Articolo a cura di: Redazione - Studio Legale Calvello

Un e-commerce tratta dati personali fin dal primo accesso al sito e, soprattutto, durante la registrazione dei clienti, gli acquisti, i pagamenti, le spedizioni e le attività promozionali. Per rispettare il GDPR non basta pubblicare una privacy policy o installare un banner per i cookie: l’azienda deve verificare quali dati raccoglie, per quali finalità li utilizza, a chi li comunica e quali misure adotta per proteggerli. Una documentazione incompleta, contratti privacy mancanti con i fornitori o procedure interne inadeguate possono esporre la società a contestazioni, reclami e sanzioni. Per un negozio online già operativo, il primo intervento consiste nel verificare la corrispondenza tra i trattamenti effettivamente svolti e gli adempimenti documentati.

Quali documenti GDPR deve predisporre un’azienda che gestisce un e-commerce

La documentazione privacy di un e-commerce deve rispecchiare la sua organizzazione concreta. Un negozio che utilizza una piattaforma di vendita, un gestionale, un servizio di pagamento, un sistema di email marketing e fornitori esterni per le spedizioni presenta flussi di dati diversi da quelli di un sito che si limita a raccogliere ordini. Non esiste un fascicolo standard di documenti sufficiente per qualsiasi attività di commercio elettronico: gli adempimenti dipendono dai trattamenti effettuati, dai soggetti coinvolti e dai rischi per gli interessati.

Il primo documento da verificare è l’informativa sul trattamento dei dati personali, disciplinata dagli articoli 12, 13 e, quando applicabile, 14 del Regolamento (UE) 2016/679. Deve indicare, tra l’altro, il titolare del trattamento, le finalità, le basi giuridiche, i destinatari dei dati, i periodi di conservazione e i diritti degli interessati. Nell’e-commerce occorre distinguere i trattamenti necessari all’esecuzione degli ordini e alla gestione degli obblighi legali da quelli destinati alla pubblicità, alla profilazione o ad altre finalità autonome. La base giuridica non è necessariamente il consenso: per elaborare un acquisto, ad esempio, possono trovare applicazione l’esecuzione del contratto e gli obblighi di legge.

Un altro documento da valutare è il registro delle attività di trattamento previsto dall’articolo 30 GDPR. L’esenzione contemplata per alcune organizzazioni con meno di 250 dipendenti è soggetta a condizioni e non può essere applicata automaticamente a ogni piccolo negozio online. Il registro deve descrivere i trattamenti pertinenti, comprendendo, quando presenti, gestione degli account, ordini, assistenza clienti, fatturazione, marketing e profilazione. La sua predisposizione permette anche di individuare dati raccolti senza una finalità adeguatamente definita o conservati oltre il necessario.

Devono poi essere verificati i rapporti contrattuali con i fornitori che trattano dati personali per conto dell’azienda. Hosting, servizi cloud, manutentori informatici, piattaforme CRM e operatori logistici possono assumere ruoli privacy differenti. Quando un fornitore opera come responsabile del trattamento, il rapporto deve essere disciplinato da un contratto conforme all’articolo 28 GDPR. Non ogni fornitore deve però essere nominato responsabile: alcuni operatori, compresi determinati prestatori di servizi di pagamento, possono agire come titolari autonomi per specifiche attività.

La documentazione deve comprendere, secondo le necessità, le istruzioni impartite al personale autorizzato, le policy di sicurezza, i criteri di conservazione e le procedure per gestire le richieste degli interessati e le violazioni dei dati personali. Per gli e-commerce che effettuano trattamenti suscettibili di presentare un rischio elevato per i diritti e le libertà delle persone, occorre valutare anche l’obbligo di una valutazione d’impatto sulla protezione dei dati (DPIA) ai sensi dell’articolo 35 GDPR. La semplice presenza di un negozio online non rende automaticamente obbligatoria tale valutazione.

Per comprendere come questi adempimenti si inseriscano nell’organizzazione dell’impresa, abbiamo approfondito anche quali documenti privacy devono essere predisposti in azienda e come individuare i fornitori da designare responsabili del trattamento.

