Chiunque abbia acquistato qualcosa online, prima o poi si è imbattuto nella schermata “Per continuare, registrati”. La registrazione dell’account obbligatorio è un passaggio che molti utenti accettano passivamente, ma che può avere diverse implicazioni sul piano della protezione dei dati personali. Sul tema degli account obbligatori nel mondo del commercio online si è espresso l’European Data Protection Board. Nel tentativo di fare chiarezza, a dicembre 2025 ha aperto la consultazione pubblica (terminata a febbraio 2026) delle Raccomandazioni 2/2025 sulla base giuridica per l’obbligo di creazione di account utente sui siti web e-commerce. Vediamo perché è utile conoscerle anche prima della versione finale.
Indice
Perché la registrazione obbligatoria può essere un problema di privacy
Perché l’EDPB considera la pratica della registrazione obbligatoria di un account potenzialmente rischiosa per i diritti degli utenti?
Partiamo da come si interpreta il concetto di account. Ai fini delle Raccomandazioni, un “account utente online” è inteso come uno spazio personale online assegnato a un utente, o a più utenti tramite profili distinti, accessibile mediante un meccanismo di autenticazione basato su identificativo e password. Sono quindi esclusi gli spazi solo temporaneamente accessibili tramite token monouso. L’EPBD si rivolge, con questa attenzione, agli e-commerce professionali, ai marketplace online, e alle web app con funzioni analoghe, in cui è frequente la prassi di imporre la registrazione di un account prima di poter effettuare un acquisto. Sono invece espressamente escluse dall’ambito le piattaforme di contatto tra privati (es. vendite non professionali), così come i marketplace integrati nei social media, o altri servizi (es. audiovisivi e siti di informazione).
L’EDPB individua diversi ordini di rischi che la registrazione obbligatoria introduce o aggrava per i diritti degli interessati.
Identificazione sistematica e non necessaria
Richiedere la creazione di un account incentiva lo sviluppo di ambienti digitali in cui l’utente è identificato in modo continuativo per qualsiasi azione (acquisti, navigazione, accesso ai contenuti), con la conseguenza che vengono raccolte e trattate quantità di dati significativamente maggiori rispetto a quanto strettamente necessario, inclusi dati inferiti o prodotti dal titolare a partire dal comportamento dell’interessato.
Eccessiva conservazione di dati personali
L’uso di account registrati comporta spesso la permanenza di dati personali in database attivi per un tempo molto superiore a quello che sarebbe effettivamente necessario per la gestione di un ordine, con la conseguenza che, in mancanza di una richiesta esplicita di cancellazione da parte dell’interessato, i dati rimangono nel sistema anche se l’account non viene più utilizzato. Questo, a sua volta, porta a una maggiore esposizione al rischio per i dati degli account, potenzialmente oggetto di violazioni e attacchi ai sistemi del venditore, dei suoi fornitori, o a usi impropri interni, intenzionali o accidentali. Rischi che risulterebbero notevolmente ridotti dalla sola conservazione separata di dati in archivio per finalità fiscali e contabili.
Rischi di sicurezza delle credenziali
L’EDPB mette poi in allerta contro il rischio di uso fraudolento degli account. In caso di sottrazione di dati, questi possono essere usati per furto d’identità, per fare ordini a nome dell’utente o condurre attività di phishing. Il rischio è facilitato dalle diffuse cattive prassi di riutilizzare password uguali su più sistemi, ma anche da altri metodi per aggirare le funzioni di “reset password” nei casi in cui un attaccante abbia già accesso alla casella email dell’interessato. Per i casi di piattaforme che sfruttano sistemi di single sign-on, il potenziale impatto di una potenziale è più ampio, poiché nel caso di compromissione dell’account, tutti i servizi collegati diventano vulnerabili.
Profilazione illecita e dark-patterns
Infine, gli ambienti accessibili tramite autenticazione facilitano la raccolta, la registrazione della cronologia di navigazione, il preciso tracciamento del comportamento dell’utente, e la combinazione di dati raccolti su canali diversi, andando a caratterizzare forme di profilazione che raramente sono presentate in maniera trasparente, e spesso non sono supportate da una base giuridica adeguata. Pratica analogamente poco corretta, riguarda il posizionamento del processo di registrazione tra la “conferma del carrello” e il pagamento. In questa fase, è infatti più facile strappare un consenso per finalità estranee alla pura intenzione d’acquisto e senza la piena consapevolezza dell’utente.
[leggi anche Dark patterns nel web-design: il lato oscuro è più forte (della legge)?]
Tutti questi rischi sono intrinseci all’uso di qualsiasi account online, ma sono visti come significativamente più gravi se l’utente non dispone di un’alternativa. L’assenza della modalità ospite trasformerebbe dei rischi gestibili in una forma d’imposizione.
L’analisi delle basi giuridiche per la registrazione obbligatoria degli account
Nel contesto degli e-commerce, le basi tipicamente invocate per giustificare la registrazione obbligatoria sono l’esecuzione del contratto, l’obbligo di legge o il legittimo interesse del titolare. In quali scenari la registrazione è davvero necessaria, e quando esistono modalità alternative meno invasive?
Account obbligatorio per esecuzione del contratto
L’art. 6.1.b del GDPR consente un trattamento di dati personali quando questo “è necessario per eseguire un contratto di cui l’interessato è parte”. Mentre il focus di questa base giuridica solitamente si rivolge sul contratto, spesso resta ignorato il trattamento del dato deve rispondere al principio di necessità, deve essere indispensabile.
Lo scenario più comune è quello dell’acquisto una tantum (di un capo d’abbigliamento, un libro, un elettrodomestico, ecc.), che potrebbe essere eseguito normalmente con le modalità guest. Per e-commerce di questo tipo, aperti a tutti, la registrazione obbligatoria di un account NON supera il test di necessità.
