Aspetti legali di un business online: privacy, cookie e termini

Hai lanciato il tuo business online, le prime vendite arrivano, il funnel gira. Poi un giorno apri la casella email e trovi una PEC: un utente ha segnalato il tuo sito al Garante Privacy perché manca l’informativa. Oppure un cliente contesta un acquisto e tu scopri che, senza termini e condizioni scritti, la ragione ce l’ha quasi sempre lui.

Scenario raro? Beh… Meno di quanto pensi. In Italia il Garante Privacy ha emesso sanzioni anche a microimprese e liberi professionisti, e le contestazioni dei consumatori su acquisti digitali sono in crescita costante. Il problema è che quasi nessuno, quando parte, mette gli aspetti legali in cima alla lista.

La buona notizia è che metterti in regola non è né complicato né costoso come sembra. Serve capire cosa è davvero obbligatorio, cosa è consigliato e cosa puoi rimandare. Ed è esattamente quello che vediamo in questa guida.

Parliamo di privacy policy, cookie banner, termini e condizioni, diritto di recesso e email marketing. Con cifre reali, esempi concreti e gli errori tipici che vedo fare più spesso. Andiamo a capire.

In sintesi

Ogni sito che raccoglie anche solo un’email deve avere una privacy policy conforme al GDPR: è l’obbligo numero uno, e le sanzioni partono da migliaia di euro.
Il cookie banner è obbligatorio se usi cookie di profilazione o statistici non anonimizzati: serve consenso preventivo, non basta il banner “decorativo”.
I termini e condizioni non sono obbligatori per legge in senso stretto, ma senza di essi ogni contestazione di un cliente diventa una battaglia persa in partenza.
Chi vende infoprodotti deve gestire il diritto di recesso di 14 giorni, con un’eccezione specifica per i contenuti digitali che devi conoscere.
Metterti in regola costa da 0-50 euro (fai da te con generatori) a 1500-3000 euro (avvocato specializzato): molto meno di una sanzione.

Perché gli aspetti legali di un business online non sono un optional?

Partiamo da una domanda scomoda: puoi essere sanzionato anche se il tuo business fattura poco?

La risposta è… Si! Il GDPR non guarda il fatturato per decidere se ti si applicano le regole: lo guarda solo per calcolare l’importo della sanzione. Un sito con 100 visitatori al giorno che raccoglie email senza informativa sta violando il regolamento esattamente come un e-commerce da milioni di euro.

C’è poi un secondo livello, meno visibile ma altrettanto concreto: la fiducia. Un sito senza privacy policy, senza termini di vendita e senza indicazioni chiare su chi c’è dietro comunica improvvisazione. E chi deve tirare fuori la carta di credito lo percepisce.

Infatti, i tre pilastri legali di un business online sono sempre gli stessi:

Privacy policy e cookie policy: come tratti i dati personali dei visitatori
Termini e condizioni: il contratto tra te e chi compra
Obblighi informativi: chi sei, partita IVA, contatti, diritto di recesso

Nota bene: qui parliamo di compliance del sito. Per la parte fiscale (partita IVA, regime forfettario, contributi) ho scritto una guida dedicata: fisco e burocrazia per il business online in Italia. Le due cose viaggiano insieme, ma sono binari diversi.

Privacy policy: cosa deve contenere davvero?

La privacy policy è il documento che spiega ai visitatori quali dati raccogli, perché, per quanto tempo e con chi li condividi. È obbligatoria per legge (articolo 13 del GDPR) dal momento in cui tratti anche un solo dato personale.

E attenzione: “trattare dati” non significa solo vendere. Se hai un form di contatto, un modulo newsletter, un pixel di Facebook o anche solo Google Analytics, stai già trattando dati personali. Cioè: praticamente ogni sito esistente.

Gli elementi obbligatori dell’informativa

Una privacy policy conforme deve indicare, come minimo:

Titolare del trattamento: il tuo nome o quello della tua azienda, con contatti reali. Non “il gestore del sito”, ma nome, cognome o ragione sociale e un’email funzionante.
Quali dati raccogli: email, nome, dati di navigazione, dati di pagamento. Ogni categoria va elencata.
Finalità e base giuridica: perché raccogli quel dato e su quale base legale (consenso, contratto, legittimo interesse). Questo è il punto dove i generatori automatici sbagliano più spesso.
Destinatari: chi altro vede quei dati. Il tuo provider email (Brevo, Mailchimp), il processore di pagamenti (Stripe, PayPal), il tool di analytics. Tutti.
Tempi di conservazione: quanto tieni i dati. “Per sempre” non è una risposta accettabile.
Diritti dell’interessato: accesso, rettifica, cancellazione, portabilità. E come esercitarli concretamente.

