Conformità GDPR e cookie su Joomla per i siti europei

Il Regolamento generale sulla protezione dei dati non è facoltativo per nessun sito che si rivolge a visitatori europei. Eppure la maggior parte dei siti Joomla è ben lontana da una conformità reale: si affida a un banner cookie di base e ignora la registrazione del consenso, la classificazione dei cookie, i diritti degli interessati e le misure tecniche che il regolamento richiede davvero.

Installare un plugin cookie gratuito non significa essere conformi al GDPR. È l'inizio del percorso di conformità, e spesso un inizio inadeguato. La vera conformità richiede un blocco effettivo dei cookie prima del consenso, categorie di consenso granulari, un registro dei consensi, l'integrazione con Google Consent Mode v2, un'informativa sulla privacy completa, la gestione delle richieste di accesso degli interessati e un monitoraggio continuo man mano che il sito e il quadro normativo evolvono.

Implementiamo e monitoriamo la conformità GDPR specificamente per i siti Joomla, garantendo che il tuo sito rispetti gli obblighi di legge in tutti gli Stati membri dell'UE.

Richiedi un controllo gratuito di conformità GDPR →

GDPR ed ePrivacy: due norme, un solo sito

Chi gestisce un sito parla spesso di "cookie GDPR", ma in realtà il consenso ai cookie si colloca all'incrocio tra due distinte normative europee. Capire la differenza conta, perché ciascuna impone obblighi diversi al tuo sito Joomla.

La Direttiva ePrivacy (recepita nelle leggi nazionali di ogni Stato membro) disciplina l'atto di memorizzare o leggere informazioni sul dispositivo di un visitatore. È la norma che impone di acquisire il consenso prima di rilasciare cookie non essenziali, a prescindere dal fatto che tali cookie contengano dati personali. Si applica indistintamente a cookie, localStorage, tecniche di fingerprinting e pixel di tracciamento.

Il GDPR disciplina invece ciò che accade ai dati personali una volta raccolti: la base giuridica del trattamento, per quanto tempo li conservi, con chi li condividi, come li proteggi e i diritti delle persone a cui appartengono. Nel momento in cui un cookie, un modulo o uno script di analisi tratta un dato che può identificare una persona (compreso un indirizzo IP o un identificativo univoco), il GDPR si aggiunge alle regole ePrivacy.

Un sito Joomla conforme deve quindi gestire entrambi i livelli: il consenso prima della memorizzazione (ePrivacy) e un trattamento lecito, trasparente e documentato a valle (GDPR). Un semplice banner cookie copre, nella migliore delle ipotesi, metà del primo livello.

Cosa richiede davvero la conformità GDPR

Un consenso ai cookie che funziona sul serio

Secondo il GDPR e la Direttiva ePrivacy, il tuo sito deve bloccare i cookie non essenziali — compresi quelli di analisi, marketing e di terze parti — finché il visitatore non presta un consenso esplicito. Molti banner cookie installati sui siti Joomla falliscono questo test di base: mostrano un avviso ma non impediscono effettivamente il rilascio dei cookie. Questo non è consenso, è informazione, e non soddisfa il requisito di legge.

Implementiamo soluzioni di consenso ai cookie che bloccano realmente cookie e script di tracciamento prima che il consenso venga prestato, classificano i cookie in categorie ben definite (necessari, funzionali, statistici, marketing), permettono ai visitatori di accettare o rifiutare le singole categorie con pari facilità e sbloccano le risorse senza richiedere il ricaricamento dell'intera pagina al momento del consenso.

Altrettanto importante: rifiutare deve essere facile quanto accettare. Le autorità di controllo di tutta l'UE hanno chiarito che i banner con un pulsante "Accetta tutto" in evidenza e un'opzione "Rifiuta" nascosta dietro un link alle impostazioni non producono un consenso valido. Un consenso ottenuto con artifici di design non è alcun consenso.

