GDPR per negozi online: cosa devi fare (e cosa puoi evitare)

Revisionato a giugno 2026. Il GDPR si applica da maggio 2018; gli obblighi descritti qui riflettono il regolamento così com’è a questa data. È una guida pratica per i commercianti PrestaShop, non una consulenza legale — per il tuo caso specifico, consulta un consulente per la protezione dei dati.

Il GDPR si applica da maggio 2018, eppure la maggior parte dei titolari di negozi continua a finire in uno di due schieramenti: o lo considera un campo minato legale terrificante, oppure qualcosa che un negozio “piccolo” può ignorare senza troppe conseguenze. Entrambe le letture sono sbagliate, ed entrambe ti costano. Il regolamento è davvero serio — le sanzioni sono reali e presentare reclami è semplice — ma per un normale negozio PrestaShop che vende normali prodotti di consumo, gli obblighi effettivi sono limitati, per lo più una tantum, e diversi sono già integrati nel software che stai usando. Il punto è sapere quali requisiti sono non negoziabili, quali vengono spesso fraintesi e quali obblighi dal suono impegnativo (un Responsabile della protezione dei dati, una valutazione d’impatto, la cancellazione di ogni singolo byte su richiesta) quasi certamente non si applicano affatto al tuo caso. Questa guida traccia quella linea pensando specificamente a un commerciante PrestaShop.

Una nota di perimetro, prima di tutto, perché cambia tutto: il GDPR segue il cliente, non l’indirizzo della tua azienda. Se vendi a persone nell’UE, il GDPR si applica a quegli ordini anche se la tua attività si trova negli Stati Uniti, nel Regno Unito o in qualsiasi altro Paese. Non esiste una soglia minima di fatturato e non esiste un’esenzione del tipo “siamo troppo piccoli”. Quindi la domanda non è mai “si applica a me” — è “che cosa richiede davvero, e su che cosa posso smettere di preoccuparmi”.

La lista delle cose da fare e di quelle che puoi evitare — in sintesi

Prima dei dettagli, ecco l’intero articolo in una tabella. Tutto ciò che segue approfondisce queste righe; lo scopo della tabella è mostrare che gli obblighi dal suono spaventoso sulla destra sono proprio quelli che un negozio tipico può mettere da parte.

Che cosa devi fare

1. Un’informativa privacy che una persona possa leggere

Questo è l’obbligo su cui non c’è alcun margine di manovra. Ti serve un’informativa privacy scritta in linguaggio chiaro, che dica ai clienti quali dati raccogli (nomi, email, indirizzi, dettagli di pagamento, dati di navigazione e indirizzi IP), perché raccogli ciascun tipo di dato, per quanto tempo lo conservi, con chi lo condividi e come possono esercitare i loro diritti. La riga “con chi lo condividi” conta più di quanto molti pensino: ogni negozio PrestaShop trasmette dati a terze parti in modo silenzioso — il tuo gateway di pagamento, il tuo corriere, i tuoi strumenti di analisi, il tuo servizio di invio email. Dovresti indicare quei destinatari o almeno identificare categorie chiare di destinatari/responsabili del trattamento — e mantenere in essere accordi di trattamento dei dati (DPA) con ciascuno di loro.

In PrestaShop, crea questa pagina come pagina CMS (Design → Pages in 1.7/8/9, in precedenza Preferences → CMS in 1.6) e collegala dal footer, così è raggiungibile da ogni pagina. Una nuova installazione di PrestaShop include pagine CMS segnaposto “Legal Notice” / “Terms and conditions” — trattale come modelli vuoti, non come un’informativa pronta. Che cosa ti dà, in pratica? Una singola pagina onesta, collegata dal footer, è il documento che un’autorità per la protezione dei dati chiede per primo, ed è il pezzo di conformità più economico che produrrai mai. Non serve necessariamente un avvocato per scriverla, anche se una revisione è denaro ben speso; deve però rispecchiare davvero il comportamento del tuo negozio.