La trappola tipica? Copiare la privacy policy di un altro sito. Sembra una scorciatoia win-win, in realtà è un boomerang: quella policy descrive i trattamenti di un altro business, con altri tool e altre finalità. Se il Garante controlla, un’informativa che non corrisponde ai trattamenti reali è come non averla.

Generatore automatico o avvocato?

Per un business online in fase di partenza, un generatore come Iubenda o Cookiebot (per la parte cookie) è più che sufficiente: parli di 3-10 euro al mese e ottieni documenti aggiornati automaticamente quando cambia la normativa.

L’avvocato specializzato diventa sensato quando: gestisci dati sensibili (salute, dati finanziari), fai profilazione spinta, hai un’area membri con migliaia di utenti, o vendi B2B con contratti personalizzati. In quel caso parli di 500-1500 euro per un set completo di documenti su misura.

Il mio consiglio pratico: parti col generatore, ma compilalo con attenzione vera. Il generatore è buono quanto le informazioni che gli dai. Se dichiari solo “Google Analytics” ma usi anche il pixel Meta, Hotjar e un CRM, la tua policy è incompleta.

Cookie banner: come metterti in regola senza rovinare l’esperienza utente?

Il cookie banner è probabilmente l’elemento legale più visibile e più odiato del web. Ma è anche quello su cui il Garante italiano ha dato indicazioni precise con le Linee Guida cookie, e dove gli errori si vedono a occhio nudo.

Quando serve davvero il banner?

Facciamo chiarezza, perché qui c’è tanta confusione. Il banner con richiesta di consenso serve se usi:

Cookie di profilazione: pixel Meta, Google Ads, remarketing di qualsiasi tipo
Cookie statistici non anonimizzati: Google Analytics 4 in configurazione standard rientra qui
Cookie di terze parti incorporati da video YouTube, mappe, widget social

Non serve il consenso (basta l’informativa) se usi solo cookie tecnici: quelli del carrello, del login, delle preferenze di lingua. Quindi un sito vetrina puro, senza analytics e senza pixel, può teoricamente vivere senza banner. Ma quanti business online sono davvero in questa situazione? Beh… Quasi nessuno.

Le regole del consenso valido

Il consenso, per essere valido, deve rispettare regole precise. E qui cadono in tanti:

Nessun cookie prima del click: i cookie di profilazione non devono partire finché l’utente non accetta. Il banner che “informa” mentre i pixel già tracciano è una violazione, non una formalità.
Rifiutare deve essere facile come accettare: se c’è il bottone “Accetta” in evidenza, deve esserci un modo altrettanto immediato per rifiutare. Il pattern “Accetta gigante verde + link grigio microscopico” è esplicitamente scorretto.
Niente cookie wall: non puoi bloccare l’accesso al sito a chi rifiuta, salvo eccezioni molto specifiche.
Revoca sempre possibile: l’utente deve poter cambiare idea, tipicamente con un link o un’icona fissa nel footer.

L’errore tipico che vedo? Installare un plugin cookie gratuito, attivarlo con le impostazioni di default e non collegarlo davvero agli script. Risultato: il banner c’è, bellissimo, ma i pixel partono comunque al caricamento della pagina. Un controllo con gli strumenti sviluppatore del browser lo smaschera in 30 secondi. Prima di dormire sereno, verificalo.

Se poi nel tuo business usi strumenti di intelligenza artificiale che processano dati dei clienti, il tema si allarga: ne ho parlato in dettaglio nell’articolo su AI e privacy secondo il GDPR.

Termini e condizioni: il contratto che nessuno legge (ma che ti salva)

Domanda retorica: quante volte hai letto i termini e condizioni prima di comprare qualcosa online? Ecco. Eppure quel documento che nessuno legge è esattamente ciò che decide chi ha ragione quando qualcosa va storto.

