E-commerce e tutela dei dati personali: quando la registrazione obbligatoria viola il GDPR

Il Board europeo per la protezione dei dati ridefinisce i limiti dell’account imposto e valorizza il “guest checkout”

L’acquisto di beni e servizi tramite piattaforme digitali rappresenta oggi una prassi diffusa e consolidata, capace di incidere profondamente sulle abitudini di consumo. Tuttavia, la crescente pervasività del commercio elettronico pone interrogativi rilevanti sul piano della tutela dei dati personali, soprattutto nei casi in cui l’accesso alle funzionalità di acquisto venga subordinato alla creazione obbligatoria di un account utente.

La questione si colloca all’incrocio tra libertà d’impresa, esigenze organizzative degli operatori economici e diritti fondamentali degli utenti, primo fra tutti il diritto alla protezione dei dati personali. In tale contesto, le recenti Raccomandazioni n. 2/2025 dell’European Data Protection Board (EDPB), adottate nel dicembre scorso, offrono indicazioni di particolare rilievo, chiarendo quando l’obbligo di registrazione risulti incompatibile con il Regolamento generale sulla protezione dei dati (GDPR) e quando, invece, possa ritenersi giuridicamente giustificato.

La registrazione obbligatoria come pratica non neutra

Secondo l’EDPB, l’imposizione sistematica della creazione di un account per concludere un acquisto online non può essere considerata una scelta meramente tecnica o organizzativa. Al contrario, essa integra una pratica commerciale che incide in modo significativo sul trattamento dei dati personali e che, pertanto, deve essere valutata alla luce dei principi di liceità, necessità e proporzionalità sanciti dal GDPR.

L’obbligo di registrazione comporta, infatti, una serie di rischi che vanno oltre la possibilità di violazioni o accessi non autorizzati ai dati. Tra questi rientrano la raccolta eccedente rispetto alle finalità dell’operazione, la conservazione dei dati per periodi non strettamente giustificati, il monitoraggio sistematico delle interazioni dell’utente e il possibile riutilizzo delle informazioni per scopi ulteriori, quali la profilazione commerciale o il marketing comportamentale.

In particolare, nei casi di acquisti sporadici o occasionali, la registrazione forzata finisce per comprimere la libertà di autodeterminazione dell’utente, ampliando l’impatto del trattamento ben oltre quanto necessario per la semplice esecuzione della transazione.

Ambito di applicazione delle raccomandazioni

Le indicazioni dell’EDPB si rivolgono specificamente alle piattaforme di commercio elettronico, comprese quelle che operano come intermediari tra venditori professionali e consumatori. Restano invece esclusi dall’ambito applicativo altri servizi digitali, quali i social network, i motori di ricerca, i servizi audiovisivi, le applicazioni software online e i siti di informazione, nonché le piattaforme che facilitano lo scambio di beni o servizi tra privati.

Questa delimitazione consente di concentrare l’analisi su quei modelli di business in cui la registrazione dell’utente viene spesso utilizzata come strumento di fidelizzazione e profilazione, piuttosto che come requisito essenziale per la conclusione del contratto.

Le basi giuridiche alla prova del GDPR

Uno dei profili centrali affrontati dal Board riguarda l’individuazione delle possibili basi giuridiche che potrebbero legittimare l’obbligo di creare un account, ai sensi dell’articolo 6 del GDPR.

Con riferimento all’esecuzione del contratto, l’EDPB adotta una posizione particolarmente rigorosa: per le vendite occasionali di beni o servizi, la registrazione non può essere considerata necessaria. I dati indispensabili per la gestione dell’ordine — come le informazioni di spedizione e di pagamento — possono essere raccolti legittimamente anche mediante modalità alternative, quali l’acquisto come ospite (guest checkout).

Diverso è il discorso per i servizi in abbonamento o per le offerte riservate a comunità chiuse e selezionate. In tali ipotesi, la creazione di un account può essere giustificata solo se l’appartenenza alla comunità costituisce un elemento essenziale del rapporto contrattuale. Non è invece sufficiente, ai fini della liceità del trattamento, offrire vantaggi economici o sconti accessibili a chiunque decida di registrarsi.

Quanto alla base giuridica dell’obbligo legale, il Board precisa che l’imposizione di un account è ammissibile esclusivamente quando una norma dell’Unione europea o del diritto nazionale lo preveda espressamente. Nella prassi, tuttavia, la maggior parte degli obblighi normativi in materia fiscale o contabile richiede soltanto la raccolta di determinati dati, obiettivo che può essere raggiunto anche senza l’attivazione di un profilo permanente.

Infine, l’EDPB esamina il ricorso al legittimo interesse del titolare del trattamento, sottolineando come esso debba sempre confrontarsi con il principio di minimizzazione dei dati. Esigenze quali la gestione degli ordini, la prevenzione delle frodi o l’assistenza post-vendita non rendono di per sé necessaria la creazione di un account, potendo essere soddisfatte attraverso soluzioni meno invasive per la sfera privata dell’utente.

Il guest checkout come modello conforme alla privacy by design

Alla luce di tali considerazioni, il Board afferma che un e-commerce conforme al GDPR deve offrire, come regola generale, un’alternativa alla registrazione obbligatoria. La possibilità di effettuare acquisti come ospite non rappresenta soltanto una scelta tecnica, ma costituisce l’opzione maggiormente coerente con il principio di protezione dei dati by design e by default, sancito dall’articolo 25 del GDPR.

I sistemi digitali, in questa prospettiva, devono essere progettati fin dall’origine per limitare la raccolta dei dati allo stretto necessario e per garantire, come impostazione predefinita, il massimo livello di tutela della riservatezza dell’utente.

Le Raccomandazioni n. 2/2025 dell’EDPB segnano un passaggio significativo nel bilanciamento tra libertà economica degli operatori del commercio elettronico e diritti fondamentali dei consumatori. L’account obbligatorio non può più essere considerato la norma, ma deve rimanere un’eccezione, giustificata solo quando risulti strettamente necessaria e sorretta da una base giuridica adeguata.

In questo quadro, la protezione dei dati personali non può essere demandata a scelte successive dell’utente, ma deve essere integrata strutturalmente nella progettazione delle piattaforme digitali. Solo così è possibile evitare trattamenti sproporzionati o eccedenti rispetto alle finalità perseguite, realizzando un equilibrio effettivo tra innovazione commerciale e tutela della persona.