Dal momento dell’entrata in vigore del GDPR nel maggio 2018, le vecchie formalità di dichiarazione preventiva presso la CNIL sono state abolite per la grande maggioranza dei trattamenti di dati legati a un sito internet. Il meccanismo di conformità si basa ora su una logica di responsabilizzazione: ogni ente deve documentare autonomamente i propri trattamenti e essere in grado di dimostrare la propria conformità in qualsiasi momento.
Registro dei trattamenti: il pezzo fondamentale che sostituisce la dichiarazione CNIL
Il vecchio sistema distingueva tra dichiarazione semplificata e dichiarazione normale. Un sito che raccoglie indirizzi e-mail tramite una newsletter o un modulo di contatto doveva ottenere una ricevuta dalla CNIL prima di trattare questi dati. Questo regime non esiste più.
Oggi, la conformità di un sito internet passa attraverso il registro delle attività di trattamento. Questo documento interno elenca ogni operazione che coinvolge dati personali: finalità, categorie di dati raccolti, durate di conservazione, misure di sicurezza. Deve poter essere presentato in caso di controllo.
Per un sito vetrina con un modulo di contatto, il registro rimane semplice. Per un sito e-commerce che memorizza coordinate bancarie e una cronologia degli acquisti, le voci si moltiplicano. La granularità del registro riflette la complessità reale dei trattamenti, non la dimensione dell’azienda.
Concretamente, seguire una procedura di dichiarazione CNIL semplificata equivale a strutturare questo registro e documentare ogni trattamento secondo i requisiti del GDPR, senza attendere una ricevuta o un numero di registrazione.
Consenso e cookie: i controlli che la CNIL mira a prioritizzare
La gestione del consenso su un sito web è diventata il primo motivo di denuncia presso la CNIL. Le bande di cookie mal configurate, le caselle pre-selezionate o l’assenza di un meccanismo di rifiuto altrettanto semplice quanto quello di accettazione generano segnalazioni regolari.
La CNIL ha adottato una procedura di sanzione semplificata per trattare rapidamente le infrazioni comuni. Da gennaio 2026, sono state emesse 23 sanzioni in questo ambito, la maggior parte delle quali a seguito di denunce da parte degli utenti. Il meccanismo consente di sanzionare senza passare attraverso la formazione ristretta completa, il che accelera i tempi di trattamento.
I punti verificati durante un controllo su un sito internet coprono diversi aspetti concreti:
- La presenza di un banner cookie che consente di accettare o rifiutare i tracker con la stessa facilità, senza design ingannevole
- Il deposito effettivo di cookie prima di qualsiasi azione dell’utente (i cookie non necessari non devono caricarsi prima del consenso esplicito)
- La conservazione di una prova timbrata del consenso, consultabile in caso di richiesta della CNIL
- L’esistenza di una politica sulla privacy accessibile, che descrive i trattamenti, le durate di conservazione e i diritti degli utenti
Un sito che spunta questi quattro punti copre la maggior parte dei rischi identificati dalla CNIL sui trattamenti web comuni.
Rispondere ai diritti degli utenti: l’obbligo più sottovalutato
Molti gestori di siti concentrano i loro sforzi sul banner cookie e sulla politica sulla privacy, ma trascurano la gestione delle richieste di esercizio dei diritti. Il GDPR conferisce alle persone interessate un diritto di accesso, rettifica, cancellazione e portabilità dei propri dati.
Un utente può richiedere in qualsiasi momento quali dati un sito detiene su di lui, o esigere la loro cancellazione. Il responsabile del trattamento ha un mese per rispondere. L’assenza di risposta o una risposta tardiva costituisce un’infrazione sanzionabile.
Implementare un circuito di trattamento delle richieste
Per un sito di piccole dimensioni, un modulo dedicato o un indirizzo e-mail specifico (tipo [email protected]) è sufficiente. L’obiettivo è tracciare ogni richiesta ricevuta, la data di ricezione e la risposta fornita.
Questa tracciabilità alimenta direttamente il registro dei trattamenti. In caso di controllo, la CNIL verifica non solo l’esistenza di un canale di contatto, ma anche la reale capacità di rintracciare e cancellare i dati di una persona identificata nelle basi del sito.
AIPD e casi particolari: quando la conformità di base non basta più
L’analisi d’impatto relativa alla protezione dei dati (AIPD) non è richiesta per tutti i siti. Diventa obbligatoria quando un trattamento presenta un rischio elevato per i diritti e le libertà delle persone: profilazione sistematica, raccolta di dati sensibili (salute, opinioni politiche), sorveglianza su larga scala.
Un sito e-commerce classico generalmente non rientra in questo ambito. Tuttavia, una piattaforma di salute online che offre teleconsultazioni, o un sito che raccoglie dati biometrici per l’autenticazione, deve realizzare un’AIPD prima della messa in produzione del trattamento.
Trasferimenti di dati al di fuori dell’Unione europea
L’utilizzo di strumenti di analisi o di hosting situati al di fuori dell’UE (servizi cloud americani, ad esempio) impone garanzie aggiuntive. Il responsabile del trattamento deve verificare che il fornitore offra un livello di protezione adeguato, tramite clausole contrattuali standard o una decisione di adeguatezza della Commissione europea.
Documentare la scelta di ogni subappaltatore nel registro consente di dimostrare questa verifica. La CNIL ha sanzionato diversi siti per aver trasferito dati verso server americani senza un adeguato inquadramento contrattuale.
Conformità GDPR di un sito web: cosa conta durante un controllo
La logica attuale della CNIL si basa sulla capacità di dimostrare la propria conformità, non su un timbro amministrativo preventivo. Un controllo si concentra su prove tangibili: il registro aggiornato, le prove di consenso, le risposte alle richieste di diritti, la documentazione dei subappaltatori.
- Il registro delle attività di trattamento, anche sotto forma di foglio di calcolo, deve essere completo e aggiornato
- Le prove di consenso degli utenti devono essere timbrate e conservate per tutta la durata del trattamento
- I contratti con i subappaltatori (fornitore di hosting, strumento di email marketing, soluzione di pagamento) devono includere clausole GDPR
La conformità di un sito internet non si riassume più in una dichiarazione occasionale. Si costruisce nel tempo, attraverso la rigorosa tenuta di questi documenti e l’aggiornamento regolare delle pratiche ad ogni evoluzione del sito o dei suoi strumenti.
