GPSR: il regolamento sulla sicurezza dei prodotti e chi ne risponde

Chi vende online una lampada da tavolo, un seggiolone, una batteria esterna o una sedia da giardino risponde della sicurezza di quell'oggetto davanti alla persona che lo apre a casa propria, e da qualche tempo ne risponde secondo regole scritte in un modo nuovo. Il regolamento (UE) 2023/988, che quasi tutti chiamano GPSR dall'acronimo inglese di General Product Safety Regulation, si applica dal 13 dicembre 2024 e ha preso il posto di una direttiva del 2001, cioè di un testo concepito quando il commercio elettronico era un canale laterale e la merce arrivava sugli scaffali europei attraverso filiere corte, tracciabili e in larga parte continentali.

Nel frattempo il mercato ha cambiato forma. Una quota crescente dei prodotti che entrano in una casa italiana non passa da un magazzino italiano, non è stata toccata da nessun distributore europeo e arriva da un fornitore che, se qualcosa va storto, si trova a diecimila chilometri e a nessun indirizzo raggiungibile. Il regolamento nasce dentro questo scarto, e la sua idea portante è tanto semplice quanto scomoda per chi importa: se un prodotto entra nel mercato europeo, in Europa deve esistere qualcuno che ne risponde con nome, cognome e recapito.

Questo pezzo mette in fila che cos'è il GPSR e da quando vale, quali sono i ruoli che il regolamento riconosce e come si scopre quale tocca a noi, che cosa deve comparire in una scheda prodotto prima che il cliente paghi, che cosa succede quando un prodotto si rivela pericoloso, e dove finisce la legge e comincia il contratto della piattaforma su cui vendiamo. È un lavoro di lettura della norma, non un parere: si dice che cosa il regolamento impone e dove lo si legge, mentre il modo in cui quegli obblighi cadono su un catalogo concreto è una valutazione che va fatta insieme a chi ne ha la responsabilità professionale.

Che cos'è il GPSR, e da quando si applica

Il regolamento (UE) 2023/988 del Parlamento europeo e del Consiglio porta la data del 10 maggio 2023, è entrato in vigore il 12 giugno dello stesso anno e si applica dal 13 dicembre 2024. Le tre date non sono un vezzo da giurista, sono la ragione per cui un'azienda che nel 2023 ha letto il titolo, ha visto la parola sicurezza e ha concluso che ci fosse tempo, un anno e mezzo dopo si è ritrovata con un catalogo intero da rivedere in poche settimane. Il regolamento ha abrogato la direttiva 2001/95/CE sulla sicurezza generale dei prodotti e la direttiva 87/357/CEE, quella sui prodotti che assomigliano ad altro da ciò che sono, i giocattoli a forma di dolce e le candele a forma di frutto.

La concessione al passato esiste ed è stretta: i prodotti conformi alla vecchia direttiva e immessi sul mercato prima del 13 dicembre 2024 possono continuare a essere messi a disposizione. Immessi prima, non venduti prima. Chi ha ancora a magazzino stock entrati nell'Unione nel 2024 sta lavorando dentro quella finestra, e chi ordina oggi non ci sta più dentro in nessun modo.

Regolamento e non direttiva, e cambia il posto in cui si cercano le regole

Una direttiva vincola gli Stati membri nel risultato e lascia a ciascuno la forma: va recepita, e il recepimento produce ventisette testi nazionali che possono divergere nei tempi, nei dettagli e perfino nel lessico. Un regolamento no, si applica direttamente in tutti gli Stati membri senza che serva una legge nazionale a farlo entrare. La differenza pesa sul lavoro di chi vende in più Paesi più di quanto sembri: la regola su che cosa deve comparire in una scheda prodotto è la stessa a Milano, a Monaco e a Madrid, e si legge in un testo solo.

Questo non significa che il legislatore nazionale sparisca, e qui si annida un equivoco che fa cercare la norma nel posto sbagliato. Il regolamento lascia agli Stati due compiti precisi, stabilire le sanzioni e designare le autorità competenti, e l'Italia li ha assolti con un decreto dell'aprile 2026 di cui si parla più avanti. Recepire una direttiva e adeguare l'ordinamento a un regolamento sono gesti diversi: nel primo caso la norma sostanziale nasce in Parlamento, nel secondo esiste già e il legislatore nazionale costruisce soltanto l'apparato che la fa rispettare.

Che cosa rientra, e che cosa resta fuori

Il campo di applicazione è largo per costruzione. Rientrano i prodotti di consumo non alimentari, nuovi, usati, riparati o ricondizionati, venduti in negozio e a distanza, e rientrano anche i prodotti pensati per l'uso professionale che poi finiscono nelle mani di un consumatore, che è la condizione normale di mezzo assortimento di ferramenta e di elettronica venduto online.

Restano fuori le categorie che hanno già un regime proprio, e l'elenco è meno intuitivo di quanto sembri: medicinali per uso umano e veterinario, alimenti e mangimi, piante e animali vivi, prodotti fitosanitari, e poi le opere d'arte, gli oggetti da collezione e gli oggetti d'antiquariato, esclusi per una ragione quasi filosofica, cioè che non possono per definizione soddisfare i requisiti di sicurezza pensati per un prodotto fabbricato oggi.

