Articolo a cura di: Redazione - Studio Legale Calvello
Un sito web aziendale può presentare irregolarità rispetto al GDPR anche quando dispone di una privacy policy e di un banner per i cookie. Moduli di contatto, strumenti di analisi del traffico, servizi esterni e sistemi di raccolta dei dati personali richiedono verifiche che non si esauriscono nella presenza di documenti pubblicati online. Per l’impresa, il problema è accertare quali trattamenti avvengano realmente attraverso il sito, se siano leciti e se le misure adottate siano adeguate. Un controllo preventivo permette di individuare eventuali carenze prima che emergano reclami, contestazioni o richieste del Garante Privacy. Quando il sito utilizza numerose integrazioni o raccoglie dati di clienti e potenziali clienti, può essere opportuno affiancare alla verifica tecnica una valutazione giuridica della conformità.
Come verificare se il sito web aziendale è conforme al GDPR
La verifica della conformità GDPR di un sito internet deve partire dal suo funzionamento effettivo. Non basta leggere l’informativa privacy o controllare che compaia un banner al primo accesso. Occorre individuare quali dati personali vengono raccolti, attraverso quali strumenti, per quali finalità e a quali soggetti vengono eventualmente comunicati. Questa ricognizione riguarda anche trattamenti che l’azienda potrebbe non conoscere direttamente, perché dipendono da plugin, servizi incorporati o configurazioni predisposte dall’agenzia che gestisce il sito.
Il Regolamento (UE) 2016/679 impone al titolare del trattamento di rispettare i principi dell’articolo 5 e di essere in grado di comprovarne l’osservanza. Per un’impresa significa verificare che ogni trattamento di dati personali effettuato attraverso il sito abbia una base giuridica appropriata, sia collegato a finalità determinate e non comporti la raccolta di informazioni eccedenti rispetto a quelle necessarie. Devono essere valutati anche i tempi di conservazione, la sicurezza delle informazioni e la trasparenza verso gli interessati.
Un sito vetrina che pubblica esclusivamente informazioni sull’attività aziendale presenta esigenze differenti rispetto a un portale che raccoglie richieste di preventivo, candidature, prenotazioni o dati di registrazione. La presenza di un modulo di contatto comporta già la necessità di esaminare il trattamento dei dati trasmessi dagli utenti. Se il sito utilizza strumenti di profilazione, integra piattaforme pubblicitarie oppure consente l’accesso a un’area riservata, aumentano le operazioni da verificare e possono rendersi necessarie ulteriori misure.
Particolare attenzione merita la distinzione tra raccolta dei dati necessaria per rispondere a una richiesta dell’utente e utilizzo successivo delle stesse informazioni per finalità commerciali. L’invio di una domanda attraverso il sito non autorizza automaticamente l’azienda a utilizzare l’indirizzo email per campagne promozionali. La liceità di ciascun trattamento deve essere valutata separatamente, tenendo conto della normativa applicabile alle comunicazioni commerciali.
Un audit privacy del sito aziendale deve quindi confrontare ciò che viene dichiarato agli utenti con le operazioni realmente eseguite. Se l’informativa indica soltanto la gestione delle richieste di contatto, mentre il sito utilizza strumenti di analisi, piattaforme pubblicitarie o servizi esterni che comportano ulteriori trattamenti, la documentazione potrebbe risultare incompleta. Analogamente, una configurazione tecnicamente funzionante non è necessariamente conforme alle prescrizioni giuridiche.
Il controllo deve comprendere anche l’organizzazione interna dell’impresa. Occorre stabilire chi gestisce le informazioni ricevute dal sito, quali dipendenti possono accedervi, quali fornitori intervengono nel trattamento e se le relative responsabilità siano state correttamente definite. Questa attività si collega alla più ampia verifica dell’adeguamento GDPR aziendale, senza la quale anche un sito apparentemente regolare potrebbe inserirsi in una gestione dei dati personali carente.
La privacy policy costituisce uno dei primi elementi da esaminare, ma la sua correttezza dipende dalla corrispondenza con i trattamenti effettivi. Gli articoli 12, 13 e, quando applicabile, 14 del GDPR disciplinano gli obblighi di trasparenza e informazione. L’informativa deve identificare il titolare del trattamento, descrivere le finalità e le basi giuridiche, indicare i destinatari o le categorie di destinatari dei dati, i periodi di conservazione o i criteri utilizzati per determinarli e fornire le ulteriori informazioni richieste dalla normativa, comprese quelle relative ai diritti degli interessati.
