Il tuo sito web aziendale è a norma? Gli obblighi di legge, verifica per verifica

Quando chiedo a un'impresa se il suo sito è a norma, la risposta più comune è «me l'ha fatto un professionista, quindi sì». Ma la normativa sui siti web non si controlla una volta alla consegna: cambiano le regole, e cambia il sito, con un video aggiunto, un modulo nuovo, uno strumento di statistica attivato per curiosità.

Lo dico per esperienza diretta. Quando ho messo online il sito nuovo, l'informativa privacy era ancora quella di prima, e diceva di raccogliere «esclusivamente» i dati del modulo di contatto; il sito però usava una verifica anti-spam di Google, contava le visite e conservava temporaneamente gli indirizzi IP contro gli abusi. Nessuna delle tre cose era vietata, ma non dichiararle sì. Me ne sono accorto rileggendo l'informativa contro il codice, e l'ho riscritta. Le verifiche che seguono sono quelle che faccio su ogni sito, il mio compreso, e valgono per qualunque piattaforma.

Le dieci verifiche, in sintesi

1. La partita IVA nella homepage

È l'obbligo più vecchio e il più ignorato. L'articolo 35 del decreto IVA stabilisce che il numero di partita IVA va indicato nelle dichiarazioni, nella home page dell'eventuale sito web e in ogni altro documento in cui è richiesto [1]. Vale per ditte individuali, professionisti e società.

L'errore tipico è metterla solo nella pagina dei contatti o nella privacy. La norma dice home page: il modo più semplice è il piede del sito, che compare su tutte le pagine e quindi anche sulla prima.

2. Se sei una società: i dati del registro imprese

Le società iscritte al registro delle imprese devono indicare negli atti e nella corrispondenza la sede, l'ufficio del registro presso cui sono iscritte e il numero di iscrizione; società per azioni, in accomandita per azioni e a responsabilità limitata anche il capitale sociale effettivamente versato, risultante dall'ultimo bilancio, e se c'è un socio unico o la società è in liquidazione. Dal 2009 le stesse informazioni vanno fornite anche sul sito web della società [2].

Molte srl hanno la partita IVA in fondo alla pagina e nient'altro. Sede legale, numero REA e capitale versato stanno bene sulla stessa riga, nel piede del sito.

3. Un'informativa privacy che descrive il sito vero

Il GDPR chiede di informare le persone, al momento della raccolta dei dati, su chi li tratta, per quali finalità, su quale base giuridica, a chi li comunica, se finiscono fuori dall'Unione europea e per quanto tempo vengono conservati [6]. Il problema dei siti delle PMI non è quasi mai l'assenza dell'informativa: è un'informativa copiata da un modello, o scritta anni prima, che non corrisponde più a ciò che il sito fa.

La verifica è un confronto: elenca gli strumenti esterni che il sito usa, cioè hosting, modulo di contatto, servizio di invio email, verifica anti-spam, statistiche, chat, mappe, video, e controlla che l'informativa li nomini tutti. Ogni strumento nuovo aggiunto al sito è una riga da aggiungere all'informativa, con la sua data di aggiornamento.

4. Il banner dei cookie: quando serve e come deve funzionare

Un sito vetrina che usa solo cookie tecnici, quelli necessari a farlo funzionare, non ha bisogno di un banner: basta l'informativa [4]. Il banner diventa obbligatorio quando il sito installa cookie di profilazione o di terze parti non equiparabili a quelli tecnici, e in quel caso le linee guida del Garante del 2021 fissano regole precise [3]:

• Prima della scelta non si installa nessun cookie non tecnico.
• Chiudere il banner con la X in alto a destra equivale a rifiutare: restano le impostazioni di default, cioè nessun cookie non tecnico.
• Lo scorrimento della pagina, da solo, non è un consenso valido.
• Il cookie wall, cioè l'accesso al sito subordinato all'accettazione, è illegittimo, salvo casi da valutare singolarmente in cui si offre comunque un accesso equivalente senza consenso.
• Dopo un rifiuto il banner non va riproposto prima di sei mesi, salvo cambiamenti significativi del trattamento.

Per controllarlo bastano un minuto e una finestra di navigazione privata: apri il sito, non cliccare nulla, e guarda negli strumenti per sviluppatori del browser quali cookie sono già stati scritti. Se compaiono cookie di Google, Meta o di altri servizi prima di qualsiasi scelta, il banner c'è ma non fa il suo lavoro.

5. Google Analytics e le altre statistiche

I cookie di statistica non sono tecnici per natura. Il Garante li equipara ai tecnici, quindi senza bisogno di consenso, solo a condizioni precise: devono servire a produrre statistiche aggregate per un solo sito, e se lo strumento è di terzi l'indirizzo IP va mascherato e il fornitore non deve incrociare i dati con altre informazioni né cederli ad altri [3][4]. Se queste condizioni non sono garantite, servono il banner e il consenso preventivo.

La domanda da farsi, prima di come configurare Analytics, è se lo si guarda davvero. Molte piccole imprese lo attivano alla consegna del sito e non lo aprono mai più: in quel caso togliere lo strumento elimina il banner, una richiesta di rete e un trattamento da dichiarare. Su questo sito, per esempio, le statistiche le raccoglie il sito stesso, senza cookie, e il banner non compare perché non c'è nulla che richieda un consenso.

