“Il mio negozio è a norma?” È la domanda che mi fanno più spesso, di solito dopo una segnalazione di un cliente o un avviso arrivato da Google. Con Shopify GDPR e privacy non si risolvono con un’app sola: servono dieci controlli, alcuni tecnici e alcuni legali.
In breve: Shopify ti dà una piattaforma sicura e strumenti per il consenso, ma il titolare del trattamento sei tu. Per avere un negozio a norma devi controllare banner e script, consenso a Google, informative, moduli e newsletter, dati dei clienti, app e fornitori, trasferimenti extra UE, pagine legali, recesso e accessibilità.
Qui trovi la checklist che uso quando controllo un negozio, con la norma di riferimento per ogni punto e la divisione chiara tra cosa configuro io e cosa decidi tu con il tuo consulente. Ti spiego la parte tecnica: per i testi legali e le scelte sui dati confrontati con il tuo consulente privacy o avvocato.
Chi fa cosa: titolare, Shopify, sviluppatore, consulente
Il Regolamento (UE) 2016/679, il GDPR, distingue tra chi decide perché e come si trattano i dati (il titolare) e chi li tratta per suo conto (il responsabile, art. 28). Per un negozio Shopify la divisione è questa:
- Tu, il venditore, sei il titolare dei dati dei tuoi clienti: decidi finalità, basi giuridiche (art. 6), tempi di conservazione e testi.
- Shopify, per la maggior parte dei servizi, è responsabile del trattamento: lo scrive nel suo accordo sul trattamento dei dati. Per alcuni servizi aggiuntivi indicati in quell’accordo agisce invece come titolare autonomo.
- Lo sviluppatore configura il negozio perché faccia davvero quello che dicono i testi: banner, script, moduli, pagine.
- Il consulente privacy o l’avvocato scrive o rivede informative, condizioni di vendita e registro, e ti aiuta nelle scelte legali.
Quando le due parti non si parlano nascono i problemi più comuni: una cookie policy perfetta su un negozio che carica il pixel di Meta prima del consenso, o un banner impeccabile con un’informativa copiata da un altro sito.
La checklist in 10 punti
Per ogni punto trovi la norma di riferimento, cosa configura lo sviluppatore e cosa decide il titolare. Non serve sistemarli tutti in un giorno: segna quelli su cui non sei sicuro e parti da lì, possibilmente in quest’ordine.
1. Cookie banner che blocca davvero
Norma: art. 122 del Codice privacy e Linee guida cookie del Garante del 10 giugno 2021. Sviluppatore: banner con Accetta, Rifiuta e preferenze, X che vale come rifiuto, nessuno script di statistica o marketing prima della scelta. Titolare: quali strumenti usare e perché. Ho scritto una guida a parte su come configurare il cookie banner su Shopify a norma del Garante.
2. Consenso e Consent Mode
Norma: art. 7 GDPR (il consenso va dimostrato e si revoca con la stessa facilità con cui si dà). Sviluppatore: la scelta del banner arriva a tutti gli strumenti, compresi Google Analytics e Google Ads con la Consent Mode v2, e ai pixel tramite la Customer Privacy API di Shopify. Titolare: scegliere tra modalità base e avanzata di Google insieme al consulente.
Se usi un’app per il banner, verifica anche che conservi una prova dei consensi (data, scelta, versione del banner): l’art. 7 chiede al titolare di poter dimostrare il consenso, e in caso di contestazione è l’unico documento che hai.
3. Informativa privacy e cookie policy
Norma: art. 13 GDPR. L’informativa dice chi è il titolare, quali dati raccoglie, per quali finalità e su quale base, a chi li comunica, per quanto li conserva e quali diritti ha il cliente. Sviluppatore: pagine raggiungibili dal footer e dal checkout. Titolare e consulente: il testo. Il modello generato da Shopify è un punto di partenza, non l’informativa del tuo negozio.
4. Moduli e newsletter
Norma: artt. 6, 7 e 13 GDPR. Il consenso alla newsletter deve essere separato dall’acquisto e non preselezionato. Sviluppatore: casella marketing al checkout non spuntata in partenza, conferma dell’iscrizione via email (doppio opt-in) se la usi, informativa breve vicino a ogni modulo. Se stai impostando le email, ti è utile anche la guida su come creare una newsletter di successo.
5. Dati dei clienti e account
Norma: artt. 5 e 15-22 GDPR (minimizzazione e diritti degli interessati). Sviluppatore: campi del checkout e dei moduli ridotti al necessario, nessun dato sensibile in note o metafield senza motivo. Titolare: rispondere alle richieste di accesso e cancellazione; Shopify ha nell’admin le funzioni per esportare o cancellare i dati di un cliente, ma la decisione e i tempi restano tuoi.
6. App e fornitori (responsabili del trattamento)
Norma: art. 28 GDPR. Ogni app che legge i dati dei clienti (recensioni, email marketing, spedizioni, chat) è un fornitore che tratta dati per tuo conto. Sviluppatore: elenco delle app installate, cosa caricano nel negozio, quali dati leggono; disinstallo quelle inutili. Titolare e consulente: verificare i contratti (DPA) e indicarli nell’informativa.
