Banner dei cookie, newsletter, pixel di Facebook, moduli di contatto: quasi tutte le attività di marketing digitale trattano dati personali. Ed è proprio qui che molte aziende italiane, spesso in buona fede, si trovano fuori regola. Il GDPR (Regolamento europeo 2016/679) e la normativa italiana sulla privacy non sono un ostacolo al marketing, ma impongono regole precise su come raccogliere e usare i dati.

In questa guida pratica vediamo i principali adempimenti per chi fa marketing online: consenso ai cookie, newsletter e double opt-in, pixel di tracciamento, privacy policy, diritto alla cancellazione, e le violazioni più comuni che vediamo sui siti delle aziende di Padova, del Veneto e di tutta Italia.

Importante: questo articolo ha finalità divulgative e non costituisce consulenza legale. Per valutare la situazione specifica della tua azienda rivolgiti a un consulente privacy o a un avvocato esperto in protezione dei dati.

In breve: per essere in regola servono un banner cookie che blocchi i tracciamenti finché l’utente non acconsente e che renda rifiutare facile quanto accettare, una privacy policy chiara e aggiornata, consensi specifici e dimostrabili per la newsletter, pixel attivati solo dopo il consenso e una procedura per rispondere alle richieste degli utenti, come la cancellazione dei dati.

I principi del GDPR in parole semplici

• Base giuridica: ogni trattamento di dati deve avere un motivo previsto dalla legge (consenso, contratto, obbligo di legge, legittimo interesse…). Per il marketing, nella maggior parte dei casi, serve il consenso.
• Trasparenza: le persone devono sapere chi tratta i loro dati, perché, per quanto tempo e con chi li condivide.
• Minimizzazione: raccogli solo i dati che servono davvero.
• Responsabilizzazione (accountability): devi essere in grado di dimostrare di rispettare le regole, ad esempio conservando la prova dei consensi.

Cookie e banner di consenso

In Italia il riferimento sono le Linee guida del Garante Privacy sui cookie e altri strumenti di tracciamento (2021). I punti chiave:

• Cookie tecnici: necessari al funzionamento del sito, non richiedono consenso ma vanno indicati nell’informativa.
• Cookie analitici: possono essere assimilati ai tecnici solo a condizioni precise (ad esempio dati aggregati e IP mascherato, senza incroci con altri dati); in caso contrario richiedono il consenso.
• Cookie di profilazione e marketing (pixel pubblicitari, remarketing): richiedono sempre il consenso preventivo.

Un banner corretto:

• blocca tutti i cookie non tecnici finché l’utente non sceglie;
• permette di rifiutare con la stessa facilità con cui si accetta (ad esempio con un pulsante “Rifiuta” o con la “X” di chiusura, che equivale al rifiuto);
• permette di scegliere per categoria e di modificare la scelta in qualsiasi momento;
• non considera lo scorrimento della pagina come consenso;
• non ripropone il banner a chi ha rifiutato, se non dopo un congruo periodo (le linee guida indicano almeno sei mesi) o se cambiano le condizioni del trattamento;
• conserva una prova dei consensi raccolti.

Le piattaforme di gestione del consenso (CMP) automatizzano molte di queste funzioni e si integrano con gli strumenti di Google e Meta. Per gli inserzionisti che usano i servizi pubblicitari e di misurazione di Google nello Spazio Economico Europeo, Google richiede inoltre di trasmettere i segnali di consenso tramite il Consent Mode.

Newsletter, double opt-in e consensi

Per inviare comunicazioni di marketing via email serve, come regola generale, il consenso specifico della persona.

• Casella non preselezionata e separata dall’accettazione dell’informativa: non si può “nascondere” l’iscrizione alla newsletter nel modulo di contatto.
• Consensi distinti per finalità diverse (newsletter, profilazione, cessione a terzi).
• Double opt-in: dopo l’iscrizione, la persona riceve un’email per confermarla. Non è espressamente imposto dalla legge, ma è il modo più solido per dimostrare che il consenso è stato dato davvero dal titolare dell’indirizzo, e migliora la qualità della lista.
• Link di disiscrizione in ogni email, funzionante e semplice.
• Clienti esistenti: la normativa italiana consente, a determinate condizioni, di inviare email su prodotti o servizi analoghi a quelli già acquistati usando l’indirizzo fornito durante la vendita (il cosiddetto “soft spam”), purché il cliente sia informato e possa opporsi in ogni momento.
• Liste acquistate: sono quasi sempre un rischio, perché raramente il consenso raccolto copre l’invio da parte tua.

L’email marketing resta uno strumento potentissimo, come spieghiamo in Email marketing nel 2026: farlo in regola protegge anche la reputazione del mittente e la consegna dei messaggi.

---

📩 Non sei sicuro che il tuo sito sia in regola con cookie e privacy? Contattaci: verifichiamo banner, tracciamenti e moduli del tuo sito e ti segnaliamo cosa correggere.

---

Pixel di tracciamento e strumenti di analisi

Pixel di Meta, tag di Google Ads, LinkedIn Insight Tag, TikTok Pixel, Google Analytics, strumenti di heatmap: tutti raccolgono dati sugli utenti.

