicitaria.
Secondo le FAQ del Garante sui cookie, gli analytics possono essere assimilati ai tecnici alle condizioni indicate dall’Autorità, incluse statistiche aggregate e vincoli all’uso dei dati. Nel caso di terzi rilevano minimizzazione preventiva, assenza di combinazione con altre elaborazioni e mancata trasmissione a ulteriori terzi, con la specifica eccezione prevista per statistiche del medesimo titolare o gruppo. La sola mascheratura dell’indirizzo IP non prova che tutte le condizioni siano soddisfatte.
I tracciatori pubblicitari soggetti a consenso devono restare bloccati fino a una scelta valida. Il semplice scorrimento della pagina non basta. Devono essere comprensibili le conseguenze dell’accettazione e della chiusura senza consenso, accessibili le opzioni granulari e agevole la modifica successiva. Le linee guida cookie del Garante approfondiscono anche la riproposizione del banner e i limiti dei cookie wall, per i quali l’eventuale servizio equivalente senza consenso richiede una valutazione concreta.
Prima di pubblicare una nuova integrazione, controllate cosa accade alla prima visita, dopo il rifiuto e dopo la revoca. Verificate anche pagine prodotto, video incorporati e completamento dell’ordine: il comportamento della sola homepage non rappresenta tutto il negozio. Il consenso a ricevere una newsletter non autorizza automaticamente qualsiasi tracciamento delle aperture o dei clic; occorre valutare anche quei meccanismi e le informazioni presentate al destinatario.
Profilazione e decisioni automatizzate sono questioni distinte
La profilazione implica un trattamento automatizzato volto a valutare aspetti personali. Ordinare un catalogo con criteri generali non equivale necessariamente a profilare un individuo; ricostruirne interessi e propensione all’acquisto usando la storia personale richiede invece una valutazione specifica. Non ogni profilazione richiede per definizione consenso, ma devono esistere una base giuridica valida e il rispetto delle regole speciali applicabili, come quelle sui tracciatori pubblicitari.
Una raccomandazione di prodotti non ricade automaticamente nell’articolo 22. La norma riguarda decisioni basate unicamente sul trattamento automatizzato che producono effetti giuridici o incidono in modo analogamente significativo. Un sistema che rifiuta automaticamente un servizio può porre questioni diverse da una semplice proposta commerciale. Individuate gli effetti, le eventuali eccezioni e le garanzie richieste; un controllo umano puramente formale non risolve necessariamente il problema.
La DPIA è necessaria quando il trattamento può presentare un rischio elevato, nei casi specifici dell’articolo 35 e degli elenchi applicabili. Valutate ampiezza dell’osservazione, dati combinati, persone coinvolte e conseguenze. Il nome del software o la dimensione economica del negozio non sostituiscono l’analisi, mentre una modifica sostanziale delle finalità può richiedere di riesaminarla.
Fornitori: un contratto commerciale non determina il ruolo privacy
Piattaforma, hosting, provider email, corriere e servizio di pagamento non hanno necessariamente lo stesso ruolo. Un soggetto che tratta dati per conto del negozio secondo istruzioni è un responsabile; un operatore che determina finalità e mezzi propri può essere titolare autonomo per quelle operazioni. La verifica va fatta per servizio e flusso, senza distribuire lo stesso modulo a tutti i fornitori.
Per il rapporto di responsabilità, l’articolo 28 richiede un contratto o altro atto giuridico vincolante previsto dal diritto dell’Unione o nazionale, in forma scritta anche elettronica. La disciplina del responsabile del trattamento comprende istruzioni, riservatezza, sicurezza, assistenza, subresponsabili e controlli. Alla fine del servizio occorre prevedere restituzione o cancellazione a scelta del titolare e cancellazione delle copie, salvo una conservazione imposta dal diritto dell’Unione o di uno Stato membro.
