Spesso tutto comincia da una schermata innocua. Il fondatore controlla i visitatori del giorno prima, i carrelli abbandonati, le pagine che hanno funzionato e quelle che invece hanno creato problemi. La dashboard aiuta a gestire scorte, prezzi, campagne e assistenza. Sembra lontana da norme, contratti e obblighi di segnalazione delle violazioni.
Poi la sensazione di sicurezza si interrompe. L’11 giugno 2026 Rijksoverheid ha comunicato che un hacker etico aveva segnalato alla Belastingdienst la presenza di Adobe Analytics sui siti web della stessa amministrazione. Dati sul comportamento degli utenti erano stati inviati ad Adobe senza consenso. La funzionalità è stata disattivata, l’Autoriteit Persoonsgegevens è stata informata ed è stata presentata una notifica di datalek. Era inoltre in corso una ricognizione degli strumenti analoghi.
La lezione per le imprese è semplice. Non è soltanto unavicenda che riguarda la pubblica amministrazione. È un segnale per ogni azienda che abbia un sito web. L’analisi dei dati non è solo una dashboard. Fa parte della catena dei controlli.
Lo script fa parte della catena dei controlli
La Belastingdienst occupa una posizione particolare. Gestisce dati fiscali, servizi collegati all’identità e un patrimonio rilevante di fiducia pubblica. Il peso istituzionale, quindi, è maggiore. Ma i meccanismi sono gli stessi che si ritrovano nelle piccole imprese. Si aggiunge uno script, un fornitore riceve dati, l’informativa sui cookie dice una cosa e il sito pubblicato ne fa un’altra.
Alla base, la disciplina olandese sui cookie non è complessa. L’articolo 11.7a della Telecommunicatiewet richiede in linea generale informazioni chiare e il consenso preventivo prima di memorizzare o leggere informazioni sul dispositivo dell’utente, salvo che ricorra un’eccezione. Le indicazioni di Rijksoverheid spiegano che i cookie funzionali e alcuni cookie analitici a basso impatto possono non richiedere il consenso. I cookie di tracciamento, invece, lo richiedono. Se vengono trattati dati personali, si applica anche l’AVG.
Questa è la linea concreta. L’analisi dei dati è possibile. Il punto debole è l’analisi fatta alla cieca. Un’azienda deve sapere che cosa misura, quale strumento effettua la misurazione, quali dati escono dal sito e se la documentazione corrisponde alla configurazione effettiva.
Rijksoverheid ha inoltre inserito l’incidente in un più ampio programma di autonomia digitale della Belastingdienst. Il programma prevede più sviluppo interno, una gestione diretta delle attività IT, il ricorso all’open source e un’evoluzione dei rapporti con i fornitori. Il segnale per le imprese non è ideologico. Se un’organizzazione non sa spiegare e governare la propria catena tecnologica, diventa più difficile conservare la fiducia.
La versione della piccola impresa
Immaginiamo un piccolo commerciante online di Utrecht. Il titolare vuole dati migliori sul tasso di conversione prima dei saldi estivi. Un’agenzia web aggiunge un tag manager, uno strumento di analisi, un pixel di marketing e una mappa di calore. In seguito, un fornitore di servizi di pagamento inserisce un proprio script. Passano i mesi. L’informativa sulla privacy continua a descrivere semplici statistiche sul sito.
Nessuno aveva intenzione di creare un problema di conformità. È proprio per questo che il tema conta. Le carenze nei controlli del sito non nascono quasi mai in consiglio di amministrazione. Si accumulano attraverso piccoli cambiamenti, vecchi accessi dell’agenzia, correzioni rapide per una campagna e strumenti che nessuno rimuove quando la campagna è finita.
Lo stesso schema si ritrova nei siti per prenotazioni, nelle pagine dedicate alla selezione del personale, nei portali clienti, negli ambienti di caricamento dei documenti degli studi professionali e nei prodotti SaaS. I clienti non li vivono come aree tecniche separate. Vedono una sola azienda. Se la pagina di accesso, il pagamento e il livello di analisi dei dati non parlano la stessa lingua sul piano della conformità, la fiducia si disperde nei punti di raccordo.
Un banner per il consenso serve solo se riflette il sito reale. Non può rimediare a un insieme di strumenti che nessuno ha mappato. Un’informativa sulla privacy non può reggere il peso della situazione se gli script vengono aggiunti senza una verifica. La domanda seria per il fondatore è semplice: chi è responsabile del sito dopo la sua pubblicazione?
