Vendere online in Italia significa muoversi dentro un perimetro normativo costruito a strati nell’arco di vent’anni: il Decreto Legislativo 70/2003 sul commercio elettronico, il Codice del Consumo (D.Lgs. 206/2005) per la parte B2C, il GDPR e il Codice Privacy per la protezione dei dati personali, le linee guida del Garante Privacy sui cookie del 2021, il D.Lgs. 170/2021 che ha recepito la nuova disciplina europea sulle garanzie nei contratti di vendita. Non si tratta di un dettaglio formale. Nel 2024 il Garante Privacy ha applicato sanzioni alle aziende italiane per oltre 80 milioni di euro complessivi, e tra i contestati ci sono regolarmente ecommerce di ogni dimensione.
Il punto da capire è che la conformità non è una checklist da spuntare una volta sola al lancio: è un assetto che va costruito prima di andare online e mantenuto nel tempo, perché tocca il sito, i flussi di vendita, l’amministrazione e il marketing. In questo pillar trovi la mappa completa degli obblighi, con i rimandi agli approfondimenti verticali per ciascun fronte.
Cornice normativa: quali leggi si applicano davvero a un ecommerce
Il D.Lgs. 70/2003, di recepimento della direttiva 2000/31/CE, è ancora oggi il pilastro della disciplina del commercio elettronico. Stabilisce chi è obbligato a cosa quando offre servizi della società dell’informazione — categoria nella quale rientra a tutti gli effetti un ecommerce — e definisce gli obblighi informativi minimi che ogni sito deve assolvere. È la norma che, all’articolo 7, impone di rendere “facilmente accessibili, in modo diretto e permanente” denominazione, sede, dati di contatto, partita IVA, numero di iscrizione al REA e ogni autorizzazione amministrativa richiesta dall’attività.
Sopra questa cornice si innesta il Codice del Consumo per ogni rapporto B2C. La parte che pesa di più nell’operatività quotidiana è quella sui contratti a distanza (articoli 45 e seguenti), che disciplina informazioni precontrattuali, conferma d’ordine, diritto di recesso e responsabilità del professionista. Per i B2B le tutele del Codice del Consumo non si applicano: il rapporto tra imprese resta governato dal Codice Civile e dalla disciplina degli inadempimenti contrattuali. Il discrimine non è tecnico (avere o non avere la partita IVA dell’acquirente) ma sostanziale (la qualità con cui agisce: persona fisica fuori dalla sua attività professionale o impresa).
Il GDPR (Regolamento UE 2016/679) e il Codice Privacy aggiornato dal D.Lgs. 101/2018 governano il trattamento dei dati personali raccolti via sito: dati di registrazione, di acquisto, di navigazione, dati raccolti dai cookie e da strumenti di tracciamento. Il tema cookie ha una disciplina specifica nelle Linee guida del Garante del 10 giugno 2021, in vigore dal 10 gennaio 2022, che continuano a essere il riferimento operativo.
Sul fronte della qualità del prodotto, dal 1° gennaio 2022 si applica la disciplina della garanzia legale di conformità rivista dal D.Lgs. 170/2021, che ha recepito la direttiva (UE) 2019/771 e ha esteso le tutele anche ai beni con elementi digitali.
A queste regole orizzontali si aggiungono, per categorie specifiche di prodotti, normative dedicate: alimentari (Reg. UE 1169/2011), cosmetici, integratori, dispositivi medici, prodotti per l’infanzia, elettronica, gioielli. Chi vende prodotti regolamentati deve verificare la disciplina di settore in aggiunta a quanto vale per ogni ecommerce.
Documenti obbligatori e informazioni precontrattuali
Un ecommerce non si pubblica con il solo sito di vendita. Servono documenti legali, tutti accessibili dal sito in qualunque momento (di norma dal footer), che assolvono obblighi diversi:
- Termini e condizioni di vendita — il contratto tra venditore e acquirente. Disciplinano modalità d’ordine, prezzi, IVA, pagamenti, spedizioni, recesso, garanzia, foro competente, ODR. Non è un documento copia-incolla: va calibrato su modello di business (B2C/B2B), paesi serviti, categorie di prodotto.