2. Consenso esplicito per il marketing — e una base giuridica per tutto il resto

Non puoi inserire i clienti in una lista marketing per impostazione predefinita. L’iscrizione alla newsletter deve essere un atto deliberato e affermativo: una casella non selezionata che il cliente spunta, oppure un modulo di iscrizione separato. Una casella “iscrivimi alla newsletter” già selezionata durante la procedura d’acquisto è il difetto GDPR più comune che vediamo nei negozi PrestaShop, ed è chiaramente non conforme. Il blocco newsletter nativo di PrestaShop (ps_emailsubscription) e il modulo di registrazione espongono entrambi queste caselle — il tuo compito è assicurarti che nessuna venga distribuita già selezionata, e che il testo del consenso sia specifico (“Desidero ricevere offerte” invece di una formula vaga e omnibus accorpata all’accettazione dell’informativa privacy).

Le email legate all’ordine (transazionali) — conferme, avvisi di spedizione, fatture — non richiedono un consenso separato; sono necessarie per eseguire il contratto. E nella maggior parte dei Paesi UE il “soft opt-in” previsto dalla normativa ePrivacy consente di inviare email a clienti esistenti su prodotti o servizi simili, ma solo se hai ottenuto il loro indirizzo email durante una vendita, offri la possibilità di opt-out al momento della raccolta e in ogni messaggio, e la rispetti — le condizioni esatte variano in base all’attuazione nazionale, quindi verifica le regole locali. Quindi? Non devi soffocare tutto l’email marketing per essere conforme — devi essere trasparente su come una persona è finita nella lista e rendere l’uscita semplice.

3. Diritti degli interessati — e il modulo PrestaShop che ne gestisce gran parte

I clienti hanno il diritto di accedere ai propri dati, correggerli, ottenerne la cancellazione (“diritto all’oblio”) e riceverli in un formato portabile e leggibile da macchina. È l’obbligo che i commercianti temono di più dal punto di vista operativo — “dovrò preparare fogli di calcolo a mano ogni volta che qualcuno mi scrive?” — ed è esattamente il punto in cui PrestaShop fa gran parte del lavoro per te.

Installa il modulo Official GDPR Compliance (nome tecnico psgdpr, gratuito da PrestaShop). Fa due cose concrete. Dal lato cliente, aggiunge un blocco "GDPR - Dati personali" all’account del cliente autenticato, dove può scaricare i propri dati in PDF e CSV senza contattarti — questa singola funzione soddisfa i diritti di accesso e portabilità per la maggior parte delle richieste. Dal tuo lato, la pagina di configurazione del modulo (Modules → Module Manager → configure psgdpr) è il punto in cui gestisci le richieste di cancellazione e anonimizzazione, personalizzi il testo della casella di consenso e scegli quali moduli e form visualizzano un blocco di consenso. I moduli costruiti correttamente si registrano con psgdpr (tramite gli hook registerGDPRConsent, actionExportGDPRData e actionDeleteGDPRCustomer) così i dati che memorizzano vengono inclusi nell’esportazione e cancellati in caso di richiesta di eliminazione — è questo lo scopo dell’integrazione “rendere il tuo modulo conforme al GDPR” della piattaforma, e vale la pena verificare che i moduli di terze parti da cui dipendi lo facciano davvero.

Che cosa significa in pratica? La maggior parte delle richieste di accesso si risolve da sola — il cliente procede in autonomia dal proprio account. Le richieste che arrivano a te sono quelle di cancellazione e anonimizzazione, e il modulo ti dà un modo controllato per gestirle invece di eseguire SQL grezzo sulle tabelle customer, address e orders sperando di aver azzeccato le chiavi esterne.

