Molti siti di e-commerce richiedono agli utenti di creare un account per accedere alle offerte o completare un acquisto. Una pratica spesso giustificata da esigenze commerciali che, secondo l’European Data Protection Board (EDPB), comporta però rischi rilevanti per i diritti e le libertà degli interessati e deve essere valutata con attenzione alla luce del GDPR.

Le indicazioni dell’EDPB si rivolgono ai siti di commercio elettronico — incluse le piattaforme che operano come intermediari tra venditori professionali e consumatori — e non riguardano social network, marketplace social, motori di ricerca, servizi audiovisivi, applicazioni software o siti di informazione. Il Board mette in guardia contro la diffusione di ambienti logged-in, in cui l’utente è costantemente identificato per ogni attività: una scelta che aumenta i rischi di sicurezza e favorisce una raccolta eccessiva di dati.

Account obbligatori significano spesso accumulo non necessario di informazioni, tempi di conservazione prolungati, maggiore esposizione a violazioni, tracciamento sistematico delle attività e uso di design ingannevoli. Tutti elementi che rendono questa pratica ammissibile solo quando strettamente indispensabile.

Nel merito, le Raccomandazioni n. 2/2025, adottate nel dicembre scorso, chiariscono che l’account è solo uno strumento e deve poggiare su una base giuridica valida ai sensi dell’art. 6 GDPR. L’EDPB esamina tre possibili basi: esecuzione del contratto, obbligo legale e legittimo interesse.

Sull’esecuzione del contratto (art. 6.1.b), la posizione è netta: per una vendita occasionale non è mai necessario imporre la creazione di un account, poiché i dati essenziali possono essere raccolti tramite guest checkout. L’obbligo può invece essere giustificato nei servizi in abbonamento o nelle offerte riservate a comunità chiuse, purché l’appartenenza sia un elemento essenziale del contratto. Non è sufficiente, invece, offrire semplici sconti accessibili a chiunque si registri.

Quanto all’obbligo legale, l’account può essere imposto solo se una norma europea o nazionale lo richiede espressamente. Nella maggior parte dei casi, però, le leggi impongono solo la raccolta di dati per finalità fiscali o contabili, obiettivi raggiungibili anche senza creare ambienti logged-in.

Infine, sul legittimo interesse, l’EDPB chiarisce che esigenze come la gestione degli ordini, la prevenzione delle frodi o i servizi post-vendita non giustificano di per sé un account obbligatorio, soprattutto quando esistono alternative meno invasive.

La conclusione del Board è chiara: un e-commerce conforme al GDPR deve sempre offrire un’alternativa, consentendo all’utente di acquistare come ospite. Una scelta tecnicamente praticabile e pienamente coerente con il principio di protezione dei dati by design e by default sancito dall’art. 25 GDPR.