Un’informativa standard, copiata da un altro sito o generata automaticamente, non può essere considerata sufficiente senza verificarne l’aderenza all’attività svolta. La documentazione deve essere aggiornata quando cambiano le finalità, gli strumenti utilizzati o le modalità del trattamento. Per individuare le informazioni necessarie è utile distinguere gli obblighi specifici del sito dalle regole generali sulla redazione delle informative privacy.
Nei moduli di contatto occorre verificare che l’utente riceva le informazioni prima della raccolta dei dati e che vengano richiesti soltanto quelli necessari. Non è sempre obbligatoria una casella di consenso per poter inviare una richiesta: la base giuridica può essere diversa dal consenso, ad esempio quando il trattamento è necessario per dare seguito a una richiesta precontrattuale dell’interessato. Se l’azienda intende utilizzare gli stessi dati per finalità ulteriori, come l’invio di comunicazioni promozionali, deve invece verificare autonomamente i relativi presupposti di liceità e le eventuali condizioni per raccogliere un consenso valido.
Un altro controllo riguarda i cookie e gli strumenti di tracciamento. La disciplina applicabile deriva dal GDPR, dall’articolo 122 del Codice Privacy e dalle indicazioni del Garante per la protezione dei dati personali. È necessario distinguere gli strumenti tecnici da quelli per i quali è richiesto il consenso, verificando che questi ultimi non vengano attivati prima che l’utente abbia espresso una scelta valida. Devono essere controllate anche le modalità di rifiuto e revoca del consenso, nonché la corrispondenza tra le preferenze espresse e il comportamento effettivo del sito.
La sola installazione di una piattaforma per la gestione dei consensi non dimostra che il sistema funzioni correttamente. Script caricati attraverso Google Tag Manager, servizi pubblicitari, plugin e componenti incorporati possono richiedere verifiche specifiche. Quando il problema riguarda il meccanismo di acquisizione del consenso, occorre esaminare anche le conseguenze di un cookie banner non conforme.
Google Analytics, Google Maps, video incorporati, chatbot, sistemi di prenotazione e servizi di protezione dei moduli possono comportare trattamenti di dati personali da parte di soggetti terzi. Per ciascuna integrazione bisogna valutare quali informazioni siano trasmesse, quale ruolo ricoprano i fornitori, se siano necessari accordi ai sensi dell’articolo 28 GDPR e se si verifichino trasferimenti di dati verso Paesi esterni allo Spazio economico europeo. In quest’ultimo caso occorre individuare il pertinente meccanismo di trasferimento previsto dal Capo V del GDPR e verificarne le condizioni applicative.
La conformità non dipende quindi dalla quantità di documenti pubblicati, ma dalla coerenza tra informative, basi giuridiche, configurazioni tecniche e rapporti contrattuali. Per un’azienda che utilizza WordPress, WooCommerce o altre piattaforme, il controllo deve comprendere anche le funzionalità introdotte dai plugin e le modifiche effettuate nel tempo, perché un aggiornamento del sito può cambiare concretamente il trattamento dei dati personali senza che l’impresa ne abbia piena consapevolezza.
Sicurezza, fornitori e responsabilità: quali controlli deve effettuare l’azienda
La conformità GDPR di un sito web aziendale richiede anche una verifica delle misure di sicurezza e dei rapporti con i fornitori che possono accedere ai dati personali. L’articolo 32 del Regolamento (UE) 2016/679 impone al titolare e al responsabile del trattamento di adottare misure tecniche e organizzative adeguate al rischio. Non esiste una configurazione valida indistintamente per tutti i siti: le precauzioni devono essere individuate considerando la natura dei dati raccolti, le funzionalità disponibili, le modalità di accesso e le possibili conseguenze di un incidente per gli interessati.
Per un sito realizzato con WordPress, ad esempio, occorre controllare l’aggiornamento del sistema e dei plugin, la gestione delle credenziali amministrative, le autorizzazioni degli utenti, la protezione dei moduli e la disponibilità di procedure di backup e ripristino. L’utilizzo del protocollo HTTPS è una misura necessaria per proteggere le comunicazioni durante il trasferimento, ma il certificato SSL non rende automaticamente un sito conforme al GDPR. Restano da valutare la sicurezza delle informazioni archiviate, gli accessi ai database e la gestione delle eventuali vulnerabilità.