Un problema che trovo spesso: app disinstallate da mesi che hanno lasciato codice nel tema, snippet o script che continuano a caricarsi da server esterni. Disinstallare un’app non sempre pulisce il tema. Quando controllo un negozio cerco anche questi residui, perché inviano dati a fornitori che non compaiono più da nessuna parte.
7. Trasferimenti di dati fuori dall’UE
Norma: artt. 44-49 GDPR. Molti strumenti hanno server fuori dall’Unione. Shopify, nel suo accordo, indica le garanzie che usa per i trasferimenti (decisione di adeguatezza per il Canada, norme vincolanti d’impresa, clausole contrattuali tipo). Titolare e consulente: fare lo stesso controllo per ogni app e servizio e scriverlo nell’informativa.
8. Pagine legali e dati del venditore
Norma: art. 7 del D.Lgs. 70/2003 (dati del prestatore: ragione sociale, sede, email, REA, partita IVA) e art. 49 del Codice del consumo (informazioni prima dell’acquisto). Sviluppatore: dati nel footer, pagine collegate nel footer e nel checkout, policy configurate nelle impostazioni di Shopify. Titolare: testi di condizioni di vendita, spedizioni e resi.
9. Pulsante di recesso
Norma: art. 54-bis del Codice del consumo, per i contratti conclusi dal 19 giugno 2026. Sviluppatore: funzione “Recedere dal contratto qui” visibile, modulo breve, pulsante “Conferma recesso”, ricevuta automatica con data e ora. Ho spiegato tutto nella guida sul pulsante di recesso su Shopify.
10. Accessibilità
Norma: D.Lgs. 82/2022, che recepisce l’European Accessibility Act, in vigore dal 28 giugno 2025 per i servizi di commercio elettronico, con esenzione per le microimprese. Sviluppatore: contrasto, navigazione da tastiera, testi alternativi, etichette dei moduli, carrello usabile. Titolare: capire se l’obbligo ti riguarda e pubblicare le informazioni sull’accessibilità del servizio.
Come verifico un negozio in pratica
Un controllo serio non si fa guardando la home page. Questo è il mio metodo, in ordine:
- Accessi: chiedo un accesso collaboratore, mai la password del titolare.
- Rete del browser: apro il negozio in finestra anonima e registro ogni richiesta verso terzi prima della scelta, dopo Rifiuta e dopo Accetta.
- Tema: cerco script incollati in
layout/theme.liquid, nelle sezioni e negli snippet. - App e pixel: elenco app installate, pixel dei canali e pixel personalizzati negli eventi dei clienti, con i permessi di consenso di ognuno.
- Checkout e moduli: caselle di consenso, campi richiesti, informative collegate.
- Pagine: policy, footer, dati del venditore, funzione di recesso, email di conferma d’ordine.
- Accessibilità: prova da tastiera di menu, varianti e carrello, controllo del contrasto e dei testi alternativi.
Alla fine consegno un elenco di correzioni diviso in due: quello che sistemo io nel negozio e quello da portare al consulente. Non scrivo mai “conforme al 100%”: nessuno può garantirlo, perché una parte delle scelte è legale e dipende da te.
Lo stesso elenco serve anche ai clienti, non solo alle autorità: un negozio con pagine chiare e un banner corretto è uno dei segnali che guardo quando spiego come capire se un sito e-commerce è affidabile.
Cosa rischi se non sei a norma
I rischi sono di tre tipi. Il primo è il Garante privacy: può ordinare correzioni e applicare le sanzioni dell’art. 83 del GDPR, che per le violazioni più gravi arrivano fino a 20 milioni di euro o al 4% del fatturato mondiale annuo. Sono i massimi della norma: la sanzione reale dipende dal caso.
Il secondo è l’Autorità garante della concorrenza e del mercato, che vigila sul Codice del consumo: informazioni precontrattuali, recesso, pratiche commerciali. Il terzo è il più concreto per un piccolo negozio: reclami dei clienti, contestazioni sui resi, account pubblicitari limitati perché il consenso non arriva a Google.
Ricorda anche che ogni cliente può presentare un reclamo al Garante (art. 77 del GDPR) se pensa che i suoi dati siano trattati male. Spesso un controllo nasce proprio così: da una richiesta di cancellazione rimasta senza risposta o da una newsletter arrivata senza iscrizione. Rispondere bene e in tempo vale più di qualsiasi documento.
Ho spiegato il discorso generale, valido anche per i siti vetrina, in perché devi adeguare il sito alla GDPR.
Il mio consiglio: non partire dalla paura delle sanzioni. Parti dai punti 1, 8 e 9 della checklist: sono quelli che un cliente o un concorrente nota per primi, e sono anche i più veloci da sistemare.
Domande frequenti
Conclusione
Un negozio Shopify a norma non è un traguardo da raggiungere una volta: è una checklist da tenere viva. La parte tecnica si può verificare in modo oggettivo, con il browser e con l’admin; la parte legale va scritta con chi la conosce.
Vuoi sapere a che punto è il tuo negozio? Faccio io il controllo tecnico e ti do l’elenco delle correzioni: trovi come funziona nel servizio di adeguamento GDPR per siti ed e-commerce. Se il negozio è ancora da costruire, possiamo farlo nascere già a norma con la realizzazione o migrazione su Shopify.
Scrivimi dalla pagina contatti con il link del negozio: ti rispondo io.
