Per un’insegna retail che opera in Italia, il GDPR si traduce in pochi obblighi concreti: sapere quali dati dei clienti trattate e perché, scegliere la base giuridica giusta per ogni finalità, raccogliere un consenso distinto e dimostrabile per marketing e profilazione, attivare cookie e pixel di tracciamento solo con consenso, rispondere ai clienti entro un mese e notificare le violazioni entro 72 ore. Nel lusso la stessa cliente compra in boutique a Milano, online da Londra e tramite il personal shopper su WhatsApp. Per questo la difficoltà vera non è capire la norma. È fare in modo che un “no” detto in negozio valga subito anche nell’app, nella newsletter e nel CRM.
In breve
- Il Regolamento UE 2016/679 si applica dal 25 maggio 2018. Per il marketing elettronico conta anche l’art. 130 del Codice Privacy italiano.
- La carta fedeltà non richiede consenso per i vantaggi del programma. Profilazione e marketing diretto sì, con un consenso separato per ciascuna finalità.
- Il Garante considera il double opt-in la forma di documentazione del consenso che offre più garanzie. Dal 2026 anche i pixel nelle email richiedono consenso.
- Le sanzioni recenti colpiscono soprattutto un problema tecnico: le preferenze del cliente non sono allineate tra i sistemi.
- Per un brand omnicanale la conformità si regge su un dato cliente unico, governato e sincronizzato in tempo reale.
Indice
- Quali dati tratta un negozio e da quando vale il Regolamento
- Gli obblighi di base per un’insegna retail
- Carte fedeltà e clienteling: dove serve il consenso
- Marketing diretto: opt-in, soft spam e double opt-in
- Cookie, pixel e tracciamento online
- Conservazione, sicurezza, fornitori e data breach
- Le novità 2026 che contano per il retail
- Il nostro punto di vista: la privacy si vince nell’integrazione dei dati
- Una checklist operativa per il team IT e privacy
- Come vi affianchiamo
- Domande frequenti
- Fonti
Quali dati tratta un negozio e da quando vale il Regolamento
Il Regolamento UE 2016/679 è entrato in vigore il 24 maggio 2016 ed è applicabile dal 25 maggio 2018. Accanto al Regolamento resta in vigore il Codice Privacy (D.Lgs. 196/2003), che in Italia disciplina in dettaglio le comunicazioni commerciali elettroniche.
Il perimetro è più ampio di quanto molti store manager immaginino. Per il Garante sono dati personali tutte le informazioni che identificano o rendono identificabile una persona fisica, direttamente o indirettamente: dati anagrafici, indirizzo IP, geolocalizzazione, immagini, dati sulla salute.
Nella giornata di una boutique di alta gamma, rientrano nel GDPR:
- anagrafica e contatti raccolti alla cassa o al momento dell’iscrizione al programma fedeltà;
- storico acquisti, taglie, misure sartoriali, wishlist e preferenze annotate dai client advisor;
- appuntamenti privati, eventi in store e liste di invitati;
- immagini della videosorveglianza e foto scattate durante le consulenze;
- identificativi online: cookie, IP, ID dell’app, aperture delle newsletter;
- dati sanitari, quando un’ottica o una profumeria annota allergie o esigenze specifiche.
Ognuna di queste informazioni ha una finalità, una base giuridica e un tempo di conservazione propri. Ed è qui che il tema smette di essere solo legale e diventa di architettura. Gli stessi dati vivono in POS, e-commerce, CRM, app e strumenti di email marketing, e ogni sistema deve sapere cosa è autorizzato a farne.
Gli obblighi di base per un’insegna retail
Il registro delle attività di trattamento
Il primo documento da avere in ordine è il registro delle attività di trattamento. Il Garante cita espressamente tra i soggetti tenuti a redigerlo i negozi con almeno un dipendente, quelli che trattano dati sanitari dei clienti e chi svolge trattamenti non occasionali. Per un gruppo del lusso con una rete di punti vendita la domanda non è se tenerlo, ma come tenerlo aggiornato. Ogni nuovo strumento di clienteling, ogni campagna con un’agenzia e ogni integrazione tra sistemi è una modifica al registro.
Informativa e base giuridica per ogni finalità
Il cliente deve sapere in modo chiaro quali dati raccogliete, per cosa, per quanto tempo e quali diritti ha. Per ogni finalità va individuata una base giuridica. Per vendere, consegnare e gestire un reso vale l’esecuzione del contratto, per la fatturazione gli obblighi di legge, per profilazione e marketing il consenso. Mischiare le finalità in un’unica spunta è l’errore più comune nei moduli cartacei delle boutique e nei form di registrazione online.
