Cos’è il GDPR? Guida completa per gli editori

Il Regolamento Generale sulla Protezione dei Dati (GDPR) è la legge sulla privacy più influente dell’era digitale. Da quando è entrato in vigore il 25 maggio 2018, ha ridefinito il modo in cui le aziende di tutto il mondo raccolgono, trattano e conservano i dati personali, con un impatto particolarmente significativo sugli editori online.

Se il tuo sito web riceve visitatori dall’Unione Europea, dallo Spazio Economico Europeo o dal Regno Unito, il GDPR si applica a te, indipendentemente da dove ha sede la tua attività. Questa guida spiega cos’è il GDPR, cosa richiede e cosa devono fare gli editori per essere conformi.

Cos’è il GDPR?

GDPR è l’acronimo di General Data Protection Regulation, in italiano Regolamento Generale sulla Protezione dei Dati. Si tratta di una legge completa sulla protezione dei dati adottata dall’Unione Europea nel 2016 e applicata dal 25 maggio 2018. Ha sostituito la Direttiva sulla Protezione dei Dati del 1995 e ha istituito un quadro normativo unico e unificato per la privacy dei dati in tutti gli Stati membri dell’UE.

Il regolamento conferisce agli individui, denominati “interessati”, un maggiore controllo sui propri dati personali. Impone inoltre obblighi rigorosi a qualsiasi organizzazione che raccolga o tratti tali dati, nota come “titolare del trattamento” o “responsabile del trattamento”.

Il GDPR si applica a tutte le organizzazioni che trattano dati personali di persone nell’UE/SEE, indipendentemente dalla sede dell’organizzazione. Questa portata extraterritoriale significa che un editore con sede negli Stati Uniti, in Brasile o in India deve conformarsi al GDPR se ha visitatori europei, il che, in pratica, riguarda quasi tutti i siti web su internet.

Il significato del GDPR: perché è stato introdotto?

Il precedente quadro normativo europeo sulla protezione dei dati, la Direttiva sulla Protezione dei Dati del 1995, era stato redatto prima dell’avvento dei social media, della pubblicità programmatica e del cloud computing. Ogni Paese dell’UE lo aveva recepito in modo diverso, creando un mosaico frammentato di leggi nazionali sulla privacy.

Il GDPR è stato introdotto per risolvere tre problemi:

1. Armonizzazione. Sostituire 28 diverse leggi nazionali sulla protezione dei dati con un unico regolamento applicabile uniformemente in tutta l’UE.
2. Modernizzazione. Aggiornare il quadro giuridico per affrontare le realtà di internet moderno: cookie, tracciamento comportamentale, flussi transfrontalieri di dati e l’enorme scala della raccolta di dati personali.
3. Responsabilizzazione. Conferire agli individui diritti concreti sui propri dati personali, incluso il diritto di sapere cosa viene raccolto, il diritto alla cancellazione e il diritto di opporsi.

Cosa sono i dati personali secondo il GDPR?

Il GDPR definisce i dati personali in modo ampio. Comprende qualsiasi informazione che possa identificare una persona fisica, direttamente o indirettamente. Per gli editori, questa definizione è fondamentale perché include gran parte dei dati raccolti durante le normali operazioni del sito web.

Esempi di dati personali secondo il GDPR includono:

• Identificatori diretti – Nomi, indirizzi email, numeri di telefono
• Identificatori online – Indirizzi IP, ID dei cookie, impronte digitali del dispositivo, ID pubblicitari
• Dati di localizzazione – Coordinate GPS, geolocalizzazione basata sull’IP
• Dati comportamentali – Cronologia di navigazione, registri degli acquisti, preferenze sui contenuti
• Dati tecnici – Tipo di browser, sistema operativo, risoluzione dello schermo (quando combinati con altri punti dati per creare un profilo univoco)

Ciò significa che quando un visitatore arriva sul tuo sito web e i tuoi strumenti di analisi, tag pubblicitari o script di terze parti raccolgono uno qualsiasi di questi dati, stai trattando dati personali ai sensi del GDPR.