Google Consent Mode v2

Google richiede ai siti che utilizzano Google Ads o Google Analytics di implementare Consent Mode v2. Questo framework comunica ai servizi Google lo stato del consenso dei tuoi visitatori, adeguando di conseguenza la raccolta dei dati. Senza una corretta implementazione di Consent Mode v2, la misurazione delle conversioni di Google Ads e i dati di Analytics possono risultare gravemente compromessi, e le funzionalità relative al pubblico per il traffico dello SEE smettono del tutto di funzionare.

Configuriamo Consent Mode v2 come parte di ogni implementazione GDPR, garantendo che i servizi Google operino correttamente all'interno del framework di consenso: i segnali di consenso vengono inviati prima del caricamento dei tag Google, lo stato predefinito è "negato" per i visitatori dello SEE e gli aggiornamenti si propagano correttamente quando un visitatore modifica le proprie preferenze.

Una base giuridica per ogni trattamento

Ogni dato personale trattato dal tuo sito necessita di una base giuridica documentata ai sensi dell'articolo 6: consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico o legittimo interesse. In pratica, per la maggior parte dei siti aziendali Joomla questo significa: consenso per i cookie di analisi e marketing, contratto o legittimo interesse per l'invio dei moduli di contatto e la registrazione degli account, obbligo legale per i dati di fatturazione.

"Non ci avevamo mai pensato" è la base giuridica più diffusa che incontriamo durante gli audit, e non rientra tra le sei previste. Parte della nostra implementazione è un semplice inventario dei trattamenti: quali dati raccoglie il sito, dove, perché, su quale base e per quanto tempo. Per la maggior parte delle piccole e medie imprese questo costituisce anche il nucleo del registro dei trattamenti previsto dall'articolo 30.

Registro dei consensi

Il GDPR richiede di essere in grado di dimostrare che il consenso è stato prestato. Ciò significa mantenere un registro di quando ciascun visitatore ha prestato il consenso, a cosa ha acconsentito e quale versione del testo di consenso e dell'informativa sulla privacy era in vigore in quel momento. Se un'autorità di controllo richiede una prova del consenso, devi essere in grado di fornirla. Un banner privo di un registro dei consensi ti lascia nell'impossibilità di provare l'unica cosa che il regolamento ti chiede di provare.

Informativa sulla privacy

La tua informativa sulla privacy deve descrivere con precisione ogni tipo di dato personale raccolto dal sito, la base giuridica del trattamento, per quanto tempo i dati vengono conservati, con chi vengono condivisi (compresi i responsabili del trattamento come il provider di hosting, il servizio email e il fornitore di analisi), se i dati lasciano l'UE e come gli interessati possono esercitare i propri diritti. Un modello generico non basta: l'informativa deve riflettere le tue specifiche attività di trattamento e deve essere aggiornata quando queste cambiano.

Richieste di accesso degli interessati

Ai sensi del GDPR, le persone hanno il diritto di richiedere l'accesso ai propri dati personali, di chiederne la cancellazione (il "diritto all'oblio") e di chiederne la rettifica o la portabilità. In genere hai un mese di tempo per rispondere. Il tuo sito Joomla ha bisogno di meccanismi per gestire queste richieste: Joomla 5 e 6 includono strumenti nativi per la privacy che lo consentono, ma vanno configurati correttamente e possono richiedere estensioni per la tua configurazione specifica, in particolare quando componenti di terze parti archiviano i dati degli utenti nelle proprie tabelle.

Pronti per la notifica di violazione

Se i dati personali presenti sul tuo sito subiscono una violazione — tramite un attacco, un database trafugato o un modulo configurato male — l'articolo 33 ti concede 72 ore per notificarlo alla tua autorità di controllo dal momento in cui ne vieni a conoscenza, a meno che sia improbabile che la violazione comporti un rischio per le persone interessate. Settantadue ore sono pochissime se non hai un piano, non hai log e non hai idea di quali dati il sito conservasse. La conformità comprende l'essere pronti per la giornata storta: sapere cosa si conserva, mantenere log che permettano di ricostruire l'accaduto e disporre di un canale di contatto con chi può aiutarti davvero. (Se stai leggendo questo articolo perché la giornata storta è già arrivata, il nostro servizio di emergenza per il ripristino dei siti compromessi include la valutazione della violazione e il supporto alla documentazione.)

