Il minimo sindacale per un sito conforme, senza cargo cult:
- privacy policy che dica in chiaro cosa raccogli, perché, per quanto, con quali fornitori (hosting, analytics, form) – va scritta sulla realtà del sito, non copiata
- banner cookie solo se serve: i cookie tecnici non richiedono consenso; quelli di profilazione e i tracker di terzi sì – con un rifiuto facile quanto l'accetto (il Garante è intervenuto sui banner-labirinto)
- attenzione ai servizi terzi impliciti: font da CDN, video incorporati, analytics inviano dati (e IP) a terzi anche senza cookie – ogni chiamata esterna è un trattamento da giustificare
La strada elegante è strutturale: un sito statico self-hosted senza terze parti – niente tracker, niente trasferimenti, niente banner, perché non c'è nulla da acconsentire. È la filosofia air-gapped delle superfici web che agssh sa certificare: zero chiamate esterne, dimostrato. La privacy come proprietà del sistema, non come pop-up.