Un audit privacy sito web è un passaggio fondamentale per garantire la compliance al GDPR e proteggere i dati degli utenti. Una checklist ben strutturata ti permette di verificare autonomamente la conformità del tuo sito, identificando eventuali criticità prima che diventino problemi seri.

Questa guida pratica ti fornisce gli strumenti per effettuare una verifica interna del tuo sito, analizzando punti chiave come il cookie banner, l’informativa privacy, il modulo di contatto e le integrazioni di terze parti. Seguendo questa checklist, potrai valutare se il tuo trattamento dei dati è conforme alla normativa vigente e ottimizzare la tua presenza online per ispirare fiducia ai tuoi clienti.

Non aspettare che arrivi una notifica del Garante per agire: una corretta gestione della privacy è un asset strategico per la tua azienda. Inizia subito il tuo audit autonomo e, se hai bisogno di un supporto professionale per approfondire o risolvere le criticità scoperte, contatta i nostri esperti per una consulenza mirata.

Introduzione: perché fare un’audit privacy autonomo e quando affidarsi a un professionista

Un’audit privacy sul sito web non è più un’opzione, ma un requisito fondamentale per operare in regola con il GDPR e le normative europee. Con multe che possono raggiungere il 4% del fatturato globale, il rischio di sanzioni per mancata conformità è concreto. Tuttavia, molte PMI e professionisti si chiedono: è possibile gestire questo controllo internamente o è necessario rivolgersi a un consulente esterno? La risposta non è univoca e dipende dalla complessità della propria organizzazione e dal livello di rischio tollerabile.

Realizzare un’audit privacy autonomo offre indubbi vantaggi. Primo tra tutti, il contenimento dei costi: evitare l’intervento di un professionista esterno permette di allocare le risorse verso altre priorità. Inoltre, questo processo rappresenta un’opportunità di formazione e sensibilizzazione interna. Costringe il titolare a conoscere a fondo i propri trattamenti dati, i flussi informativi e le responsabilità, rafforzando la cultura aziendale della sicurezza. Per micro-imprese, blog personali o siti vetrina con un trattamento dati estremamente limitato (es. solo contatti via form), un’analisi fai-da-te, guidata da una checklist strutturata, può essere un primo passo valido per identificare le criticità più evidenti e le aree di intervento prioritario.

Le micro-imprese, i blog personali o i siti vetrina con un trattamento dati estremamente limitato possono affidarsi a una checklist ben strutturata. Il primo passo consiste nel mappare i dati trattati: dati dei clienti, newsletter, form di contatto, cookie. Spesso, per realtà di questo tipo, un’analisi interna è sufficiente per individuare le criticità più evidenti e pianificare gli interventi correttivi senza costi aggiuntivi.

D’altra parte, esistono scenari in cui l’affidarsi a un professionista è fortemente consigliato, se non obbligatorio. Se il sito web gestisce categorie particolari di dati (salute, orientamento politico, religioso, dati giudiziari), o se l’azienda opera in settori regolamentati (sanità, finanza, assicurazioni), la complessità normativa richiede competenze specialistiche. Allo stesso modo, se il volume di dati trattato è elevato o se sono presenti integrazioni complesse (es. CRM, sistemi di pagamento avanzati, analytics intrusivi), un’audit esterna garantisce un livello di profondità e obiettività che l’approccio interno faticosamente raggiunge.

Un professionista offre non solo la certezza della conformità, ma anche la garanzia di un lavoro svolto da un soggetto terzo e indipendente, requisito fondamentale in caso di controlli da parte del Garante. Inoltre, un consulente esperto è in grado di interpretare le nuances della normativa, aggiornata costantemente, e di fornire soluzioni pratiche e calibrate sul contesto specifico, trasformando l’adempimento normativo in un asset di fiducia per il proprio business.

In conclusione, l’audit privacy autonomo è un ottimo punto di partenza per avviare un processo di compliance, ma non deve essere considerato come l’unica soluzione definitiva. La scelta tra fai-da-te e consulenza esterna deve bilanciare rischi, complessità e risorse. In entrambi i casi, agire è imperativo: l’inazione è il costo più alto che un’azienda possa permettersi nel panorama digitale odierno.

Obiettivi e benefici di un’audit privacy interna

Limiti dell’approccio autonomo e quando coinvolgere un DPO o un legale

Limiti dell’approccio autonomo e quando coinvolgere un DPO o un legale

Sebbene l’approccio autonomo sia un primo passo utile, presenta limiti significativi. La complessità normativa (GDPR, NIS2, DORA) e le recenti pronunce Garante richiedono interpretazioni tecniche e legali che vanno oltre una semplice checklist. Un controllo fai-da-te può infatti mancare vulnerabilità profonde o interpretare erroneamente requisiti come la “valutazione di impatto” (DPIA). Il rischio è un falso senso di sicurezza e potenziali sanzioni.

È fondamentale coinvolgere un DPO (Data Protection Officer) o un legale specializzato quando:

• L’azienda opera in settori ad alto rischio (sanità, finanza, public administration) o supera i 250 dipendenti.
• Si devono implementare misure tecniche complesse (crittografia, pseudonimizzazione) o gestire un data breach.
• È necessaria una valutazione di impatto DPIA o una DUE DILIGENCE
• Il sito raccoglie dati sensibili, minori o utilizza sistemi automatizzati con profiling.

Un professionista garantisce non solo la compliance, ma trasforma la sicurezza in un asset competitivo.

Criteri di successo: cosa significa ‘conforme’ nella pratica

Criteri di successo: cosa significa ‘conforme’ nella pratica

Un sito web è “conforme” quando l’audit dimostra che ogni trattamento di dati personali avviene in base a una base giuridica valida (es. consenso esplicito, interesse legittimo, obbligo di legge) e che le finalità sono esplicitate nella informativa privacy. La conformità implica la presenza di un banner cookie che blocca i script non necessari fino al consenso, l’indicazione chiara del titolare del trattamento e la possibilità per l’utente di esercitare i suoi diritti (accesso, cancellazione, portabilità, opposizione) attraverso un canale dedicato (es. form o email specifica).

Dal punto di vista tecnico, significa che i dati sono protetti: trasferimenti extra-UE solo verso Paesi con adeguato livello di protezione o con garanzie contrattuali (Standard Contractual Clauses), minimizzazione dei dati raccolti e procedure di notifica violazioni attive. In sintesi, “conforme” non è solo un check di legalità, ma un sistema integrato di trasparenza, sicurezza e responsabilità che protegge l’azienda da rischi sanzionatori e costruisce fiducia con gli utenti.

Quadro normativo di riferimento: GDPR, ePrivacy e riferimenti utili

Principi GDPR applicabili al sito web (liceità, trasparenza, minimizzazione)

Prima di scaricare la checklist, devi capire i principi cardine del GDPR che riguardano direttamente il tuo sito web. Per evitare sanzioni pesanti e guadagnare la fiducia dei clienti, assicurati che il tuo sito rispetti questi tre pilastri fondamentali.

Liceità del trattamento

Il trattamento dei dati (compresi i cookie) deve avere una base legale solida. Non puoi raccogliere informazioni “a caso”. Le basi sono: consenso esplicito dell’utente, adempimento di un contratto, obbligo legale o interesse legittimo (es. sicurezza tecnica). Per il marketing, serve il consenso libero e specifico. Checklist pratica: Rivedi tutti i form e gli script. Per ogni dato raccolto, chiediti: “Su quale base giuridica lo tratto?”. Se non c’è una risposta chiara, è illegale.

Trasparenza e informativa chiara

Devi informare l’utente in modo immediato e comprensibile su chi sei, cosa fai dei suoi dati, per quanto tempo li conservi e chi sono i terzi destinatari (es. Google Analytics). L’informativa non può essere un muro di testo illeggibile. Checklist pratica: Controlla la pagina “Privacy Policy”. È facile da trovare? Usa un linguaggio semplice. Inserisci un banner cookie che non solo blocca gli script prima del consenso, ma spiega chiaramente cosa si accetta.

Minimizzazione dei dati

Il GDPR impone di raccogliere solo i dati strettamente necessari alla finalità dichiarata. Se ti serve solo l’email per inviare una newsletter, non chiedere anche numero di telefono o indirizzo. Raccogliere troppi dati aumenta il rischio in caso di data breach. Checklist pratica: Analizza ogni campo dei tuoi form. Ogni campo deve giustificare la sua esistenza. Se un dato non è indispensabile, eliminalo o rendilo facoltativo.

Base giuridica del trattamento: consenso, interesse legittimo, obbligo legale

Base giuridica del trattamento: consenso, interesse legittimo, obbligo legale

La tua checklist deve verificare che ogni categoria di dati trattiata sul sito sia supportata da una base giuridica valida, come previsto dal GDPR. Devi identificare chiaramente il titolare del trattamento e, per ogni finalità, l’articolo 6 che ne legittima l’elaborazione. Per esempio, il consenso espresso è necessario per l’invio di newsletter marketing o per i cookie non strettamente necessari. L’interesse legittimo può essere invocato per analisi statistiche anonimizzate o per la gestione di richiesti di contatto, ma solo dopo aver valutato attentamente il bilanciamento con i diritti dell’interessato. L’obbligo legale si applica invece a dati obbligatori per legge, come quelli fiscali. Assicurati che i formulari di contatto e le policy evidenzino esplicitamente queste basi.

ePrivacy e cookie: direttiva 2002/58/CE e linee guida garanti (cookie wall, opt-in)

Cookie e ePrivacy: il quadro normativo

La tua checklist deve includere una sezione dedicata alla corretta gestione dei cookie, in linea con la direttiva ePrivacy (2002/58/CE) e le linee guida del Garante. L’obiettivo è garantire che l’utente esprima un consenso valido e informato prima dell’installazione di cookie non tecnici.

Checklist operativa:

• Banner iniziale: Verifica che sia presente, non sia pre-compilato e blocchi l’accesso ai contenuti finché non viene espressa una scelta. L’utente deve poter accettare, rifiutare o personalizzare.
• Cookie Wall: Il Garante ne ha vietato l’uso se la navigazione è subordinata al consenso. Assicurati che il sito non utilizzi tecniche che costringano all’accettazione per accedere al contenuto.
• Opt-in esplicito: Il consenso deve essere espresso attraverso un’azione positiva (es. clic su “Accetta”). Il semplice scorrimento della pagina (scroll) o la continuazione della navigazione non costituiscono consenso valido.
• Informativa estesa: Deve essere facilmente accessibile, contenere l’elenco dei cookie, le finalità, i terzi coinvolti e i tempi di conservazione.

Questo controllo è fondamentale per evitare sanzioni, che possono arrivare fino a 20 milioni di euro o al 4% del fatturato globale.

Preparazione dell’audit: definire scope, ruoli, timeline e strumenti

Preparazione dell’audit: definire scope, ruoli, timeline e strumenti

Prima ancora di analizzare la singola pagina o la form privacy, è fondamentale strutturare l’audit privacy con metodo. Una preparazione accurata evita di perdere tempo durante il controllo e garantisce che i risultati siano realmente utilizzabili per migliorare la conformità.

Definizione dello scope
Non tutto il sito deve essere analizzato nella stessa misura. Inizia individuando le aree critiche:

• Pagine obbligatorie: Informativa Privacy, Cookie Policy, Informativa estesa, form di contatto e iscrizione.
• Form e raccolta dati: Moduli di lead generation, newsletter, richiesta preventivo, accesso aree riservate.
• Integrazioni esterne: Google Analytics (GA4), Google Tag Manager, strumenti di marketing automation, chat live, cookie di terze parti.

Checklist rapida: Mappa tutte le pagine che trattano dati personali (anche solo l’indirizzo IP o i cookie) e le integrazioni di terze parti. Limita l’analisi iniziale alle aree a più alto rischio per ottimizzare le risorse.

Assegnazione dei ruoli e responsabilità
Un audit privacy non è solo un compito tecnico: coinvolge legali, IT e marketing.

• Responsabile Privacy / DPO (se nominato): Coordina l’audit, interpreta la normativa e definisce i requisiti di conformità.
• Sviluppatori / IT: Verificano il codice, i tag di tracciamento, i server e le configurazioni tecniche (es. SSL, log dei server).
• Marketing / Comunicazione: Fornisce elenco degli strumenti di terze parti usati, descrive le finalità del trattamento e garantisce che il copy delle policy sia comprensibile per l’utente.
• Responsabile del Progetto (Tipicamente l’Auditore): Gestisce la procedura, raccoglie le evidenze e redige il report finale.