Dove i siti Joomla raccolgono davvero dati personali

Durante gli audit, chi gestisce il sito resta puntualmente sorpreso da quanti punti del suo "semplice sito vetrina" trattino dati personali. I soliti sospetti su un sito Joomla:

Moduli di contatto e di richiesta preventivo — nomi, email, numeri di telefono, spesso campi a testo libero in cui i visitatori rivelano molto di più. Dove finiscono gli invii, chi li riceve e per quanto tempo restano nel database e nelle caselle di posta?
Registrazione e login degli utenti — account, profili e dati delle password, oltre a tutto ciò che le estensioni di community o membership di terze parti aggiungono.
Iscrizioni alla newsletter — di norma sincronizzate con una piattaforma email esterna, il che rende quella piattaforma un responsabile del trattamento che deve comparire nell'informativa privacy e in un accordo sul trattamento dei dati.
Strumenti di analisi e tag manager — Google Analytics, Matomo, strumenti di heatmap, pixel di conversione. Indirizzi IP e identificativi online sono dati personali.
Contenuti incorporati di terze parti — video di YouTube, Google Maps, widget social e font ospitati esternamente possono trasmettere l'indirizzo IP del visitatore a terze parti nel momento stesso in cui la pagina si carica, prima di qualsiasi consenso. Ogni elemento incorporato richiede un blocco condizionato al consenso oppure un'alternativa rispettosa della privacy (font locali, anteprime video con caricamento al clic).
Log del server ed estensioni di sicurezza — log di accesso, registri dei tentativi di login falliti e log del firewall contengono tutti indirizzi IP. È legittimo conservarli, ma serve un periodo di conservazione e una menzione nell'informativa.
E-commerce e pagamenti — dati degli ordini, indirizzi e integrazioni con i gateway di pagamento comportano ulteriori obblighi e contratti.

Joomla stesso offre componenti di base utili — il componente privacy (com_privacy) per gestire le richieste di accesso e cancellazione, il registro delle azioni utente e i campi di consenso in fase di registrazione. Questi strumenti nativi sono un reale vantaggio rispetto a molte altre piattaforme, ma coprono il core di Joomla, non le estensioni di terze parti dove avviene gran parte del trattamento dei dati reale. La nostra implementazione mappa ogni estensione del tuo sito che tratta dati personali e fa in modo che ciascuna sia coperta, subordinata al consenso o rimossa.

Perché i plugin gratuiti non bastano

I plugin gratuiti per il consenso ai cookie su Joomla coprono il livello visibile — il banner che i visitatori vedono. In genere non offrono una classificazione e un blocco adeguati dei cookie, la registrazione del consenso a fini probatori, l'integrazione con Consent Mode v2, regole di consenso basate sulla geolocalizzazione (requisiti diversi si applicano in Paesi UE diversi), il monitoraggio continuo man mano che il sito cambia, né gli aggiornamenti quando la normativa evolve.

La conformità non è un'installazione una tantum. È un processo continuo. Il tuo sito cambia: si aggiungono nuove estensioni, si incorporano script di terze parti, si creano nuovi moduli. Ogni modifica può introdurre nuovi trattamenti che devono riflettersi nel meccanismo di consenso e nell'informativa privacy. Un banner configurato una volta nel 2023 e mai più rivisto è quasi certamente disallineato rispetto a ciò che il sito fa oggi.

Hosting, trasferimenti di dati e perché la posizione del server conta

Il GDPR limita i trasferimenti di dati personali al di fuori dello Spazio economico europeo. Da quando la sentenza Schrems II ha invalidato il vecchio Privacy Shield, i trasferimenti verso fornitori statunitensi hanno richiesto garanzie aggiuntive, e il terreno giuridico ha continuato a muoversi a ogni nuovo accordo successore e relativo ricorso. Per un sito aziendale, il modo più semplice per togliere del tutto il problema dal tavolo è tenere i dati in Europa fin dall'inizio.