I 7 principi del GDPR

Il GDPR si fonda su sette principi fondamentali stabiliti dall’Articolo 5. Questi principi costituiscono le fondamenta del regolamento: ogni obbligo di conformità deriva da essi.

Per gli editori, il principio di responsabilizzazione è particolarmente importante. Non basta essere conformi: bisogna essere in grado di dimostrarlo. Questo significa conservare i registri del consenso, documentare le attività di trattamento dei dati e disporre di informative sulla privacy chiare.

Basi giuridiche per il trattamento dei dati

Secondo il GDPR, è necessaria una valida ragione giuridica, chiamata “base giuridica”, per trattare i dati personali. L’Articolo 6 definisce sei basi giuridiche:

1. Consenso – L’interessato ha espresso un consenso chiaro e inequivocabile al trattamento dei propri dati per una finalità specifica.
2. Contratto – Il trattamento è necessario per l’esecuzione di un contratto con l’interessato (ad esempio, la fornitura di un abbonamento a pagamento).
3. Obbligo legale – Il trattamento è necessario per adempiere a un obbligo di legge (ad esempio, dichiarazioni fiscali).
4. Interessi vitali – Il trattamento è necessario per proteggere la vita di una persona (raramente rilevante per gli editori).
5. Interesse pubblico – Il trattamento è necessario per l’esecuzione di un compito di interesse pubblico (si applica principalmente agli enti pubblici).
6. Legittimo interesse – Il trattamento è necessario per il perseguimento del legittimo interesse del titolare del trattamento, a condizione che tali interessi non prevalgano sui diritti e le libertà dell’interessato.

Per la maggior parte degli editori, le due basi giuridiche più rilevanti sono il consenso e il legittimo interesse.

Il consenso nella pratica

Il consenso è la base giuridica principale per l’impostazione di cookie non essenziali e la pubblicazione di annunci personalizzati. Secondo il GDPR, il consenso valido deve essere:

• Libero – Gli utenti devono avere una scelta reale. L’accesso al sito non può essere subordinato all’accettazione di tutti i cookie (con limitate eccezioni per i modelli a paywall).
• Specifico – Il consenso deve essere espresso per ciascuna finalità distinta (analisi, pubblicità, personalizzazione), non accorpato in un unico “accetta tutto” senza alternative.
• Informato – Gli utenti devono comprendere a cosa acconsentono: quali dati vengono raccolti, da chi e per quale finalità.
• Inequivocabile – Il consenso richiede un’azione affermativa chiara (cliccare su “Accetta”, attivare un interruttore). Caselle preselezionate e consenso implicito (continuare a navigare) non sono validi.

È fondamentale che il consenso sia altrettanto facile da revocare quanto da concedere. Ecco perché le piattaforme di gestione del consenso (CMP) forniscono un link persistente alle “impostazioni sulla privacy” che consente agli utenti di modificare le proprie preferenze in qualsiasi momento.