6. Video, mappe e social incorporati

Un video di YouTube, una mappa di Google o un feed di Instagram inseriti nella pagina sono contenuti di terze parti, e possono installare i propri cookie appena la pagina si apre. Valgono le stesse regole dei cookie di terze parti [3]: se il contenuto incorporato traccia, serve il consenso prima di caricarlo. Le soluzioni pratiche sono caricare il contenuto solo dopo un clic, con un'anteprima statica al suo posto, oppure sostituire la mappa con un'immagine e un link alle indicazioni stradali.

7. Font e risorse caricate da server di terzi

Molti temi caricano i caratteri tipografici direttamente dai server di Google a ogni visita: il browser del visitatore contatta Google, e Google riceve il suo indirizzo IP. In Germania, nel gennaio 2022, il tribunale di Monaco ha condannato il gestore di un sito a pagare 100 euro di danni a un visitatore proprio per questo, ritenendo che l'IP fosse stato trasmesso a Google senza consenso [5]. Non è una sentenza italiana, e lo stesso tribunale nel 2023 ha dato torto a chi aveva inviato diffide in serie sullo stesso tema [5], ma il principio è quello del GDPR, che vale anche qui.

La soluzione costa poco: servire i caratteri dal proprio dominio. Su questo sito i font vengono scaricati una volta, al momento della pubblicazione, e serviti dal nostro server: l'ho verificato aprendo le pagine e controllando che non parta nessuna richiesta verso Google. La stessa prova si fa su qualunque sito, dalla scheda Rete degli strumenti per sviluppatori.

8. Il modulo di contatto e la casella del consenso

Sotto quasi ogni modulo c'è una casella obbligatoria che dice «acconsento al trattamento dei dati». Per rispondere a una richiesta di preventivo o di informazioni il consenso non serve: il trattamento è necessario per dare seguito a misure precontrattuali richieste dalla persona stessa, che è una base giuridica distinta dal consenso [6]. Serve invece l'informativa, cioè un link ben visibile accanto al pulsante di invio.

Dove il consenso serve davvero è altrove: per iscrivere quella persona alla newsletter o mandarle offerte commerciali. Il GDPR vuole che il consenso sia libero e specifico [6], quindi va chiesto con una casella separata e facoltativa, non legato all'invio della richiesta. L'errore peggiore è una sola casella obbligatoria che autorizza insieme la risposta e il marketing: il consenso al marketing ottenuto così non è libero.

9. Solo per gli e-commerce: il link ODR e l'accessibilità

Per anni chi vendeva online ai consumatori doveva mettere sul sito un link alla piattaforma europea per la risoluzione online delle controversie, la piattaforma ODR. Il regolamento europeo 2024/3228 ha abrogato quell'obbligo con effetto dal 20 luglio 2025 e ha disposto la chiusura della piattaforma [7], e il Ministero delle Imprese chiede espressamente a chi l'aveva pubblicato di rimuovere il link [8]. Molti negozi online lo hanno ancora nel piede o nelle condizioni di vendita: oggi porta a una piattaforma che non esiste più.

La seconda verifica per chi vende online ai privati è l'accessibilità, obbligatoria dal 28 giugno 2025 per gli e-commerce che non sono microimprese. Chi è obbligato, chi è esentato e come fare un primo controllo è spiegato nell'articolo dedicato all'European Accessibility Act.

10. Il chatbot sul sito: dire che è una macchina

Se il sito o il profilo WhatsApp aziendale usano un assistente che risponde in automatico, dal 2026 l'AI Act chiede di dichiararlo dentro la conversazione, non solo nella privacy. È l'obbligo di trasparenza per i chatbot sul sito web, spiegato con scadenze e sanzioni nell'articolo dedicato.

La verifica in mezz'ora

1. Apri la homepage e cerca nel piede la partita IVA e, se sei una società, sede, registro imprese, numero REA e capitale versato.
2. Apri il sito in una finestra privata, senza cliccare nulla, e controlla quali cookie sono già stati scritti e quali richieste partono verso server di terzi.
3. Se c'è un banner, chiudilo con la X e ricarica: non devono comparire cookie di profilazione.
4. Elenca gli strumenti esterni del sito e confrontali con l'informativa privacy, riga per riga, controllando la data di aggiornamento.
5. Guarda la casella sotto il modulo di contatto: informativa per la richiesta, consenso separato e facoltativo per il marketing.
6. Se vendi online, cerca il link ODR e toglilo, poi fai il controllo di accessibilità sul carrello.
7. Se c'è un chatbot, aprilo e leggi il primo messaggio.

Quasi tutto quello che emerge si sistema in un pomeriggio: una riga nel piede, una casella riscritta, un link tolto, un video caricato al clic. Il lavoro più lungo è l'informativa, ed è anche quello che conviene fare con calma, perché è il documento che descrive davvero il sito a chi lo usa.

Questo articolo riassume norme e indicazioni pubbliche per aiutarti a fare una prima verifica, e non sostituisce una consulenza legale. Quando realizzo o rifaccio un sito web, queste verifiche fanno parte del lavoro; se il tuo sito esiste già, a Pomezia, Ardea, Roma sud o altrove, le stesse prove si possono fare su quello.