È uno dei motivi per cui il nostro hosting Joomla gestito gira esclusivamente su server europei, sotto giurisdizione UE e con backup ospitati nell'UE. I dati dei tuoi visitatori, gli invii dei moduli e i registri dei consensi restano all'interno dello SEE. Quando il tuo stack include comunque responsabili extra-UE — una piattaforma email statunitense, per esempio — ci assicuriamo che il meccanismo di trasferimento e la relativa informativa siano in regola.

I nostri servizi GDPR

Implementazione iniziale

Analizziamo i trattamenti di dati attualmente presenti sul tuo sito Joomla, implementiamo una vera piattaforma di gestione del consenso, configuriamo la classificazione e il blocco dei cookie, impostiamo Google Consent Mode v2, creiamo o revisioniamo l'informativa privacy e la cookie policy, configuriamo la gestione delle richieste degli interessati tramite gli strumenti privacy di Joomla, costruiamo il tuo inventario dei trattamenti e testiamo l'intera implementazione su browser e dispositivi diversi — verificando anche che nulla venga eseguito prima del consenso.

Monitoraggio continuo

Monitoriamo il sito per individuare nuovi cookie o script di tracciamento introdotti da aggiornamenti delle estensioni o modifiche ai contenuti, verifichiamo che i meccanismi di consenso continuino a funzionare correttamente, aggiorniamo le configurazioni di consenso quando vengono installate nuove estensioni, revisioniamo e aggiorniamo il testo dell'informativa privacy quando i trattamenti cambiano, forniamo indicazioni quando i requisiti normativi evolvono e teniamo aggiornato il registro dei consensi.

Il monitoraggio continuo è disponibile come servizio autonomo o come parte dei nostri piani di manutenzione Professional ed Enterprise.

Cosa ricevi

Ogni implementazione si conclude con una documentazione che puoi davvero consegnare a un'autorità, a un cliente o al tuo legale: l'inventario dei trattamenti, la configurazione del consenso e le relative motivazioni, la tabella di classificazione dei cookie e i documenti di policy. Una conformità che non puoi dimostrare è una conformità che non hai.

Requisiti specifici per Paese

Sebbene il GDPR fornisca il quadro comune a livello UE, i singoli Stati membri e le rispettive autorità di controllo hanno sviluppato requisiti aggiuntivi e priorità di applicazione che incidono sul modo in cui il consenso deve essere acquisito e dimostrato. Per esempio:

Germania: il TTDSG (oggi TDDDG) recepisce le regole ePrivacy nella legge nazionale, e la giurisprudenza tedesca — compresa la sentenza Planet49 del Bundesgerichtshof — richiede un consenso esplicito tramite opt-in, senza caselle pre-selezionate. L'interpretazione tedesca del consenso ai cookie è tra le più severe dell'UE, e concorrenti e associazioni dei consumatori tedeschi possono emettere diffide formali (Abmahnungen) contro i siti non conformi.
Francia: la CNIL ha linee guida dettagliate sui banner di consenso ai cookie, compreso il requisito che rifiutare i cookie sia facile quanto accettarli — e lo ha confermato con alcune delle sanzioni più ingenti in materia di cookie emesse in Europa.
Italia: il Garante per la protezione dei dati personali richiede formati specifici per l'informativa sui cookie e ha emanato proprie linee guida sugli strumenti di analisi e sul consenso.
Spagna: l'AEPD è una delle autorità di controllo più prolifiche dell'UE per numero di provvedimenti, con linee guida sui cookie aggiornate con regolarità.
Paesi Bassi: l'Autoriteit Persoonsgegevens si concentra attivamente sulla conformità del consenso ai cookie e ha annunciato pubblicamente verifiche a tappeto sui banner cookie.
Irlanda: il DPC è l'autorità capofila per molte piattaforme tecnologiche globali, e le sue decisioni orientano l'interpretazione delle regole sul consenso e sulla trasparenza per tutti gli altri.

Configuriamo implementazioni del consenso che soddisfano i requisiti degli specifici Paesi UE a cui il tuo sito si rivolge. La nostra Guida alla conformità UE approfondisce i requisiti specifici per Paese.