Carte fedeltà e clienteling: dove serve il consenso
Il programma fedeltà è il cuore della relazione nel retail di lusso, e il Garante ne ha fissato le regole già nel provvedimento sulle fidelity card. I dati strettamente necessari a fornire i vantaggi della carta possono essere trattati senza consenso, perché il trattamento serve a eseguire un contratto. Per profilazione e marketing diretto serve invece un consenso specifico, informato e distinto per ciascuna finalità. Anche per il marketing vanno usati solo dati pertinenti e non eccedenti, e l’uso dei dati che derivano dalla profilazione richiede un consenso differenziato.
La stessa logica è stata ribadita da avvocati specializzati sul Sole 24 Ore. La carta viene rilasciata per fornire un servizio, ma quando i dati servono a monitorare le preferenze di acquisto e a inviare promozioni personalizzate occorre uno specifico consenso alla profilazione e al marketing.
| Finalità | Base giuridica | Cosa serve in pratica |
|---|---|---|
| Punti, sconti, vantaggi del programma | Esecuzione del contratto | Informativa chiara, solo dati necessari |
| Analisi dello storico acquisti per proposte su misura | Consenso alla profilazione | Spunta separata, consenso documentato |
| Email, SMS e messaggi promozionali | Consenso preventivo (opt-in) | Consenso revocabile in ogni momento |
| Email su prodotti analoghi a clienti che hanno già acquistato | Soft spam, art. 130 c. 4 Codice Privacy | Possibilità di opporsi gratis e in modo semplice |
| Pixel di tracciamento nelle newsletter | Consenso (Linee guida 2026) | Consenso preventivo, libero, specifico e informato |
Nel clienteling, le note del client advisor (“preferisce le consegne a casa”, “compleanno a marzo”, “colleziona orologi vintage”) sono profilazione a tutti gli effetti se usate per proporre prodotti. La regola pratica: nessuna nota entra nel profilo condiviso se il cliente non ha dato il consenso corrispondente. Ne parliamo nella guida sulla personalizzazione omnicanale nel lusso. Riconoscimento facciale e tecnologie simili ricadono nelle categorie particolari di dati: le trattiamo nella guida sui dati biometrici nel luxury retail.
Marketing diretto: opt-in, soft spam e double opt-in
L’art. 130 del Codice Privacy, come confermato dalla Cassazione, richiede il consenso preventivo per inviare pubblicità, ricerche di mercato o comunicazioni commerciali via email, SMS, MMS, fax o sistemi automatizzati. L’unica eccezione è il cosiddetto soft spam. Potete scrivere via email a chi ha già acquistato, ma solo per prodotti o servizi analoghi, se il cliente non si è opposto e se ogni messaggio gli offre un modo gratuito e agevole per farlo.
Per un brand del lusso il soft spam ha un perimetro stretto. Chi ha comprato una borsa può ricevere comunicazioni sulla pelletteria. L’invito a un evento di alta gioielleria o la newsletter con tutte le collezioni richiedono in genere il consenso pieno.
Il double opt-in è l’email di conferma dopo l’iscrizione, e il Garante ha più volte ricordato che è la forma di documentazione del consenso che offre maggiori garanzie e può configurarsi come misura minima di protezione. Come chiarito dall’Osservatorio TMT Data Protection, non esiste però un obbligo normativo esplicito. Il Garante accetta meccanismi alternativi che garantiscano un livello equivalente di affidabilità tecnica e documentale. Ciò che conta è poter dimostrare quattro cose: che l’indirizzo esiste, che la conferma viene dal titolare dell’indirizzo, quando è avvenuta e a quale informativa era collegata. Se raccogliete iscrizioni su tablet in boutique, quel tracciato deve arrivare intatto fino alla piattaforma di invio.
Cookie, pixel e tracciamento online
Le FAQ del Garante sui cookie fissano regole precise per e-commerce e siti di brand:
- i cookie di profilazione si installano solo dopo il consenso raccolto tramite banner;
- il banner deve offrire un comando per accettare, e il rifiuto può avvenire anche chiudendolo con la X;
- lo scrolling della pagina non vale come consenso;
- il cookie wall è illecito, salvo che il sito offra un accesso equivalente senza consenso.
Nel 2026 il perimetro si è allargato alla posta elettronica. Con le Linee guida sui tracking pixel nelle email il Garante ha stabilito che nei casi ordinari questi strumenti richiedono un consenso preventivo, libero, specifico e informato. Gli operatori hanno sei mesi dalla pubblicazione in Gazzetta Ufficiale per adeguarsi, quindi entro quest’anno template, piattaforme di invio e report sulle aperture vanno rivisti. Per i team CRM cambia una metrica storica: il tasso di apertura sarà misurabile solo sui clienti che hanno acconsentito.