Una questione frequentemente trascurata riguarda i rapporti con l’agenzia web, il provider hosting e gli altri fornitori tecnologici. Quando un soggetto esterno tratta dati personali per conto dell’azienda, occorre verificare la sua qualificazione giuridica e, nei casi previsti, disciplinare il rapporto mediante un accordo conforme all’articolo 28 GDPR. La semplice presenza di un contratto commerciale per la realizzazione o manutenzione del sito non assicura che siano stati regolati correttamente gli obblighi relativi al trattamento. Sul punto assumono rilievo le verifiche riguardanti l’agenzia web e la sua eventuale nomina a responsabile del trattamento.
La stessa attenzione deve essere riservata ai servizi cloud e alle piattaforme esterne. L’impresa dovrebbe conoscere dove vengono conservati i dati raccolti attraverso il sito, quali soggetti possono accedervi, se vengono utilizzati sub-responsabili e quali garanzie sono previste in caso di trasferimento internazionale. Il fatto che un servizio sia diffuso o venga utilizzato da numerose aziende non esonera il titolare dalla verifica delle condizioni contrattuali e delle modalità di trattamento.
Occorre poi stabilire per quanto tempo conservare i dati ricevuti tramite moduli di contatto, richieste di preventivo, registrazioni e altre funzionalità. L’articolo 5, paragrafo 1, lettera e), del GDPR richiede che i dati personali siano conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore a quello necessario rispetto alle finalità perseguite, salvo le eccezioni previste dalla normativa. Conservare indefinitamente tutte le richieste ricevute dal sito, senza una valutazione delle finalità e degli eventuali obblighi di conservazione, può risultare incompatibile con tale principio.
Un ulteriore profilo riguarda la capacità dell’azienda di dimostrare i controlli effettuati. La verifica del sito dovrebbe produrre una documentazione delle criticità individuate, delle decisioni assunte e degli interventi correttivi. Quando ricorrono i presupposti dell’articolo 30 GDPR, le attività di trattamento devono essere correttamente rappresentate nel registro. Se determinate funzionalità comportano un rischio elevato per i diritti e le libertà delle persone fisiche, deve essere valutata anche la necessità di una valutazione d’impatto ai sensi dell’articolo 35.
Le conseguenze delle irregolarità dipendono dalla natura della violazione e dalle circostanze concrete. Informative incomplete, trattamenti privi di un’idonea base giuridica, utilizzo irregolare di strumenti di tracciamento o misure di sicurezza inadeguate possono determinare interventi correttivi e, nei casi previsti, sanzioni amministrative ai sensi degli articoli 58 e 83 GDPR. L’azienda può inoltre dover affrontare reclami degli interessati o richieste risarcitorie, quando ne ricorrano i presupposti. La presenza di una violazione non comporta automaticamente l’applicazione di una sanzione pecuniaria, ma rende necessario individuare tempestivamente le misure appropriate.
Per questo motivo, quando emergono anomalie durante un controllo interno, riteniamo opportuno definire un piano di adeguamento che distingua gli interventi immediati dalle verifiche organizzative più articolate. Le criticità relative a trattamenti non leciti o a vulnerabilità che espongono dati personali richiedono particolare attenzione. La gestione di queste situazioni si collega anche alle procedure aziendali da adottare quando viene scoperta internamente una possibile violazione del GDPR.
Un sito aziendale aggiornato graficamente ma non verificato sotto il profilo privacy: esempio pratico
Consideriamo il caso di una società di servizi che decide di rinnovare il proprio sito internet per aumentare le richieste commerciali. L’agenzia incaricata realizza nuove pagine, inserisce moduli di contatto, collega Google Analytics e una piattaforma pubblicitaria e attiva un servizio esterno per la gestione delle prenotazioni. La società mantiene la precedente informativa privacy, ritenendo sufficiente la presenza del banner cookie già utilizzato sul vecchio sito.
Durante una successiva verifica emerge che l’informativa non descrive tutti i trattamenti effettivamente svolti e che alcuni strumenti di tracciamento vengono attivati senza rispettare le condizioni previste per l’acquisizione del consenso. Si rileva inoltre che i dati trasmessi attraverso i moduli vengono inoltrati a un servizio esterno senza che l’azienda abbia esaminato compiutamente il ruolo del fornitore e le condizioni contrattuali applicabili.