Action Point: Individua chiaramente il referente unico (solitamente il Responsabile Privacy) che supervisioni il processo e aggreghi i dati raccolti dai diversi reparti.

Timeline e stima impegno
La durata dipende dalla complessità del sito. Per un sito vetrina o e-commerce con meno di 50 pagine:

• Giorno 1: Mappatura scope, raccolta documenti (DPIA, precedenti policy), configurazione strumenti di scan.
• Giorno 2: Analisi tecnica (cookie, tag, form) e analisi testuale (policy, consenso).
• Giorno 3: Verifica incrociata e report preliminare.

Se il sito è complesso (più sottodomini, app collegate, profilazione avanzata), dedica una settimana intera. L’obiettivo è mantenere l’audit focalizzato: meglio un’analisi approfondita su un campione rappresentativo che un’analisi superficiale sull’intero sito.

Strumenti necessari
Non servono strumenti costosi per un’auto-verifica preliminare. Ecco lo stack minimo consigliato:

• Browser Estensioni: Cook.io o EditThisCookie per ispezionare i cookie; Web Developer per visualizzare i form e i campi dati.
• Scan Cookie (Server-side): Utilizza strumenti gratuiti come CookieMetrix o la versione free di Cookiebot per una scansione automatizzata (nota: le versioni gratuite non sono sempre al 100% accurate, da validare manualmente).
• Analisi sorgente: Tasto destro > Ispeziona (F12) per controllare i tag Google Analytics 4, Google Tag Manager e altri script di tracciamento.
• Checklist Cartacea/Digitale: Un file Excel o Google Sheet con colonne: URL, Tipo di dato raccolto, Finalità, Base giuridica, Presenza Informativa, Presenza Cookie Banner, Rischi rilevati.

Mappatura del sito e dei flussi di dati: utenti, contatti, e-commerce, utenti logged-in

Inventario asset digitali: dominio, sottodomini, CDN, subprocessor, webhook

Template di raccolta evidenze: checklist operativa e tool di screenshot

Banner cookie e gestione del consenso: checklist tecnico-legale

Cookie necessari vs non necessari: definizione, esempi, tecniche di programmazione

Prova di blocco preventivo: verificare che script di tracciamento non partano senza consenso

Pre-consenso e post-consenso: impostazioniCMP, categorizzazione e vendor list

Qualità del consenso: granularità, revocabilità, prove di archiviazione (consent log)

Policy della privacy e informative: contenuti, accessibilità e aggiornamenti

Elementi minimi dell’informativa: finalità, base giuridica, tempi di conservazione

Chiarezza e linguaggio semplice: guideline leggibilità e accessibilità (WCAG)

Pubblicazione, versionamento e log degli aggiornamenti della policy

Mappa dei trattamenti e DPIA: quando e come redigerla

Identificare trattamenti a rischio alto: pubblicità comportamentale, profiling, dati sensibili

Schema DPIA: finalità, necessarietà, proporzionalità, rischi e misure di mitigazione

Consultazione preventiva del Garante: casi in cui è obbligatoria

Sicurezza del sito web: misure tecniche e organizzative

HTTPS, HSTS e cifratura: configurazioni corrette e errori comuni

Headers di sicurezza: CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy

Hardening di server e CMS: patch, plugin, permessi file, backup e recovery

Gestione delle vulnerabilità: scanning, bug bounty, canali di reporting

Dati dei minori: verifiche e consensi specifici

Soglie di età e meccanismi di verifica del consenso genitoriale

Identificazione e isolamento di trattamenti rivolti a minori

Evidenze documentali e logging per la conformità

Trasferimenti internazionali: SCC, BCR e valutazione di adeguatezza

Mappatura dei flussi verso paesi terzi: quali dati, dove, perché

Strumenti di trasferimento: SCC, Addendum UE-US, BCR, meccanismi complementari

Valutazione di impatto sul trasferimento e misure supplementari

Vendor management e DPIA di fornitari: cloud, plugin, CDN, analitica

“`html

Vendor management e DPIA di fornitari: cloud, plugin, CDN, analitica

La protezione dei dati personali non si ferma ai propri server, ma si estende a tutta la supply chain digitale: fornitari di cloud, plugin, CDN e strumenti di analisi hanno accesso a (o processano) i dati degli utenti. La normativa GDPR (art. 28) impone obblighi precisi sulla gestione dei fornitori e, in determinati casi, è necessaria una valutazione d’impatto (DPIA). La verifica di questa compliance è un pilastro della tuo audit privacy autonomo.

Checklist operativa per il vendor management

• Identificare tutti i fornitori coinvolti nel ciclo di vita del dato: provider cloud (es. AWS, Azure), plugin WordPress/Shopify, CDN (es. Cloudflare, Akamai), analytics (es. Google Analytics, Matomo), strumenti di marketing (email marketing, chat).
• Verificare i DPA (Data Processing Agreements) firmati per ogni fornitore che tratta dati per conto tuo. Il DPA deve includere chiaramente finalità, durata, tipo di dati, obblighi di sicurezza e sottotitolazione per i trasferimenti extra-UE.
• Recensire i trasferimenti internazionali di dati: controlla se i fornitari hanno sede fuori UE e se utilizzano meccanismi di trasferimento legali (es. clausole standard UE, Decisioni di Adeguatezza).
• Richiedere i certificati di sicurezza e le misure di protezione adottate (es. ISO 27001, SOC 2, cifratura end-to-end, logging degli accessi).
• Mappare le categorie di dati che ogni fornitore accede o elabora. Evita di concedere accessi “onnicomprensivi”: applica il principio del least privilege.
• Stabilire procedure di audit dei fornitori (penalità per inadempienza, diritto di verifica) e definire i termini di revoca in caso di violazione o disallineamento.
• Verificare la de-enrollment (cancellazione) dei dati alla fine del contratto: chiedi documentazione di distruzione dei dati.
• Monitorare le sub-deleghe: i fornitori non possono sottoservire altri fornitori senza autorizzazione. Richiedi la lista dei loro sub-fornitori e relative garanzie.
• Aggiornare periodicamente la mappa dei fornitori e i relativi DPA (almeno annualmente o al verificarsi di cambiamenti).
• Formare il team interno all’uso sicuro dei tool esterni: no all’installazione di plugin non autorizzati, no all’accesso con account personali a servizi aziendali.

Gestione DPIA e rischi specifici per categoria di fornitore

La DPIA (valutazione d’impatto sulla protezione dei dati) è obbligatoria per trattamenti ad alto rischio (art. 35 GDPR): tipicamente, quando si tratta dati sensibili, si effettua profiling su larga scala o si utilizzano tecnologie emergenti (es. IA). Nel caso dei vendor, la DPIA va condotta prima di scegliere il fornitore, per valutare i rischi legati alla gestione esterna dei dati. Di seguito una guida pratica per categoria.

Cloud (IaaS/PaaS/SaaS)

Rischi principali: accesso non autorizzato da parte del provider, perdita di dati per guasti infrastrutturali, trasferimenti extra-UE non conformi, condivisione di dati con servizi gestiti dal provider (es. backup).

Azioni di mitigazione in DPIA:

• Verificare il “responsabile dei dati”: il provider cloud è il tuo responsabile del trattamento? In tal caso, il DPA è obbligatorio.
• Preferire cloud con data centers in UE o con trasferimenti protetti (es. Clusole Standard UE).
• Configurare accessi con MFA e crittografia dei dati a riposo (at rest) e in transito.
• Verificare i log di accesso e la tracciabilità degli utenti.
• Valutare la resilienza: richiedi informazioni su SLA, backup multi-region, procedure di disaster recovery.
• Esigere che il fornitore comunichi tempestivamente eventuali breach di sicurezza (entro 72h).

Plugin e estensioni (CMS, e-commerce)

Rischi principali: plugin non aggiornati con vulnerabilità, raccolta dati superflua, trasferimento dati a servizi esterni non dichiarati, mancata conformità GDPR per la raccolta consenso.

Azioni di mitigazione in DPIA:

• Lista bianca degli plugin consentiti: valutare ogni plugin prima dell’installazione.
• Verificare la policy di privacy e le informative del plugin (specialmente per quelli che inviano dati a servizi cloud, come statistiche o integrazioni).
• Controllare se il plugin necessita di DPA (es. plugin che invia dati a servizi di email marketing).
• Mantenere versioni aggiornate e disinstallare plugin inutilizzati.
• Testare il consenso cookie per verificare che il plugin non raccolga dati prima del consenso.
• Monitorare il carico di dati trasmessi: evita plugin che “chiamano” servizi esterni senza necessità.

CDN (Content Delivery Network)

Rischi principali: caching di dati personali (es. sessioni, pagine private), accesso a log di navigazione da parte del provider CDN, trasferimento dati extra-UE.

Azioni di mitigazione in DPIA:

• Configurare il CDN per non memorizzare in cache contenuti sensibili o personali.
• Verificare le opzioni di trasparenza: log dei richieste, retention policy, accessi degli amministratori CDN.
• Valutare la policy di sicurezza del CDN (WAF, mitigazione DDoS, crittografia TLS).
• Richiedere documentazione GDPR e DPA, soprattutto se il CDN conserva copie dei dati (es. cache di pagine con dati personali).
• Monitorare l’impatto sulle prestazioni: un CDN mal configurato può rallentare il sito o esporre dati.

Strumenti di analisi e marketing (Analytics, Tag Manager)

Rischi principali: raccolta dati identificativi (IP, fingerprinting), profilazione senza consenso, condivisione dati con partner pubblicitari (es. Google Signals), trasferimento dati negli USA.

Azioni di mitigazione in DPIA:

• Anonimizzare i dati: usa IP anonimizzazione, disabilita i segnali di cross-device se non strettamente necessari.
• Configurare il consenso cookie per bloccare le analisi fino all’accettazione (con strumenti come Google Consent Mode).
• Valutare alternative on-premise o UE-based (es. Matomo) se il rischio è elevato.
• Verificare la condivisione con terze parti (es. Google Ads, Facebook): richiedi DPA separati per ciascun partner.
• Testare la corrispondenza tra cookie policy e strumenti installati: monitora le chiamate a domini esterni (es. con l’extensio “Ghostery” o “uBlock Origin” in modalità debug).
• Documentare nella DPIA le alternative considerate e i criteri di scelta (es. maggiore privacy vs. funzionalità).

Linee guida generali per la DPIA sui fornitori

• Proporzionalità: valuta l’impatto del fornitore rispetto al volume di dati e al rischio. Un piccolo plugin che legge solo metadati richiede un DPIA semplificato.
• Consultazione del DPO: se la DPIA indica rischi elevati, il DPO deve essere coinvolto (art. 35(2) GDPR).
• Documentazione: conserva la DPIA, il parere del DPO (se richiesto) e le misure di mitigazione adottate.
• Aggiornamento continuo: una DPIA non è “una tantum”. Rivaluta ogni volta che cambi fornitore, aggiungi funzionalità o si modifica l’ambiente tecnologico.
• Formazione: sensibilizza il team IT e marketing sull’importanza di valutare i rischi prima di integrare un nuovo tool.

Il vendor management è un processo continuo, non un mero adempimento formale. In audit privacy autonomo, dedicare tempo alla mappatura dei fornitori, alla verifica dei DPA e alla conduzione di DPIA mirate ti protegge da multe e furti di dati, migliorando al contempo la reputazione del tuo brand e la fiducia degli utenti.

“`

Inventario fornitori: categorie, trattamenti, dati condivisi, sottoprocessori

Inventario fornitori: categorie, trattamenti, dati condivisi, sottoprocessori

L’audit privacy richiede un’analisi rigorosa dei fornitori e dei sottoprocessori per garantire la tracciabilità e la conformità normativa. Ecco una checklist operativa per la tua azienda:

• Categorie di fornitori: Identifica il tipo di fornitore (es. hosting, servizi di pagamento, CRM, newsletter, analytics). Ogni categoria implica diversi livelli di rischio.
• Tipologie di trattamento: Verifica le operazioni che il fornitore svolge sui dati (raccolta, memorizzazione, elaborazione, cancellazione). Definisci se tratta dati per conto tuo (titolarità) o in autonomia.
• Dati condivisi: Elenca esattamente quali dati personali vengono trasmessi (anagrafici, finanziari, tecnici). Limita la condivisione ai soli dati strettamente necessari.
• Sottoprocessori (sub-processor): Richiedi al tuo fornitore la lista dei suoi sottoprocessori. Accertati che stipulino accordi analoghi al tuo e che siano in regola con il GDPR e la NIS2.
• Mappatura documentale: Conserva copia dei contratti, delle dichiarazioni di conformità e delle policy di sicurezza di ogni fornitore. Aggiorna questa mappatura almeno una volta l’anno o in caso di nuovi ingressi.