Conservazione, sicurezza, fornitori e data breach
Gli obblighi operativi che il Garante riassume nella pagina sui doveri del titolare toccano direttamente l’IT di un’insegna:
| Obbligo | Cosa chiede | Tempi |
|---|---|---|
| Limitazione della conservazione | Dati tenuti solo per il tempo necessario allo scopo | Definiti per finalità |
| Sicurezza | Misure tecniche e organizzative adeguate al rischio, come pseudonimizzazione e cifratura, con verifiche periodiche | Continuo |
| Fornitori | Designazione o accordo conforme all’art. 28 GDPR | Prima di affidare il trattamento |
| Richieste dei clienti | Risposta su accesso, rettifica, cancellazione e altri diritti | 1 mese, estendibile a 3 nei casi complessi |
| Violazione dei dati | Notifica al Garante se è probabile un rischio, comunicazione ai clienti se il rischio è elevato | Entro 72 ore |
| Documentazione delle violazioni | Circostanze, conseguenze e provvedimenti adottati | Sempre, anche senza notifica |
Il punto critico nel retail sono i fornitori: agenzie di marketing, piattaforme e-commerce, provider di POS, logistica per le consegne, servizi di assistenza clienti. Ognuno tratta dati per vostro conto e deve avere il suo accordo ai sensi dell’art. 28. Le 72 ore per un data breach, poi, si rispettano solo se sapete in pochi minuti quali sistemi contengono quali dati. Senza una mappa aggiornata delle integrazioni la notifica diventa una stima.
Anche la cancellazione mette alla prova l’architettura. Quando una cliente chiede di essere dimenticata, la richiesta deve propagarsi a CRM, e-commerce, app, data warehouse e strumenti di marketing, conservando solo ciò che la legge impone, come i dati fiscali. Per questo la data governance nel retail è il presupposto, non un progetto accessorio.
Le novità 2026 che contano per il retail
Oltre alle Linee guida sui pixel, due provvedimenti di quest’anno indicano dove guarda il Garante.
Con il provvedimento del 12 febbraio 2026 l’Autorità ha vietato ogni trattamento per finalità di marketing svolto senza previo, specifico e valido consenso, dopo aver accertato l’invio di email promozionali senza idonea base giuridica.
Il caso più istruttivo per chi vende su più canali riguarda però una banca. Come riportato da Byte.it, il Garante ha sanzionato BBVA Italia per 5.508.000 euro (provvedimento n. 613 del 3 settembre 2026) per comunicazioni commerciali inviate tramite app a un cliente che aveva disattivato le promozioni. La causa era un errore tecnico di sincronizzazione, che per il Garante rientra comunque nella responsabilità del titolare ai sensi dell’art. 24 GDPR.
Per un brand del lusso la lezione è la stessa. Se la cliente revoca il consenso sull’app e la piattaforma email lo scopre il giorno dopo, o mai, la responsabilità è vostra. L’opposizione registrata in un canale deve valere in tutti.
Il nostro punto di vista: la privacy si vince nell’integrazione dei dati
Lavoriamo ogni giorno con aziende del fashion luxury e del retail, e vediamo sempre lo stesso schema. Le policy sono scritte bene e i moduli di consenso sono corretti, ma i sistemi non si parlano. Il consenso raccolto in boutique resta nel POS, quello dell’e-commerce nella piattaforma online, quello dell’app in un altro database ancora.
Per noi la conformità GDPR di un brand omnicanale è prima di tutto un tema di architettura. Serve un profilo cliente unico, con le preferenze privacy trattate come dato anagrafico di primo livello. Devono essere versionate, datate, collegate all’informativa accettata e distribuite in tempo reale a ogni sistema che le usa, da SAP al CRM fino agli strumenti di marketing.
È qui che il nostro approccio fa la differenza. Il nostro team senior conosce i processi core del retail e piattaforme come SAP S/4HANA, SAP BTP, Boomi, Databricks e Snowflake, e progetta integrazioni in cui una revoca non deve aspettare un batch notturno. Lo stesso lavoro che rende i dati conformi li rende anche più affidabili per l’analisi e per la personalizzazione che le clienti del lusso si aspettano.
Silvia
Una checklist operativa per il team IT e privacy
Questa sequenza aiuta a trasformare gli obblighi in un piano di lavoro. Su basi giuridiche, informative e tempi di conservazione la decisione finale spetta al vostro DPO o al legale privacy. L’IT costruisce gli strumenti per applicarla.
- Mappate i dati cliente per sistema. POS, e-commerce, CRM, app, clienteling, marketing automation, data warehouse: per ognuno indicate quali dati contiene, per quale finalità e con quali flussi in entrata e in uscita.