Come organizzare le procedure privacy per ordini, clienti, marketing e fornitori

Una volta individuati i documenti necessari, l’azienda deve verificare che le attività quotidiane dell’e-commerce siano effettivamente coerenti con quanto dichiarato. Il GDPR richiede misure tecniche e organizzative adeguate al rischio: un’informativa corretta non compensa un sistema nel quale tutti i dipendenti possono consultare indiscriminatamente i dati dei clienti o nel quale le informazioni vengono trasferite a fornitori senza adeguate verifiche.

La gestione degli ordini richiede di stabilire quali dati siano indispensabili per concludere la vendita, chi possa accedervi e per quanto tempo debbano essere conservati. Le informazioni necessarie alla fatturazione e agli obblighi contabili possono essere soggette a termini di conservazione diversi da quelli applicabili ai profili commerciali o agli account inattivi. La richiesta di cancellazione presentata da un cliente non comporta necessariamente l’eliminazione immediata di ogni informazione relativa agli acquisti, ma impone di verificare quali dati debbano essere cancellati e quali possano essere ulteriormente conservati in presenza di una valida base giuridica.

Particolare attenzione richiede il marketing. L’iscrizione alla newsletter, l’invio di offerte promozionali, il recupero dei carrelli abbandonati e la profilazione degli acquisti devono essere esaminati separatamente rispetto alla vendita. Le comunicazioni commerciali tramite email richiedono, di regola, un consenso preventivo, salvo le condizioni previste dall’articolo 130, comma 4, del Codice Privacy per l’utilizzo di indirizzi raccolti nel contesto della vendita di prodotti o servizi analoghi. L’azienda deve quindi distinguere le comunicazioni strettamente necessarie all’esecuzione del contratto da quelle aventi finalità promozionali, documentando le scelte effettuate e assicurando la possibilità di opporsi o revocare il consenso quando applicabile.

Anche gli strumenti di tracciamento meritano una verifica specifica. Cookie analitici, pixel pubblicitari, sistemi di remarketing e piattaforme di misurazione delle conversioni possono comportare trattamenti ulteriori rispetto alla semplice gestione degli ordini. L’azienda deve controllare quali tecnologie siano effettivamente attive, quali informazioni raccolgano e se sia necessario acquisire preventivamente il consenso. Una piattaforma configurata dal fornitore o dall’agenzia web non può essere considerata automaticamente conforme. Per le irregolarità specifiche dei sistemi di consenso abbiamo dedicato un approfondimento al cookie banner non conforme e ai possibili rimedi.

La gestione dei fornitori richiede un controllo altrettanto concreto. Il titolare deve conoscere quali soggetti ricevono i dati dei clienti, quali operazioni svolgono, dove vengono trattate le informazioni e se sono previsti trasferimenti verso Paesi esterni allo Spazio economico europeo. L’utilizzo di Shopify, WooCommerce, PrestaShop o di altre piattaforme non esonera l’azienda dalle proprie responsabilità. Occorre verificare i servizi effettivamente attivati, i plugin, le integrazioni con i gestionali e gli accordi contrattuali applicabili, considerando che il ruolo privacy può cambiare in relazione alle singole operazioni.

Le procedure devono infine disciplinare gli accessi ai sistemi, la gestione delle credenziali, i backup, le richieste dei clienti e gli incidenti di sicurezza. In caso di accesso abusivo al database, perdita di informazioni o compromissione di un servizio esterno, l’azienda deve poter accertare rapidamente se si sia verificata una violazione di dati personali, documentarla e valutare gli eventuali obblighi di notifica al Garante e di comunicazione agli interessati. La disponibilità di procedure definite prima dell’incidente consente di individuare responsabilità operative, raccogliere le informazioni necessarie e rispettare i termini previsti dalla normativa.

Controlli GDPR, responsabilità dell’azienda e interventi necessari per correggere le irregolarità

La conformità GDPR di un e-commerce deve essere verificata anche dopo la sua pubblicazione. L’introduzione di nuovi sistemi di pagamento, plugin, strumenti pubblicitari o servizi di gestione degli ordini può modificare i trattamenti originariamente valutati. Un’informativa predisposta al momento dell’apertura del negozio potrebbe quindi non descrivere più correttamente le attività svolte. Il rischio maggiore è che la documentazione privacy risulti formalmente presente, ma non corrisponda ai dati effettivamente raccolti e utilizzati dall’azienda.