Questa lista ti aiuta a ridurre il rischio di sanzioni e a dimostrare l’accountability durante eventuali verifiche.

Verifica DPA e clausole contrattuali: cosa cercare nei termini e nelle policy

Una delle verifiche più critiche nell’audit privacy è l’analisi della DPIA (Dichiarazione di Protezione dei Dati Personali, o Privacy Policy) e dei termini di servizio. Questi documenti devono essere redatti in modo chiaro, trasparente e accessibile, specificando le finalità del trattamento, le basi giuridiche e i diritti degli utenti.

Verifica la presenza di informazioni obbligatorie: identità del titolare del trattamento, contatti del Responsabile della Protezione dei Dati (DPO, se nominato), categorie di dati raccolti e destinatari. Assicurati che siano citati i trasferimenti di dati verso Paesi extra-UE, con le adeguate garanzie (es. clausole contrattuali standard).

Controlla la congruenza tra policy e cookie banner: le finalità indicate per l’uso dei cookie devono corrispondere a quanto descritto nella DPIA. La policy deve essere sempre facilmente raggiungibile da ogni pagina del sito.

Se il sito integra servizi di terze parti (es. analytics, social media, pagamenti), è fondamentale che i relativi accordi di Data Processing Agreement (DPA) siano in regola e menzionati in policy.

Questa analisi è un primo passo essenziale per identificare criticità immediate.

Catalogo cookie e script: identificazione, categorizzazione, abbinamento a vendor

Catalogo cookie e script: identificazione, categorizzazione, abbinamento a vendor

La prima fase del tuo audit consiste nella creazione di un catalogo dettagliato di tutti i cookie e script attivi sul sito. Utilizza strumenti di sviluppo del browser (come la scheda “Application” in Chrome o “Storage” in Firefox) per identificare nome, valore, dominio, scadenza e percorso di ogni cookie.

Una volta censiti, classificali per tipologia:

• Tecnici/Necessari: essenziali al funzionamento del sito (es. session ID, preferenze lingua).
• Analitici/Performance: raccolgono dati anonimi sul traffico (es. Google Analytics).
• Marketing/Tracciamento: usati per pubblicità personalizzata (es. Facebook Pixel, Ads).

Infine, incrocia ogni cookie/script con il vendor che lo ha imposto (Google, Meta, Hotjar, ecc.) e verifica se è presente nell’informativa privacy e nel banner cookie. Se manca la corrispondenza, devi aggiornare la documentazione.

Non perder tempo: se preferisci un’analisi professionale e rapida, richiedi un audit Privacy con noi.

Form di contatto, newsletter, e-commerce: checklist specifica

Form di contatto, newsletter, e-commerce: checklist specifica

Questa sezione si concentra sui punti critici per la verifica della conformità privacy su tre delle aree più delicate e comuni di un sito web: i formulari di contatto, le newsletter e gli e-commerce. L’interazione diretta dell’utente in questi contesti genera dati personali che richiedono un’attenzione specifica sia dal punto di vista tecnico che normativo. La nostra esperienza, maturata anche in contesti aziendali complessi, ci permette di guidarti in questa analisi dettagliata.

1. Form di Contatto: Trasparenza e Finalità

I formulari di contatto sono spesso il primo punto di contatto tra un utente e l’azienda. Per garantire la conformità, è fondamentale che ogni campo del form sia giustificato da una finalità precisa e che l’utente sia pienamente informato.

• Finalità del trattamento: Il form deve includere un’informativa breve (es. “I suoi dati saranno utilizzati esclusivamente per rispondere alla sua richiesta”) e un link a quella estesa. Verifica che i campi richiesti siano strettamente necessari per la finalità dichiarata.
• Consenso per marketing: Se il form prevede caselle di consenso per finalità promozionali, queste devono essere opzionali e non preselezionate. Il consenso al marketing non può essere condizionato alla risposta alla richiesta (es. contatti commerciali).
• Base giuridica: Il trattamento dei dati per rispondere alla richiesta si basa sul legittimo interesse del titolare o sull’esecuzione di un contratto/precontrattuale. Non serve il consenso GDPR per questa finalità, ma l’informativa è obbligatoria.
• Minori di 16 anni: Se il form è accessibile a minori, verifica che ci sia un meccanismo per acconsentire al trattamento (dove previsto) e che richieda il consenso dei genitori per gli under 16.

Azione pratica: Effettua un test compilando il form. Se ricevi un’email di conferma o di marketing senza averlo esplicitamente richiesto, c’è un problema di conformità o di impostazioni del sistema.

2. Newsletter e Marketing: Il consenso deve essere Reale e Documentato

La gestione delle newsletter è l’area più controllata dall’Autorità Garante. Il focus è tutto sulla validità del consenso, che deve essere libero, specifico, informato e inequivocabile.

• Doppio Opt-in (Double Choice): È una best practice obbligatoria nella sostanza. L’utente deve confermare l’iscrizione tramite link di verifica inviato via email. Verifica che il sistema non iscriva automaticamente chi compila un form senza conferma.
• Prova del consenso: Il titolare deve essere in grado di dimostrare quando, come e dove l’utente ha dato il consenso. Il database deve registrare data, ora, IP e testo del modulo accettato.
• Facilità di recesso: Ogni email inviata deve contenere un link chiaro e funzionante per cancellarsi (facile recesso). Il processo deve essere immediato e non richiedere login complessi.
• Campi di raccolta: Chiedere nome e cognome per una newsletter è lecito solo se serve per personalizzare il contenuto. Se non serve, è meglio chiedere solo l’email per minimizzare il rischio.

3. E-commerce: Dati di Pagamento, Spedizione e Recensioni

Un e-commerce tratta dati sensibili (indirizzi, acquisti, pagamenti). Qui la conformità si intreccia con le normative sull’e-commerce e la sicurezza dei pagamenti (PSD2).

• Dati per la spedizione: Gli indirizzi di spedizione sono indispensabili per l’esecuzione del contratto (acquisto). Non serve un consenso specifico, ma vanno trattati solo per questa finalità.
• Servizi di terze parti: Se usi PayPal, Stripe o altri gateway, devi verificare che abbiano un’informativa privacy propria e che tu abbia un Accordo di Responsabile del Trattamento (Art. 28 GDPR) con loro, o quanto meno che siano conformi (es. trasferimento dati extra-UE garantito).
• Salvataggio dati per acquisti futuri: Se offri la “memorizzazione della carta”, devi ottenere un consenso esplicito e separato per questo, informando chiaramente sui rischi.
• Recensioni e fiducia sociale (Social Proof): Se pubblichi recensioni con nome e cognome del cliente (anche parziale), serve il consenso esplicito. Mai pubblicare recensioni anonime senza aver verificato che l’utente sia un acquirente reale. Le recensioni false sono una pratica scorretta (Art. 21 del Codice del Consumo) e violano la trasparenza.

Checklist Operativa: I 5 Controlli Finali “Must-Do”

Prima di considerare questa sezione completa, esegui questi 5 controlli incrociati. Sono quelli che, nel 90% dei casi, generano le sanzioni più comuni.

1. Test del recesso newsletter: Iscriviti con una mail temporanea e prova a cancellarti subito. Funziona?
2. Analisi dei cookie: Il banner dei cookie blocca gli script prima del consenso? Verifica che il caricamento di Google Analytics o Meta Pixel avvenga solo dopo il click su “Accetto”.
3. Polizza assicurativa: Hai verificato se il tuo e-commerce richiede l’obbligo di assicurazione RC online? (Spesso dimenticato).
4. Informativa aggiornata: Controlla la data di pubblicazione. Se hai aggiunto nuovi servizi (es. chatbot, recensioni automatiche), l’informativa è aggiornata?
5. modulo di contatto vs spam: Hai inserito i campi CAPTCHA o misure anti-spam? Oltre a essere pratico, è un obbligo di sicurezza dei dati (proteggere il sistema da attacchi automatici che inondano di richieste).

Come evitare gli errori comuni (e le sanzioni)

L’errore più frequente è la progettazione “Privacy by Default”: lasciare tutto aperto e sperare che l’utente capisca. La legge richiede l’approccio opposto: la massima trasparenza e il minimo dato necessario.

Un altro rischio è la mancata gestione del “Diritto all’oblio”: se un utente chiede la cancellazione, devi eliminare i dati non solo dal tuo CRM, ma anche dai sistemi di invio newsletter e, ove possibile, dai forum di recensioni.

Attenzione infine ai trasferimenti extra-UE. Se usi servizi di hosting o marketing americani (es. Mailchimp, Hubspot, AWS), devi verificare che abbiano aderito al Data Privacy Framework o che abbiano firmato le Standard Contractual Clauses (SCC) aggiornate.

La Guida Definitiva per non sbagliare

Il percorso per la conformità può sembrare un labirinto, ma con le giuste mappe è percorribile. Non dimenticare che la privacy non è solo un obbligo legale, ma un asset di marketing: un sito trasparente e sicuro vende di più perché ispira fiducia.

Se dopo aver verificato i punti sopra ti sembra di aver bisogno di un supporto tecnico-giuridico più strutturato, o se devi redigere il Documento di Valutazione dei Rischi (DVR) per il tuo sito, il team di Culture Digitali Srl è pronto ad analizzare la tua situazione specifica e a proporti una soluzione su misura.

Liceità dei form: informativa inline, consenso marcato, link alla policy

Liceità dei form: controlla la validità del consenso raccolto

I form di contatto, newsletter o richiesta preventivo sono il primo punto di contatto per i lead. Per rispettare il GDPR, la loro liceità dipende da come viene gestito il consenso.

Verifica autonomamente questi tre punti fondamentali:

• Informativa inline: Assicurati che il testo dell’informativa privacy (o un riassunto essenziale) sia visibile prima dell’invio, preferibilmente sopra il pulsante. Non deve essere nascosto in una pagina separata.
• Consenso marcato (opt-in): Le caselle di spunta per l’invio di newsletter o marketing devono essere deselzionate di default. L’utente deve compiere un’azione attiva per attivarle. Ricorda: il consenso deve essere libero, specifico e documentato.
• Link alla Policy: È obbligatorio inserire un link diretto alla Policy Privacy (Art. 13/14 GDPR). Deve essere sempre accessibile, anche tramite footer o banner, e aprirsi in una nuova scheda per evitare di perdere i dati inseriti nel form.

Una configurazione errata invalida il consenso e espone a sanzioni. Se non sei sicuro dell’aderenza normativa, la nostra consulenza GDPR analizza nel dettaglio tutti i tuoi form.

Doppio opt-in, preferenze e cancellazione: processi e prove

Doppio opt-in, preferenze e cancellazione: processi e prove

La gestione del consenso è uno dei pilastri della privacy. Per verificare la conformità in autonomia, esegui questi controlli:

• Doppio opt-in: Verifica che la conferma dell’iscrizione avvenga tramite un’email di verifica contenente un link univoco. Il contatto non deve ricevere comunicazioni commerciali prima di aver cliccato su tale link. Controlla l’archivio dei log per avere prova della data e dell’ora dell’iscrizione e della conferma.
• Preferenze di marketing: Assicurati che nelle email di conferma e nel footer di ogni comunicazione sia presente un link chiaro e funzionante (“Modifica le tue preferenze”). L’utente deve poter selezionare specifiche categorie di interessi (es. newsletter, promozioni, eventi) e deve essere possibile revocare il consenso parzialmente, senza bloccare le comunicazioni di servizio.
• Cancellazione e diritto all’oblio: Valuta il processo di cancellazione dall’archivio. Deve essere semplice, immediato (tramite link di disiscrizione in ogni email) e deve garantire la cancellazione effettiva e definitiva dei dati personali, a meno di obblighi di conservazione legale (es. fatturazione). Anche qui, conserva i log di cancellazione come prova dell’avvenuta richiesta.

Questi processi non sono solo una formalità: dimostrano che rispetti concretamente la volontà dell’interessato.

Checkout e pagamenti: raccolta minima, tokenizzazione, annotazioni di sicurezza

Checkout e pagamenti: raccolta minima, tokenizzazione e annotazioni di sicurezza

Il processo di checkout è critico: limita la raccolta di dati ai soli campi indispensabili (es. indirizzo di fatturazione). Evita di memorizzare numeri di carte di credito in chiaro sui tuoi server; preferisci gateway di pagamento che offrano la tokenizzazione, dove i dati sensibili vengono sostituiti da un token inutilizzabile da terzi.

