Le Raccomandazioni dell’European Data Protection Board (EDPB) n. 2/2025 rappresentano il primo intervento europeo strutturato sugli account obbligatori negli e-commerce. Collegano la pratica ai principi di liceità, trasparenza, minimizzazione, limitazione delle finalità e accountability dell’art. 5 GDPR.
Gli account obbligatori risultano ammissibili solo in casi limitati (abbonamenti, community chiuse, settori regolamentati), mentre, per gli acquisti ordinari, il Board considera conforme — e in molti casi necessario — offrire un guest checkout visibile e funzionale.
L’analisi approfondisce basi giuridiche (artt. 6(1)(b), 6(1)(c), 6(1)(f)), giurisprudenza della Corte di Giustizia dell’Unione Europea, implicazioni per piattaforme e processor e propone una checklist operativa per adeguare gli e-commerce ai nuovi standard europei.
Non è ancora il testo definitivo, ma è il benchmark che orienterà le Autorità.
Il 3 dicembre 2025 l’EDPB ha adottato le Recomendations n. 2/2025 on the legal basis requiring the creation of user accounts on e-commerce websites, aprendo una consultazione pubblica a livello europeo.
Queste Raccomandazioni non sono ancora soft law ma segnano in modo chiaro:
- un’interpretazione molto restrittiva dell’articolo 6 del GDPR per gli account obbligatori;
- l’estensione dei principi dell’art. 5 del GDPR agli ambienti autenticati degli e-commerce;
- la valorizzazione del guest checkout come configurazione coerente con il principio di privacy by design e by default.
Per chi gestisce la compliane, l’UX o l’architettura di un e-commerce, questo diventerà il nuovo standard europeo di riferimento.
Il cuore del problema: gli account obbligatori alla prova dell’art. 5 GDPR
L’EDPB sottolinea che imporre un account significa collocare l’utente in un ambiente permanente e identificato. Questo incide direttamente su vari principi fondamentali del GDPR.
- Liceità, correttezza e trasparenza (art. 5(1)(a)): l’utente che vuole solo conlcudere un acquisto può essere indotto, tramite design poco chiaro, a creare un account senza comprenderne gli effetti futuri, quali tracciamento, profilazione e/o la conservazione prolungata dei propri dati personali.
- Limitazione delle finalità (art. 5(1)(b)): i dati raccolti per finalità contrattuali vengono spesso trattati, dietro consenso inconsapevole dell’utente, per finalità di marketing, analytics o profilazione.
- Minimizzazione e conservazione (art. 5(1)(c) e 5(1)(e)): spesso gli account obbligatori comportano sempre una raccolta eccessiva di dati (es. username, data di nascita, preferenze), non necessari per la conclusione del contratto di vendita, ed una conservazione più lunga di quanto necessario, con la presenza di numerosi account “dormienti” ma ancora storati all’interno dei database delle aziende.
- Accountability (art. 5(2)): il titolare deve poter dimostrare documentalmente perchè la registrazione dell’utente sia obbligatoria per la conclusione del contratto di vendita del prodotto / servizio e per quali ragioni alternative meno invasive (come il “continua come ospite”) non fossero idonee alla conclusione del medesimo accordo.
Art. 6(1)(b) del GDPR dopo il caso Meta vs Bundeskartellamt: cosa significa “necessità”?
La Corte di Giustizia dell’Unione Europea, nel caso C-252/21 Meta v. Bundeskartellamt, ha chiarito che la “necessità” ai sensi dell’art. 6(1)(b) è strettissima:
“Il trattamento deve essere “oggettivamente indispensabile” a una funzionalità essenziale del contratto, non solo utile o conveniente”.
Tale principio, applicato all’e-commerce, si traduce inevitabilmente in:
- comprare un prodotto “una tantum” non richiede la registrazione obbligatoria;
- la possibilità diffusa del guest checkout è una prova empirica della non indispensabilità.
