Che cosa deve coprire una verifica della conformità di un sito web nell’UE

«Il nostro sito web è conforme?» sembra un’unica domanda. Nell’UE sono almeno sei, disciplinate da atti giuridici diversi e con autorità di controllo diverse: le autorità per la protezione dei dati per i cookie e le informative privacy, gli organismi di tutela dei consumatori per le informazioni dei negozi online e le autorità di vigilanza del mercato per l’accessibilità. Una buona verifica della conformità, che la svolga in autonomia o che acquisti uno scanner, dovrebbe coprirle tutte e indicarLe da quale norma deriva ciascun rilievo.

1. Cookie, archiviazione e consenso

L’articolo 5, paragrafo 3, della direttiva ePrivacy richiede il consenso prima che informazioni vengano archiviate sul dispositivo di un visitatore o lette da esso, a meno che ciò sia strettamente necessario per il servizio esplicitamente richiesto dal visitatore (in Italia la norma è recepita nell’art. 122 del Codice privacy, d.lgs. 196/2003). La regola riguarda i cookie, ma anche il local storage, i pixel e le tecniche di fingerprinting. Il livello di consenso richiesto è quello del GDPR: libero, specifico, informato e inequivocabile (articoli 4, punto 11, e 7 del GDPR).

Una verifica dovrebbe quindi:

• caricare il sito in un browser pulito senza interagire e registrare ogni cookie, voce di archiviazione e richiesta di rete che compare prima di qualsiasi scelta;
• ripetere la visita dopo aver cliccato su «rifiuta» e confermare che i tracker non essenziali restino disattivati;
• verificare che rifiutare sia semplice quanto accettare, che nessuna opzione sia preselezionata e che il consenso possa essere revocato con la stessa facilità con cui è stato prestato (articolo 7, paragrafo 3, del GDPR);
• confrontare ciò che dichiarano il banner e l’elenco dei cookie con ciò che viene effettivamente caricato.

La nostra guida dedicata, Consenso ai cookie: che cosa richiedono le norme ePrivacy, entra nei dettagli.

2. Richieste a terze parti e trasferimenti di dati

Ogni font, video, mappa, widget di chat o tag di analisi incorporato invia l’indirizzo IP e i dati del browser del visitatore a un’altra società. Ai sensi del GDPR si tratta di una trasmissione di dati personali che richiede una base giuridica (articolo 6) e, se il destinatario si trova al di fuori del SEE, un meccanismo di trasferimento ai sensi del capo V. Nella sentenza Fashion ID (C-40/17) la Corte di giustizia ha stabilito che il gestore di un sito che incorpora un plugin di terzi può essere contitolare del trattamento per la raccolta e la trasmissione dei dati dei visitatori.

Uno scanner dovrebbe elencare ogni host di terze parti contattato dalla pagina, quando viene contattato (prima o dopo il consenso) e, idealmente, dove è stabilito il destinatario. Ospitare in proprio font e script è la soluzione più semplice per molti rilievi.

3. L’informativa privacy

Gli articoli 13 e 14 del GDPR elencano ciò che deve essere comunicato ai visitatori: chi è il titolare del trattamento e come contattarlo (e il responsabile della protezione dei dati, ove designato), le finalità e le basi giuridiche di ciascun trattamento, i destinatari, i trasferimenti al di fuori del SEE, i periodi di conservazione, i diritti dell’interessato, il diritto di proporre reclamo a un’autorità di controllo e l’eventuale esistenza di un processo decisionale automatizzato. L’articolo 12 aggiunge che le informazioni devono essere concise, trasparenti e facilmente accessibili.

Gli strumenti automatizzati possono confermare che un’informativa esiste, è raggiungibile da ogni pagina e menziona gli elementi richiesti. Se il contenuto corrisponda a ciò che il sito fa realmente è l’aspetto più importante, ed è quello che uno scanner può solo approssimare, confrontando l’informativa con i tracker rilevati.

4. Informazioni sul prestatore («note legali»)

L’articolo 5 della direttiva sul commercio elettronico impone a ogni servizio della società dell’informazione di rendere determinate informazioni «facilmente accessibili in modo diretto e permanente»: il nome del prestatore, l’indirizzo geografico, i recapiti, compreso un indirizzo di posta elettronica, l’iscrizione al registro delle imprese e il relativo numero, il numero di partita IVA e, se pertinenti, l’autorità di controllo o le regole professionali. Diversi Stati membri attuano questo obbligo con una pagina dedicata (la Germania con il § 5 DDG, l’Austria con il § 5 ECG, la Slovacchia con la legge n. 22/2004 Racc.).

Una verifica dovrebbe confermare che la pagina esiste, è raggiungibile con uno o due clic da ogni pagina e contiene ciascun elemento. Per approfondire: Note legali e obblighi informativi del diritto dei consumatori per i negozi online nell’UE.

5. Informazioni previste dal diritto dei consumatori per i negozi online

Se il sito vende a consumatori, la direttiva sui diritti dei consumatori aggiunge le informazioni precontrattuali (articolo 6), la dicitura del pulsante d’ordine (articolo 8, paragrafo 2; in Italia art. 51, comma 2, del Codice del consumo) e il diritto di recesso di 14 giorni (articolo 9). Con la direttiva Omnibus 2019/2161 i negozi devono inoltre spiegare come viene determinata la classificazione dei prodotti, indicare se e come verificano le recensioni dei consumatori e mostrare il prezzo precedente quando annunciano una riduzione (direttiva sull’indicazione dei prezzi, articolo 6 bis).

6. Accessibilità

Dal 28 giugno 2025 l’European Accessibility Act (in Italia attuato con il d.lgs. 82/2022) si applica al commercio elettronico rivolto ai consumatori e a diversi altri servizi. In pratica ciò significa soddisfare i requisiti web della norma EN 301 549, che rimanda alle WCAG 2.1 livello AA. I test automatizzati individuano in modo affidabile testi alternativi mancanti, contrasto insufficiente, campi di modulo privi di etichetta e attributi di lingua mancanti; l’uso da tastiera e il percorso con lettore di schermo devono comunque essere testati manualmente. Si veda Accessibilità (EAA 2025) per i siti web.

Una checklist in una pagina

Ciò che nessuno scanner può vedere

I registri delle attività di trattamento (articolo 30 del GDPR), gli accordi con i responsabili del trattamento (articolo 28), le valutazioni d’impatto sulla protezione dei dati (articolo 35), il tracciamento lato server e ciò che accade nelle aree riservate agli utenti registrati sono invisibili a un crawler. Una scansione è il miglior primo passo e un eccellente test di regressione; non è un audit completo. La nostra guida Che cosa gli scanner di conformità automatizzati possono e non possono verificare spiega dove passa il confine.