--- title: "Shopify e GDPR: la checklist per un negozio italiano a norma" seo_title: "Shopify e GDPR: checklist per un negozio a norma" description: "Checklist GDPR per negozi Shopify in Italia: cookie banner e consenso, informative, dati dei clienti, app e fornitori, newsletter, recesso e accessibilità." url: "https://salvatorepitone.it/shopify-gdpr-checklist/" type: "BlogPosting" language: "it-IT" published: "2026-10-26T14:53:56+01:00" updated: "2026-10-26T18:12:58+01:00" author: "Salvatore Pitone" categories: - "GDPR e privacy" tags: - "Shopify" - "eCommerce" - "shopify gdpr" image: "https://salvatorepitone.it/wp-content/uploads/2026/10/shopify-gdpr-checklist-copertina.webp" --- # Shopify e GDPR: la checklist per un negozio italiano a norma “Il mio negozio è a norma?” È la domanda che mi fanno più spesso, di solito dopo una segnalazione di un cliente o un avviso arrivato da Google. Con **Shopify GDPR** e privacy non si risolvono con un’app sola: servono dieci controlli, alcuni tecnici e alcuni legali. In breve: Shopify ti dà una piattaforma sicura e strumenti per il consenso, ma il titolare del trattamento sei tu. Per avere un negozio a norma devi controllare banner e script, consenso a Google, informative, moduli e newsletter, dati dei clienti, app e fornitori, trasferimenti extra UE, pagine legali, recesso e accessibilità. Qui trovi la checklist che uso quando controllo un negozio, con la norma di riferimento per ogni punto e la divisione chiara tra cosa configuro io e cosa decidi tu con il tuo consulente. Ti spiego la parte tecnica: per i testi legali e le scelte sui dati confrontati con il tuo consulente privacy o avvocato. ## Chi fa cosa: titolare, Shopify, sviluppatore, consulente Il [Regolamento (UE) 2016/679](https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=it), il GDPR, distingue tra chi decide perché e come si trattano i dati (il **titolare**) e chi li tratta per suo conto (il **responsabile**, art. 28). Per un negozio Shopify la divisione è questa: - **Tu, il venditore**, sei il titolare dei dati dei tuoi clienti: decidi finalità, basi giuridiche (art. 6), tempi di conservazione e testi. - **Shopify**, per la maggior parte dei servizi, è responsabile del trattamento: lo scrive nel suo [accordo sul trattamento dei dati](https://www.shopify.com/legal/dpa). Per alcuni servizi aggiuntivi indicati in quell’accordo agisce invece come titolare autonomo. - **Lo sviluppatore** configura il negozio perché faccia davvero quello che dicono i testi: banner, script, moduli, pagine. - **Il consulente privacy o l’avvocato** scrive o rivede informative, condizioni di vendita e registro, e ti aiuta nelle scelte legali. ![Chi fa cosa nella conformità GDPR di un negozio Shopify: sviluppatore da una parte, titolare e consulente privacy dall'altra](https://salvatorepitone.it/wp-content/uploads/2026/10/shopify-gdpr-checklist-chi-fa-cosa.webp) _Chi fa cosa: la parte tecnica e la parte legale vanno insieme, ma sono lavori diversi._ Quando le due parti non si parlano nascono i problemi più comuni: una cookie policy perfetta su un negozio che carica il pixel di Meta prima del consenso, o un banner impeccabile con un’informativa copiata da un altro sito. ## La checklist in 10 punti ![Checklist GDPR in dieci punti per un negozio Shopify italiano, dal cookie banner all'accessibilità](https://salvatorepitone.it/wp-content/uploads/2026/10/shopify-gdpr-checklist-checklist.webp) _I dieci punti che controllo in ogni negozio Shopify._ Per ogni punto trovi la norma di riferimento, cosa configura lo sviluppatore e cosa decide il titolare. Non serve sistemarli tutti in un giorno: segna quelli su cui non sei sicuro e parti da lì, possibilmente in quest’ordine. ### 1. Cookie banner che blocca davvero **Norma:** art. 122 del Codice privacy e [Linee guida cookie del Garante del 10 giugno 2021](https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9677876). **Sviluppatore:** banner con Accetta, Rifiuta e preferenze, X che vale come rifiuto, nessuno script di statistica o marketing prima della scelta. **Titolare:** quali strumenti usare e perché. Ho scritto una guida a parte su [come configurare il cookie banner su Shopify a norma del Garante](https://salvatorepitone.it/cookie-banner-shopify-gdpr/). ### 2. Consenso e Consent Mode **Norma:** art. 7 GDPR (il consenso va dimostrato e si revoca con la stessa facilità con cui si dà). **Sviluppatore:** la scelta del banner arriva a tutti gli strumenti, compresi Google Analytics e Google Ads con la [Consent Mode v2](https://salvatorepitone.it/consent-mode-v2-shopify/), e ai pixel tramite la [Customer Privacy API](https://shopify.dev/docs/api/customer-privacy) di Shopify. **Titolare:** scegliere tra modalità base e avanzata di Google insieme al consulente. Se usi un’app