Legittimo interesse

Il legittimo interesse può talvolta essere utilizzato per analisi di base o prevenzione delle frodi senza richiedere il consenso esplicito. Tuttavia, in virtù del principio di responsabilizzazione del GDPR, è necessario poter dimostrare di aver bilanciato le proprie esigenze aziendali con i diritti alla privacy dell’individuo. In pratica, ciò significa condurre una Valutazione del Legittimo Interesse (LIA), un’analisi strutturata che non deve essere necessariamente lunga o formale, ma deve documentare il ragionamento seguito. Per la pubblicità personalizzata e la profilazione, il IAB Transparency and Consent Framework (TCF) richiede il consenso esplicito: il TCF v2.2 ha rimosso la possibilità per i vendor di invocare il legittimo interesse per la creazione di profili pubblicitari (Finalità 3), la selezione di annunci personalizzati (Finalità 4) o contenuti personalizzati (Finalità 5 e 6). Il legittimo interesse resta disponibile nell’ambito del TCF per finalità non personalizzate come la selezione di annunci di base, la misurazione degli annunci e lo sviluppo di prodotti, sebbene gli utenti mantengano il diritto di opposizione. Tuttavia, alcuni regolatori nazionali vanno oltre. Il Garante per la protezione dei dati personali italiano, ad esempio, ha stabilito nelle sue Linee guida sui cookie del 2021 che il legittimo interesse non può essere utilizzato per giustificare alcun cookie o tecnologia di tracciamento: solo il consenso o la stretta necessità tecnica sono basi giuridiche valide. Gli editori che operano in più mercati dell’UE devono tenere conto di queste differenze a livello nazionale nella configurazione del loro CMP.

Diritti degli interessati

Il GDPR conferisce agli individui un insieme completo di diritti sui propri dati personali. In qualità di editore, devi disporre di processi per rispondere a queste richieste, generalmente entro un mese.

Per la maggior parte degli editori, il diritto di accesso (DSAR) e il diritto alla cancellazione sono quelli che si incontrano più frequentemente. Avere un processo chiaro documentato nella propria informativa sulla privacy rende la gestione di queste richieste molto più semplice.

Applicazione del GDPR e sanzioni

Il GDPR è applicato dalle Autorità per la Protezione dei Dati (DPA) in ciascuno Stato membro dell’UE/SEE. Ad esempio, in Francia l’applicazione è affidata alla CNIL (Commission nationale de l’informatique et des libertés), in Italia al Garante per la protezione dei dati personali, e nel Regno Unito all’Information Commissioner’s Office (ICO).

Il regolamento prevede due livelli di sanzioni amministrative:

• Livello inferiore – Fino a 10 milioni di euro o il 2% del fatturato annuo globale (se superiore), per violazioni relative agli obblighi come i registri delle attività di trattamento, la notifica delle violazioni o la protezione dei dati fin dalla progettazione.
• Livello superiore – Fino a 20 milioni di euro o il 4% del fatturato annuo globale (se superiore), per violazioni dei principi fondamentali, dei requisiti sulle basi giuridiche, delle condizioni di consenso o dei diritti degli interessati.

Non si tratta di numeri teorici. Dal 2018, le DPA hanno comminato miliardi di euro in sanzioni. Alcuni casi significativi:

• Meta (Facebook) – 1,2 miliardi di euro (2023) per il trasferimento di dati di utenti UE negli Stati Uniti senza garanzie adeguate.
• Amazon – 746 milioni di euro (2021) per il trattamento di dati personali a fini di pubblicità mirata senza un consenso valido.
• Google – 150 milioni di euro (2022) dalla CNIL (Commission nationale de l’informatique et des libertés) francese per aver reso più difficile per gli utenti rifiutare i cookie rispetto ad accettarli.

Sebbene le sanzioni più elevate colpiscano le grandi aziende tecnologiche, gli editori più piccoli non ne sono esenti. Le DPA in tutta Europa hanno sanzionato piccole e medie imprese per violazioni come la mancanza di un adeguato meccanismo di consenso ai cookie, il mancato riscontro alle richieste di accesso degli interessati e l’assenza di un’informativa sulla privacy conforme.

GDPR e cookie: cosa devono fare gli editori

Per gli editori, l’obbligo più immediato del GDPR è la gestione del consenso ai cookie. Il GDPR, insieme alla Direttiva ePrivacy (spesso chiamata “Cookie Law”), richiede agli editori di:

1. Informare gli utenti su quali cookie utilizza il sito, quali dati raccolgono e perché.
2. Ottenere il consenso prima di impostare qualsiasi cookie non essenziale (analisi, pubblicità, personalizzazione).
3. Fornire controlli granulari – Gli utenti devono poter accettare o rifiutare diverse categorie di cookie, non solo “accetta tutto” o “rifiuta tutto”.
4. Consentire la revoca – Gli utenti devono poter modificare o revocare il proprio consenso in qualsiasi momento.
5. Conservare i registri – Devi essere in grado di dimostrare che il consenso è stato ottenuto e cosa ha accettato l’utente.