Un audit privacy deve partire dalla ricostruzione dei flussi di dati, verificando le informazioni richieste durante il checkout, le modalità di registrazione degli utenti, i sistemi di pagamento, i collegamenti con corrieri e fornitori, gli strumenti di marketing e le autorizzazioni di accesso al database clienti. Occorre poi confrontare questi trattamenti con le informative, il registro delle attività, gli accordi contrattuali e le procedure interne. Le eventuali carenze devono essere valutate in funzione del rischio e corrette secondo un ordine di priorità, senza limitarsi a sostituire modelli documentali generici.

Particolare attenzione deve essere dedicata alle responsabilità del titolare del trattamento. Ai sensi degli articoli 5, paragrafo 2, e 24 GDPR, l’azienda deve poter dimostrare l’adozione di misure appropriate rispetto alla natura, al contesto, alle finalità e ai rischi dei trattamenti. Affidare la gestione tecnica dell’e-commerce a un’agenzia o utilizzare una piattaforma commerciale non trasferisce automaticamente a tali soggetti gli obblighi del titolare. La ripartizione delle responsabilità dipende dai ruoli effettivamente assunti dai diversi operatori e dalle attività concretamente svolte.

Le verifiche devono comprendere anche l’eventuale necessità di nominare un Responsabile della protezione dei dati (DPO o RPD). La nomina non è obbligatoria per ogni e-commerce, ma può esserlo quando ricorrono le condizioni previste dall’articolo 37 GDPR, ad esempio in presenza di attività principali che comportano un monitoraggio regolare e sistematico degli interessati su larga scala. Per le imprese che utilizzano sistemi articolati di profilazione commerciale, abbiamo approfondito quando un e-commerce deve valutare la nomina del DPO.

Le irregolarità possono emergere anche attraverso richieste dei clienti, reclami o controlli del Garante per la protezione dei dati personali. Un’informativa incompleta, l’assenza di una base giuridica appropriata, l’utilizzo illecito di dati per finalità promozionali o misure di sicurezza insufficienti possono comportare interventi correttivi e, nei casi previsti, sanzioni amministrative. L’articolo 83 GDPR contempla, in relazione alle diverse violazioni, massimali sanzionatori fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, oppure fino a 20 milioni di euro o al 4%, secondo il regime applicabile. Questi importi rappresentano limiti massimi normativi, non sanzioni automatiche: la valutazione deve considerare la natura della violazione, la gravità, la durata e gli altri criteri previsti dal Regolamento.

Quando emergono carenze, l’intervento deve comprendere la correzione dei trattamenti non conformi, l’aggiornamento dei documenti, la revisione dei rapporti con i fornitori e l’adozione delle misure organizzative necessarie. Nei casi più complessi può essere opportuno ricorrere a una consulenza GDPR aziendale per coordinare le verifiche giuridiche con quelle tecniche. L’obiettivo è costruire un sistema documentabile e coerente con il funzionamento effettivo del negozio online, mantenendolo aggiornato quando cambiano i processi aziendali.

Un e-commerce con documentazione privacy incompleta: esempio pratico di adeguamento GDPR

Consideriamo il caso di una società commerciale che gestisce un e-commerce attraverso una piattaforma integrata con un gestionale, un servizio di newsletter e diversi strumenti pubblicitari. Il negozio è operativo da alcuni anni e dispone di un’informativa privacy predisposta al momento dell’apertura. Nel frattempo sono stati introdotti nuovi plugin, un sistema di recupero dei carrelli abbandonati e un servizio esterno per la gestione delle spedizioni, senza una revisione complessiva della documentazione.

Durante una verifica emerge che l’informativa non descrive alcuni trattamenti, il registro delle attività non è stato aggiornato e mancano accordi conformi all’articolo 28 GDPR con determinati fornitori che operano per conto della società. Si rileva anche che alcune comunicazioni promozionali vengono inviate senza un’adeguata distinzione tra clienti che hanno espresso il consenso e destinatari per i quali l’azienda ritiene applicabile la disciplina delle comunicazioni relative a prodotti analoghi.