E i servizi complessi? L’errore più comune delle aziende.
Molti operatori invocano la complessità del servizio per giustificare l’obbligatorietà della registrazione dell’utente (es. prodotti IoT, licenze software, servizi misti prodotto-piattaforma).
Tuttavia, sul punto, l’EDPB è chiara nell’affermare che “anche quando l’account è ammesso, deve essere minimizzato internamente. Solo i dati strettamente necessari alla funzionalità essenziale possono essere trattati”.
Ciò significa che, ad esempio, se il dispositivo IoT richiede un’autenticazione per procedere ad un aggiornamento del firmware, ciò non giustifica la raccolta delle preferenze, dello storico degli acquisti o dei dati di marketing dell’utente in relazione a quella specifica finalità di trattamento.
Art. 6(1)(c): obblighi legali e casi in cui l’account può essere richiesto.
Gli obblighi fiscali e/o contabili, come ormai noto, non richiedono necessariamente la presenza di un account pre-esistente e persistente.
Occorre distinguere:
- l’obbligo di conservazione dei documenti
- l’obbligo di mantenimento di un account identificato.
Esistono però settori dove la legge può richiedere l’identificazione robusta dell’utente per motivi di interesse e/o ordine pubblico, come ad esempio:
- KYC / AML (gioielli, arte, finanza, crypto);
- vendita di farmaci, alcol, beni regolamentati;
- piattaforme che devono verificare l’identità degli utenti.
Anche qui, però, il principio resta lo stesso: “l’obbligo legale giustifica solo ciò che è strettamente richiesto dalla norma”, rimanendo esclusi dal campo di applicazione della legge tutti quei dati il cui trattamento non è necessario ai fini dell’adempimento dell’obbligo legale stesso.
Art. 6(1)(f): interesse legittimo e irrilevanza della “comodità operativa”
a. Gestione ordini e post-vendita
Uno dei motivi principali in base al quale le aziende sostengono la necessarietà della registrazione di un account da parte dell’Utente sia utile per resi, reclami e assistenza.
Tuttavia, L’EDPB risponde: se puoi farlo tramite link univoci, email sicure o tracking alternativo, l’account non è necessario.
Il risparmio di costi o la maggiore comodità NON superano il bilanciamento tra interessi del controller e diritti degli utenti.
b. Sicurezza e prevenzione frodi
Un altro caso, trattato dall’EDPB nelle proprie raccomandazioni, riguarda i controlli antifrode, anch’essi spesso utilizzati dalle aziende come giustificativo per la creazione obbligatoria di un account e la raccolta dei dati personali dell’Utente al momento della conclusione del contratto di vendita.
Tuttavia, rileva il Board, i controlli antifrode più efficaci avvengono:
- a livello di PSP,
- tramite sistemi antifrode,
- tramite monitoraggio sicurezza
e non tramite “account cliente”, non essendo necessaria la sua esistenza per l’esecuzione dei menzionati controlli.
c. Personalizzazione e marketing
In ultimo, tra le pratiche più diffuse nell’imporre all’Utente la creazione di un account, si annida la raccolta dei suoi dati personali per finalità di profilazione e/o di marketing, che, tuttavia, come noto, richiedono il consenso libero ed esplicito dell’Utente medesimo (GDPR + Direttiva ePrivacy): la creazione obbligatoria di un account non può funzionare come “scorciatoia” per la raccolta ed il trattamento dei dati dell’Utente per queste finalità.
Dark patterns e login obbligatorio: un problema di UX, non solo legale.
Quali sono le principali conseguenze di un un fumoso procedimento di acquisto di un prodotto su un sito di e-commerce che obbliga l’Utente a registrarsi e creare un account?