Durante l’audit, verifica che le annotazioni di sicurezza siano presenti: i form devono essere serviti in HTTPS, con certificati validi e HSTS attivo. Controlla che i parametri di pagamento non vengano esposti negli URL e che le sessioni siano protette con cookie Secure e HttpOnly.

Infine, assicurati che la Privacy Policy aggiornata sia visibile prima del checkout e che l’utente possa esercitare i suoi diritti (es. cancellazione dati) anche dopo l’acquisto. Questi sono i pilastri per un checkout conforme e sicuro.

Accessi, log e attività di monitoraggio: limiti e trasparenza

Accessi, log e attività di monitoraggio: limiti e trasparenza

Monitorare accessi e attività di utenti e amministratori è fondamentale per la sicurezza e l’integrità di un sito web. Tuttavia, anche questi processi rientrano nel perimetro della privacy, perché potenzialmente in grado di raccogliere dati personali (come indirizzi IP, credenziali di accesso o interazioni con il back-end). L’audit deve verificare che le attività di log siano proporzionate e trasparenti.

• Proporzionalità e necessità: è essenziale registrare solo gli eventi strettamente necessari a garantire la sicurezza del sistema e a rispondere a eventuali incidenti (es. tentativi di accesso falliti, modifiche critiche ai contenuti). Il principio di minimizzazione deve applicarsi anche ai log: evitare la raccolta indiscriminata di dati che non hanno una finalità di sicurezza o di compliance documentata.
• Conservazione dei log: verificare la policy di conservazione. Per quanto tempo vengono mantenuti i file di log? La scadenza deve essere definita in base alla normativa e alle esigenze tecniche, ma non può essere infinita. Una buona pratica è cancellare i log vecchi (ad esempio oltre i 6 o 12 mesi, salvo esigenze specifiche) per ridurre il rischio di esposizione in caso di violazione.
• Accesso ai log: controllare chi ha accesso ai file di log e alle dashboard di monitoraggio. L’accesso deve essere limitato al personale autorizzato (es. System Administrator o Responsabile della Sicurezza), con una chiara tracciabilità di chi accede a questi dati sensibili. Evitare account con privilegi eccessivi.
• Trasparenza verso gli utenti: se il sito raccoglie dati di navigazione per finalità di sicurezza (es. sistemi anti-bot o di protezione da attacchi DDoS), questa attività deve essere menzionata nell’Informativa Privacy. Gli utenti devono sapere che i loro dati (come l’IP) vengono elaborati per la sicurezza del sito, e devono essere informati sulle loro diritti.

Log di accesso al sito e back-end: minimizzazione, conservazione e revoca

Log di accesso al sito e back-end: minimizzazione, conservazione e revoca

Verifica la politica di gestione dei log di autenticazione (sito front-end e back-end). Il principio fondamentale è la minimizzazione: devi registrare solo gli strettamente necessari (es. orario, IP, esito accesso, utente) e non dati sensibili superflui come l’intera password.

Controlla la conservazione: definisci e rispetta un periodo di retention chiaro (es. 12 mesi), dopodiché i log devono essere cancellati in modo sicuro. Non conservarli all’infinito.

Infine, assicurati che esista un meccanismo di revoca o invalidazione immediata degli accessi in caso di dipendente uscito o account compromesso.

Heatmap, session recording, A/B testing: valutazione impatto e consenso

Tecnologie come heatmap, session recording e A/B testing offrono preziose intuizioni sul comportamento degli utenti, ma il loro utilizzo richiede un’attenta valutazione dell’impatto sulla privacy e un consenso esplicito. Questi strumenti, infatti, raccolgono dati comportamentali dettagliati (click, movimenti del mouse, tempo di permanenza) che possono essere considerati dati personali, specialmente se associati a identificativi o se permettono di ricostruire il percorso dell’utente.

Per utilizzarli in conformità al GDPR, è necessario:

• Valutare la proporzionalità: Verificare che la finalità (miglioramento UX, conversione) sia legittima e che la raccolta sia strettamente necessaria.
• Aggiornare l’informativa privacy: Dichiarare chiaramente l’uso di questi strumenti, specificando i dati trattati e le finalità.
• Richiedere consenso esplicito: Non è sufficiente il legittimo interesse. L’utente deve dare il consenso tramite cookie banner prima dell’attivazione.
• Anonimizzare i dati: Ove possibile, mascherare elementi identificativi (es. IP, email nei form) per ridurre il rischio.

Verifica sempre che il fornitore del software (es. Hotjar, Crazyegg) offra garanzie contrattuali (DPA) e rispetti i principi di privacy by design.

Tracking in-app e notifiche push: regole specifiche e disattivazione

Il tracking in-app e le notifiche push richiedono un’attenzione specifica per la conformità. Le notifiche push sono considerate un servizio di comunicazione elettronica e richiedono un consenso esplicito e preventivo dell’utente, che deve essere libero, specifico, informato e inequivocabile. Il silenzio o la preselezione non sono validi.

Per le statistiche e il remarketing, devi verificare la raccolta di dati tramite IDFA (iOS) e GAID (Android). Questi identificatori sono considerati dati personali e richiedono il consenso preventivo tramite una CMP (Consent Management Platform) conforme, con un’opzione chiara e distinta per accettare o rifiutare. L’utilizzo di tecniche come il “consent bypass” o il “dark pattern” per indurre l’accettazione comporta sanzioni pesanti.

Checklist operativa:

• Verifica che il doppio opt-in sia attivo per le notifiche push;
• Controlla che il banner dei cookie non tracci prima del consenso;
• Assicura che l’utente possa revocare il consenso facilmente dalle impostazioni dell’app o del dispositivo;
• Integra il link all’informativa privacy direttamente nel flusso di richiesta permessi.

Diritti degli interessati: esercizio, risposte e tempi

Diritti degli interessati: esercizio, risposte e tempi

Nell’ambito di un audit privacy per un sito web, la verifica del rispetto dei diritti degli interessati rappresenta un pilastro fondamentale per valutare la maturità del sistema di gestione dei dati personali. Il GDPR (Regolamento Generale sulla Protezione dei Dati) garantisce una serie di diritti che ogni persona fisica può esercitare nei confronti del titolare del trattamento. Per un’azienda, non solo è obbligatorio rispettarli, ma è altrettanto cruciale dimostrare di aver implementato procedure chiare e tempestive per gestirli. In questa sezione della checklist, analizzeremo come verificare autonomamente che il tuo sito web e la tua organizzazione siano conformi agli obblighi di risposta e ai tempi di esercizio dei diritti.

1. Mappatura dei diritti degli interessati

Il primo passo di un audit privacy è identificare i diritti previsti dal GDPR e verificare se la tua struttura è pronta a gestirli. I diritti principali da controllare sono:

• Diritto di accesso (Art. 15): l’interessato può chiedere la conferma che siano o meno in corso trattamenti dei suoi dati e accedere a tali informazioni.
• Diritto di rettifica (Art. 16): rettifica dei dati inesatti o integrazione di quelli incompleti.
• Diritto all’oblio (Art. 17): cancellazione dei dati personali senza ingiustificato ritardo.
• Diritto di limitazione (Art. 18): sospensione del trattamento in specifiche situazioni.
• Diritto alla portabilità (Art. 20): ricevere i dati in formato strutturato e trasferirli ad altri titolari.
• Diritto di opposizione (Art. 21): opporsi al trattamento per motivi legittimi.
• Diritto di non essere sottoposto a decisioni automatizzate (Art. 22): protezione dalle decisioni basate esclusivamente su trattamenti automatizzati.

Per ogni diritto, devi verificare se la tua organizzazione ha definito procedure operative interne. È necessario mappare i flussi di comunicazione: chi riceve la richiesta (es. supporto clienti, DPO), come viene gestita (es. tramite ticket o modulo dedicato) e chi è responsabile della risposta.

2. Verifica dei tempi di risposta

Uno degli aspetti più critici in un audit privacy sito web è il rispetto dei termini previsti dalla legge. L’articolo 12 del GDPR stabilisce che il titolare deve rispondere all’interessato senza ingiustificato ritardo e, al più tardi, entro un mese dal ricevimento della richiesta. Tale termine può essere prorogato di ulteriori due mesi per la complessità del caso, ma l’interessato deve essere informato delle ragioni del ritardo entro il mese iniziale.

Durante l’audit, verifica:

• Esiste un registro delle richieste degli interessati? Deve contenere data di ricezione, tipologia della richiesta, data di risposta e esito.
• Le scadenze sono monitorate? È utile utilizzare un sistema di ticketing o un foglio di calcolo con allarmi per evitare scadenze mancate.
• Le risposte vengono comunicate gratuitamente? Tuttavia, se le richieste sono manifestamente infondate o eccessive (es. richieste ripetute), il titolare può chiedere un compenso ragionevole o rifiutarsi di rispondere (Art. 12, par. 5).

Un audit efficace testa anche la velocità di risposta su richieste simulati (es. richiesta di cancellazione o accesso ai dati) per misurare le performance reali della tua organizzazione. Ricorda: la mancata risposta o il ritardo ingiustificato possono portare a sanzioni amministrative.

3. Procedure operative e strumenti tecnologici

Il rispetto dei diritti non è solo una questione di policy, ma richiede strumenti adeguati. In questa parte dell’audit, analizza come le richieste vengono processate:

• Modulistica e canali di contatto: il sito web deve offrire canali chiari per l’esercizio dei diritti (es. email dedicata, modulo web, numero di telefono). La policy privacy deve indicare chiaramente questi contatti.
• Identificazione dell’interessato: per evitare violazioni di sicurezza, devi verificare che l’organizzazione applichi procedure di verifica dell’identità prima di soddisfare una richiesta (es. richiesta di copia di un documento). Tuttavia, la verifica deve essere proporzionata e non costituire un ostacolo ingiustificato.
• Integrazione con sistemi gestionali: per gestire efficientemente la portabilità o l’accesso, è necessario che i dati siano strutturati in formati interoperabili (es. CSV, JSON). Verifica se i tuoi sistemi sono in grado di estrarre e fornire i dati richiesti.
• Automazione: alcuni diritti (come l’accesso o la cancellazione) possono essere parzialmente automatizzati, riducendo il carico di lavoro e gli errori umani. Valuta se implementare soluzioni software dedicate.

Un punto cruciale è la gestione delle richieste di cancellazione (diritto all’oblio). Devi verificare che, una volta accolta la richiesta, i dati vengano eliminati da tutte le basi di dati (es. CRM, sistemi di marketing, archivi di backup), salvo conservazione legale o altri obblighi normativi (es. fatturazione).

4. Documentazione e tracciabilità

La tracciabilità delle attività di risposta è fondamentale per dimostrare la conformità in caso di controllo dell’Autorità Garante. Nell’audit, verifica che la tua organizzazione mantenga:

• Registro delle richieste degli interessati: non è obbligatorio per legge come il registro dei trattamenti, ma è considerato best practice e strumento difensivo essenziale.
• Modelli di risposta standardizzati: assicurano completezza e coerenza. Ogni risposta deve contenere informazioni sulle eventuali limitazioni e sui motivi di un eventuale rifiuto.
• Archiviazione sicura delle comunicazioni: le interazioni con gli interessati devono essere conservate in modo sicuro e organizzato.

Inoltre, se la tua azienda riceve molte richieste o gestisce un volume elevato di dati, è consigliabile implementare un software di gestione privacy che faciliti il tracciamento e l’automazione dei processi.

5. Verifica dei refusi e dello stato di conformità

Alla fine della sezione “Diritti degli interessati” del tuo audit privacy, prepara un report che evidenzi:

1. Le procedure esistenti e la loro effettiva applicazione.
2. Il rispetto dei tempi legali (analisi statistica sui tempi medi di risposta se disponibili).
3. Le criticità riscontrate (es. assenza di modulo specifico, tempi di risposta troppo lunghi, mancanza di un registro dedicato).
4. Le azioni correttive necessarie (es. formazione del personale, implementazione di un sistema di ticketing, revisione dei moduli web).

Ricorda che la conformità è dinamica: i processi devono essere riesaminati periodicamente, soprattutto in seguito a cambiamenti organizzativi o tecnologici.