- Informativa privacy — l’informativa ex artt. 13 e 14 GDPR, che dichiara titolare, finalità, basi giuridiche, categorie di destinatari, periodi di conservazione, diritti dell’interessato.
- Cookie policy — informativa dedicata ai cookie e agli strumenti di tracciamento, separata dall’informativa generale, raggiungibile dal banner.
- Informazioni precontrattuali ex art. 49 Codice del Consumo — l’elenco delle informazioni che il professionista deve fornire al consumatore prima della conclusione del contratto: caratteristiche essenziali del bene, identità del venditore, prezzo totale comprensivo di imposte e spese, modalità di pagamento e consegna, durata del contratto, diritto di recesso, garanzia legale.
- Modulo tipo di recesso — il modulo standard previsto dall’allegato I del Codice del Consumo, da mettere a disposizione dell’utente.
- Dati identificativi del venditore — denominazione, sede legale, P.IVA, iscrizione al REA, indirizzo email, PEC, eventuali autorizzazioni. Accessibili in maniera diretta e permanente.
L’errore più frequente è scaricare un set di termini generico da internet e attaccarlo al sito. È un errore con due ricadute: contratto debole e non aderente alle prassi operative reali del venditore, e maggiore esposizione in caso di contestazione, perché i termini contraddicono ciò che il sito comunica in carrello e in checkout. Per la struttura puntuale dei documenti, contenuti minimi e modalità di pubblicazione, rimandiamo all’approfondimento sulle condizioni di vendita e gli altri documenti obbligatori di un ecommerce.
Diritto di recesso: 14 giorni e una decina di eccezioni che vanno gestite
Nei contratti a distanza il consumatore ha il diritto di recedere entro 14 giorni dalla ricezione del bene, senza dover fornire alcuna motivazione e senza penali. Il termine è quello del Codice del Consumo e non può essere ridotto: ridurlo è una clausola vessatoria nulla, anche se inserita nei termini.
Tre punti che operativamente fanno la differenza. Primo: se il professionista non informa correttamente il consumatore del diritto di recesso, il termine si estende automaticamente a 12 mesi e 14 giorni dalla ricezione del bene (art. 53 Codice del Consumo). È la sanzione “implicita” più costosa, perché molti ecommerce non gestiscono l’informativa con la formalità richiesta e si ritrovano clienti che recedono dopo mesi.
Secondo: il rimborso deve avvenire entro 14 giorni dalla comunicazione del recesso, con lo stesso mezzo di pagamento usato dal consumatore, salvo diverso accordo. Il venditore può però trattenere il rimborso finché non riceve il bene o la prova della spedizione.
Terzo: le eccezioni. L’art. 59 Codice del Consumo elenca i casi in cui il recesso non si applica — beni confezionati su misura o personalizzati, beni sigillati che, per ragioni igieniche, non si prestano alla restituzione dopo l’apertura, contenuti digitali non forniti su supporto materiale (a condizioni precise), beni deteriorabili. Conoscere queste eccezioni serve perché chi vende prodotti che vi rientrano deve segnalarlo in modo chiaro al consumatore prima dell’ordine, altrimenti il diritto di recesso rimane esercitabile a tutti gli effetti.
Tempi, modalità di esercizio, gestione operativa del reso e casi particolari sono trattati nell’approfondimento dedicato al diritto di recesso nell’ecommerce, dove trovi anche un modello di come strutturare la pagina recesso del sito in modo conforme.
Garanzia legale di conformità: cosa è cambiato dal 2022
Dal 1° gennaio 2022 si applica la nuova disciplina della garanzia legale di conformità, introdotta dal D.Lgs. 170/2021 di recepimento della direttiva (UE) 2019/771. Tre novità sostanziali, valide per ogni vendita B2C:
La nozione di “difetto” è stata sostituita da quella più ampia di non conformità, che si verifica quando il bene non corrisponde a quanto pattuito o non possiede i requisiti di conformità oggettivi (idoneità all’uso, durabilità, presenza di accessori e istruzioni, aggiornamenti per i beni con elementi digitali).