Un checkout che obbliga alla registrazione o nasconde l’opzione guest può configurare:
- obstruction pattern: una tecnica di design che rende intenzionalmente difficoltoso, poco visibile o meno intuitivo il percorso che tutela maggiormente la privacy dell’utente. Non impedisce direttamente la scelta, ma la rende faticosa, nascosta o frustrante (ad esempio: il pulsante “Crea account” è grande e ben visibile, mentre l’opzione “Acquista come ospite” è minuscola, grigia, nascosta sotto altre sezioni, oppure richiede più passaggi)
- overloading: pattern che sovraccarica l’utente di informazioni, richieste, scelte, checkbox o passaggi nel momento in cui deve prendere una decisione sensibile — tipicamente in un segmento dove vuole procedere velocemente (ad esempio: durante il checkout, l’utente deve affrontare schermate piene di campi, box, opzioni, banner, microtesti; la registrazione sembra la via più semplice per “sbloccare” il flusso, mentre il guest checkout richiede di leggere o compilare più cose)
- urgency bias: si verifica quando si sfrutta il desiderio dell’utente di completare un’azione rapidamente — soprattutto quando sta per finalizzare un acquisto. Si basa su un principio psicologico noto: sotto pressione temporale, gli utenti prendono scorciatoie mentali (heuristics), riducendo l’attenzione a ciò che accettano (ad esempio: messaggi come “Completa il tuo ordine in 30 secondi!”; microcopy che suggerisce che il guest rallenterà il processo; registrazione proposta come “soluzione più veloce”, anche quando non lo è).
Le Raccomandazioni in esame si collocano esattamente in questo filone, già tracciate dalle EDPB Guidelines 3/2022 on Dark Patterns: la fairness dell’interfaccia (UX) diventa parte integrante e fondamentale della compliance aziendale.
Guest checkout come configurazione di default (salvo eccezioni)
Alla luce di tutto quanto sopra esposto, secondo le Raccomandazioni dell’EDPB, per la maggior parte degli e-commerce valgono le seguenti regole:
- il guest checkout deve essere sempre ben visibile, semplice e completo;
- la creazione di un account, invece, deve essere proposto solo come opt-in per eventuali funzionalità extra che l’Utente deve essere libero di accettare.
Le eccezioni ci sono, ma sono ammesse solo se:
- esiste un servizio continuativo essenziale (abbonamenti, piattaforme IoT);
- le normative settoriali richiedono obbligatoriamente l’identificazione dell’utente;
- l’account è minimizzato nei dati e nelle funzioni, escludendo la raccolta automatica di quei dati non necessari ai fini dell’erogazione del servizio e/o della vendita del prodotto.
Nei marketplace, l’account può essere necessario per gestire:
- relazioni venditore–acquirente,
- dispute,
- responsabilità contrattuale.
Ma anche in questi casi occorre dimostrare la stretta necessità della registrazione dell’account e della raccolta di quei dati personali, non essendo sufficiente la mera convenienza dell’azienda alla loro raccolta/trattamento.
E i processor? Il tema nascosto ma decisivo
Succede spesso, tuttavia, che molti e-commerce non programmano il proprio checkout ma lo ereditano direttamente da piattaforme SaaS (processor) che acquistano.
Ciò non esime, tuttavia, l’azienda a prodigarsi per la programmazione di una UX legalmente conforme.
Infatti, se il template del processor impone il login obbligatorio, non solo quest’ultimo rischia l’applicazione di una sanzione quale progettista di una piattaforma in violazione dei principi di privacy by design e by default, ma anche il merchant può incorrere in contestazioni relative alla violazione del GDPR.
Questo diventerà un tema caldo nei contratti di fornitura.
Conclusione
Le Raccomandazioni n. 2/2025 dell’EDPB non vietano di default la creazione di un account obbligatorio, ma ne ribaltano la logica:
“Se puoi offrire un guest checkout senza compromettere sicurezza e funzionalità, devi farlo.
Se imponi l’account, devi dimostrare perché nulla di meno invasivo era adeguato”.
È un cambio di paradigma: dal “registrati per continuare” al “scegli tu come acquistare”, nel rispetto dei principi del GDPR.