Siti web “a norma” per finta: il problema delle agenzie che non conoscono GDPR, cookie e SEO

Aprire un sito web oggi è facilissimo. Basta un tema già pronto, una manciata di plugin, oppure un assistente di intelligenza artificiale a cui chiedere "fammi un sito per la mia azienda". In pochi giorni il sito è online, graficamente gradevole, e il cliente è soddisfatto. Il problema emerge dopo: nella grande maggioranza dei casi che osserviamo, quel sito non rispetta le norme italiane ed europee e ignora le regole più elementari della SEO. E a risponderne, davanti al Garante o all'Agenzia delle Entrate, non è l'agenzia che l'ha realizzato: è il titolare del sito.

Il fenomeno: tanto "mestiere", poca competenza normativa

Non parliamo di cattiva fede, ma di un'ampia diffusione di competenze incomplete. Molte web agency e molti consulenti di marketing sono bravi a fare grafica, a impostare campagne e a configurare un CMS, ma non hanno una formazione su privacy, diritto societario e requisiti tecnici dei motori di ricerca. Si affidano a strumenti che promettono di "fare tutto da soli":

• CMS generalisti (WordPress, Joomla, Drupal e simili) con temi e decine di plugin, spesso scelti per l'aspetto e non per la sicurezza;
• costruttori di siti e generatori basati su AI poco performanti, che producono pagine apparentemente corrette ma inventano riferimenti normativi, copiano informative generiche e non conoscono il contesto italiano;
• modelli di privacy policy copiati da altri siti o generati in automatico, senza verificare quali dati vengono davvero trattati.

L'intelligenza artificiale, da sola, non è il problema: lo è usarla senza saper verificare ciò che produce. Un testo di informativa che "suona" legale ma cita una norma sbagliata, o un banner dei cookie dall'aspetto professionale che però non blocca nulla, sono errori che solo chi conosce la materia riconosce.

Gli errori che troviamo più spesso

Privacy, cookie e GDPR

• Banner cookie "decorativo": compare, si chiude, ma Google Analytics, pixel pubblicitari e altri tracker sono già stati caricati prima del consenso. Le Linee guida cookie del Garante (10 giugno 2021) richiedono il consenso preventivo per i cookie non tecnici e un rifiuto semplice quanto l'accettazione.
• Privacy policy generica o incompleta: manca l'identità del titolare, le finalità, la base giuridica o i diritti dell'interessato (art. 13 GDPR).
• Cookie policy assente o non raggiungibile dal banner.
• Form di contatto senza informativa né presa visione, che raccolgono nome, email e telefono senza dire come saranno trattati.
• Servizi di terze parti (font, mappe, video, chat) che trasferiscono l'indirizzo IP del visitatore fuori dall'Unione Europea senza che l'informativa lo dica.
• Sito senza HTTPS o con contenuti misti: una violazione del principio di sicurezza del trattamento (art. 32 GDPR).

Obblighi societari e fiscali sul sito

Un aspetto quasi sempre dimenticato: il sito di un'impresa è anche uno strumento con obblighi di legge. La partita IVA deve comparire sul sito (art. 35 DPR 633/1972). Le società di capitali devono indicare sede legale, ufficio del Registro Imprese e numero di iscrizione (REA), capitale sociale e, quando ricorre, lo stato di liquidazione o il socio unico (art. 2250 del Codice Civile). Quasi nessun modello di sito li include da solo: devono saperlo l'agenzia e il cliente.

SEO di base e qualità tecnica

• pagine senza titolo o descrizione, con più H1 o nessuno;
• immagini senza testo alternativo, che penalizzano anche l'accessibilità;
• mancanza di URL canonico, robots.txt e sitemap XML;
• dati strutturati e anteprime social assenti;
• sito non adattato a smartphone e tablet, o lento per colpa di plugin, immagini non ottimizzate e script bloccanti;
• CMS non aggiornato: core, tema o plugin con vulnerabilità note, sfruttate in automatico da bot per inserire malware, spam o furto di dati. Un sito compromesso è anche una potenziale violazione dei dati personali (artt. 32-34 GDPR).