In una situazione del genere, il nostro intervento professionale sarebbe diretto anzitutto a ricostruire i flussi dei dati personali e a distinguere le criticità documentali da quelle che richiedono modifiche tecniche. L’aspetto più delicato sarebbe verificare quali trattamenti possano proseguire legittimamente e quali debbano essere modificati o sospesi fino alla loro regolarizzazione.
Il percorso di adeguamento comprenderebbe la revisione delle informative, il controllo delle basi giuridiche, la verifica delle impostazioni dei sistemi di consenso e l’esame dei rapporti con i fornitori. Le modifiche tecniche dovrebbero essere successivamente sottoposte a test, verificando il comportamento effettivo del sito. L’esempio mostra perché un restyling grafico non equivale a un aggiornamento della conformità privacy e perché la collaborazione tra responsabili aziendali, tecnici e consulenti legali può essere necessaria per correggere le irregolarità.
Domande frequenti sulla conformità GDPR del sito web aziendale
1. Un sito aziendale con privacy policy e cookie banner è automaticamente conforme al GDPR?
No. La presenza di questi strumenti non è sufficiente a dimostrare la conformità. Occorre verificare che le informative descrivano i trattamenti effettivi, che i cookie e gli altri strumenti di tracciamento rispettino le regole applicabili e che la raccolta, la conservazione e la comunicazione dei dati personali avvengano su basi giuridiche appropriate. Devono essere valutati anche i fornitori esterni e le misure di sicurezza.
2. Un sito vetrina aziendale deve rispettare il GDPR anche se non vende prodotti online?
Sì, quando attraverso il sito vengono effettuati trattamenti di dati personali. Anche un semplice sito istituzionale può raccogliere informazioni mediante moduli di contatto, registri tecnici di accesso o servizi incorporati. Gli adempimenti dipendono dai trattamenti concretamente svolti e non dalla presenza di un e-commerce.
3. Chi risponde delle violazioni GDPR presenti nel sito: l’azienda o l’agenzia web?
L’azienda, quando agisce come titolare del trattamento, mantiene le responsabilità previste dal GDPR anche se affida la realizzazione e la gestione tecnica del sito a un fornitore esterno. L’agenzia può assumere proprie responsabilità in relazione al ruolo effettivamente ricoperto, agli obblighi contrattuali e alle attività svolte. La ripartizione delle responsabilità deve essere valutata nel caso concreto.
4. Quando è opportuno effettuare un audit privacy del sito aziendale?
È opportuno effettuare una verifica prima della pubblicazione di un nuovo sito, dopo modifiche rilevanti, quando vengono introdotti strumenti di marketing o nuovi fornitori e quando emergono dubbi sulla conformità delle configurazioni esistenti. Un controllo può essere necessario anche in seguito a reclami, contestazioni o alla scoperta di trattamenti non correttamente documentati.
5. Quanto costa verificare e adeguare un sito web aziendale al GDPR?
Il costo dipende dalle caratteristiche del sito, dal numero di moduli e servizi integrati, dalla complessità dei trattamenti e dalle irregolarità riscontrate. La revisione di un sito istituzionale con poche funzionalità richiede generalmente attività differenti rispetto all’audit di un portale con aree riservate, strumenti di profilazione e numerosi fornitori. Un preventivo attendibile dovrebbe distinguere l’analisi giuridica, le eventuali modifiche documentali e gli interventi tecnici necessari.
Verifica GDPR del sito web aziendale: richiedere una consulenza legale
Un sito internet aziendale non conforme può esporre l’impresa a contestazioni e rendere necessario intervenire su trattamenti già in corso. Lo Studio Legale Calvello assiste le aziende nella verifica della conformità GDPR dei siti web, nell’individuazione delle criticità giuridiche e nella definizione degli interventi di adeguamento, anche in coordinamento con i fornitori tecnici incaricati della gestione del sito.
Se la vostra azienda deve verificare un sito già online, pubblicare un nuovo portale o correggere irregolarità riscontrate, potete richiedere una consulenza allo Studio Legale Calvello in materia di privacy e compliance aziendale per esaminare la situazione concreta e valutare le attività necessarie.