La registrazione obbligatoria viene tendenzialmente esclusa anche per lo scenario degli acquisti condizionati (es. prodotti medicali riservati a professionisti, offerte per studenti), salvo che non esistano soluzioni alternative meno invasive della registrazione per verificare gli specifici requisiti. Normalmente, infatti, l’uso di semplici form dovrebbe consentire di acquisire le informazioni necessarie per autorizzare l’acquisto, mantenendo logiche di cancellazione immediata o quasi immediata dei dati a verifica avvenuta.
Tra le ragioni per motivare la registrazione obbligatoria, viene spesso richiamata la gestione di servizi post-vendita (es. resi, reclami, garanzie contrattuali), ma anche stavolta, l’EDPB ritiene che sia un tipo di servizi che possono essere erogati senza account, ad esempio ricorrendo a sistemi che consentono di creare un collegamento diretto tra la richiesta del consumatore e il suo specifico ordine.
Riflessioni che possono essere diverse, si aprono invece negli specifici casi di iscrizione a servizi in abbonamento o ricorrenti, che per loro natura richiedono interazioni periodiche, o l’accesso a offerte esclusive limitate a specifici gruppi chiusi (es. cooperative di acquisto). In questi casi, un account può essere effettivamente necessario per l’esecuzione del contratto.
Account obbligatorio per il rispetto della legge
L’EDPB riconosce che alcune legislazioni prevedono obblighi specifici (es. vendita di farmaci, gioco d’azzardo, alcol), ma questi casi sono espressamente esclusi dall’ambito delle Raccomandazioni.
Per gli e-commerce ordinari, gli obblighi relativi alla conservazione di dati fiscali può avvenire in assenza di account registrati, semplicemente archiviando fatture e documenti di contabilità.
In ogni caso, in presenza di specifici termini di legge, è opportuno indicarli in modo chiaro e preciso.
Account obbligatorio per il legittimo interesse del titolare
Dall’esame degli scenari di trattamento dati basati sul legittimo interesse tipicamente invocati dai gestori di e-commerce, emerge che difficilmente l’impianto dell’account obbligatorio supera un test di bilanciamento completo. Attività quali il tracciamento o la modifica degli ordini possono essere perseguite anche con soluzioni alternative (es. link di tracking inviati tramite email), ancora un volta in violazione del principio di necessità. La possibilità di offrire servizi di profilazione, svolgere iniziative di fidelizzazione del cliente, o soluzioni per facilitare acquisti futuri, o hanno carattere speculativo (ignorano la libera scelta del consumatore) o richiederebbero, tipicamente, un consenso esplicito che non può essere imposto come condizione d’acquisto.
[leggi anche Il Legittimo Interesse come Base Giuridica: Strumenti e Limiti Operativi)]
La “guest mode” come standard di riferimento
Le Raccomandazioni EDPB 2/2025 attualmente disponibili non sono ancora il testo definitivo, saranno valutati i feedback forniti durante la consultazione pubblica prima di essere finalizzate. Non si tratterà nemmeno di atti normativi vincolanti in senso stretto. Non hanno forza di legge ma il loro peso pratico non va sottovalutato: linee guida e raccomandazioni del Comitato europeo costituiscono il riferimento interpretativo principale per le Autorità Garanti nazionali, che hanno già iniziato a tenerne conto nelle proprie decisioni sui reclami e nell’orientamento della propria attività.
Detto questo, la consultazione pubblica ha prodotto varie osservazioni critiche, tecniche e operative di rilievo. Si richiamano esempi di scenari e contesti non considerati dall’EDPB in cui la registrazione obbligatoria risponderebbe a esigenze concrete e proporzionate. La versione definitiva delle Raccomandazioni potrebbe quindi introdurre criteri più sfumati. Ma non sembra essere messo in discussione il principio di fondo: che la registrazione obbligatoria debba essere l’eccezione e non la regola. In altre parole: attendere la versione definitiva prima di adeguarsi non è una strategia prudente. La posizione dell’EDPB è già chiara: la modalità guest è il modo migliore per rispettare il principio di privacy by design e by default sancito dall’art. 25 GDPR, consentendo di raccogliere solo i dati strettamente necessari alla transazione specifica, e senza creare un ambiente persistente di raccolta e analisi.
[leggi anche Privacy by design e privacy by default]
Per chi gestisce e-commerce, significa soprattutto la necessità di valutare o rivalutare il proprio modello di business, verificando se e quando la registrazione sia necessaria, e se l’obbligo di portarla a termine possa ricadere nei pochi casi “tollerati”. Diversamente, occorre assicurarsi di:
- Presentare le due opzioni “Crea account” o “Continua come ospite” chiaramente e fin dall’inizio del percorso d’acquisto, assicurandosi di non penalizzare la scelta guest in alcun modo (es. negando funzionalità essenziali all’acquisto)
- Eliminare eventuali dark patterns nel flusso di registrazione/acquisto, e in particolare evitare di inserire la richiesta di registrazione tra carrello e pagamento.
- Garantire che eventuali richieste di fornire dati aggiuntivi siano supportate da un’adeguata base giuridica (es. consenso specifico per iscrizione a newsletter/DEM).
Anche per chi si trova già a utilizzare soluzioni conformi, è in ogni caso suggerito di rivedere le proprie informative privacy alla luce delle Raccomandazioni, soprattutto verificando le basi giuridiche esplicitate per le diverse finalità di trattamento, o esplicitando più chiaramente le differenze nella gestione dei dati personali tra soluzione di acquisto in modalità guest vs. tramite account registrato.