In pratica, ciò significa implementare una Consent Management Platform (CMP) che mostri un banner di consenso ai cookie, raccolga e conservi le preferenze degli utenti, comunichi i segnali di consenso al tuo stack pubblicitario e fornisca un’interfaccia per consentire agli utenti di aggiornare le proprie preferenze.

L’IAB Transparency and Consent Framework

Per standardizzare il modo in cui il consenso viene comunicato lungo la catena di fornitura dell’ad tech, IAB Europe ha sviluppato il Transparency and Consent Framework (TCF). La versione attuale, TCF v2.3, offre un metodo standardizzato per le CMP per raccogliere il consenso, codificarlo in una “TC String” leggibile da dispositivo automatico e trasmetterlo a tutti i vendor nella catena pubblicitaria.

Google richiede agli editori che utilizzano Google Ad Manager, AdSense o altri prodotti pubblicitari Google nell’SEE e nel Regno Unito di utilizzare una CMP certificata Google che supporti il TCF. Senza una CMP conforme, non è possibile pubblicare annunci personalizzati per gli utenti europei attraverso l’ecosistema di Google.

Come il GDPR influisce sui ricavi pubblicitari

Il GDPR ha un impatto diretto sui ricavi degli editori perché determina se è possibile pubblicare annunci personalizzati o non personalizzati per il proprio pubblico europeo.

Quando un utente acconsente ai cookie pubblicitari, il tuo stack pubblicitario ha accesso a segnali di dati che abilitano la pubblicità programmatica: header bidding, aste in tempo reale e targeting per pubblico. Questi annunci personalizzati generalmente ottengono CPM più elevati perché gli inserzionisti sono disposti a pagare di più per raggiungere segmenti di pubblico specifici.

Quando un utente rifiuta il consenso, puoi pubblicare solo annunci contestuali o non personalizzati. Questi annunci sono targettizzati in base al contenuto della pagina anziché al profilo dell’utente e generalmente producono un RPM inferiore.

Ciò significa che i tassi di consenso influenzano direttamente i tuoi ricavi. Un’interfaccia di consenso ben progettata, che spieghi chiaramente lo scambio di valore e renda facile per gli utenti accettare, può migliorare significativamente i tassi di opt-in pur rimanendo pienamente conforme. È qui che la CMP giusta fa una differenza misurabile.

Checklist di conformità al GDPR per gli editori

Ecco i passaggi pratici che gli editori devono seguire per conformarsi al GDPR:

1. Implementare una Consent Management Platform

Una CMP è lo strumento più importante per la conformità al GDPR. Gestisce la raccolta del consenso ai cookie, registra le preferenze degli utenti e comunica i segnali di consenso ai tuoi partner pubblicitari. Utilizza una CMP certificata Google che supporti il IAB TCF per garantire la compatibilità con Google Ad Manager, AdSense e altre piattaforme ad tech.

2. Verificare la raccolta dei dati

Devi sapere quali dati personali raccoglie il tuo sito, attraverso quali cookie e script, e per quali finalità. Verifica che le impostazioni della tua CMP e i risultati della scansione dei cookie siano allineati con il tuo effettivo trattamento dei dati: se il tuo sito utilizza script di analisi, pubblicità o social media, assicurati che questi siano riflessi nelle tue categorie di consenso.