Quanto costa sbagliare

Il GDPR prevede due fasce di sanzioni amministrative: fino a 10 milioni di euro o il 2% del fatturato annuo globale per violazioni come registri o misure di sicurezza inadeguate, e fino a 20 milioni di euro o il 4% del fatturato per le violazioni dei principi fondamentali del trattamento, delle regole sul consenso e dei diritti degli interessati — applicando di volta in volta l'importo più elevato.

Le sanzioni più clamorose hanno raggiunto centinaia di milioni di euro contro le grandi piattaforme, e il consenso ai cookie in particolare ha prodotto multe a otto e nove cifre da parte della CNIL francese contro le maggiori aziende tecnologiche. Le piccole e medie imprese non vengono sanzionate a quelle cifre — ma ogni mese in tutta l'UE vengono sanzionate, diffidate e obbligate a cambiare prassi dalle autorità, e in diversi Stati membri un banner cookie non conforme basta a innescare una segnalazione di un concorrente o, in Germania, una diffida formale con le relative spese legali.

I costi commerciali arrivano prima di quelli normativi: i clienti aziendali verificano sempre più spesso i siti dei fornitori prima di firmare, le gare del settore pubblico richiedono una conformità dimostrabile e i visitatori attenti alla privacy semplicemente se ne vanno. Un'esperienza di consenso palesemente difettosa trasmette trascuratezza proprio ai clienti che meno vorresti perdere.

Una roadmap pratica per la conformità

Se vuoi capire come si presenta concretamente il lavoro, questa è la sequenza che seguiamo in ogni progetto GDPR su Joomla:

Inventario — scansione e audit del sito: ogni cookie, script, modulo, estensione e connessione di terze parti che tocca dati personali.
Decisione — per ogni trattamento: mantenerlo (e su quale base giuridica), subordinarlo al consenso, sostituirlo con un'alternativa rispettosa della privacy o rimuoverlo.
Implementazione del consenso — installazione della piattaforma di consenso, classificazione dei cookie, blocco di tutto ciò che non è essenziale prima del consenso, integrazione di Consent Mode v2 e collegamento del registro dei consensi.
Documentazione — informativa privacy, cookie policy, registro dei trattamenti e accordi con i responsabili allineati alla realtà.
Gestione dei diritti — configurazione del flusso di richieste privacy di Joomla affinché le richieste di accesso e cancellazione possano essere evase entro i termini.
Test — verifica con profili browser puliti che nulla venga eseguito prima del consenso, che il rifiuto rifiuti davvero e che le preferenze vengano mantenute correttamente.
Monitoraggio — nuova scansione periodica e dopo ogni modifica di estensioni o contenuti che potrebbe introdurre nuovi trattamenti.

I passaggi da uno a sei costituiscono il progetto di implementazione. Il passaggio sette è il motivo per cui la conformità va inserita in un rapporto di manutenzione anziché in una fattura una tantum.

I falsi miti più diffusi che sentiamo durante gli audit

"Abbiamo un banner cookie, quindi siamo conformi." Il banner è il 10% visibile. Se gli script vengano davvero bloccati prima del consenso, se il consenso venga registrato, se l'informativa rispecchi la realtà e se le richieste sui diritti possano essere evase — questo è l'altro 90%, ed è qui che gli audit bocciano.

"Siamo troppo piccoli perché qualcuno ci dia importanza." L'applicazione delle norme nei confronti delle piccole imprese è reale e di solito parte da una segnalazione — di un visitatore, di un ex dipendente o di un concorrente. In Germania, in particolare, i concorrenti usano attivamente i siti non conformi come motivo per diffide formali. Le piccole imprese sono anche le meno attrezzate per assorbire le spese legali quando ciò accade.

"Se ne è occupata la nostra web agency quando ha costruito il sito." Forse — per il sito così com'era il giorno del lancio. Ogni estensione installata, ogni script incorporato e ogni modulo aggiunto da allora hanno modificato il quadro dei trattamenti. La conformità si deteriora; è per questo che esiste il monitoraggio.

"Il GDPR è un problema del browser del visitatore — basta che blocchi i cookie." L'obbligo di legge ricade sul gestore del sito, punto. Ciò che i visitatori potrebbero teoricamente fare per proteggersi non ha alcuna rilevanza su ciò che tu sei tenuto a fare.

