Conformità multi-giurisdizione: un sito, molte leggi
I visitatori UE, UK, USA e Canada attivano leggi diverse. Ecco il playbook pratico per soddisfare GDPR, EAA, ADA, UK Equality Act e AODA con un solo programma.
Per la maggior parte delle PMI la domanda non è "quale legge" ma "quali leggi". Un sito venduto in UE, UK, USA e Canada attiva sei o sette quadri. Costruire sette programmi è impossibile. La conformità multi-giurisdizione significa fare il lavoro giusto una volta e raccontarlo correttamente a ogni autorità.
Sintesi legge per legge
Unione Europea
- GDPR + ePrivacy: opt-in per tracker, base legale, diritti dell’interessato, trasparenza.
- EAA: WCAG 2.1 AA via EN 301 549 dal 28 giugno 2025. Eccezione microimpresa.
- DSA: trasparenza, moderazione, pubblicità (soprattutto marketplace).
Regno Unito
- UK GDPR + PECR: vicino al regime UE, ma non più identico. Il Data (Use and Access) Act 2025 ha modificato PECR: dal 5 febbraio 2026 diverse categorie di cookie a basso rischio sono esenti da consenso, fra cui l’analytics aggregata di prima parte, e il tetto sanzionatorio PECR è salito da 500.000 £ a 17,5 mln £ o il 4 % del fatturato mondiale. L’ICO pubblica inoltre una guida cookie dettagliata.
- Equality Act 2010: obbligo anticipatorio di accomodamenti ragionevoli. La legge non nomina alcuno standard tecnico e nessun giudice britannico si è mai pronunciato sull’accessibilità web: tutte le cause finora si sono chiuse con una transazione. WCAG 2.1 AA è nominato nel diritto britannico solo dalle PSBAR 2018, che vincolano il settore pubblico. Per i fornitori privati è il metro pratico che tutti usano, non un obbligo giurisprudenziale.
Stati Uniti
- ADA Title III: WCAG 2.1 AA de facto.
- Leggi statali: CCPA/CPRA (CA), CPA (CO), VCDPA (VA), CTDPA (CT), TDPSA (TX), ecc. Notifica, diritti, opt-out vendita/condivisione (GPC).
- FTC Section 5: marketing ingannevole su privacy/accessibilità (caso accessiBe 2025).
Canada
- PIPEDA (federale): consenso, informativa.
- AODA (Ontario): WCAG 2.0 AA per 50+ dipendenti.
- Legge 25 (Quebec): più severa, valutazioni tipo DPIA.
Australia
- Privacy Act 1988: APP, in riforma verso GDPR.
- Disability Discrimination Act: giurisprudenza cita WCAG 2.0/2.1 AA.
Piramide di conformità: sovrapposizioni
- Accessibilità: un solo programma su WCAG 2.1 AA serve EAA, ADA, UK Equality Act, AODA e DDA, ma per ragioni diverse in ciascun caso. L’EAA nomina 2.1 AA tramite EN 301 549; l’AODA fissa una soglia di legge a WCAG 2.0 AA, che 2.1 AA supera. Il UK Equality Act e l’ADA Title III non nominano alcuno standard tecnico: lì 2.1 AA è prova, non conformità, il metro con cui una pretesa verrebbe valutata. Un’unica base tecnica resta la scelta giusta. Solo, non dire a un legale che 2.1 AA è ciò che l’Equality Act richiede.
- Cookie/tracker: GDPR+ePrivacy è il regime di consenso più severo; rispettarlo copre gran parte di UK PECR e della LGPD brasiliana. Non copre il diritto statale USA, che segue un modello diverso: dodici Stati richiedono ormai di onorare il segnale Global Privacy Control lato server e la California impone in più un Notice at Collection separato. Un banner di opt-in europeo non fa né l’una né l’altra cosa. Anche l’inverso non regge: un banner conforme al CCPA di norma fallisce il GDPR.
- Informative privacy: policy GDPR è sovra-inclusiva. Allegati statali (CA, Quebec) come add-on.
- Workflow diritti consumatori: un’unica intake, routing per giurisdizione.
- Pagine obbligatorie: privacy, accessibilità, cookie, impressum (DACH). Universali.
Playbook pratico
- Standard più severo come base. WCAG 2.1 AA + livello GDPR. Altre come overlay.
- Un audit, più report. Ogni problema con clausola locale.
- Localizzare il frontend, non il backend. Il banner si adatta per regione; la logica del tag manager resta.
- Documentare la giurisdizione. Una policy con sezioni regionali batte sei policy.
- Monitoraggio continuo. Superficie di regressione × 6.
La trappola degli strumenti mono-giurisdizione
Tre fornitori per tre giurisdizioni = tre report incoerenti, tre SLA, nessun backlog consolidato. Strumento multi-giurisdizione riduce a una sola fonte.
L’approccio Veracly
Veracly è stato pensato per questo. Una scansione genera report simultanei per cinque set di regole: EAA, GDPR ed ePrivacy, ADA, UK Equality Act e AODA. Ogni problema mappato sulla clausola di ciascun regolamento, con un unico backlog. Le leggi statali USA sono deliberatamente escluse: non valutiamo né CCPA né CPRA, e il report lo dichiara invece di lasciar intendere una copertura che non c’è. Report localizzati: EAA in tedesco per l’autorità, ADA in inglese per la negoziazione US, GDPR in francese per la CNIL. Avvia scansione gratuita.
Vedi anche: audit conformità sito · EAA per PMI · audit ADA
Domande frequenti
Devo rispettare insieme GDPR, ADA, EAA e AODA?
Ciascuna legge si applica in base alla localizzazione del visitatore, con un’eccezione da precisare. UE: GDPR + EAA. USA: ADA + leggi statali. AODA non funziona così: vincola le organizzazioni con una presenza in Ontario e 50 o più dipendenti, quindi il solo traffico dall’Ontario non vi attrae un sito estero. Risposta pratica: l’unione delle leggi applicabili al tuo pubblico e alle tue sedi.
Ci sono sovrapposizioni?
Significative, ma non nel modo in cui vengono di solito riassunte. Solo due di questi regimi nominano uno standard tecnico: l’EAA rinvia a WCAG 2.1 AA tramite EN 301 549 e l’AODA fissa una soglia di legge a WCAG 2.0 AA, che 2.1 AA supera. Il UK Equality Act e l’ADA Title III non nominano alcuno standard: lì 2.1 AA non è un obbligo di legge ma il metro pratico con cui una pretesa viene valutata. Un unico programma costruito su 2.1 AA serve quindi tutti e quattro.
Modo più semplice?
Adottare lo standard più severo come base. Accessibilità: WCAG 2.1 AA. Privacy: trattare ogni visitatore come sotto GDPR, opt-in, trasparenza, diritti facili.
Reporting per giurisdizione?
Un unico scan tecnico genera un report per regolamento, mappando ogni problema sulla clausola pertinente. Lo stesso alt mancante compare nel report EAA, ADA e AODA con la citazione locale.
Scopri a che punto è il tuo sito.
Esegui una scansione Veracly gratuita e ottieni un report multi-giurisdizione, EAA, GDPR, ADA, UK Equality Act, AODA, con fix pronte da incollare per gli sviluppatori.
Avvia scansione gratuita