I termini e condizioni (o condizioni generali di vendita) sono il contratto tra te e il cliente. Definiscono cosa vendi, come, a quali condizioni, cosa succede in caso di problemi. Senza di essi, si applicano le regole generali del Codice del Consumo… che tendenzialmente proteggono il consumatore, non te.

Cosa devono coprire per un business online

Oggetto della vendita: cosa compra esattamente il cliente. Per un corso online: accesso a quali contenuti, per quanto tempo, con quali limiti. “Accesso a vita” significa vita di chi? Tua, del cliente o della piattaforma? Specificalo, perché le cause su questo punto esistono davvero.
Prezzi e pagamenti: IVA inclusa o esclusa, rateizzazioni, cosa succede se una rata non viene pagata (sospensione dell’accesso? decadenza dal beneficio del termine?).
Diritto di recesso: come si esercita, entro quando, con quali eccezioni. Ci arriviamo tra un attimo perché merita una sezione dedicata.
Limitazioni di responsabilità: fondamentale per chi vende formazione. Il tuo corso sul business online insegna un metodo, non garantisce risultati economici. Scriverlo nero su bianco ti protegge dal cliente che chiede il rimborso “perché non è diventato ricco”.
Proprietà intellettuale: i tuoi contenuti sono tuoi. Vietare esplicitamente la condivisione di credenziali e la redistribuzione dei materiali ti dà una base per agire contro chi piratizza il corso.
Foro competente e legge applicabile: per i consumatori italiani il foro è quello di residenza del consumatore, non puoi derogarlo. Ma indicarlo correttamente evita clausole nulle che indeboliscono tutto il documento.

La trappola tipica qui è il copia-incolla da siti americani tradotti: clausole come la “no refund policy” totale sono semplicemente nulle in Europa, e una clausola nulla può trascinarsi dietro contestazioni sull’intero impianto.

Diritto di recesso e infoprodotti: come funziona davvero?

Qui tocchiamo il punto più delicato per chi vende corsi, ebook e contenuti digitali. Il Codice del Consumo dà a ogni consumatore 14 giorni per recedere da un acquisto online, senza dover dare motivazioni. Vale per tutto ciò che vendi a distanza a un consumatore.

Ma per i contenuti digitali c’è un’eccezione fondamentale, prevista dall’articolo 59 del Codice del Consumo: il diritto di recesso si perde se ricorrono tre condizioni insieme:

L’esecuzione è iniziata (l’utente ha avuto accesso immediato al contenuto)
Il consumatore ha dato consenso espresso all’esecuzione immediata
Il consumatore ha riconosciuto di perdere il diritto di recesso con quell’accesso

Tradotto in pratica: nel checkout del tuo corso serve una checkbox esplicita, non preselezionata, con un testo tipo “Richiedo l’accesso immediato al contenuto e riconosco che con l’accesso perdo il diritto di recesso”. Senza quella checkbox, il cliente può guardarsi tutto il corso in 13 giorni e chiedere il rimborso al quattordicesimo. Ed è nel suo pieno diritto.

Molti marketer risolvono il tema in modo opposto: offrono una garanzia soddisfatti o rimborsati di 14 o 30 giorni come leva di vendita. Scelta legittima e spesso vincente in termini di conversione: trasforma un obbligo in un argomento di marketing. L’importante è che quello che prometti nella sales page e quello che scrivi nei termini coincidano. La garanzia “30 giorni” in homepage e il “nessun rimborso” nei termini è una contraddizione che, in caso di disputa, si risolve sempre a favore del cliente.

E ricordati che vendita di infoprodotti significa anche IVA e fatturazione: ne ho parlato nella guida su infoprodotti e tasse.

Email marketing e newsletter: cosa dice la legge?

La newsletter è il cuore di quasi ogni business online. Ed è anche uno dei terreni dove le violazioni sono più frequenti, perché le regole sembrano banali ma hanno dettagli che fregano.