L’intervento professionale consiste nella ricostruzione dei flussi di dati, nell’individuazione dei ruoli privacy dei fornitori e nella verifica delle basi giuridiche utilizzate. La questione più delicata riguarda il coordinamento tra piattaforma e-commerce, CRM e strumenti di marketing, poiché i dati dei clienti vengono condivisi automaticamente tra sistemi differenti. Dopo aver individuato le criticità, la società procede alla revisione delle informative, degli accordi contrattuali e delle procedure di gestione dei consensi, introducendo controlli periodici sulle integrazioni informatiche.

Il caso mostra perché l’adeguamento GDPR non possa esaurirsi nella predisposizione iniziale dei documenti. La conformità deve essere riesaminata quando l’impresa modifica i propri strumenti o le modalità di utilizzo dei dati personali, soprattutto quando tali cambiamenti coinvolgono fornitori esterni e attività di marketing.

FAQ: documenti e adempimenti GDPR per un e-commerce

Un e-commerce appena aperto deve avere tutta la documentazione GDPR prima di iniziare a vendere?

L’azienda deve predisporre gli adempimenti applicabili prima di avviare i relativi trattamenti. Informative, basi giuridiche, accordi con i responsabili del trattamento e misure di sicurezza devono essere verificati fin dall’attivazione dei servizi. Il registro dei trattamenti e la DPIA sono richiesti quando ricorrono i rispettivi presupposti normativi. Non è sufficiente programmare un adeguamento successivo all’apertura del negozio.

La privacy policy fornita automaticamente da Shopify, WooCommerce o da un servizio online è sufficiente?

Non necessariamente. Un documento generato automaticamente può costituire una base di lavoro, ma deve descrivere correttamente i trattamenti effettivi, le finalità, le basi giuridiche, i destinatari e i tempi di conservazione. La presenza di plugin, CRM, strumenti pubblicitari e fornitori esterni può richiedere integrazioni specifiche. La responsabilità della correttezza dell’informativa rimane in capo al titolare del trattamento.

Un piccolo e-commerce senza dipendenti deve comunque rispettare il GDPR?

Sì, quando tratta dati personali nell’ambito di attività soggette al Regolamento. Le dimensioni dell’impresa possono incidere su determinati adempimenti e sulla proporzionalità delle misure organizzative, ma non comportano un’esenzione generale. Anche un negozio gestito da una sola persona deve verificare la liceità dei trattamenti, fornire le informative necessarie e adottare misure di sicurezza adeguate.

Se l’e-commerce utilizza fornitori esterni, chi risponde delle violazioni GDPR?

La responsabilità dipende dal ruolo concretamente svolto da ciascun soggetto e dalla violazione contestata. Il titolare conserva i propri obblighi anche quando affida operazioni a responsabili esterni, mentre questi ultimi rispondono degli obblighi loro direttamente applicabili e delle istruzioni legittime ricevute. Per questo è necessario verificare preventivamente i fornitori, disciplinare correttamente i rapporti e controllare le attività affidate.

Quanto costa adeguare un e-commerce al GDPR?

Il costo dipende dalla complessità dei trattamenti, dal numero di fornitori, dalle piattaforme utilizzate, dalle attività di marketing e dallo stato della documentazione esistente. Un negozio con gestione essenziale degli ordini richiede verifiche diverse rispetto a un e-commerce che utilizza profilazione, automazioni commerciali e trasferimenti internazionali di dati. Un preventivo attendibile presuppone quindi una valutazione preliminare delle attività e degli interventi necessari.

Assistenza legale per verificare e adeguare la documentazione GDPR del tuo e-commerce

Un e-commerce può presentare criticità privacy anche quando dispone già di informative, contratti e procedure. Documenti non aggiornati, fornitori non correttamente inquadrati e trattamenti commerciali non adeguatamente regolamentati richiedono una verifica riferita all’effettiva organizzazione aziendale.

Lo Studio Legale Calvello assiste le imprese nella valutazione degli obblighi GDPR, nella revisione della documentazione privacy e nell’individuazione delle misure necessarie per gestire correttamente i dati personali dei clienti. Esaminiamo le caratteristiche dell’attività, i rapporti con i fornitori e le eventuali criticità già emerse, per definire gli interventi giuridici e organizzativi appropriati.

Se gestisci un negozio online e devi predisporre, aggiornare o verificare documenti e procedure privacy, richiedi una valutazione GDPR per il tuo e-commerce attraverso il modulo dedicato. Esamineremo la richiesta per individuare le esigenze dell’azienda e le possibili modalità di assistenza.