Il GDPR richiede che il consenso sia libero, specifico, informato e inequivocabile. Un checkbox pre-spuntato non è valido: l'utente deve compiere un'azione attiva.

Aggiungi a ogni form un checkbox non pre-selezionato con testo tipo "Ho letto l'informativa e acconsento al trattamento", linkato alla privacy policy. Il form non deve essere inviabile senza spuntarlo.

Il doppio opt-in è una procedura in due fasi: iscrizione + conferma obbligatoria via email. Prova che l'indirizzo appartiene davvero a chi ha dato il consenso.

Abilita il doppio opt-in sul tuo sistema di email marketing (Mailchimp, Brevo, ecc.). L'email di conferma non deve contenere contenuti promozionali. Conserva i log di iscrizione.

Il principio di accountability impone di dimostrare di aver ottenuto il consenso: devi poter provare quando, come e per cosa l'utente ha acconsentito.

Il tuo sistema deve salvare: timestamp, IP, versione della privacy policy, finalità. Strumenti come Iubenda Consent Solution gestiscono questo automaticamente.

Analytics, profilazione e pixel pubblicitari devono attivarsi solo dopo il consenso. Mostrare un banner ma caricare i cookie subito è una violazione.

Usa una CMP certificata come Iubenda, Cookiebot o Axeptio. Verifica con cookieserve.com che nessun cookie non essenziale parta prima del click.

Il Garante ha stabilito che il rifiuto deve essere facile quanto l'accettazione. Nascondere il pulsante "Rifiuta" è considerato dark pattern e soggetto a sanzione.

Il banner deve mostrare in primo livello sia "Accetta tutti" che "Rifiuta tutti" con la stessa evidenza grafica, senza passaggi intermedi.

Deve elencare tutti i cookie presenti, scopo, durata e terzi coinvolti. Il link deve essere accessibile direttamente dal banner, non solo dal footer.

Esegui una scansione automatica con la tua CMP. Con Iubenda la policy si aggiorna automaticamente quando aggiungi servizi dal pannello.

Il titolare del trattamento deve essere identificato chiaramente: nome/ragione sociale, indirizzo fisico, email o PEC.

Inserisci tutti questi dati nella sezione "Titolare del trattamento". Se hai nominato un DPO, indica anche i suoi contatti.

Ogni finalità (analytics, marketing, CRM, profilazione) deve essere descritta chiaramente con base giuridica e strumenti usati.

Struttura la policy per finalità. Per ognuna indica: cosa viene trattato, perché, base giuridica (consenso/contratto/legittimo interesse), tempi di conservazione.

Il panorama normativo cambia continuamente. Una policy ferma da anni è un segnale di non conformità, anche se il testo era corretto alla stesura.

Revisione annuale in calendario. Verifica: hai aggiunto nuovi strumenti? Ci sono state sentenze rilevanti? Aggiorna il campo "Ultimo aggiornamento".

I trasferimenti verso paesi extra-UE sono regolamentati in modo più restrittivo. Server americani senza garanzie adeguate espongono a violazioni.

Chiedi ai fornitori dove risiedono i dati. Per extra-UE verifica l'adesione al Data Privacy Framework UE-USA o la presenza di Clausole Contrattuali Standard (SCC).

Il registro elenca tutte le attività di trattamento: dati coinvolti, finalità, responsabili, luogo di conservazione. È il documento principale in caso di ispezione del Garante.

Crea un foglio Excel o usa un tool dedicato. Per ogni trattamento: categoria dati, finalità, base giuridica, destinatari, tempi di retention, misure di sicurezza.

Un data breach è qualsiasi incidente che compromette dati personali. Va notificato al Garante entro 72 ore dalla scoperta, non dall'evento.

Redigi una procedura interna: chi avvisa chi, come si valuta la gravità, come si compila la notifica su garanteprivacy.it. Forma chi gestisce i sistemi a riconoscere gli incidenti.

Chi tratta dati per tuo conto diventa responsabile del trattamento. Il GDPR impone di formalizzare il rapporto con un accordo scritto (DPA — Data Processing Agreement).

Google, Meta e Mailchimp hanno DPA accettabili dal pannello. Per agenzie e sviluppatori locali fai firmare un accordo ad hoc e conservane copia.

Ogni plugin o strumento che raccoglie dati utenti è un potenziale rischio. Molti lo fanno senza che il webmaster ne sia consapevole.

Fai un inventario dei plugin attivi. Per ognuno: raccoglie dati? Dove sono i server? Ha un DPA disponibile? Rimuovi quelli non necessari.

Le Clausole Contrattuali Standard (SCC) sono contratti tipo approvati dalla UE per trasferire dati verso paesi extra-UE legalmente. Senza queste garanzie il trasferimento è illecito.

Per ogni fornitore extra-UE verifica: Data Privacy Framework UE-USA, SCC (versione 2021) o BCR. Documenta nel registro dei trattamenti.

Il GDPR garantisce: accesso (sapere quali dati hai), rettifica (correggerli), cancellazione ("diritto all'oblio"), portabilità (riceverli in formato leggibile), opposizione al marketing.

Crea un'email dedicata (es. [email protected]). Verifica di poter effettivamente estrarre, correggere ed eliminare i dati da tutti i sistemi che usi.

Il GDPR fissa a 30 giorni il termine per rispondere. In casi complessi si può estendere a 90, ma l'utente va informato entro i primi 30. Il mancato rispetto è sanzionabile.

Definisci chi gestisce le richieste. Prepara un template di risposta. Imposta un reminder a 25 giorni. Tieni un log con date di ricezione e risposta.

Gli utenti devono sapere quali diritti hanno e come esercitarli, incluso il diritto di reclamo al Garante.

Aggiungi una sezione "I tuoi diritti" con: accesso, rettifica, cancellazione, portabilità, opposizione, revoca consenso, link a garanteprivacy.it per i reclami.