"Ci rivolgiamo solo a clienti del nostro Paese, quindi le regole degli altri Paesi non ci riguardano." Il GDPR si applica in modo uniforme in tutto lo SEE, e la tua implementazione del consenso deve soddisfare l'autorità di controllo del luogo in cui sei stabilito — oltre, in pratica, alle aspettative di ogni Stato membro a cui ti rivolgi in modo evidente. Un sito disponibile in tre lingue dichiara a chi si rivolge.

Domande frequenti

Devo essere conforme al GDPR se la mia azienda ha sede fuori dall'UE?

Se il tuo sito è accessibile ai residenti dell'UE e offri loro beni o servizi, oppure ne monitori il comportamento (tramite strumenti di analisi, per esempio), il GDPR si applica a te indipendentemente da dove ha sede la tua azienda.

Quali sono le sanzioni in caso di mancata conformità?

Il GDPR prevede sanzioni fino a 20 milioni di euro o il 4% del fatturato annuo globale, applicando l'importo più elevato, per le violazioni più gravi, con una fascia inferiore di 10 milioni di euro o il 2% per le altre. In pratica, le sanzioni per violazioni sul consenso ai cookie sono andate da migliaia a centinaia di milioni di euro, a seconda delle dimensioni dell'organizzazione, della gravità e dell'approccio sanzionatorio dello Stato membro.

Quanto tempo richiede l'implementazione del GDPR?

L'implementazione iniziale per un sito Joomla standard richiede in genere una o due settimane, compresi audit, configurazione, redazione delle policy e test. Siti complessi con più moduli, integrazioni di terze parti e registrazione utenti possono richiedere tempi aggiuntivi.

Posso usare gli strumenti di analisi senza un banner cookie?

A volte. Strumenti di analisi rispettosi della privacy, configurati per funzionare senza cookie e senza trattare dati identificabili, possono, in diversi Stati membri, operare senza banner di consenso — anche se le indicazioni nazionali variano. Per molti siti di piccole imprese, passare a un'analisi senza cookie è la via più semplice verso un sito onesto e con banner ridotti al minimo. Ti consigliamo se questa strada è adatta al mix di Paesi e alle tue esigenze di reportistica.

Un piccolo sito ha davvero bisogno di tutto questo?

Gli obblighi crescono con i tuoi trattamenti, non con il tuo fatturato. Un sito di cinque pagine con un solo modulo di contatto e senza analisi ha bisogno di pochissimo: un'informativa accurata, un modulo sicuro e nessuno script di terze parti caricato prima del consenso. L'audit ti dice in quale fascia ti trovi — molti siti piccoli scoprono di aver bisogno di meno di quanto temessero, ma in punti diversi da quelli che immaginavano.

Potete rendere conforme al GDPR il mio sito Joomla 3?

Possiamo migliorare la conformità GDPR su Joomla 3, ma una conformità reale su una piattaforma non più supportata e priva di patch è compromessa alla radice. Far girare un software senza aggiornamenti di sicurezza è difficile da difendere come "misura tecnica adeguata" ai sensi dell'articolo 32. Consigliamo di passare prima a Joomla 5 o Joomla 6 e poi di implementare la conformità GDPR sulla piattaforma sicura e supportata.

Ogni quanto va rivista la conformità?

Ogni volta che il sito cambia in un modo che incide sui trattamenti — un nuovo modulo, una nuova estensione o un servizio incorporato — e comunque almeno una volta all'anno, perché le indicazioni delle autorità di controllo e i requisiti di piattaforme come Google evolvono di continuo. È esattamente ciò di cui si occupa il nostro monitoraggio continuo.

Inizia con un controllo di conformità GDPR

Il nostro audit gratuito del sito include una valutazione della conformità GDPR: verifichiamo la gestione attuale dei cookie, il meccanismo di consenso, l'informativa privacy e gli indicatori dei trattamenti. Ricevi un report chiaro che mostra a che punto è il tuo sito Joomla e cosa va modificato.

Richiedi il tuo controllo gratuito di conformità GDPR →