CTA Finale

Diritto di accesso, rettifica, cancellazione, portabilità e opposizione

Diritto di accesso, rettifica, cancellazione, portabilità e opposizione

Questi diritti sono fondamentali per il controllo dei propri dati da parte degli interessati. Ecco come verificare la tua situazione:

• Accesso (Art. 15 GDPR): Verifica se la tua Privacy Policy prevede una procedura chiara per richiedere una copia dei dati personali in tuo possesso.
• Rettifica (Art. 16 GDPR): Controlla se esiste un meccanismo per aggiornare dati errati o incompleti (es. tramite form dedicato o email specifica).
• Cancellazione/”Diritto all’oblio” (Art. 17 GDPR): Assicurati che la policy indichi quando e come i dati vengono cancellati su richiesta, salvo obblighi legali di conservazione.
• Portabilità (Art. 20 GDPR): Se raccogli dati in formati strutturati (es. CSV), verifica di poterli esportare su richiesta dell’interessato.
• Opposizione (Art. 21 GDPR): Controlla se gli utenti possono opporsi al trattamento per motivi legittimi (es. marketing diretto), con un meccanismo semplice come un link “Non ricevere più comunicazioni”.

Checklist operativa: Assicurati che tutte le richieste vengano gestite entro 30 giorni e documentate. Integra un form dedicato o un indirizzo email chiaro (es. privacy@tuaazienda.com) per ricevere le richieste. Ricorda che la gestione di questi dirati non è solo un obbligo legale, ma un’opportunità per costruire fiducia con i tuoi utenti.

Procedure interne: richieste, identificazione, scadenze, archiviazione prove

Procedure interne: richieste, identificazione, scadenze, archiviazione prove

Per mantenere la conformità, definisci un processo interno chiaro per gestire le richieste degli interessati (accesso, rettifica, cancellazione, opposizione). Stabilisci un unico canale di raccolta, ad esempio un indirizzo email dedicato o un modulo web, e assegna un responsabile dell’ufficio privacy che prenda in carico ogni richiesta entro 48 ore.

Per ogni richiesta, è fondamentale:

• Identificare l’interessato: richiedi un documento d’identità valido (se necessario, per il principio di proporzionalità) e verifica la corrispondenza con i dati in tuo possesso.
• Definire scadenze: la normativa prevede tempi di risposta rigidi (es. 30 giorni per le richieste di accesso, salvo proroghe). Inserisci ogni scadenza in un calendario condiviso con promemoria automatici.
• Documentare ogni passo: archivia prove di ogni comunicazione (email, registri delle attività di trattamento, verbali di ricevimento e risposta). Questo archivio dimostra la tua diligenza in caso di controllo.

Un tool di gestione dei ticket o un semplice foglio di calcolo condiviso sono sufficienti per iniziare. L’obiettivo è avere una tracciabilità completa che colleghi ogni richiesta alla sua risoluzione.

Automazione e APIs: riscontri tecnici e limitazioni

Automazione e APIs: riscontri tecnici e limitazioni

Un audit privacy automatizzato per sito web è un ottimo punto di partenza, ma va interpretato con attenzione. La maggior parte degli strumenti di scanning analizza il codice HTML/JavaScript per individuare potenziali violazioni, come cookie di terze parti non bloccati, script di tracciamento senza informativa o form con campi che raccolgono dati sensibili senza le giuste misure di sicurezza.

Tuttavia, questi strumenti presentano limitazioni critiche:

• Logica di business nascosta: Non possono verificare se la base giuridica del trattamento (es. consenso o interesse legittimo) è correttamente documentata o se il consenso è effettivamente raccolto e archiviato.
• Contenuti dinamici e API: Spesso non scansionano in profondità le chiamate API (back-end) che inviano dati a terze parti, né il contenuto generato dinamicamente o nelle app mobile collegate.
• Contesto e proporzionalità: Un tool non valuta la proporzionalità dei dati raccolti rispetto alla finalità o la durata di conservazione. Un campo “obbligatorio” per il nome è lecito in un e-commerce, ma potrebbe non esserlo in un blog che offre solo download di whitepaper.

Per un audit efficace, combina sempre i risultati automatici con una verifica manuale (code review e analisi delle policy) o affidati a un consulente esperto.

Incidenti di data breach: definizione, procedure, obblighi di notifica

L’identificazione e la gestione rapida di un incidente di sicurezza che coinvolge dati personali (data breach) è uno dei pilastri della conformità al GDPR. Un approccio strutturato e tempestivo non solo mitiga i rischi finanziari e reputazionali, ma è requisito esplicito per la valutazione d’impatto e la notifica alle autorità. Sebbene l’auditing autonomo sia utile per la prevenzione, l’incidente reale richiede procedure operative precise.

Definizione di Data Breach nel contesto GDPR

Un data breach, o violazione dei dati personali, si verifica ogni volta che i dati personali (sensibili o no) vengono distrutti, persi, modificati, divulgati o accessibili in modo non autorizzato. È fondamentale sottolineare che la definizione copre sia l’accesso non autorizzato (es. hackeraggio) sia la perdita accidentale (es. email inviata al destinatario sbagliato o laptop smarrito senza crittografia). Non ogni problema tecnico è un data breach: deve esserci un impatto effettivo o potenziale sulla privacy dei soggetti interessati.

Per una gestione efficace, l’organizzazione deve distinguere tra violazioni interne (errori umani, guasti di sistema) ed esterne (attacchi informatici, furto di dispositivi). La gravità si valuta in base alla natura dei dati, alla facilità di identificazione delle persone e alle conseguenze potenziali.

Procedure operative di gestione dell’incidente

Una procedura di gestione degli incidenti efficace inizia con il rilevamento tempestivo e termina con la chiusura documentata. Ecco i passaggi chiave:

1. Individuazione e contenimento: Appena si sospetta una violazione, è necessario isolare i sistemi interessati per impedire ulteriori diffusioni. Ad esempio, se un dipendente perde una chiavetta USB criptata, bisogna revocare l’accesso e verificare se i dati sono recuperabili.
2. Valutazione preliminare: Determinare se la violazione coinvolge dati personali e qual è la portata (tipologia di dati, numero di soggetti coinvolti, categorie di interessati).
3. Mitigazione e ripristino: Applicare patch di sicurezza, reimpostare password, recuperare backup e comunicare agli interessati le misure adottate per limitare i danni.
4. Documentazione (Record of Processing Activities): Ogni incidente, anche se non notificabile, deve essere registrato nel registro degli incidenti per dimostrare la conformità in caso di controllo.

È buona prassi testare queste procedure attraverso simulazioni (table-top exercise) almeno annualmente.

Obblighi di notifica e tempi

Il Regolamento UE 2016/679 impone scadenze rigorose. Le tempistiche sono calcolate in ore, non in giorni lavorativi.

• Notifica all’Autorità di Controllo (Garante Privacy): Deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui si è venuti a conoscenza della violazione. Se la notifica non avviene entro 72 ore, bisogna indicare i motivi del ritardo.
• Comunicazione agli interessati: Se la violazione presenta un rischio elevato per i diritti e le libertà delle persone fisiche (es. furto di identità, discriminazione, danno finanziario), la comunicazione deve essere fatta senza ingiustificato ritardo. Non è richiesta se: i dati erano cifrati in modo robusto, se è improbabile un rischio (es. smarrimento di laptop cifrato con password forte), o se sono già state adottate misure appropriate.
• Valutazione d’impatto (DPIA): Se l’incidente riguarda dati ad alto rischio già oggetto di una DPIA, è necessario consultare il Garante prima di procedere, salvo che non ci sia urgenza.

Per determinare se notificare, utilizza una scala di valutazione del rischio (basso, medio, alto) basata su fattori come la sensibilità dei dati, la facilità di identificazione e le conseguenze potenziali.

Soglie di gravità e tempistiche: 72h, interno, autorità, interessati

Soglie di gravità e tempistiche: 72h, interno, autorità, interessati

Una violazione dei dati ha tempistiche precise. In generale, il termine per la notifica all’Autorità Garante è di 72 ore dalla consapevolezza. Entro questo lasso, è necessario valutare la gravità del fatto e compilare la segnalazione.

La gravità si misura considerando la natura dei dati, il numero di interessati, le conseguenze potenziali e l’area geografica. Se il rischio è alto, va effettuata una notifica all’Autorità (Garante per la protezione dei dati personali). Se il rischio è basso o nullo, la notifica non è obbligatoria, ma va documentata internamente.

Contemporaneamente, se il rischio per i diritti e le libertà degli interessati è alto, devono essere avvisati senza ingiustificato ritardo, anche tramite comunicazione diretta o pubblicazione sul sito.

Checklist di risposta: contenuto della notifica, evidenze, mitigazione

Checklist di risposta: contenuto della notifica, evidenze, mitigazione

Quando un utente esercita i diritti (es. accesso, cancellazione, portabilità), la tua risposta deve essere precisa, tempestiva e documentata. Segui questa micro-checklist per la gestione delle richieste:

• Conferma di ricezione: invia entro 24 ore un’email di conferma con numero di pratica e previsione di tempi.
• Contenuto della risposta: includi identità del richiedente, diritto esercitato, esito (concessione/rifiuto con motivazione), eventuali limitazioni e termini di conservazione.
• Evidenze: raccogli e archivia log di ricezione, copie della richiesta, audit trail delle azioni, eventuali estensioni del termine comunicate.
• Mitigazione: se neghi la richiesta, spiega il motivo legittimo (es. tutela diritti terzi, segretezza commerciale) e proponi alternative (es. accesso parziale, pseudonimizzazione).
• Tracciamento: annota tempo di risposta, canale usato e conserva prove per eventuali verifiche.

Template di report e log interni per revisioni future

Responsabili del trattamento e ruoli: DPO, controller, processor

Responsabili del trattamento e ruoli: DPO, controller, processor

Nel quadro di un audit privacy, la prima verifica tecnica riguarda la corretta identificazione e gestione dei ruoli che intervengono nel trattamento dei dati personali. L’errore più comune è la confusione tra responsabile del trattamento, contitolari e mero fornitore. Questa sezione della checklist ti aiuta a districarti tra queste figure chiave, per evitare responsabilità penali e sanzioni.

Il Titolare del trattamento (Data Controller) è l’entità che determina finalità e mezzi del trattamento. Nel tuo audit, verifica se esiste una documentazione chiara (es. registro dei trattamenti) che specifichi chi è il titolare per ogni attività di processing. Se il tuo sito è gestito da un’agenzia esterna o da un cloud provider, stai attento: la semplice fornitura di un servizio tecnico non ti esonera dalla responsabilità di titolare. Devi infatti individuare il Responsabile del trattamento (Data Processor): colui che tratta dati per conto del titolare (es. hosting provider, newsletter service, payment gateway). Per ogni responsabile, la checklist richiede la presenza di un contratto ex art. 28 GDPR che vincoli il fornitore al rispetto delle tue istruzioni e garantisca adeguate misure di sicurezza.

Un ruolo spesso trascurato è quello del Responsabile della protezione dei dati (DPO). La sua nomina non è obbligatoria per tutte le PMI, ma diventa essenziale se l’attività principale consiste in trattamenti su larga scala che richiedono un monitoraggio regolare e sistematico degli utenti (es. e-commerce, analytics avanzati, profilazione). Se il tuo sito web rientra in queste casistiche, l’audit deve verificare la presenza del DPO e la sua accessibilità (es. email dedicata pubblicata in privacy policy). Anche se nominato internamente, il DPO deve operare in modo autonomo e non ricevere istruzioni che ne compromettano l’indipendenza.

Infine, controlla la coerenza tra la Privacy Policy e la realtà tecnica. Spesso i testi indicano partner o fornitori che non sono più utilizzati, oppure omettono nuovi servizi di terze parti. Ogni integrazione (es. Google Analytics 4, pixel Meta, strumenti di chat live) richiede una valutazione di conformità. Se i dati vengono condivisi con partner che hanno scopi propri (terze parti), non siamo di fronte a un semplice responsabile, ma potenzialmente a contitolari o a un trasferimento verso paesi terzi, con obblighi aggiuntivi come le Clausole Standard Contractual Clauses (SCC).

Questa checklist ti guida nella verifica documentale e tecnica per mappare correttamente questi ruoli. La chiarezza sui ruoli è il primo passo per difendere la tua azienda e rispettare la normativa.

Per approfondire le tue esigenze di audit, contatta Culture Digitali Srl.

Designazione DPO: obblighi, indipendenza, competenze, contatto

Designazione DPO: obblighi, indipendenza, competenze, contatto

Il Titolare deve designare il Data Protection Officer (DPO) se svolge attività di trattamento che richiedono il monitoraggio sistematico e su larga scala di dati personali. Il DPO deve essere nominato con atto formale che ne attesti indipendenza decisionale, esonerandolo da conflitti di interesse. Le sue competenze tecniche e giuridiche devono essere documentate: deve conoscere il RGPD, la normativa nazionale e i processi aziendali.

Il nominativo e i contatti del DPO devono essere pubblicati nel sito web e comunicati all’Autorità (quando previsto). L’indipendenza implica che il DPO non riceva istruzioni sul contenuto delle decisioni relative alla protezione dei dati, pur collaborando con il management.

