Cookie e privacy su un e-commerce SaaS: cosa controlli e cosa no

Premessa onesta: non sono un avvocato e questo non è un parere legale. Sono lo sviluppatore che deve far funzionare le cose che l'avvocato ha scritto. In questo periodo lo sto facendo per EcoToGo, su TeamSystem Commerce: prima un'analisi di quello che c'era, adesso le correzioni una per una. Quello che segue è il metodo, non la consulenza.

Le regole che contano davvero

In Italia la base sono il GDPR e le Linee guida cookie del Garante del giugno 2021, operative da gennaio 2022. Tradotte in requisiti che un sito deve rispettare: i cookie non tecnici (statistiche non anonimizzate, marketing, pixel social) partono solo dopo il consenso; il banner deve avere un modo per rifiutare equivalente a quello per accettare; lo scroll e il "continuando la navigazione" non valgono come consenso; le caselle non possono essere pre-spuntate; il consenso va registrato e la scelta non va richiesta di nuovo prima di sei mesi, salvo cambiamenti.

Sembra una lista semplice. Il problema è che quasi ogni e-commerce che ho aperto ne viola almeno due senza saperlo, di solito perché un pixel è stato incollato nel tema tre anni fa e nessuno se lo ricorda.

La checklist che uso

• –Inventario reale degli script: apro il sito con gli strumenti di sviluppo, in navigazione anonima, e annoto tutto quello che parte prima di cliccare qualunque cosa. Non quello che la policy dice che parte.
• –Banner: rifiuto a un clic, nessuna casella pre-spuntata, preferenze riapribili da un link fisso nel footer.
• –Blocco preventivo: ogni tag non tecnico deve aspettare il consenso. Se la piattaforma non lo permette a livello di tema, si passa da un gestore dei tag o si toglie il tag.
• –Form: la casella marketing separata da quella per l'ordine, mai obbligatoria, con il link all'informativa accanto.
• –Informativa coerente con i fornitori veri: logistica, pagamenti, newsletter, hosting. Se la policy elenca un fornitore che non usate più, o ne manca uno, va riscritta.
• –Registro dei consensi: qualcuno deve poter dimostrare che quell'utente ha accettato, quando e cosa.

Dove la piattaforma decide per te

Su un SaaS non hai in mano il server. I cookie tecnici di sessione e carrello li imposta la piattaforma, e vanno benissimo così, ma non puoi cambiarne nome o durata. Il checkout è una scatola chiusa: se dentro carica qualcosa, lo decide il fornitore. Alcune integrazioni native (pagamenti, recensioni, chat) portano i loro script e vanno verificate una per una, perché il fatto che siano "ufficiali" non le rende tecniche.

Quindi parte del lavoro è capire fin dove si arriva. Si documenta cosa è sotto il tuo controllo e cosa no, si sistema il primo gruppo, e per il secondo si chiede al fornitore o si accetta il rischio sapendo qual è. Rendere un sito "il più conforme possibile" è una frase onesta; "conforme al 100%" su una piattaforma che non gestisci è una promessa che non farei.

Se hai un negozio online e non sai cosa parte prima del consenso, scrivimi: la prima analisi è un lavoro di qualche ora, e ti dice esattamente dove sei.