3. Aggiornare l’informativa sulla privacy

La tua informativa sulla privacy deve spiegare chiaramente quali dati raccogli e perché, la base giuridica per ciascun tipo di trattamento, per quanto tempo i dati vengono conservati, con chi vengono condivisi (inclusi i partner ad tech), come gli utenti possono esercitare i propri diritti e i tuoi dati di contatto, incluso il Responsabile della Protezione dei Dati (se richiesto). Se pubblichi annunci personalizzati e utilizzi una CMP conforme al TCF, indicalo nella tua informativa sulla privacy e familiarizza con gli obblighi dell’editore previsti dal framework IAB TCF, che includono requisiti specifici di trasparenza e divulgazione.

4. Predisporre un processo per le DSAR

Crea un processo documentato per la gestione delle richieste di accesso degli interessati. Hai un mese di tempo per rispondere (estendibile a tre mesi per richieste complesse). Includi un metodo di contatto nella tua informativa sulla privacy, generalmente un indirizzo email o un modulo web.

5. Assicurarsi che gli accordi con i responsabili del trattamento siano in essere

Se terze parti trattano dati personali per tuo conto (provider di hosting, servizi di analisi, reti pubblicitarie), hai bisogno di Accordi per il Trattamento dei Dati (DPA) scritti con ciascuno di essi. La maggior parte delle principali piattaforme offre DPA standard che puoi accettare attraverso le loro condizioni di servizio.

6. Implementare procedure per le violazioni dei dati

Il GDPR richiede di notificare alla propria DPA entro 72 ore dal momento in cui si viene a conoscenza di una violazione dei dati personali che comporta un rischio per i diritti degli individui. È inoltre necessario notificare gli interessati se il rischio è elevato. È fondamentale predisporre un piano di risposta prima che si verifichi una violazione.

Come Clickio aiuta gli editori a conformarsi al GDPR

Clickio Consent è una Consent Management Platform certificata Google che rende la conformità al GDPR semplice per gli editori. In qualità di membro del Google CMP Partner Program e registrata presso lo IAB (CMP ID 63), Clickio Consent fornisce l’infrastruttura necessaria agli editori per raccogliere e gestire il consenso in conformità con i requisiti del GDPR.

• Certificata TCF v2.3 – Pienamente compatibile con l’IAB Transparency and Consent Framework, garantendo che i segnali di consenso siano correttamente comunicati a tutto il tuo stack pubblicitario.
• Google Consent Mode v2 – Regola automaticamente il comportamento dei tag Google (Analytics, Ads, Ad Manager) in base alle scelte di consenso dell’utente.
• Controlli granulari del consenso – Supporta il consenso per singola finalità con gestione dei vendor, soddisfacendo il requisito del GDPR di un consenso specifico e informato.
• Supporto multi-normativa – Gestisce GDPR, leggi statali USA sulla privacy, LGPD e altre normative globali da un’unica piattaforma, senza bisogno di soluzioni separate per ogni regione.
• Analisi del consenso – Monitora i tassi di opt-in, comprendi come il consenso impatta i tuoi ricavi pubblicitari e utilizza A/B testing (Pro+ e superiori) per ottimizzare l’interfaccia di consenso.
• Oltre 26 lingue – Localizza automaticamente il tuo banner di consenso per il pubblico europeo.
• Opzione cookie paywall – Offri agli utenti una scelta “consenso o abbonamento” (Pro+ e superiori), fornendo un percorso alternativo di ricavo quando gli utenti rifiutano il tracciamento.

Clickio Consent offre un piano gratuito per iniziare, con piani a pagamento disponibili per gli editori che necessitano di funzionalità aggiuntive come il supporto per le leggi sulla privacy statunitensi, la compatibilità AMP, l’A/B testing e gli SDK per app mobile.

UK GDPR: cosa è cambiato dopo la Brexit?

Dopo aver lasciato l’UE, il Regno Unito ha mantenuto il GDPR come legge nazionale nell’ambito del Data Protection Act 2018, comunemente denominato “UK GDPR”. È sostanzialmente identico alla versione UE, con l’ICO (Information Commissioner’s Office) come autorità di controllo.