4. Consenso ai cookie non essenziali

Se il tuo negozio carica qualcosa oltre ai cookie strettamente necessari — strumenti di analisi, pixel pubblicitari, retargeting — hai bisogno del consenso prima che quegli script vengano eseguiti, con una vera opzione di rifiuto facile da cliccare quanto l’accettazione. È un tema ampio, con dettagli di implementazione specifici per PrestaShop (comportamento del banner, blocco degli script fino al consenso, differenza tra cookie di sessione e cookie di tracciamento), e merita una trattazione propria invece di un paragrafo affrettato qui. Spieghiamo esattamente che cosa richiede la legge e come implementarlo senza rompere il tuo negozio in consenso ai cookie per PrestaShop, e il quadro più ampio su cookie e tracciamento in conformità GDPR e cookie per PrestaShop. Per la checklist degli obblighi qui sotto, considera “banner cookie conforme attivo” come una voce e segui quelle guide per il come.

5. Sicurezza ragionevole — non sicurezza enterprise

Il GDPR richiede “misure tecniche e organizzative adeguate”, e la parola operativa è adeguate, calibrate sui dati che tratti. Per un negozio che gestisce nomi, indirizzi e ordini, significa HTTPS su tutto il sito, core e moduli PrestaShop aggiornati, password amministrative robuste con accessi limitati, gestione sicura delle carte (che il tuo gateway conforme PCI fornisce già — il tuo negozio non dovrebbe mai toccare numeri di carta grezzi) e backup conservati in un luogo sicuro. Non ti serve un centro operativo di sicurezza. L’approfondimento sull’hardening di un’installazione PrestaShop — profili di autorizzazione dei dipendenti, log in Advanced Parameters, protezione contro la forza bruta — si trova in sicurezza dei pagamenti in PrestaShop per il livello dei pagamenti e nelle pratiche generali di sicurezza del negozio per il resto.

Che cosa puoi quasi certamente evitare

Questa è la metà dell’argomento che nessuno racconta ai titolari di negozi, ed è dove gran parte dell’ansia evapora. Gli obblighi seguenti esistono, ma sono scritti per organizzazioni la cui attività principale consiste nel trattare dati personali su larga scala — non per un negozio che vende prodotti e, incidentalmente, conserva registri dei clienti.

Probabilmente non ti serve un Responsabile della protezione dei dati

Un DPO è obbligatorio solo se le tue attività principali comportano il monitoraggio regolare e su larga scala di persone, oppure il trattamento su larga scala di categorie particolari di dati (salute, religione, dati biometrici e simili). Un negozio che vende beni di consumo non fa nulla di tutto questo. Dovresti avere qualcuno che si occupa della protezione dei dati — di solito tu, o chi gestisce le operazioni — ma non è un ruolo DPO formale e registrato, e non devi pubblicare i dati di contatto di un DPO.

Probabilmente non ti serve una valutazione d’impatto sulla protezione dei dati

Una DPIA scatta in caso di trattamenti ad alto rischio: profilazione sistematica su larga scala, monitoraggio di spazi pubblici o gestione di dati sensibili su larga scala. Prendere ordini e inviare email marketing non è un trattamento ad alto rischio. Se in futuro aggiungi qualcosa di davvero invasivo — accesso biometrico, profilazione comportamentale su larga scala, verifica dell’età per beni soggetti a restrizioni — torna su questo punto. Per un catalogo standard, puoi evitarla.

Non ti serve una casella per ogni singolo cookie

Un mito persistente sostiene che ogni cookie richieda il proprio consenso. In pratica, raggruppare i cookie per finalità — strettamente necessari, analisi, marketing — e raccogliere il consenso per categoria è ciò che le autorità per la protezione dei dati si aspettano. Un interruttore per categoria, non per cookie.

