Cosa serve davvero, e cosa non serve.

Il banner dei cookie non è obbligatorio per legge: è obbligatorio il consenso per quello che non è strettamente necessario. Un sito senza analytics, senza pixel, senza video incorporati e con i caratteri ospitati sul proprio dominio non ha niente da chiedere, e il banner semplicemente non serve. Questo sito è in quella condizione.

Nel momento in cui entrano Google Analytics, Meta Pixel, una mappa, un video di YouTube o un carattere caricato da CDN, il banner diventa obbligatorio e deve rispettare le linee guida del Garante del 10 giugno 2021: scorrere la pagina non è consenso, rifiutare deve essere facile quanto accettare, il consenso è granulare per finalità, gli script restano bloccati finché non c'è il sì, e il cookie wall è vietato.

• Senza analytics, pixel, video incorporati e caratteri da CDN: nessun banner
• Basta un tracciatore e il banner diventa obbligatorio, con gli script fermi fino al consenso
• Scorrere la pagina non è consenso, e rifiutare deve essere facile quanto accettare
• Il cookie wall è vietato

Basta un modulo di contatto per far scattare l'informativa dell'articolo 13 del GDPR: identità del titolare, finalità e base giuridica, destinatari, trasferimenti fuori dall'Unione, tempi di conservazione, diritti dell'interessato e diritto di reclamo al Garante.

Serve anche poter dimostrare il consenso. Su ogni modulo che costruiamo, il testo esatto della casella e il momento dell'invio viaggiano insieme al messaggio: l'e-mail ricevuta è già il registro.

• Un solo modulo di contatto fa scattare l’informativa dell’articolo 13
• Titolare, finalità, base giuridica, destinatari, trasferimenti, conservazione e diritti
• Il consenso va dimostrato: testo della casella e orario dell’invio viaggiano con il messaggio

La licenza di un carattere per il desktop non copre l'uso sul web. Le immagini di banca hanno vincoli d'uso che cambiano senza avviso. I temi e i plugin commerciali si licenziano per sito, non per agenzia. Le librerie sotto licenza GPL vincolano quello che viene distribuito insieme, e un sito consegnato al cliente è distribuzione.

È la voce che genera il conto più caro, perché arriva per lettera di uno studio legale e non come avviso del browser.

• La licenza desktop di un carattere non copre l’uso sul web
• Temi e plugin commerciali si licenziano per sito, non per agenzia
• Le librerie GPL vincolano quello che viene distribuito insieme al sito
• Le immagini di banca cambiano i vincoli d’uso senza avviso

Due regimi diversi, e confonderli è l'errore comune. La Legge Stanca riguarda le imprese sopra i 500 milioni di fatturato medio. L'European Accessibility Act, in vigore dal 28 giugno 2025, riguarda molte più aziende: e-commerce al consumatore, banche, trasporti, telecomunicazioni. Le microimprese restano fuori.

Il riferimento tecnico è la EN 301 549, che in pratica è WCAG 2.1 AA. Fatta durante il progetto costa poco; rifatta dopo costa un progetto intero.

• Legge Stanca: imprese sopra i 500 milioni di fatturato medio
• European Accessibility Act, dal 28 giugno 2025: e-commerce al consumatore, banche, trasporti, telecomunicazioni
• Le microimprese restano fuori
• Riferimento tecnico: EN 301 549, in pratica WCAG 2.1 AA

HTTPS con rinnovo automatico, intestazioni di sicurezza sul server, backup con ripristino testato e log conservato. Su un sito statico la lista finisce qui.

Su un CMS comincia il costo ricorrente: aggiornamento di nucleo, tema e plugin, rimozione dei plugin abbandonati, che sono il vettore di attacco più comune, e monitoraggio. Va nel preventivo come voce separata, con un prezzo.

• HTTPS con rinnovo automatico e intestazioni di sicurezza sul server
• Backup con ripristino testato e log conservato
• Su un CMS: aggiornamento di nucleo, tema e plugin, più monitoraggio
• I plugin abbandonati sono il vettore di attacco più comune