• I pixel pubblicitari vanno attivati solo dopo il consenso ai cookie di marketing.
• Gli strumenti di analisi seguono le regole viste sopra: consenso, salvo che siano configurati per essere assimilabili ai cookie tecnici.
• Strumenti come l’API Conversioni di Meta o il tracciamento lato server non eliminano gli obblighi: anche i dati inviati dal server richiedono una base giuridica e il rispetto delle scelte dell’utente.
• Molti strumenti trasferiscono dati verso gli Stati Uniti: verifica che il fornitore aderisca al Data Privacy Framework UE-USA o offra garanzie adeguate, e indicalo nell’informativa.

Il rifiuto dei cookie riduce i dati raccolti: è un limite da accettare e da considerare nella lettura delle statistiche, come spieghiamo nella guida al ROI del marketing digitale.

Privacy policy e cookie policy del sito

L’informativa privacy (articolo 13 del GDPR) deve indicare in modo chiaro e comprensibile:

• chi è il titolare del trattamento e come contattarlo;
• quali dati vengono raccolti e per quali finalità, con la relativa base giuridica;
• a chi vengono comunicati (fornitori, piattaforme) ed eventuali trasferimenti extra UE;
• per quanto tempo vengono conservati;
• quali diritti ha l’utente e come esercitarli, compreso il reclamo al Garante.

La cookie policy elenca cookie e strumenti di tracciamento usati, con finalità e durata. Entrambe vanno aggiornate ogni volta che aggiungi uno strumento (un nuovo pixel, una chat, un plugin). Un errore frequente sono informative copiate da altri siti, con riferimenti a società o servizi che non c’entrano.

Diritto alla cancellazione e altri diritti degli utenti

Le persone possono chiedere di accedere ai propri dati, correggerli, cancellarli, limitarne il trattamento, opporsi al marketing e ottenere la portabilità. Per il marketing:

• la revoca del consenso deve essere semplice quanto darlo;
• le richieste vanno gestite senza ritardo e, di norma, entro un mese;
• la cancellazione va estesa a tutti gli strumenti dove si trovano i dati: CRM, piattaforma email, pubblici personalizzati caricati su Meta o Google;
• chi si oppone al marketing va inserito in una lista di esclusione, per non ricontattarlo per errore.

Le violazioni più comuni sui siti italiani

1. Banner cookie senza pulsante di rifiuto o con il rifiuto nascosto in una seconda schermata.
2. Pixel di Meta e Google che si attivano prima del consenso.
3. Privacy policy assente, generica o copiata da un altro sito.
4. Caselle del consenso marketing preselezionate o obbligatorie per inviare un modulo di contatto.
5. Newsletter inviate a contatti raccolti per altri motivi (biglietti da visita, preventivi) senza consenso.
6. Assenza di prova dei consensi raccolti.
7. Strumenti aggiunti negli anni (chat, mappe, video incorporati, font esterni) mai inseriti nell’informativa.
8. Richieste di cancellazione ignorate o gestite solo in parte.

Le sanzioni previste dal GDPR possono arrivare fino a 20 milioni di euro o al 4% del fatturato annuo mondiale, ma per una PMI il rischio più concreto sono spesso i reclami degli utenti, i provvedimenti del Garante e il danno di reputazione.

GDPR e attività di Padova e del Veneto

Molte PMI del territorio hanno siti realizzati anni fa, a cui sono stati aggiunti nel tempo pixel, chat, moduli e strumenti di prenotazione senza aggiornare banner e informative. Un controllo periodico è il modo più semplice per evitare problemi. Se stai pianificando un nuovo sito, includi la conformità privacy fin dalla progettazione: incide anche sui costi, come spieghiamo in Quanto costa un sito web professionale. Per chi usa strumenti di AI come i chatbot, ci sono considerazioni aggiuntive di cui parliamo in Chatbot e AI per il customer service.

Domande frequenti

Il banner dei cookie è obbligatorio?

Sì, se il sito usa cookie o strumenti di tracciamento non tecnici, come pixel pubblicitari o analytics non anonimizzati. Il banner deve consentire di accettare, rifiutare e scegliere per categoria.

Il double opt-in è obbligatorio per la newsletter?

Non è espressamente imposto dalla legge, ma è il metodo più affidabile per dimostrare che il consenso è stato dato dal titolare dell’indirizzo email. Per questo è fortemente consigliato.

Posso inviare la newsletter ai miei clienti senza consenso?

A determinate condizioni la normativa italiana consente di inviare email su prodotti o servizi analoghi a quelli acquistati, usando l’indirizzo fornito durante la vendita, se il cliente è stato informato e può opporsi in ogni momento. Negli altri casi serve il consenso.

Il Pixel di Meta è conforme al GDPR?

Può essere usato in modo conforme se viene attivato solo dopo il consenso dell’utente ai cookie di marketing e se è indicato correttamente nell’informativa privacy e nella cookie policy.

Verifica la compliance del tuo sito con FeniceWeb

Essere in regola con il GDPR non significa rinunciare al marketing digitale, ma farlo con trasparenza e rispetto per le persone. Un sito con banner corretto, informative chiare e consensi dimostrabili è anche un sito che ispira più fiducia.

FeniceWeb, agenzia con sede a Padova, verifica e configura banner cookie, tracciamenti e moduli dei siti web di aziende del Veneto e di tutta Italia, collaborando con consulenti legali per gli aspetti che richiedono un parere specialistico.

👉 Verifica la compliance del tuo sito con FeniceWeb: contattaci