Le sanzioni a cui è esposto il titolare del sito

Si tratta di importi massimi previsti dalla normativa; l'entità effettiva dipende da gravità, durata e collaborazione con l'Autorità, ma rendono l'idea del rischio:

La responsabilità ricade sul titolare del trattamento, cioè sull'azienda proprietaria del sito. Il fatto di aver "pagato un professionista" non esonera: nella migliore delle ipotesi si potrà rivalersi sull'agenzia, dopo aver subìto il danno.

Un tool gratuito per capire a che punto è il tuo sito

Per rendere queste verifiche accessibili a tutti, abbiamo sviluppato Site Check, uno strumento gratuito e senza registrazione: si inserisce l'indirizzo di un sito e in pochi secondi si ottiene un report tecnico. Il tool controlla:

• conformità legale: HTTPS, privacy policy, banner e policy dei cookie, tracker caricati senza consenso, form con consenso, partita IVA e dati societari obbligatori, con l'indicazione delle sanzioni collegate a ogni carenza;
• qualità tecnica: adattamento a smartphone e tablet, SEO di base, performance di caricamento, header di sicurezza;
• CMS: riconosce WordPress, Joomla e altre piattaforme, confronta la versione installata con l'ultima rilasciata e segnala i rischi di un sito non aggiornato.

Prova Site Check sul tuo sito: richiede pochi secondi. È uno strumento di analisi automatica e statica, quindi non sostituisce una verifica legale completa, ma permette a un imprenditore di capire subito se ci sono problemi evidenti e di fare domande mirate al proprio fornitore.

Come valutare un possibile fornitore web: guarda il suo sito

Il modo più semplice e più rivelatore per giudicare la serietà di una web agency o di un consulente è anche il più trascurato: valutare il suo sito web. Chi vende competenza digitale deve dimostrarla innanzitutto a casa propria. Prima di firmare un preventivo, controlla se il sito del fornitore:

1. ha un banner cookie realmente funzionante, che blocca i tracker finché non dai il consenso;
2. pubblica una privacy policy e una cookie policy complete e raggiungibili dal banner;
3. riporta partita IVA, sede, Registro Imprese, REA e capitale sociale come previsto per legge;
4. ha form di contatto con informativa e consenso al trattamento;
5. si carica rapidamente, è usabile da smartphone e non mostra errori o avvisi di sicurezza;
6. rispetta le basi della SEO (titoli, descrizioni, struttura delle pagine, sitemap);
7. è aggiornato con regolarità e non espone versioni obsolete del proprio CMS.

Se il sito di chi dovrebbe realizzare il tuo non supera nemmeno questi controlli, difficilmente il tuo sarà migliore. Puoi usare lo stesso Site Check sul sito del fornitore e sui siti che mostra nel suo portfolio: in due minuti ottieni un'idea oggettiva della qualità del suo lavoro. Alla fine della selezione, poi, conviene chiedere esplicitamente chi cura la manutenzione e gli aggiornamenti nel tempo, e come vengono gestiti privacy e cookie.

Perché una soluzione su misura può essere la scelta migliore

Un sito realizzato su misura, con codice essenziale e senza decine di plugin di terzi, ha una superficie d'attacco molto ridotta, si carica più velocemente e permette di integrare fin dall'inizio privacy, cookie, dati societari e SEO tecnica, invece di rincorrerli a posteriori. Non è una scelta adatta a tutti i progetti, ma per un'azienda che vuole un sito affidabile e un gestionale integrato è spesso più sostenibile, anche nei costi, che mantenere un CMS generalista sempre aggiornato.

In EGSOFT sviluppiamo software gestionali e siti web con queste priorità. Se vuoi capire come sta il tuo sito, parti da Site Check; se vuoi una valutazione approfondita o una proposta di adeguamento, contattaci.

Le informazioni di questo articolo hanno finalità divulgativa e non costituiscono consulenza legale: riferimenti normativi e importi vanno verificati con un professionista in relazione al caso specifico.