- Allineate il registro dei trattamenti alla mappa. Ogni integrazione è un trattamento da documentare.
- Separate i consensi per finalità. Servizio fedeltà, profilazione e marketing diretto vanno su spunte distinte, in boutique come online.
- Rendete il consenso dimostrabile. Salvate insieme al consenso data, ora, canale, versione dell’informativa e meccanismo di conferma.
- Centralizzate le preferenze privacy. Serve un solo punto di verità, con sincronizzazione in tempo reale verso tutti i sistemi. Tecniche come il Change Data Capture evitano i ritardi dei caricamenti notturni.
- Rivedete cookie banner e pixel nelle email. Nessun tracciamento prima del consenso, e un rifiuto semplice quanto l’accettazione.
- Automatizzate le richieste degli interessati. Accesso e cancellazione devono propagarsi a tutti i sistemi entro il mese previsto.
- Preparate il piano per i data breach. Stabilite chi decide, chi notifica e quali sistemi controllare per primi: le 72 ore partono dalla scoperta.
Per la parte tecnica sul punto vendita trovate un approfondimento nella guida all’integrazione dei dati del punto vendita. Il profilo unico tra canali è trattato nella guida all’integrazione del CRM nel retail.
Come vi affianchiamo
Greensharp è una boutique di consulenza IT specializzata nei processi core di Retail e Fashion Luxury. Con i servizi di Advisory & Strategy vi aiutiamo a definire la roadmap di integrazione dati e omnicanalità. Modern Data Fabric è la nostra soluzione per gestire e integrare i dati che arrivano da tutti i sistemi aziendali.
State rivedendo i consensi, i flussi tra POS, CRM ed e-commerce o la gestione del dato cliente dopo le novità del 2026? Parliamone. Partiamo dalla mappa dei vostri sistemi e costruiamo insieme un’architettura in cui ogni preferenza del cliente viene rispettata ovunque.
Domande frequenti
Quando è entrato in vigore il GDPR in Italia?
Il Regolamento UE 2016/679 è entrato in vigore il 24 maggio 2016 ed è applicabile in tutti gli Stati membri, Italia compresa, dal 25 maggio 2018. In Italia resta in vigore anche il Codice Privacy, adeguato al Regolamento, che regola tra l’altro il marketing elettronico.
Serve il consenso per iscrivere un cliente alla carta fedeltà?
Per i soli vantaggi del programma, come punti e sconti, no: il trattamento è necessario per eseguire il contratto. Se volete analizzare gli acquisti per fare proposte personalizzate o inviare promozioni, servono consensi specifici e separati per profilazione e marketing.
Il double opt-in è obbligatorio per le newsletter?
Non esiste un obbligo normativo esplicito, ma il Garante lo considera la forma di documentazione del consenso che offre maggiori garanzie. I metodi alternativi sono ammessi solo se garantiscono lo stesso livello di affidabilità tecnica e di prova.
Dove si trova il testo ufficiale del GDPR in PDF?
Il testo ufficiale in italiano del Regolamento UE 2016/679 è pubblicato su EUR-Lex, il portale del diritto dell’Unione europea, da cui si può scaricare anche in PDF. Il sito del Garante Privacy raccoglie invece FAQ, linee guida e provvedimenti per tema.
Entro quanto tempo va notificato un data breach?
Entro 72 ore dalla scoperta, se la violazione può comportare rischi per le persone. Se il rischio è elevato vanno avvisati anche i clienti coinvolti. Ogni violazione va comunque documentata internamente.
Fonti
- Regolamento UE 2016/679 – EUR-Lex
- Cosa intendiamo per dati personali – Garante Privacy
- Registro delle attività di trattamento – Garante Privacy
- Fidelity card e garanzie per i consumatori – Garante Privacy
- Carte fedeltà, guida al consenso informato – Il Sole 24 Ore
- Soft spam e base giuridica del marketing: la Cassazione – Diritto.it
- Garante Privacy, double opt-in e consenso per il marketing – Osservatorio TMT Data Protection
- FAQ Cookie – Garante Privacy
- Tracking pixel nelle email: pubblicate le Linee guida – Garante Privacy
- Doveri: come trattare correttamente i dati – Garante Privacy
- Provvedimento del 12 febbraio 2026 – Garante Privacy
- BBVA multata dal Garante privacy per 5,5 milioni di euro – Byte.it
Raccomandati
- Dati biometrici nel luxury retail: guida per manager
- Data governance retail: perché è la base delle decisioni che contano
- OMS retail lusso: come scegliere e implementare il sistema giusto
- Dati aziendali nel lusso: guida per innovare ed efficientare