Quando la conformità incide sulla liquidità
Il tema sembra riguardare la conformità normativa, ma l’effetto sulla liquidità è concreto. Se un’azienda scopre che la propria configurazione di analisi è sbagliata, il costo non si limita a una verifica legale. Occorre esaminare il sito, identificare gli strumenti, ripulire il tag manager, confrontarsi con i fornitori, aggiornare le informative, verificare i contratti sul trattamento dei dati e valutare i trattamenti a maggiore rischio.
Il manuale AVG di Rijksoverheid stabilisce che una DPIA è necessaria prima di un trattamento quando il trattamento previsto dei dati personali può verosimilmente comportare un rischio elevato per le persone. Il manuale illustra anche il termine di 72 ore per notificare una violazione di dati personali all’Autoriteit Persoonsgegevens quando la notifica è richiesta, oltre all’obbligo di documentare internamente le violazioni. Se un responsabile esterno tratta dati personali, la disciplina richiede un accordo sul trattamento in forma scritta o elettronica, oppure un altro atto giuridico vincolante.
Per una microimpresa, questa pressione è molto concreta. Un sistema di prenotazione fermo ritarda gli incassi. Rifare il percorso di pagamento costa. Un’analisi dei dati più pulita può ridurre le informazioni comportamentali disponibili e rendere per un periodo meno agevoli le decisioni di marketing. D’altra parte, una dotazione tecnologica più contenuta può semplificare la gestione. Meno strumenti significano meno contratti, meno impostazioni e meno sorprese.
È qui che il registro contabile incontra il sito web. La fattura dello strumento di analisi è visibile. Il costo nascosto di un controllo insufficiente arriva dopo, quando l’azienda deve ricostruire che cosa è accaduto.
Una responsabilità più ordinata
Il primo passo sensato è assegnare una responsabilità. Una persona deve sapere quali script funzionano sul sito pubblico, nel percorso di pagamento, nel portale, nella pagina per il recruiting e nel processo di prenotazione. Non deve essere un avvocato. Deve però avere abbastanza autorità per porre domande semplici all’agenzia web, al team marketing e al fornitore software, e per pretendere risposte chiare.
Le domande utili sono concrete. Quali cookie e strumenti di tracciamento funzionano prima del consenso? Quali fornitori ricevono i dati? Sono coinvolti indirizzi IP, identificativi degli account, riferimenti alle transazioni o percorsi delle pagine? L’informativa sui cookie descrive la configurazione effettiva? Chi può aggiungere un tag? Quali vecchi strumenti e quali account dell’agenzia hanno ancora accesso?
Le aziende che gestiscono documenti dei clienti, dati sulle retribuzioni, fascicoli fiscali, informazioni sanitarie, candidature o documenti finanziari devono prestare particolare attenzione a portali e caricamenti. L’analisi dei dati lungo percorsi sensibili merita un controllo più rigoroso rispetto a quella effettuata su una semplice pagina istituzionale. Lo stesso vale per gli ambienti di accesso e per i pagamenti, dove i clienti si aspettano attenzione anche se non leggono mai l’informativa sulla privacy.
Preferirei che una piccola impresa mantenesse un sistema di analisi dei dati modesto, ma spiegabile, invece di una dashboard impressionante che non è in grado di difendere. L’incidente della Belastingdienst mostra quanto rapidamente uno strumento di misurazione possa diventare un problema di consenso, di fornitore, di violazione e, infine, di fiducia.
Di nuovo davanti alla dashboard
Torniamo al fondatore che guarda i visitatori del giorno prima. La dashboard resta utile. Può aiutare a gestire scorte, prezzi, campagne e assistenza. Ma non dovrebbe più stare fuori dal sistema dei controlli. Un sito web non è finito quando ha un bell’aspetto. È finito quando l’azienda sa che cosa invia, perché lo invia, chi lo riceve e dove quella decisione è stata registrata.
Vuole discutere cosa significa questo per la sua azienda?
I dati, le fonti e l’analisi alla base di questo articolo sono stati elaborati da Paolo Maria Pavan. L’AI non è stata usata per individuare le fonti, costruire la base fattuale o formulare il giudizio analitico qui contenuto. L’AI è stata usata solo come supporto alla redazione. Il testo italiano definitivo è stato rivisto, modificato e approvato personalmente da Paolo Maria Pavan prima della pubblicazione.