Il DPO è il punto di contatto per l’Autorità Garante e per gli interessati (es. richieste di accesso o cancellazione). Verifichi che siano in atto formazione, risorse e procedure adeguate per adempiere agli obblighi di compliance. Se per dimensioni o rischio non è obbligatorio, designare comunque un referente privacy è una best practice che facilita la gestione degli audit.

Ruoli nel sito: chi fa cosa tra team, agenzie, SaaS e partner

Ruoli nel sito: chi fa cosa tra team, agenzie, SaaS e partner

Un’audit di privacy efficace richiede la collaborazione di più attori. Il titolare del trattamento (tipicamente la direzione aziendale) definisce finalità, basi giuridiche e policy. L’Responsabile della Protezione dei Dati (DPO), se nominato, coordina l’audit, verifica il Registro delle attività e le valutazioni d’impatto. Il team IT e Sviluppo fornisce l’inventario dei sistemi, analizza log, cookie, plugin e integrazioni SaaS (es. CRM, newsletter). Il Marketing dettaglia flussi di consenso e strumenti di tracciamento. Le agenzie esterne (sviluppo, SEO, ads) devono fornire evidenze di conformità (DPA, misure tecniche) e collaborare per correggere violazioni. I partner tecnologici (es. provider hosting, SaaS) sono responsabili della sicurezza delle loro piattaforme. Mappare questi ruoli evita buchi di responsabilità e accorcia i tempi di remediazione.

Nomine e DPA: cosa controllare prima di firmare

Nomine e DPA: cosa controllare prima di firmare

Verifica che il Data Processing Agreement (DPA) sia conforme al GDPR e non contenga clausole che trasferiscano responsabilità indebitamente al tuo trattamento. Controlla che la controparte specifichi le misure di sicurezza tecniche e organizzative adottate. Assicurati che il DPA preveda l’obbligo di notifica delle violazioni dei dati entro 72 ore e che regoli la gestione delle richieste degli interessati. Controlla che la durata del contratto e i termini di conservazione dei dati siano definiti. Verifica che il DPA preveda la possibilità di audit e ispezioni. Firma solo dopo aver valutato che la controparte sia in grado di garantire la conformità.

Audit tecnica avanzata: HTML, tag manager, API e server-side tracking

Audit tecnica avanzata: HTML, Tag Manager, API e Server-Side Tracking

Un audit della privacy sul sito web non si esaurisce nel controllo della policy e del banner dei cookie. La conformità al GDPR (Regolamento Generale sulla Protezione dei Dati) e al DSA (Digital Services Act) dipende in larghissima misura dalla corretta implementazione tecnica dei consensi e dei flussi di dati. In questa fase avanzata, ci spostiamo dal cosa dichiariamo (in policy) al come i dati vengono effettivamente raccolti, elaborati e trasmessi.

Questa sezione si concentra sull’architettura invisibile del tuo sito: il codice HTML, i tag di marketing, le connessioni API e la gestione server-side del tracking. L’obiettivo è garantire che nessun dato personale venga processato senza una base legittima (consenso esplicito o interesse legittimo correttamente valutato) e che i dati siano protetti durante tutto il loro ciclo di vita.

1. Analisi del codice HTML e degli event listener

Il codice HTML è il fondamento di ogni sito web, ma spesso nasconde tracce di script che raccolgono dati senza il necessario consenso preliminare.

Cosa controllare:

• Attributi inline vs. file esterni: Gli script inseriti direttamente nell’HTML (inline) vengono eseguiti immediatamente al caricamento della pagina, senza attendere il consenso dell’utente. Questo è un errore comune che viola il principio di Privacy by Design.
• Event Listener nascosti: Controlla se ci sono eventi (click, scroll, hover) collegati a elementi HTML che inviano dati a terze parti prima del consenso. Esempio: un bottone che invia un evento a Facebook Pixel al primo click, anche se l’utente non ha ancora accettato i cookie.
• Tag <noscript>: Spesso vengono utilizzati per inserire script di tracciamento (es. Google Analytics) nel caso JavaScript sia disabilitato. Anche in questo scenario, devono rispettare il consenso (es. caricamento solo se il cookie di consenso è presente).

2. Google Tag Manager e Cookie Scanner

Google Tag Manager (GTM) è lo strumento standard per gestire i tag, ma è anche la causa principale di non conformità se non configurato correttamente. L’obiettivo è la bloccata preventiva (Trigger Blocking).

Architettura sicura in GTM:

• Trigger di consenso: Ogni tag di terze parti (Facebook Pixel, Hotjar, strumenti di remarketing) deve essere attivato solo quando l’evento consenso_granted viene ricevuto.
• Scansione cookie e tag: Utilizza tool come “Cookiebot” o “OneTrust” (o scanner open source) per mappare tutti i cookie e script caricati. La lista deve coincidere con quella esposta nell’informativa privacy.
• Variabili di impostazione: Assicurati che le variabili in GTM non memorizzino dati personali (es. URL con parametri identificativi) in modo persistente senza consenso.

Un errore frequente è l’uso del Consent Mode di Google in modalità “Advance”. Se implementato correttamente, invia segnali di consenso a Google Analytics 4 e Google Ads senza bloccare il caricamento della pagina, ma impedendo la raccolta di dati fino all’accettazione.

3. API e trasferimento dati transfrontalieri

Le chiamate API (Application Programming Interface) sono i canali attraverso cui i dati vengono spostati dal tuo sito verso server esterni (CRM, Email Marketing, Analytics). Qui il focus è sulla trasparenza e sulla sicurezza.

Punti critici:

• Endpoint non sicuri: Le chiamate API devono avvenire esclusivamente tramite protocollo HTTPS (TLS 1.2 o superiore). Evita chiamate da server a server su connessioni non criptate.
• Dati sensibili in chiaro: Verifica che nei payload delle API (il corpo della richiesta) non vengano inviati dati come email, codici fiscali o informazioni di pagamento in testo semplice. Utilizzare sempre tokenizzazione o cifratura end-to-end.
• Trasferimenti extra-UE: Se le API inviano dati verso server situati negli USA (es. AWS, Google Cloud, HubSpot), devono essere in atto le adeguate garanzie previste dal GDPR (Standard Contractual Clauses – SCC). Verifica la localizzazione dei datacenter dei tuoi fornitori.

4. Server-Side Tracking (SST): La nuova frontiera della privacy

Il Server-Side Tracking rappresenta una soluzione avanzata per aumentare la conformità e migliorare la qualità dei dati. Invece di inviare dati direttamente dal browser dell’utente a terze parti (es. Facebook, Google), i dati vengono inviati a un tuo server (spesso un sottodominio del tuo sito, es. analytics.tuosito.com) che li inoltra poi ai provider.

Vantaggi per la privacy e la conformità:

• Controllo totale sui dati: Il tuo server agisce da “gatekeeper”. Puoi filtrare, anonimizzare o rimuovere campi sensibili (es. indirizzi IP completi, User Agent) prima di inoltrare i dati a terze parti.
• Migliore gestione dei consensi: Il server può leggere lo stato del consenso (tramite cookie first-party) e decidere se inoltrare o meno i dati. Questo mitiga il rischio che terze parti raccolgano dati nonostante un “No” al banner.
• Primo-Party Data: I dati vengono raccolti sotto il tuo dominio, riducendo il blocco da parte di ad-blocker e aumentando l’accuratezza delle analisi.

Configurazione critica per la conformità SST:

1. Setup del container GTM Server-Side: Assicurati che il server sia ospitato in un’UE (es. Google Cloud Platform – regione europea) per evitare trasferimenti di dati non necessari verso gli USA.
2. Mapping dei tag: Riscrivi i tag client-side (es. GA4) affinché puntino al tuo endpoint server. Disattiva i tag standard che si collegano direttamente a Google.
3. Privacy Sandbox: Implementa la Privacy Sandbox API (es. Protected Audience API) lato server per mantenere funzionalità di remarketing senza l’uso di cookie di terze parti.
4. Logging Policy: Configura il server per non mantenere log delle richieste oltre il tempo strettamente necessario (solitamente 14-30 giorni) e assicurati che i log non contengano dati personali.

5. Test diagnostici e tool consigliati

Per validare la corretta implementazione tecnica, è necessario utilizzare una combinazione di tool automatizzati e test manuali.

• Google Tag Assistant & GA Debugger: Per verificare quali tag si attivano e quali dati vengono inviati prima del consenso.
• CookieMetrix o QuantCast: Per una scansione automatica dei cookie e dei tracker.
• Matomo (Open Source): Installato in modalità on-premise, offre un’alternativa a Google Analytics che rispetta la privacy per default, essendo ospitata sui tuoi server.
• WebPageTest: Per analizzare le prestazioni e il caricamento delle risorse di terze parti.

Analisi del codice: Meta Pixel, GA4, script di terze parti, eventi personalizzati

Analisi del codice: Meta Pixel, GA4, script di terze parti, eventi personalizzati

Questo step tecnico richiede accesso al codice sorgente del sito (head e body) e all’HTML delle pagine di conversione. Dovrai verificare la presenza di script di tracciamento e confrontarli con il Registro delle Attività di Trattamento (RAT) e l’Informativa Privacy.

• Meta Pixel (Facebook): Controlla il codice base e gli Eventi Standard (es. PageView, Purchase, Lead). Assicurati che rispettino i requisiti della Condivisione di Dati Proteggere il Consenso Meta (CAMA). Disattiva il Advanced Matching se non strettamente necessario o se non hai consenso.
• Google Analytics 4 (GA4): Verifica l’implementazione tramite GTM o direttamente in codice. Controlla la configurazione della consent mode v2 (parameteri ‘ad_user_data’, ‘ad_personalization’, ‘analytics_storage’). Se non implementata correttamente, i dati potrebbero essere inviati senza consenso, violando il GDPR.
• Script di terze parti e tag manager: Analizza tutti gli script (chat, video, form) caricati da domini esterni. Ogni script deve avere una descrizione nel RAT. Se GTM è usato, esegui un’ispezione dei tag attivi per evitare ‘spruzzi di tag’ (tag firing non controllato).
• Eventi personalizzati: Verifica che gli eventi inviati (es. click su CTA, scroll depth) non raccolgano dati personali (PII) direttamente nell’URL o nel payload. L’anonimizzazione deve avvenire lato client prima dell’invio.

Tip pro: Usa strumenti di debugging come GA4 DebugView o il Tag Assistant per visualizzare in tempo reale quali dati vengono inviati durante la navigazione con il consenso negato o parziale.

Tag Manager: container, trigger, variabili, blocchi condizionali e consent state

Tag Manager: container, trigger, variabili, blocchi condizionali e consent state

Google Tag Manager (GTM) centralizza la gestione dei tag, ma deve essere configurato con attenzione per non compromettere la privacy degli utenti. Il primo passo è verificare che il container GTM sia implementato correttamente sul sito e che sia in grado di rispettare il consent state (stato del consenso) degli utenti.

Analizza i trigger per assicurarti che i tag di analisi e marketing (come Google Analytics 4 o Meta Pixel) vengano attivati solo dopo il consenso esplicito dell’utente. È fondamentale utilizzare blocchi condizionali o trigger di attivazione basati sulle preferenze di consenso (es. trigger “Consent Initialization” o “Consent Update”).

Esamina le variabili per evitare il tracciamento di dati personali non necessari. Disabilita le variabili che raccolgono informazioni sensibili (come indirizzi IP, email o dati di navigazione dettagliati) a meno che non siano strettamente indispensabili e consente.

Infine, implementa un meccanismo di blocco condizionale per i tag che dipendono da servizi terzi (es. script di pubblicità o social media). Assicurati che questi tag rimangano inattivi finché l’utente non fornisce il consenso specifico per quella categoria (es. “Marketing” o “Analisi”).

Server-side tracking: architettura, proxy, mappatura dati, compliant setup

Server-side tracking: architettura, proxy, mappatura dati, compliant setup

Il server-side tracking è l’evoluzione necessaria per chi raccoglie dati in modo conforme. Si basa su un’architettura in cui i dati fluiscono prima su un tuo server (proxy) prima di raggiungere i tool di analisi (es. Google Analytics 4). Questo approccio offre il pieno controllo su ciò che viene raccolto e inviato.

Architettura e proxy. Il cuore del sistema è il proxy server, un ambiente (spesso basato su Google Tag Manager Server-Side) che agisce da intermediario. Le richieste (ad esempio da un sito web o un’app) non vanno più direttamente a terze parti, ma al tuo server. Qui puoi applicare filtri, eliminare dati sensibili e validare le informazioni prima dell’invio. Il proxy garantisce che nessun dato personale (come indirizzi IP completi o identificatori persistenti senza consenso) lasci involontariamente la tua infrastruttura.