per il banner, verifica anche che conservi una **prova dei consensi** (data, scelta, versione del banner): l’art. 7 chiede al titolare di poter dimostrare il consenso, e in caso di contestazione è l’unico documento che hai. ### 3. Informativa privacy e cookie policy **Norma:** art. 13 GDPR. L’informativa dice chi è il titolare, quali dati raccoglie, per quali finalità e su quale base, a chi li comunica, per quanto li conserva e quali diritti ha il cliente. **Sviluppatore:** pagine raggiungibili dal footer e dal checkout. **Titolare e consulente:** il testo. Il modello generato da Shopify è un punto di partenza, non l’informativa del tuo negozio. ### 4. Moduli e newsletter **Norma:** artt. 6, 7 e 13 GDPR. Il consenso alla newsletter deve essere separato dall’acquisto e non preselezionato. **Sviluppatore:** casella marketing al checkout non spuntata in partenza, conferma dell’iscrizione via email (doppio opt-in) se la usi, informativa breve vicino a ogni modulo. Se stai impostando le email, ti è utile anche la guida su [come creare una newsletter di successo](https://salvatorepitone.it/come-creare-una-newsletter-di-successo-guida-completa/). ### 5. Dati dei clienti e account **Norma:** artt. 5 e 15-22 GDPR (minimizzazione e diritti degli interessati). **Sviluppatore:** campi del checkout e dei moduli ridotti al necessario, nessun dato sensibile in note o metafield senza motivo. **Titolare:** rispondere alle richieste di accesso e cancellazione; Shopify ha nell’admin le funzioni per esportare o cancellare i dati di un cliente, ma la decisione e i tempi restano tuoi. ### 6. App e fornitori (responsabili del trattamento) **Norma:** art. 28 GDPR. Ogni app che legge i dati dei clienti (recensioni, email marketing, spedizioni, chat) è un fornitore che tratta dati per tuo conto. **Sviluppatore:** elenco delle app installate, cosa caricano nel negozio, quali dati leggono; disinstallo quelle inutili. **Titolare e consulente:** verificare i contratti (DPA) e indicarli nell’informativa. Un problema che trovo spesso: app disinstallate da mesi che hanno lasciato codice nel tema, snippet o script che continuano a caricarsi da server esterni. Disinstallare un’app non sempre pulisce il tema. Quando controllo un negozio cerco anche questi residui, perché inviano dati a fornitori che non compaiono più da nessuna parte. ### 7. Trasferimenti di dati fuori dall’UE **Norma:** artt. 44-49 GDPR. Molti strumenti hanno server fuori dall’Unione. Shopify, nel suo accordo, indica le garanzie che usa per i trasferimenti (decisione di adeguatezza per il Canada, norme vincolanti d’impresa, clausole contrattuali tipo). **Titolare e consulente:** fare lo stesso controllo per ogni app e servizio e scriverlo nell’informativa. ### 8. Pagine legali e dati del venditore **Norma:** art. 7 del D.Lgs. 70/2003 (dati del prestatore: ragione sociale, sede, email, REA, partita IVA) e art. 49 del Codice del consumo (informazioni prima dell’acquisto). **Sviluppatore:** dati nel footer, pagine collegate nel footer e nel checkout, policy configurate nelle impostazioni di Shopify. **Titolare:** [testi di condizioni di vendita, spedizioni e resi](https://salvatorepitone.it/pagine-legali-ecommerce-shopify/). ### 9. Pulsante di recesso **Norma:** art. 54-bis del Codice del consumo, per i contratti conclusi dal 19 giugno 2026. **Sviluppatore:** funzione “Recedere dal contratto qui” visibile, modulo breve, pulsante “Conferma recesso”, ricevuta automatica con data e ora. Ho spiegato tutto nella guida sul [pulsante di recesso su Shopify](https://salvatorepitone.it/pulsante-di-recesso-shopify/). ### 10. Accessibilità **Norma:** D.Lgs. 82/2022, che recepisce l’[European Accessibility Act](https://salvatorepitone.it/accessibilita-ecommerce-shopify/), in vigore dal 28 giugno 2025 per i servizi di commercio elettronico, con esenzione per le microimprese. **Sviluppatore:** contrasto, navigazione da tastiera, testi alternativi, etichette dei moduli, carrello usabile. **Titolare:** capire se l’obbligo ti riguarda e pubblicare le informazioni sull’accessibilità del servizio. ## Come verifico un negozio in pratica Un controllo serio non si fa guardando la home page. Questo è il mio metodo, in ordine: 1. **Accessi**: chiedo un accesso collaboratore, mai la password del titolare. 2. **Rete del browser**: apro il negozio in finestra anonima e registro ogni richiesta verso terzi prima della scelta, dopo Rifiuta e dopo Accetta. 3. **Tema**: cerco script incollati in `layout/theme.liquid`, nelle sezioni e negli snippet. 4. **App e pixel**: elenco app installate, pixel dei canali e pixel personalizzati negli eventi dei clienti, con i permessi di consenso di ognuno. 5. **Checkout e moduli**: caselle di consenso, campi richiesti, informative collegate. 