Non devi cancellare tutto nell’istante in cui qualcuno lo chiede

Il diritto alla cancellazione ha eccezioni integrate, e questa è quella che protegge te. Puoi — e nella maggior parte dei casi devi — conservare i dati necessari per completare un ordine aperto, adempiere obblighi legali (registri fiscali e contabili, di solito conservati per diversi anni a seconda del Paese) o accertare e difendere diritti in sede legale. Quindi, quando un cliente chiede di essere dimenticato, rimuovi il suo profilo marketing e i dati di accesso all’account, ma conservi i registri di ordini e fatture richiesti dall’autorità fiscale. È esattamente per questo che l’anonimizzazione esiste accanto alla cancellazione: il modulo psgdpr e la maggior parte degli strumenti GDPR di terze parti ti consentono di anonimizzare un cliente (sostituire nome e dati di contatto con valori casuali) preservando sotto traccia l’ordine e il percorso contabile. Quindi? Rimani conforme alla richiesta del cliente e ai tuoi obblighi contabili nello stesso momento — non sono in conflitto.

Falsi miti da smontare

"Il GDPR si applica solo alle aziende dell’UE." Si applica a chiunque tratti dati di persone nell’UE, ovunque si trovi l’azienda. Vendi nell’UE, e si applica a te.

"I piccoli negozi sono esenti." Non esiste alcuna esenzione per dimensione. Alcuni obblighi sono applicati in modo più leggero alle piccole organizzazioni — il registro formale delle attività di trattamento (ROPA) può essere semplificato — ma i doveri centrali (base giuridica, trasparenza, sicurezza, diritti degli interessati) si applicano a qualsiasi scala.

"Gli indirizzi IP non sono dati personali." La Corte di giustizia dell’UE lo ha chiarito: gli indirizzi IP dinamici sono dati personali. In PrestaShop questo conta perché la piattaforma registra gli IP nella tabella connections (collegata alla tabella guest) e nel log dei dipendenti admin — quindi la registrazione degli IP è trattamento di dati personali, e la tua informativa privacy deve dirlo.

"Abbiamo bisogno del consenso prima che venga caricata qualsiasi pagina." No. I cookie strettamente necessari — sessione, carrello, token di sicurezza — si caricano senza consenso; il tuo negozio funziona prima che un visitatore faccia una scelta sui cookie. Ciò che deve attendere il consenso sono gli script di analisi e marketing.

La checklist GDPR per PrestaShop

Eseguila una volta e avrai gestito l’esposizione GDPR di un negozio tipico. Nulla richiede uno sviluppatore, oltre all’installazione di un modulo gratuito.

• Scrivi una vera informativa privacy come pagina CMS sotto Design → Pages, collegala nel footer e assicurati che nomini i tuoi responsabili effettivi (pagamenti, corriere, analisi, email).
• Controlla ogni casella di consenso: blocco newsletter e procedura d’acquisto (ps_emailsubscription) devono essere distribuiti non selezionati, con un testo specifico.
• Installa e configura il modulo psgdpr così i clienti possono esportare da soli i propri dati e tu puoi gestire cancellazione/anonimizzazione in modo pulito.
• Metti in funzione un banner cookie conforme — segui la guida al consenso ai cookie per l’implementazione.
• Conferma che HTTPS sia attivo ovunque e che core, tema e moduli siano aggiornati.
• Definisci deliberatamente i periodi di conservazione — non conservare dati per sempre “per ogni evenienza”. Usa l’anonimizzazione per conciliare le richieste di cancellazione con la conservazione dei registri fiscali.
• Scrivi un breve registro delle attività di trattamento (che cosa raccogli, perché, dove va, per quanto tempo lo conservi) — per la maggior parte dei negozi è un documento di una pagina, non un progetto.
• Assicurati che i tuoi termini e condizioni facciano riferimento all’informativa privacy, e che i tuoi obblighi e-commerce UE più ampi (informazioni al consumatore, diritto di recesso, prezzi) siano rispettati insieme alla protezione dei dati.

Questa lista copre la stragrande maggioranza di ciò di cui ha bisogno un negozio PrestaShop piccolo o medio. Se tratti dati insoliti, vendi beni soggetti a limiti di età o operi in un settore regolamentato come sanità o finanza, entri nel territorio in cui una DPIA o una consulenza legale specialistica si ripaga davvero — ma saprai riconoscerlo, se è il tuo caso.