Verificate dove siano accessibili i dati e da quali entità. Un server europeo non esclude da solo un trasferimento verso un destinatario extra SEE; occorre esaminare anche assistenza e accessi remoti. Quando si applica il capo V del GDPR, individuate il meccanismo pertinente e le eventuali verifiche supplementari. Il confronto fra software GDPR per PMI può aiutare a organizzare la documentazione, ma non dimostra la liceità dei servizi collegati al negozio.
Conservazione: separare contabilità, account e pubblicità
L’articolo 2220 del codice civile prevede dieci anni dall’ultima registrazione per le scritture contabili e disciplina anche la conservazione della documentazione indicata dalla norma. Non è un massimo universale per tutti i dati dell’ordine: specifici obblighi fiscali e procedimenti possono incidere sul periodo applicabile. Non è neppure una giustificazione per conservare per dieci anni ogni profilo pubblicitario.
La limitazione della conservazione richiede categorie e termini collegati alle finalità. Distinguete fatture, ticket di assistenza, account inattivi, eventi di navigazione e prove dei consensi. Per ciascuna categoria definite il momento iniziale del periodo e cosa accade alla scadenza. La semplice dicitura “fino a revoca” non dimostra che un archivio promozionale resti necessario indefinitamente. Considerate anche le copie di sicurezza: una procedura di ripristino deve evitare che riattivino senza controllo account cancellati o iscrizioni promozionali revocate.
Se il cliente chiude l’account, interrompete le funzioni che non hanno più ragione di proseguire e separate i documenti da conservare per obbligo legale. Limitate gli accessi e spiegate la finalità residua. Una contestazione può giustificare la conservazione dei dati necessari alla difesa, non il blocco indifferenziato di qualsiasi cancellazione per tutti i clienti.
Diritti, sicurezza e controlli prima di cambiare il negozio
Le richieste vanno gestite senza ingiustificato ritardo e al più tardi entro un mese. L’eventuale proroga di due mesi, quando necessaria per complessità o numero delle richieste, deve essere comunicata entro il primo mese con le ragioni. Se non si dà seguito, l’articolo 12, paragrafo 4, richiede invece motivi e informazioni su reclamo e ricorso senza ritardo e al più tardi entro un mese: non basta rinviare una risposta negativa alla scadenza prorogata.
Verificate l’identità in modo proporzionato, chiedendo ulteriori informazioni quando vi siano ragionevoli dubbi. La risposta deve considerare i sistemi coinvolti, non soltanto l’account visibile al cliente. La portabilità riguarda i dati forniti dall’interessato nei trattamenti automatizzati fondati su consenso o contratto, alle condizioni dell’articolo 20; non equivale a esportare indiscriminatamente ogni analisi derivata o i dati di altre persone.
Per la sicurezza, controllate accessi amministrativi, aggiornamenti, esportazioni e recupero dei dati. La verifica di TLS e certificati riguarda i collegamenti dal browser alle API e ai servizi intermedi. Un penetration test deve avere un perimetro autorizzato, dati adeguati alla prova e verifica delle correzioni, soprattutto sulla separazione fra ordini di clienti diversi.
Una violazione di dati personali va documentata sempre. La notifica all’autorità è dovuta senza ingiustificato ritardo e, ove possibile, entro settantadue ore dalla conoscenza, salvo che sia improbabile un rischio per le persone; il ritardo va motivato. La comunicazione agli interessati riguarda separatamente il rischio elevato, con le eccezioni dell’articolo 34. Non ogni problema tecnico è una violazione di dati, ma disponibilità e integrità contano quanto la riservatezza.
Prima di attivare un nuovo servizio, assegnate qualcuno alla verifica dei flussi modificati: quali dati partono, quale informazione cambia, come vengono rispettate le scelte precedenti e come si elimina l’integrazione. Per vendite legate a servizi specifici, considerate anche le regole delle strutture ricettive, delle banche coinvolte nei pagamenti e delle agenzie immobiliari, senza presumere che condividano tutte il medesimo ruolo.