6. **Pagine**: policy, footer, dati del venditore, funzione di recesso, email di conferma d’ordine. 7. **Accessibilità**: prova da tastiera di menu, varianti e carrello, controllo del contrasto e dei testi alternativi. Alla fine consegno un elenco di correzioni diviso in due: quello che sistemo io nel negozio e quello da portare al consulente. Non scrivo mai “conforme al 100%”: nessuno può garantirlo, perché una parte delle scelte è legale e dipende da te. Lo stesso elenco serve anche ai clienti, non solo alle autorità: un negozio con pagine chiare e un banner corretto è uno dei segnali che guardo quando spiego [come capire se un sito e-commerce è affidabile](https://salvatorepitone.it/come-sapere-se-un-sito-e-commerce-e-affidabile/). ## Cosa rischi se non sei a norma I rischi sono di tre tipi. Il primo è il **Garante privacy**: può ordinare correzioni e applicare le sanzioni dell’art. 83 del GDPR, che per le violazioni più gravi arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo. Sono i massimi della norma: la sanzione reale dipende dal caso. Il secondo è l’**Autorità garante della concorrenza e del mercato**, che vigila sul Codice del consumo: informazioni precontrattuali, recesso, pratiche commerciali. Il terzo è il più concreto per un piccolo negozio: reclami dei clienti, contestazioni sui resi, account pubblicitari limitati perché il consenso non arriva a Google. Ricorda anche che ogni cliente può presentare un reclamo al Garante (art. 77 del GDPR) se pensa che i suoi dati siano trattati male. Spesso un controllo nasce proprio così: da una richiesta di cancellazione rimasta senza risposta o da una newsletter arrivata senza iscrizione. Rispondere bene e in tempo vale più di qualsiasi documento. Ho spiegato il discorso generale, valido anche per i siti vetrina, in [perché devi adeguare il sito alla GDPR](https://salvatorepitone.it/perche-devo-adeguare-il-sito-alla-gdpr/). > **Il mio consiglio:** non partire dalla paura delle sanzioni. Parti dai punti 1, 8 e 9 della checklist: sono quelli che un cliente o un concorrente nota per primi, e sono anche i più veloci da sistemare. ## Domande frequenti ### Shopify è conforme al GDPR? Shopify offre una piattaforma con strumenti per il GDPR: accordo sul trattamento dei dati, banner dei cookie, Customer Privacy API, funzioni per esportare e cancellare i dati dei clienti. Ma la conformità del negozio dipende da come lo configuri: app, script, testi e scelte sui dati sono tuoi. Una piattaforma conforme non rende conforme il negozio in automatico. ### Basta installare un’app per i cookie? No. Un’app per i cookie mostra il banner e, se è integrata con la Customer Privacy API, blocca i pixel che rispettano la scelta. Non sistema gli script incollati nel tema, non scrive l’informativa e non controlla le altre app. Va configurata e verificata con il browser, prima e dopo la scelta del cliente. ### Serve il registro dei trattamenti per un piccolo negozio? L’art. 30 del GDPR esenta le imprese con meno di 250 dipendenti, ma solo se il trattamento è occasionale, non presenta rischi e non riguarda dati particolari. Un negozio online tratta dati dei clienti in modo continuo, quindi nella pratica il registro serve quasi sempre. Decidilo con il tuo consulente: è un documento utile anche a te. ### Chi è il titolare del trattamento in un negozio Shopify? Sei tu, il venditore: decidi quali dati raccogliere, per cosa e per quanto tempo. Shopify è in genere responsabile del trattamento per tuo conto, secondo il suo accordo sui dati, e lo stesso vale per molte app. Lo sviluppatore che lavora sul negozio non è titolare: configura gli strumenti secondo le tue scelte. ### Ogni quanto va rifatto il controllo? Io consiglio un controllo completo una volta l’anno e un controllo veloce ogni volta che installi un’app, cambi tema, aggiungi un pixel o lanci una campagna su un nuovo canale. Anche le norme cambiano: nel 2026 sono arrivati il pulsante di recesso e nuovi obblighi di informazione per i consumatori. ## Conclusione Un negozio Shopify a norma non è un traguardo da raggiungere una volta: è una checklist da tenere viva. La parte tecnica si può verificare in modo oggettivo, con il browser e con l’admin; la parte legale va scritta con chi la conosce. Vuoi sapere a che punto è il tuo negozio? Faccio io il controllo tecnico e ti do l’elenco delle correzioni: trovi come funziona nel servizio di [adeguamento GDPR per siti ed e-commerce](https://salvatorepitone.it/servizi-siti-web/adeguamento-gdpr/). Se il negozio è ancora da costruire, possiamo farlo nascere già a norma con la [realizzazione o migrazione su Shopify](https://salvatorepitone.it/realizzazione-e-migrazione-shopify/). Scrivimi dalla [**pagina contatti**](https://salvatorepitone.it/contatti/) con il link del negozio: ti rispondo io.