Le regole base del consenso email

Opt-in esplicito: l’iscrizione deve essere un’azione volontaria. Niente caselle preselezionate, niente iscrizione automatica di chi compra (per il marketing serve un consenso separato, con l’eccezione del “soft spam” verso clienti esistenti per prodotti simili, che comunque richiede l’opzione di opt-out fin dal primo contatto).
Consensi separati: se il form serve sia per scaricare un lead magnet sia per ricevere marketing, i due consensi vanno distinti. Il PDF gratuito non può essere l’esca per un consenso “impacchettato”.
Unsubscribe in ogni email: il link di disiscrizione deve esserci sempre, funzionare davvero e avere effetto immediato, non “entro 30 giorni”.
Prova del consenso: devi poter dimostrare quando e come un contatto si è iscritto. I provider seri (Brevo, ActiveCampaign, MailerLite) registrano data, ora e IP: è uno dei motivi per non gestire la lista in un foglio Excel.

E le liste comprate? Non farlo. Mai. Oltre a essere una violazione GDPR da manuale (quei contatti non ti hanno mai dato il consenso), è anche marketing pessimo: deliverability distrutta, tassi di apertura ridicoli e segnalazioni spam a raffica. Il Garante ha sanzionato più volte aziende italiane proprio per campagne su liste acquistate.

Il double opt-in (email di conferma dopo l’iscrizione) non è obbligatorio per legge in Italia, ma è fortemente consigliato: ti dà la prova regina del consenso e pulisce la lista dagli indirizzi falsi. Due piccioni, una fava.

Quanto costa mettersi in regola?

Veniamo alla domanda pratica: quanto budget serve? Dipende dallo stadio del tuo business. Vediamo tre scenari realistici.

Scenario lean: stai partendo (0-100 euro una tantum + 5-15 euro al mese)

Sito vetrina o primo funnel, vendite iniziali. Ti bastano: un generatore di privacy e cookie policy tipo Iubenda (3-10 euro al mese a seconda del piano), un cookie banner configurato correttamente (spesso incluso nello stesso tool), termini e condizioni da template adattato con attenzione, dati completi nel footer (nome, partita IVA, contatti). Tempo richiesto: un weekend. L’errore da evitare: compilare il generatore in 10 minuti dichiarando metà dei tool che usi davvero.

Scenario medium: vendi con continuità (500-1500 euro una tantum + 10-30 euro al mese)

Corso online avviato, lista email a 4-5 cifre, campagne attive. Qui conviene far rivedere i documenti a un avvocato specializzato in digitale: la revisione di termini e condizioni per un infoprodotto costa tipicamente 500-1000 euro e ti copre sui punti dove i template generici sono deboli (recesso sui contenuti digitali, limitazioni di responsabilità, proprietà intellettuale). Aggiungi la registrazione del marchio se il brand inizia ad avere valore: 200-300 euro di tasse di deposito per l’Italia, più l’eventuale consulenza.

Scenario heavy: business strutturato (1500-5000+ euro una tantum)

Team, decine di migliaia di contatti, più prodotti, magari vendite estere. Serve un set completo su misura: privacy policy, cookie policy, termini per ogni prodotto, contratti con collaboratori e fornitori, nomine a responsabile del trattamento per i tool che usano i tuoi dati, registro dei trattamenti. Un pacchetto completo da uno studio specializzato parte da 1500-3000 euro e sale con la complessità. A questo livello non è un costo: è un’assicurazione su un asset che vale centinaia di migliaia di euro.

Gli errori legali più comuni nei business online

Chiudiamo con la classifica degli errori che vedo più spesso, con relativa correzione operativa.

Footer anonimo. Il sito vende ma non dice chi c’è dietro: niente nome, niente partita IVA. Come si manifesta: il cliente diffidente abbandona il carrello, e in caso di controllo scatta la violazione degli obblighi informativi. Correzione: nel footer metti sempre nome o ragione sociale, partita IVA, email di contatto. Costa zero e cambia la percezione di affidabilità.
Privacy policy fotocopia. Copiata da un altro sito, descrive trattamenti che non fai e ignora quelli che fai. Correzione: rifalla con un generatore serio, elencando davvero tutti i tool del tuo stack (analytics, pixel, CRM, email provider, piattaforma corsi).
Cookie banner scollegato. Il banner c’è ma gli script partono comunque prima del consenso. Correzione: verifica con la scheda Network del browser in navigazione anonima: se vedi chiamate a Meta o Google prima di aver cliccato, il blocco preventivo non funziona.
Checkbox recesso mancante nel checkout. Vendi accesso immediato a contenuti digitali senza far riconoscere la perdita del recesso. Correzione: aggiungi la checkbox esplicita non preselezionata nel checkout. Cinque minuti di lavoro, ti evitano il rimborso “furbo” al giorno 13.
Promesse di guadagno in sales page. “Guadagna 10.000 euro al mese col mio metodo” senza disclaimer è pubblicità ingannevole, terreno dell’Antitrust (AGCM), e le sanzioni in questo campo si sono viste eccome. Correzione: mostra risultati reali documentabili, aggiungi un disclaimer sui risultati non garantiti e mantieni coerenza tra promessa e contenuto.