Mappatura dati e compliant setup. La chiave è una precisa mappatura dati: definire esattamente quali eventi e parametri devono essere raccolti e perché (finalità lecita). Per un setup compliant, la configurazione deve garantire che:

• I dati vengano pseudonimizzati o anonimizzati direttamente sul server.
• Le richieste vengano elaborate solo in presenza di una base giuridica valida (es. consenso esplicito per marketing, interesse legittimo per analisi tecniche).
• Venga rispettato il principio di minimizzazione dei dati, inviando solo il necessario.

Un’implementazione errata rischia, però, di far incorrere in violazioni. Valutare la complessità tecnica è cruciale.

Performance, UX e accessibilità in ottica privacy

Oltre alla sicurezza tecnica e alla trasparenza informativa, la conformità privacy dipende anche da come l’utente interagisce con il sito. Una UX (User Experience) confusa o una performance scadente possono infatti rendere difficile l’esercizio dei diritti degli interessati, costituendo un vulnus normativo. Questa sezione integra il tuo audit privacy sito web, verificando che l’esperienza d’uso sia conforme al GDPR.

Velocità e impatto sull’utente

Il caricamento lento delle pagine, specialmente su dispositivi mobili, è un segnale negativo sia per il posizionamento SEO che per la privacy. Un sito lento scoraggia l’utente dal leggere l’Informativa Privacy o dall’esercitare i suoi diritti (es. moduli di cancellazione). Verifica con strumenti come PageSpeed Insights che non ci siano script pesanti che rallentano l’accesso ai documenti legali o al banner cookie. Un codice pulito è un requisito per una privacy by design efficace.

Accessibilità e comprensibilità

L’accessibilità web non è solo una questione tecnica, ma un obbligo di trasparenza. Se il sito non è navigabile da utenti con disabilità (es. via screen reader), si impedisce a una categoria di interessati di comprendere come vengono trattati i loro dati. Verifica che il testo dell’informativa sia leggibile (contrasto adeguato), che i form siano etichettati correttamente e che la navigazione via tastiera sia fluida. Un sito inaccessibile limita il diritto all’informazione.

Banner Cookie e preferenze

L’UX del banner cookie è critica. Non devono esserci patterns ingannevoli (“Dark Patterns”) che spingono all’accettazione immediata. La gestione delle preferenze deve essere immediata e granulare: l’utente deve poter selezionare le categorie di cookie con la stessa facilità con cui accetta tutto. Una UX che complica il rifiuto viola l’articolo 7 del GDPR (condizioni di validità del consenso). Assicurati che il meccanismo di revoca del consenso sia tanto semplice quanto quello di concessione.

LCP, CLS, FPS: impatto dei banner e script sulle prestazioni

Banner e script di cookie (es. GDPR) possono rallentare le prestazioni del sito, impattando su Core Web Vitals come LCP (Largest Contentful Paint), CLS (Cumulative Layout Shift) e FPS (Frame Per Second).

• LCP: Script pesanti o call-to-action (CTA) che ritardano il caricamento del contenuto principale.
• CLS: Banner che appaiono in ritardo, spostando elementi della pagina e creando layout shift.
• FPS: Esecuzione continua di script che riducono la fluidità visiva, specialmente su dispositivi mobili.

Per evitare penalizzazioni SEO e migliore l’esperienza utente, è essenziale testare l’impatto di tali componenti e ottimizzarne il caricamento asincrono o differito.

Accessibilità del banner: navigazione da tastiera, screen reader, contrasto

Una coda di accessibilità non risolta è uno dei rischi più comuni degli audit privacy, soprattutto per la navigazione da tastiera, screen reader e contrasto. Se il banner non è interamente utilizzabile senza mouse, viola le regole WCAG e complica la compliance. Verifica che il focus sia sempre visibile sulle scelte del banner (Accetta, Rifiuta, Personalizza), che le etichette siano leggibili da screen reader (tramite attributi ARIA e testo descrittivo) e che il contrasto cromatico tra testo e sfondo sia sufficiente (almeno 4.5:1). Un’attenzione immediata evita che un disabile visivo possa sbagliare il consenso.

Mobile-first: responsività e interazioni su touch

Con l’80% degli accessi da dispositivi mobili, l’audit deve verificare che il sito sia responsive e che l’interazione sia ottimizzata per il touch, per evitare il rischio di dati non raccolti correttamente (es. form di consenso). Controlla che pulsanti e link siano di almeno 44×44 pixel e che il layout si adatti a ogni risoluzione senza scroll orizzontale. Assicurati che i banner cookie siano interamente visibili e chiudibili facilmente su smartphone, garantendo l’accesso ai contenuti senza ostacoli.

Checklist operativa: step-by-step per eseguire l’audit autonomamente

Prima fase: pianificazione, accessi, inventario asset e DPIA preliminare

Prima fase: pianificazione, accessi, inventario asset e DPIA preliminare

Prima ancora di analizzare il codice o le funzionalità, una struttura organizzativa è fondamentale per evitare dispersioni di tempo e risorse. L’audit privacy non è un evento isolato, ma un processo che richiede la designazione chiara di un responsabile del progetto, la definizione di una timeline e l’identificazione degli stakeholder interni (IT, legale, marketing) che dovranno fornire input e validazioni.

Il primo passo operativo consiste nell’acquisire gli accessi necessari. Non si tratta solo di admin al CMS, ma di accessi in lettura a Google Analytics, Google Tag Manager, Cookiebot o altre CMP, piattaforma email marketing (Mailchimp, ActiveCampaign) e database CRM. Se l’azienda utilizza cloud provider come AWS o Azure, saranno necessari accessi a livello di infrastruttura per verificare le configurazioni di sicurezza. È prassi standard firmare un accordo di riservatezza (NDA) per garantire che l’accesso ai dati sia gestito in sicurezza.

Successivamente, si procede con l’inventario completo degli asset digitali. È un errore comune focalizzarsi solo sul sito vetrina. È necessario mappare ogni sottodominio, sottosito, landing page per campagne marketing, applicazioni web, app mobile collegate e API. Per ogni asset, si identifica il trattamento di dati personali: quali dati vengono raccolti (nominativi, email, IP, dati di pagamento, dati di profilazione), perché (finalità), su quale base giuridica (consenso, contratto, interesse legittimo) e per quanto tempo (conservazione).

Basandosi su questo inventario, si esegue una prima DPIA (Valutazione d’Impatto sulla Protezione dei Dati) preliminare. Secondo il GDPR, una DPIA formale è obbligatoria solo per trattamenti ad alto rischio, ma un’analisi preliminare è essenziale per identificare immediatamente sistemi complessi (es. videosorveglianza via web, profiling automatizzato, trattamento di dati sanitari) che richiederanno approfondimenti successivi. Se durante questa fase emerge un rischio “alto” intrinseco, l’audit deve prevedere una DPIA formale dedicata prima di qualsiasi implementazione tecnica.

Questo lavoro di pianificazione non è mera burocrazia; è la bussola che guida le verifiche tecniche successive e assicura che l’audit copra l’intero ecosistema digitale dell’azienda, non solo la superficie visibile del sito web.

Stai per effettuare un audit autonomo?

Scarica la nostra Checklist Completa Audit Privacy con le schede tecniche per l’inventario asset e la valutazione DPIA.

Scarica la Checklist PDF

Seconda fase: verifiche legali e documentali (policy, informative, DPA)

Seconda fase: verifiche legali e documentali (policy, informative, DPA)

Qui non ci sono solo i file, ma il diritto che c’è dietro. Ogni pagina di testo definisce responsabilità precise. Deve controllare, in ordine:

• Privacy Policy aggiornata: non un template scaricato da Google. Deve menzionare il titolare del trattamento (voi), le finalità per cui raccogliete i dati, la base giuridica (es. consenso, interesse legittimo), i diritti dell’utente (artt. 15-22 GDPR) e come esercitarli. Controllate che ci sia il riferimento alla DPO (se obbligatoria) o al Responsabile della protezione dei dati.
• Informativa Cookie (GDPR): verifica che sia chiara, distintiva dal consenso e che spieghi l’uso di strumenti come Google Analytics (anche versione 4). Attenzione: se usi cookie tecnici (per la sessione o preferenze), serve solo l’informativa; per i cookie di profilazione (marketing), serve il consenso esplicito prima del caricamento.
• Database delle Consape (DAC): l’audit deve verificare che tu raccolga e conservi la prova del consenso (timestamp, ID utente, testo informativa visualizzato, ID cookie). Se questa prova manca, l’intero trattamento è illegittimo.
• Registri del trattamento (ROT): è obbligatorio tenerli (art. 30 GDPR). Verifica che descrivano correttamente le categorie di interessati e le attività di trattamento.
• Contratti con i Vendors (DPA): se usi strumenti esterni (hosting, CRM, email marketing), devi avere un Data Processing Agreement (DPA) firmato con ogni fornitore che tratta dati per tuo conto (es. Meta, Google, Mailchimp).

Se trovi incongruenze tra queste policy e la reale operatività del sito (es. policy dice “uso i dati per profilazione” ma il banner non chiede consenso esplicito), sei in violazione. Questa fase richiede occhio legale: una buona checklist include checklist per revisione testi e contratti.

Terza fase: verifiche tecniche (cookie, banner, headers, sicurezza)

Terza fase: verifiche tecniche (cookie, banner, headers, sicurezza)

Oltre all’analisi dei testi e delle informative, l’audit tecnico verifica come la privacy venga effettivamente implementata nel codice del sito. Un errore comune è installare un banner cookie senza collegarlo a un sistema di gestione del consenso, rendendo il tracking non verificabile né bloccabile dall’utente. Controlla che il banner sia progettato per la raccolta del consenso specifico (opt-in) e non per il consenso generico; verifica la presenza di un link chiaro verso l’informativa estesa e il meccanismo di revoca.

Esegui uno scan tecnico per individuare i cookie invasivi (terze parti) e verifica che siano bloccati fino al consenso. Controlla i tag manager e i pixel di tracciamento: ogni nuovo script deve essere mappato e giustificato. Ispeziona i header HTTP e assicurati che la sicurezza sia implementata correttamente: bisogna attivare HSTS, Content Security Policy (CSP), X-Frame-Options e X-Content-Type-Options per prevenire attacchi di tipo clickjacking e injection. Verifica che la modalità “Do Not Track” venga rispettata se supportata.

Per la sicurezza dei dati, controlla che tutte le comunicazioni verso servizi esterni (CRMs, newsletter, analytics) siano cifrate (HTTPS/TLS 1.2+). Testa le vulnerabilità OWASP Top 10 con tool come OWASP ZAP o Burp Suite, focalizzandoti su SQL Injection, Cross-Site Scripting (XSS) e broken authentication. Infine, valuta l’impatto di eventuali integrazioni con sistemi di terze parti: sono tutti fornitori di dati? Se sì, richiedi le DPA (Data Processing Agreement) e verifica i livelli di sicurezza.

Queste verifiche tecniche trasformano la compliance da teorica a pratica, garantendo che il sito non raccolga dati in modo occulto e che la sicurezza sia progettata per prevenire violazioni, riducendo il rischio di sanzioni e di perdita di fiducia.

Reporting e piano di miglioramento: raccolta evidenze e roadmap

Avere una checklist è fondamentale, ma trasformare i dati raccolti in azioni concrete è ciò che fa la differenza tra un semplice controllo e un vero processo di compliance. In questa fase, l’obiettivo è documentare ogni riscontro, valutare i gap e costruire un percorso di miglioramento chiaro, misurabile e realistico.

La prima cosa da fare è la raccolta delle evidenze. Crea un report strutturato dove ogni voce della checklist sia abbinata a un “trovato”, un “non trovato” o un “da verificare”, accompagnato sempre da una prova tangibile. Screenshot, esportazioni di log, copie di policy e consenso ricevuto, e-mail di richieste di cancellazione gestite: ogni documento è una prova di diligente custodia.

Una volta completata la rilevazione, classifica i rischi individuati in tre macro-categorie per facilitare la priorizzazione:

• Rischi Critici (Priorità Alta): Elementi che espongono a sanzioni immediate o violazioni gravi (es. assenza totale di informativa su form di contatto, mancata gestione dei cookie tecnici). Devono essere risolti entro 30 giorni.
• Rischi Elevati (Priorità Media): Situazioni non urgenti ma che richiedono intervento strutturato (es. formativa per la gestione delle richieste utente, mancanza di controlli periodici sui vendor). Da risolvere entro 90 giorni.
• Rischi Basso / Raccomandazioni (Priorità Bassa): Miglioramenti di trasparenza o ottimizzazione (es. linguaggio più chiaro in una policy, aggiornamento di un link). Da implementare entro 6 mesi o nel prossimo ciclo di review.