Domande frequenti

Installare il modulo psgdpr rende il mio negozio conforme al GDPR?

No — e nessun modulo può farlo. psgdpr è un supporto tecnico per alcuni diritti degli interessati (esportazione, cancellazione, registrazione del consenso nei form). La conformità dipende anche dalla tua informativa privacy, dalle tue basi giuridiche, dai periodi di conservazione, dai contratti con i responsabili del trattamento e dalla gestione dei cookie — tutti elementi di cui sei responsabile in qualità di titolare del trattamento. Pensa al modulo come a uno strumento che svolge bene alcuni compiti specifici, non a un interruttore che rende il negozio conforme.

Un cliente mi ha chiesto di cancellare tutti i suoi dati, ma ho le sue fatture. Che cosa faccio?

Non devi scegliere tra le due cose. Il diritto alla cancellazione prevede eccezioni, e conservare registri fiscali e contabili che sei legalmente tenuto a mantenere è una di queste. La risposta abituale è anonimizzare invece di eliminare definitivamente: psgdpr sostituisce il nome e i dati di contatto del cliente con valori casuali, mentre i registri sottostanti di ordini e fatture restano intatti per la tua contabilità. Onori la richiesta e conservi la traccia richiesta dall’autorità fiscale.

Mi serve davvero un Responsabile della protezione dei dati per un negozio normale?

Quasi certamente no. Un DPO formale è obbligatorio solo per il monitoraggio regolare e su larga scala di persone o per il trattamento su larga scala di categorie particolari di dati (salute, dati biometrici e simili). Un negozio che vende beni di consumo non fa nessuna delle due cose. Dovresti avere qualcuno che si occupa della protezione dei dati — di solito tu — ma non è il ruolo DPO formale e pubblicato, e non devi registrarne uno.

La mia attività è fuori dall’UE. Il GDPR si applica comunque?

Se vendi a persone nell’UE, sì, per quei clienti — il GDPR segue il cliente, non l’indirizzo della tua azienda. Non esiste una soglia minima di fatturato e non esiste un’esenzione “siamo troppo piccoli”. Un negozio statunitense o britannico che spedisce ad acquirenti UE tratta dati di residenti nell’UE e rientra nel perimetro per quegli ordini.

Una casella newsletter già selezionata nella procedura d’acquisto è davvero un problema?

Sì — è il difetto GDPR più comune che vediamo nei negozi PrestaShop. Il consenso al marketing deve essere un atto affermativo, quindi la casella deve essere distribuita non selezionata e il testo deve essere specifico per il marketing, non incorporato in “accetto l’informativa privacy”. Controlla sia il blocco ps_emailsubscription sia il modulo di registrazione; nessuno dei due dovrebbe apparire già selezionato.

Il riassunto onesto è questo: l’applicazione del GDPR sta aumentando e il regolamento non andrà da nessuna parte, ma per un normale negozio PrestaShop è una configurazione finita, per lo più una tantum, più che un peso continuo. Per gran parte si tratta di informativa privacy, consenso trasparente, un modulo gratuito e un banner cookie. I grandi obblighi intimidatori — DPO, DPIA, cancellazione totale immediata — sono scritti per qualcun altro. Tratta i dati personali come vorresti che fossero trattati i tuoi, indica con onestà i responsabili a cui li affidi e dai ai clienti il controllo che la legge prevede per loro. Questa è conformità, ed è anche semplicemente un negozio gestito bene.

Guide correlate

• GDPR e conformità cookie per PrestaShop: ciò di cui hai davvero bisogno — la mappa specifica per PrestaShop su dati + cookie.
• Consenso ai cookie per PrestaShop: che cosa richiede davvero la legge — il dettaglio su banner e blocco preventivo.
• Termini e condizioni per il tuo negozio: che cosa deve essere incluso — le pagine legali che richiamano la tua informativa privacy.
• Normativa e-commerce nell’UE: le regole più importanti — gli obblighi più ampi in cui si inserisce il GDPR.