La presunzione di anteriorità del difetto è stata estesa da 6 a 12 mesi: se il consumatore manifesta la non conformità entro un anno dalla consegna, si presume che esistesse già al momento della consegna ed è il venditore a dover provare il contrario. Operativamente significa che, per il primo anno, la palla è quasi sempre in mano al venditore.
La durata resta di 2 anni dalla consegna; può essere ridotta — ma mai sotto un anno — solo per i beni usati e a patto che la riduzione sia chiaramente comunicata al consumatore prima dell’acquisto. I rimedi a disposizione del consumatore restano riparazione, sostituzione, riduzione del prezzo o risoluzione del contratto, ma vanno richiesti in un ordine preciso (prima il ripristino, poi gli altri).
La garanzia legale è a carico del venditore, non del produttore. Indirizzare il cliente direttamente al produttore non è un comportamento legittimo. La garanzia convenzionale (quella commerciale del produttore o del venditore) è una tutela aggiuntiva, non sostitutiva.
Per la gestione operativa di reclami, contestazioni e contestazioni di non conformità — con uno sguardo anche al ruolo dell’ODR europeo e alla strategia per non trasformare ogni reclamo in un costo non recuperabile — vale la pena leggere come funziona la garanzia legale e come gestire i reclami nell’ecommerce.
Privacy, GDPR e cookie: cosa serve, in concreto
Un ecommerce è una macchina che produce dati personali in continuazione: account, ordini, indirizzi, log di navigazione, tracciamenti pubblicitari, profili comportamentali. Il GDPR impone un set di obblighi precisi:
Informativa privacy chiara, completa, separata dall’informativa cookie, accessibile dal footer e nei momenti in cui si raccolgono dati (registrazione, checkout, newsletter). Deve indicare titolare, dati di contatto del DPO se nominato, finalità, basi giuridiche, destinatari, eventuali trasferimenti extra-UE, periodi di conservazione, diritti dell’interessato.
Basi giuridiche corrette. Non tutto si può raccogliere “perché serve”. L’esecuzione del contratto giustifica la raccolta dei dati necessari all’ordine; il consenso serve per il marketing diretto e per molti tracciamenti; il legittimo interesse va valutato caso per caso ed è meno solido di quanto venga spesso raccontato.
Registro dei trattamenti, anche in versione semplificata per le PMI, ma comunque presente.
Misure di sicurezza adeguate (cifratura, accessi, backup, gestione delle vulnerabilità) e procedure di data breach.
Nomine dei responsabili (DPA, art. 28 GDPR) per ogni fornitore che tratta dati per conto del titolare: piattaforma, hosting, gateway di pagamento, servizio di email marketing, gestionale, magazzino, courier. Lavorare con un responsabile senza DPA significa essere in violazione, anche se “tutto funziona”.
Per gli adempimenti privacy concreti calati su un ecommerce — non la teoria del GDPR, ma cosa scrivere nell’informativa, come gestire newsletter e marketing, dove cadono i progetti più piccoli — rimandiamo al pillar pratico su privacy e GDPR per ecommerce.
Sul fronte cookie, le Linee guida del Garante del 2021 hanno alzato l’asticella: il cookie wall semplice è fuori legge, il pulsante “Accetta tutti” e il pulsante “Rifiuta” devono avere pari dignità grafica, lo scroll non vale come consenso, il consenso va raccolto in modo granulare. Le sanzioni in materia, negli ultimi anni, non sono mai state simboliche. Per impostare un banner cookie conforme senza danneggiare l’esperienza utente — un equilibrio che è uno dei nodi reali del settore — si veda l’approfondimento sulla normativa cookie per ecommerce.
A questo blocco si lega l’area delle comunicazioni commerciali, spesso trascurata. Email marketing e notifiche promozionali richiedono consenso preventivo, libero e specifico, con l’eccezione del cosiddetto soft spam dell’art. 130 Codice Privacy: chi acquista può ricevere email su prodotti simili dello stesso venditore, salvo opposizione espressa al momento della raccolta e in ogni successiva comunicazione. La newsletter ai non clienti richiede invece sempre il consenso esplicito. Sui prezzi, dal 2023 si applica la direttiva Omnibus (D.Lgs. 26/2023): chi comunica una riduzione di prezzo deve indicare anche il prezzo più basso applicato nei 30 giorni precedenti, regola spesso ignorata e fortemente controllata. La stessa direttiva impone trasparenza sulle recensioni: come sono raccolte, chi le pubblica, se vengono verificate. Recensioni inventate o filtrate per nascondere quelle negative sono pratiche scorrette sanzionabili.