Hai identificato punti critici nella tua checklist?

Costruire la roadmap è il primo passo, ma applicare le correzioni correttamente richiede competenza legale e tecnica.

Prenota una consulenza di 15 minuti con i nostri esperti: analizzeremo insieme i risultati del tuo audit e ti forniremo una roadmap su misura per la tua realtà.

Richiedi una consulenza gratuita

Il piano di miglioramento (roadmap) non è un semplice elenco di “da fare”, ma un calendario strategico che deve includere:

1. Obiettivi specifici: (es. “Implementare il cookie banner conforme al 30 maggio”).
2. Responsabili interni: Chi in azienda gestirà l’implementazione? (Marketing, IT, Legal).
3. Tempi stimati: Date di inizio e fine per ogni azione.
4. Risorse necessarie: Budget per tool, consulenze esterne o sviluppi tecnici.

Infine, ricorda che la privacy non è un progetto “una tantum”. Il reporting deve concludersi con la pianificazione del prossimo audit (solitamente annuale o semestrale) e di controlli randomici trimestrali su sezioni critiche come i form di contatto e le integrazioni di terze parti.

Template report di audit: sezioni, evidenze, livello di rischio, priorità

Template report di audit: sezioni, evidenze, livello di rischio, priorità

Il report di audit privacy è lo strumento chiave per organizzare i risultati e comunicare con chiarezza. Un template strutturato garantisce completezza e riproducibilità. Ecco le sezioni fondamentali per un report efficace.

Ogni sezione deve contenere evidenze concrete (screenshot, permalink, estratti di testo), una valutazione del livello di rischio (Alto, Medio, Basso) basata su gravità e probabilità, e una priorità di intervento (Critica, Alta, Media, Bassa). Questa combinazione permette di focalizzare le risorse sulle azioni correttive più urgenti e impattanti.

• Sezione: Dati personali trattati e finalità.
• Evidenza: Screenshot form contatti con campi non necessari.
• Rischio: Medio (eccesso di dati vs. finalità dichiarata).
• Priorità: Alta.

Roadmap di mitigazione: azioni, owner, scadenze, metriche di verifica

Perimetrare i rischi (1-2 settimane): registrare tutti i trattamenti di dati (owner: DPO/Responsabile IT), effettuare una PIA sui trattamenti ad alto rischio e schedare le violazioni. Metriche: numero di trattamenti mappati e completamento delle schede rischio.

Creazione policy (2-3 settimane): redigere o aggiornare informativa privacy, registro delle attività di trattamento e procedure di risposta alle violazioni (owner: Legale/DPO). Metriche: firma delle policy e caricamento nel sistema di gestione documentale.

Formazione e implementazione (1 mese): formare il team su sicurezza e procedure (owner: HR/DPO) e implementare misure tecniche (es. cookie banner, doppio opt-in, sicurezza dati). Metriche: % di personale formato e report di test tecnici superati.

Monitoraggio e revisione (continuo): verifica semestrale di conformità e aggiornamento della roadmap (owner: DPO). Metriche: report di audit, numero di non-conformità risolte e revisione della documentazione ogni 6 mesi.

Monitoraggio continuo: checklist periodica e allerta su nuovi vendor

Monitoraggio continuo: checklist periodica e allerta su nuovi vendor

La conformità non è un evento, ma un processo. Integra il controllo periodico nel tuo piano di governance dei dati.

• Checklist trimestrale: verifica l’elenco vendor nel Registro delle Attività di Trattamento (RAT), confrontandolo con la mappa dei cookie/banner.
• Allerta su nuovi vendor: istituisci un flusso obbligatorio (es. modulo interno) per notificare IT/Privacy prima di integrare qualsiasi nuovo script, plugin o servizio.
• Review DPIA: aggiorna la valutazione d’impatto se il nuovo vendor comporta rischi elevati (es. profiling su larga scala).

Questa routine automatizza la compliance. Pronto a implementarla? Richiedi un’analisi mirata ai nostri esperti.

Domande frequenti (FAQ)

1. Un audit privacy autonomo ha lo stesso valore di uno fatto da un professionista?
No. Un’analisi autonoma, specie con questa checklist, offre un panorama chiaro e un primo livello di valutazione, ma non sostituisce il parere di un esperto certificato. Il professionista applica interpretazioni normative aggiornate, valuta rischi specifici di business e redige documentazione ufficiale (es. DPIA) necessaria in caso di controlli. Usala per prepararti, ma affidati a un consulente per la definitiva certificazione e per la gestione di casi complessi come data breach o contestazioni.

2. Quali sono le multe più comuni per mancata conformità?
Le sanzioni variano da € 2.000 a € 20 milioni o dal 2% al 4% del fatturato globale, a seconda della gravità. Comuni violazioni includono: mancanza di informativa chiara, consenso non valido, retention illegittima dei dati, sicurezza inadeguata e mancata notifica di breach. Le autorità (es. Garante Privacy) applicano il principio di proporzionalità: meglio dimostrare una procedura di correzione tempestiva (remediation) che l’assenza totale di politiche. Le multe colpiscono spazi quando i processi sono disorganizzati.

3. Devo nominare un Responsabile della Protezione dei Dati (RPD/DPO)?
La nomina è obbligatoria per pubbliche amministrazioni e per soggetti che effettuano trattamenti su larga scala o di categorie particolari (salute, razza, dati giudiziari). Per PMI e siti web standard, non è obbligatoria ma fortemente consigliata se gestisci dati sensibili o hai un flusso elevato. In ogni caso, è essenziale designare internamente un responsabile del trattamento e avere un referente privacy interno, anche senza titolo formale di DPO.

4. Cosa fare se riscontro un data breach (es. hackeraggio o fuga dati)?
Agisci subito: contatta il tuo team IT per isolare il sistema compromesso e contenere il danno. Valuta se il breach è “rischioso” per i diritti delle persone (fuga di dati sensibili, finanziari, identità). Se sì, notifica al Garante entro 72 ore e comunica agli utenti senza ingiustificato ritardo. Documenta l’evento, le cause e le contromisure. Usa questa checklist per verificare se le tue policy di sicurezza sono state rispettate e pianifica una revisione post-breach.

5. I cookie banner sono obbligatori?
Sì. Il Garante Privacy impone un banner chiaro che informi l’utente sull’uso di cookie e tecnologie di tracciamento, con un link diretto alla policy e al pannello di gestione consenso. Il solo “uso continuando la navigazione” non è sufficiente per i cookie analitici e di profilazione: serve un consenso esplicito (opt-in). Lo strumento di gestione consenso deve essere facile da usare e permettere revoca in ogni momento. Il banner deve rispettare il principio di trasparenza.

6. La checklist copre anche il Regolamento ePrivacy (cookie law)?
Sì. La checklist integra i requisiti della normativa sui cookie e sul consenso, in attesa dell’entrata in vigore del Regolamento ePrivacy. Verifichi la presenza del banner, l’assenza di cookie tecnici senza consenso, l’uso di cookie analytics anonimizzati (se possibile) e la presenza di un sistema di raccolta consenso. Per la profilazione, è necessario il consenso esplicito e la conservazione della prova del consenso (es. log di accettazione). La checklist aiuta a mappare anche i cookie di terze parti (social, pubblicità).

7. Quanto costa un audit privacy professionale?
Il costo dipende dalla complessità del sito: un e-commerce con pagamento e CRM avrà costo maggiore di un blog vetrina. Mediamente, per un audit base con report e piano d’azione, il range è tra € 1.000 e € 5.000. Se serve DPIA, revisione contratti (Data Processing Agreement) o gestione incidenti, si aggiungono costi orari. L’audit autonomo con la checklist è gratuito e riduce il tempo del professionista, rendendo l’offerta più economica e mirata.

8. Cosa devo fare subito dopo aver completato la checklist?
Priorità: 1) Correggi le criticità gravi (es. mancanza informativa, cookie banner assente). 2) Aggiorna la Privacy Policy e i DPA con fornitori. 3) Implementa un sistema di raccolta consenso conforme. 4) Forma il tuo team sulle procedure di sicurezza. 5) Schedula una revisione trimestrale. Se non hai competenze interne, valuta un supporto esterno per la parte tecnica e legale. Documenta tutto: la tracciabilità delle azioni è tua difesa in caso di controllo.

9. Posso usare la checklist per il mio e-commerce?
Assolutamente sì. Gli e-commerce trattano dati sensibili (pagamento, indirizzi, acquisti) e richiedono attenzione extra: verifica DPA con gateway di pagamento (es. Stripe, PayPal), politiche di retention dei dati (es. conservazione fatture per 10 anni), sicurezza del checkout (HTTPS, CVV) e consenso per marketing. La checklist include sezioni specifiche su e-commerce, come la gestione del consenso per newsletter e l’informativa su diritti di recesso e restituzione dati.

10. Serve un avvocato per ogni modifica alla Privacy Policy?
No, ma è prudente. Puoi usare template generici (se aggiornati al GDPR) e adattarli al tuo business. Tuttavia, per attività complesse (salute, finanza, minori) o per mappare processi interni, consultare un legale è fondamentale per evitare errori. La checklist ti aiuta a verificare la completezza del documento: se riscontri punti dubbi (es. trasferimento dati extra-UE), allora è il momento di chiamare un esperto.

Domande Frequenti (FAQ)

Posso fare un’audit privacy da solo se non sono un avvocato?

Sì, puoi eseguire un audit operativo e tecnico autonomo con checklist e tool. Per interpretazioni normative complesse o rischi elevati, coinvolgi un legale o un DPO. Documenta le scelte e le evidenze per dimostrare diligenza.

Devo bloccare preventivamente tutti gli script tracciamento?

Sì, per cookie/tecnologie non strettamente necessarie il blocco prima del consenso è richiesto da linee guida e Garanti. Verifica che il banner impedisca l’attivazione fino a opt-in e che il consenso sia registrato.

Qual è la differenza tra DPA e DPIA?

DPA è l’accordo tra titolare e responsabile del trattamento. DPIA è una valutazione d’impatto su trattamenti ad alto rischio. Controlli DPA con i fornitori, fai DPIA per attività critiche come profiling o pubblicità comportamentale.

Servono evidenze del consenso?

Sì. Conserva timestamp, scope del consenso, ID utente (anonimizzato), versione policy e vendor coinvolti. I log del CMP sono utili in caso di verifiche o segnalazioni.

Quali sono i cookie ‘necessari’?

Cookie per funzionalità di base: sessione, login, carrello, preferenze linguistiche, safety. Non rientrano campagne pubblicitarie, analytics avanzati, social plugin o heatmap senza consenso.

Server-side tracking è sempre più privacy-friendly?

Può ridurre exposure client-side e permettere più controllo sui dati, ma non cambia la necessità di base giuridica e trasparenza. Va configurato con minimizzazione, SCC e DPIA se trasferisci dati extra-UE.

Quanto dura il consenso?

Il Garante indica 12 mesi come riferimento comune, ma la durata deve essere proporzionata e spiegata in policy. Prevedi re-consent in caso di cambio significativo di finalità o vendor.

Cosa includere in una DPIA?

Descrizione trattamenti, finalità, necessarietà, proporzionalità, rischi per diritti, misure di mitigazione, consultazione (se necessaria), monitoraggio e revisione periodica.

Come gestire le richieste degli interessati?

Individua canale dedicato (es. email/placeholder), verifica identità, rispondi entro 30 giorni (con eventuale estensione), fornisci dati in formato leggibile e, se richiesto, portabili. Tieni traccia delle richieste e delle risposte.

Cosa fare in caso di data breach?

Valuta gravità, contenere il problema, raccogliere evidenze, notificare al Garante entro 72h e, se necessario, agli interessati. Documenta tutto e applica misure correttive.

Serve il consenso per gli script di caricamento lazy se non influenzano la navigazione?

Se non sono essenziali e/o tracciano, devono attendere il consenso. Altrimenti, possono essere considerati necessari solo se indispensabili al funzionamento del servizio richiesto.

Quali header di sicurezza sono prioritari?

CSP per controllare risorse caricate, HSTS per HTTPS, X-Frame-Options per anti-clickjacking, X-Content-Type-Options e Referrer-Policy. Configura in base a necessità evitando di rompere funzionalità.

Contattaci

contattaci per saperne di più