Domande frequenti

La privacy policy è obbligatoria anche per un semplice blog senza vendite?

Si, se il blog raccoglie qualsiasi dato personale: un form di contatto, i commenti, la newsletter o anche solo strumenti di statistica come Google Analytics. In pratica quasi ogni blog tratta dati e quindi deve avere l’informativa. L’unico caso teorico di esenzione è un sito statico puro, senza form, senza analytics e senza cookie di terze parti: una rarità. Considerando che una policy da generatore costa pochi euro al mese, non vale il rischio di andare online senza.

Posso usare un template gratuito per i termini e condizioni?

Puoi partire da un template, ma devi adattarlo sul serio al tuo business: cosa vendi, come gestisci il recesso sui contenuti digitali, quali garanzie offri, come limiti la responsabilità. Il rischio dei template è duplice: clausole nulle in Italia (tipo il divieto totale di rimborso copiato da siti USA) e buchi sulle situazioni che ti riguardano davvero. Regola pratica: il template va bene finché i numeri sono piccoli, la revisione legale professionale serve appena il prodotto genera migliaia di euro al mese.

Cosa rischio concretamente se non sono in regola?

Su tre fronti. Privacy: le sanzioni GDPR arrivano in teoria fino a 20 milioni di euro o al 4% del fatturato, ma per le piccole realtà italiane le sanzioni reali viste finora vanno tipicamente da qualche migliaio a qualche decina di migliaia di euro. Consumatori: senza termini corretti, ogni contestazione (rimborsi, chargeback) tende a risolversi contro di te. Pratiche commerciali: promesse di guadagno ingannevoli possono attirare l’attenzione dell’AGCM, con sanzioni anche pesanti. A cui aggiungi il danno reputazionale, che nel business online pesa quanto la multa.

Il diritto di recesso vale anche se vendo a professionisti con partita IVA?

No, il diritto di recesso di 14 giorni è una tutela del Codice del Consumo riservata ai consumatori, cioè persone che acquistano per scopi estranei alla propria attività professionale. Se vendi B2B a un’azienda o a un professionista che compra per il suo business, il recesso automatico non si applica: valgono i tuoi termini contrattuali. Attenzione però alla zona grigia: se il tuo corso si rivolge ad “aspiranti imprenditori” senza ancora partita IVA, quelli sono consumatori a tutti gli effetti e le tutele si applicano in pieno.

Serve la partita IVA per mettersi in regola con privacy e termini?

Sono due piani diversi. Privacy policy e cookie banner riguardano il trattamento dei dati e servono a prescindere dall’inquadramento fiscale: anche un progetto in fase di test deve averli se raccoglie dati. La partita IVA riguarda invece il momento in cui la tua attività diventa abituale e continuativa. Quindi puoi trovarti nella situazione di avere obblighi privacy prima ancora di avere obblighi fiscali. Per capire quando e come aprire la partita IVA, trovi tutto nella guida su fisco e burocrazia per il business online.

Conclusione

Gli aspetti legali di un business online non sono la parte divertente del gioco, ma sono il fondamento che ti permette di giocare a lungo. La sintesi operativa: privacy policy e cookie banner configurati bene, termini e condizioni pensati per il tuo prodotto, checkout con la checkbox sul recesso, email marketing basato su consensi veri. Con 50-100 euro e un weekend di lavoro copri il 90% dei rischi di chi parte.

Il mio consiglio: prenditi mezza giornata questa settimana, apri il tuo sito con occhi da ispettore e passa in rassegna i punti di questa guida. Ogni buco che chiudi oggi è una grana che non dovrai gestire domani.