I rischi che pesano davvero
Conoscere la normativa non serve a evitare ogni rischio: serve a sapere dove si concentrano i rischi che pesano. In un ecommerce in Italia, oggi, i fronti più costosi sono tre.
Il primo è la privacy, perché il Garante ha intensificato i controlli e perché un’informativa difettosa o un cookie banner non conforme sono difetti visibili dall’esterno in pochi minuti. Le sanzioni vanno dalle migliaia alle centinaia di migliaia di euro, in proporzione al fatturato. Il secondo è il diritto di recesso, dove la sanzione implicita dei 12 mesi e 14 giorni può tradursi in resi inattesi mesi dopo la consegna. Il terzo è la garanzia legale, perché la nuova presunzione di anteriorità sposta a carico del venditore l’onere della prova nel primo anno e rende quasi impossibile sottrarsi a riparazioni o sostituzioni.
Una conformità solida ha un costo, ma è quasi sempre molto inferiore al costo di una contestazione o di una sanzione. Il modo più sano di affrontare il tema è considerarlo parte del prodotto, non un dazio: un sito ben fatto sul piano legale comunica al cliente che sta acquistando da un venditore serio, e questo nel medio periodo si traduce anche in conversioni e in tasso di reso più bassi.
Domande frequenti
Si può iniziare a vendere online senza tutti i documenti legali?
No. I documenti legali (termini di vendita, informativa privacy, cookie policy, informazioni precontrattuali) sono obbligatori e devono essere pubblicati prima di accettare il primo ordine. Vendere senza di essi espone a sanzioni del Garante Privacy, a contestazioni dei consumatori e a clausole contrattuali nulle o inefficaci. È una delle prime cose da chiudere nella fase di pre-lancio, non un’attività rinviabile.
Le condizioni di vendita possono essere quelle scaricate da un modello online?
I modelli generici sono un punto di partenza, mai un punto di arrivo. Le condizioni vanno calibrate sul modello di business (B2C, B2B, abbonamento, dropshipping), sui paesi serviti, sulle categorie merceologiche e sulle prassi reali del venditore. Un modello copia-incolla che contraddice quanto avviene in checkout o in spedizione è inutile in caso di contestazione e può esporre a sanzioni.
Quanto dura davvero il diritto di recesso?
Quattordici giorni dalla ricezione del bene, ma solo se il venditore ha informato il consumatore in modo corretto e con tutti gli elementi richiesti dal Codice del Consumo. In assenza di informativa adeguata, il termine si allunga automaticamente a dodici mesi e quattordici giorni. È la ragione per cui chi vende online non può improvvisare l’informativa sul recesso: la sanzione è incorporata nella norma stessa.
Il GDPR si applica anche a un piccolo ecommerce con pochi ordini al mese?
Sì, senza soglie minime. Il GDPR si applica a chiunque tratti dati personali nel territorio dell’Unione o di interessati che si trovano nell’Unione. La dimensione dell’attività incide su alcuni obblighi accessori (come il dettaglio del registro dei trattamenti o la nomina obbligatoria di un DPO), ma non sui principi: informativa, basi giuridiche, sicurezza, gestione dei diritti dell’interessato valgono per tutti.
Garanzia legale e garanzia commerciale del produttore sono la stessa cosa?
No. La garanzia legale di conformità è prevista dal Codice del Consumo, dura due anni, è a carico del venditore e copre la conformità del bene rispetto al contratto. La garanzia commerciale (o convenzionale) è un’offerta facoltativa del venditore o del produttore, può aggiungere tutele ma non può sostituire quella legale né limitarla. Indirizzare il cliente alla “garanzia del produttore” per scaricare la responsabilità è un comportamento non legittimo.