Per gli editori, l’impatto pratico è minimo: se sei conforme al GDPR dell’UE, lo sei anche al UK GDPR. La principale considerazione è che il Regno Unito è trattato come una giurisdizione separata, quindi i trasferimenti di dati personali tra UE e Regno Unito richiedono una decisione di adeguatezza (attualmente in vigore) o garanzie appropriate.

Anche la Svizzera ha la propria legge sulla protezione dei dati, la Legge federale sulla protezione dei dati (LPD), rivista nel 2023, che si allinea strettamente al GDPR. In pratica, la Policy sul consenso degli utenti UE di Google richiede agli editori che utilizzano prodotti pubblicitari Google di ottenere il consenso degli utenti nell’UE, nel Regno Unito e in Svizzera allo stesso modo.

Domande frequenti

Il GDPR si applica se la mia attività è fuori dall’UE?

Sì. Il GDPR si applica a qualsiasi organizzazione che tratta dati personali di individui nell’UE/SEE, indipendentemente dalla sede dell’organizzazione. Se il tuo sito web è accessibile ai visitatori europei, e praticamente tutti i siti web lo sono, il GDPR si applica a te.

Ho bisogno di un Responsabile della Protezione dei Dati (DPO)?

Un DPO è obbligatorio se le tue attività principali comportano il monitoraggio regolare e sistematico degli individui su larga scala, o se tratti categorie particolari di dati (salute, religione, etnia) su larga scala. La maggior parte degli editori di piccole e medie dimensioni non necessita di un DPO formale, ma è buona prassi designare una persona responsabile delle questioni relative alla protezione dei dati.

Qual è la differenza tra titolare del trattamento e responsabile del trattamento?

Il titolare del trattamento determina perché e come vengono trattati i dati personali. In qualità di editore, sei generalmente il titolare del trattamento per la raccolta dati del tuo sito web. Il responsabile del trattamento tratta i dati per conto del titolare: il tuo provider di hosting, la piattaforma di analisi o la CMP agiscono come responsabili del trattamento. Entrambi hanno obblighi ai sensi del GDPR, ma il titolare ha la responsabilità principale.

Posso usare Google Analytics senza consenso secondo il GDPR?

Google Analytics standard (GA4) utilizza cookie e raccoglie dati personali (indirizzi IP, identificatori online), quindi richiede il consenso ai sensi del GDPR. Google Consent Mode v2 consente a GA4 di raccogliere dati anonimizzati, senza cookie, quando un utente non ha dato il consenso, fornendo alcune funzionalità di analisi senza cookie, ma l’intero set di funzionalità richiede il consenso.

Quanto dura il consenso secondo il GDPR?

Il GDPR non specifica una durata esatta per la validità del consenso. Il IAB TCF raccomanda di richiedere nuovamente il consenso agli utenti approssimativamente ogni 13 mesi. È inoltre buona prassi richiedere nuovamente il consenso quando la lista dei vendor o le finalità del trattamento cambiano in modo significativo.

Conclusione

Il GDPR non è solo un regolamento europeo: è lo standard globale che ha plasmato il modo in cui internet gestisce i dati personali. Per gli editori, la conformità non è facoltativa: è richiesta dalla legge, pretesa dalle piattaforme pubblicitarie come Google e attesa da utenti sempre più consapevoli della propria privacy.

La buona notizia è che la conformità al GDPR non deve essere complicata. I requisiti fondamentali, ovvero una raccolta dati trasparente, una corretta gestione del consenso, un’informativa sulla privacy chiara e processi per la gestione delle richieste degli interessati, possono essere implementati in modo efficiente con gli strumenti giusti.

Clickio Consent offre una CMP gratuita e certificata Google che gestisce la raccolta del consenso GDPR sin da subito, con supporto per l’IAB TCF, Google Consent Mode v2 e oltre 26 lingue. Si configura in pochi minuti e garantisce che il tuo sito soddisfi i requisiti del GDPR fin dal primo giorno.