C'è però un punto che quasi nessuna sintesi racconta, ed è quello che rovescia l'idea del GPSR come regolamento di risulta. L'articolo 2, paragrafo 1, prevede che l'obbligo generale di sicurezza e le disposizioni collegate si applichino anche ai prodotti coperti da una normativa di armonizzazione dell'Unione, quando quella normativa non contempla un determinato tipo di rischio. Un giocattolo ha la sua direttiva, un apparecchio elettrico ha la sua, un dispositivo radio la sua: se il rischio che quel prodotto presenta non è previsto dalla disciplina speciale, il GPSR torna dentro. Non è la norma di serie B che copre gli avanzi, è la rete tesa sotto tutto il resto, ed è anche il motivo per cui la frase «il mio prodotto ha già la marcatura CE, quindi il GPSR non mi riguarda» è una delle poche affermazioni che in questa materia si possono definire semplicemente sbagliate.

Chi riguarda: quattro ruoli, obblighi diversi

Il regolamento non parla di venditori, parla di operatori economici, e li distingue: fabbricante, rappresentante autorizzato, importatore, distributore, fornitore di servizi di logistica. Accanto a loro, con obblighi propri e un capitolo dedicato, ci sono i fornitori di mercati online. Non è tassonomia per amore di tassonomia: il ruolo che tocca a un'azienda dipende da che cosa fa con il prodotto, non da come si descrive in visura, e la stessa azienda può essere distributore su una referenza e importatore su quella accanto.

Il fabbricante è il ruolo più carico, ed è anche quello che molti brand assumono senza accorgersene, perché chi fa produrre un prodotto a marchio proprio è fabbricante a tutti gli effetti. Deve garantire che il prodotto sia sicuro fin dalla progettazione, condurre un'analisi interna dei rischi, redigere la documentazione tecnica che di quell'analisi dà conto, e tenerla a disposizione delle autorità di vigilanza del mercato per dieci anni dall'immissione sul mercato. Dieci anni è il numero da tenere davanti quando si valuta il costo reale di una linea a marchio proprio, perché è un obbligo di archivio che sopravvive al prodotto, al fornitore e spesso anche alla persona che lo ha seguito.

Il distributore sta all'altro capo. I suoi obblighi sono di verifica e di catena: controllare che il prodotto porti le informazioni previste, non mettere a disposizione ciò che sa o dovrebbe ragionevolmente sapere pericoloso, collaborare con le autorità quando arriva una richiesta. È una posizione più leggera, ed è la posizione in cui la maggior parte dei negozi online crede di trovarsi.

Il momento esatto in cui un negozio diventa importatore

Un negozio italiano che compra da un grossista italiano e rivende è un distributore. Lo stesso negozio, che ordina lo stesso identico prodotto direttamente da un fornitore fuori dall'Unione europea, non lo è più: è l'importatore, e gli obblighi dell'importatore assomigliano molto più a quelli del fabbricante che a quelli del distributore da cui proviene. Deve verificare che il fabbricante abbia svolto l'analisi dei rischi e predisposto la documentazione tecnica, che il prodotto rechi le informazioni di identificazione e le avvertenze previste, e deve aggiungere il proprio nome e i propri recapiti a quelli del fabbricante.

Il salto avviene nel momento in cui l'ordine attraversa il confine dell'Unione, non nel momento in cui l'azienda decide di considerarsi importatrice, e non dipende dai volumi. È il punto in cui acquistare da una piattaforma di fornitura extraeuropea smette di essere una scelta logistica e diventa una posizione giuridica, con una documentazione da conservare per dieci anni e una responsabilità che nessun contratto con il fornitore sposta indietro. Chi importa poche referenze una tantum e chi ne importa mille ha lo stesso ruolo davanti alla norma; cambia la fatica, non l'obbligo.

Il fornitore del mercato online

Poi c'è chi non vende in proprio, ospita chi vende. Il regolamento dedica un capo ai fornitori di mercati online e chiede loro tre cose che valgono la pena di essere lette insieme: designare un punto di contatto unico per le autorità di vigilanza e uno per i consumatori, registrarsi al Safety Gate Portal, e dare seguito agli ordini con cui un'autorità impone di rimuovere l'offerta di un prodotto pericoloso, disabilitarne l'accesso o mostrare un avviso esplicito, senza indebito ritardo e comunque entro due giorni lavorativi dalla ricezione dell'ordine.

Due giorni lavorativi è un tempo da sala operativa, non da ufficio legale, e spiega da solo un fenomeno che molti venditori hanno vissuto come una vessazione arbitraria: i marketplace hanno cominciato a chiedere ai propri venditori i dati del responsabile stabilito nell'Unione con largo anticipo e con una certa durezza, perché sono loro a rispondere del contenuto pubblicato sulla propria interfaccia e ad avere quarantotto ore lavorative per toglierlo. La richiesta che arriva dalla piattaforma non è un capriccio commerciale, è un obbligo che scende a valle.

Il responsabile stabilito nell'Unione, che è la parte che morde

L'articolo 16 contiene la disposizione che, più di ogni altra, ha cambiato la vita a chi vende prodotti che vengono da fuori. Un prodotto coperto dal regolamento non può essere immesso sul mercato se non esiste un operatore economico stabilito nell'Unione responsabile per quel prodotto. Non un ufficio, non una casella: un soggetto identificato, che sta dentro il territorio dell'Unione e a cui un'autorità di vigilanza può bussare.

Il ruolo può essere ricoperto dal fabbricante che ha sede nell'Unione, dall'importatore, da un rappresentante autorizzato che abbia ricevuto un mandato scritto dal fabbricante, oppure da un fornitore di servizi di logistica. Vale la pena tenere ferma una distinzione che si confonde di continuo: il responsabile dell'articolo 16 e il rappresentante autorizzato sono due figure concettualmente diverse, e la seconda può ricoprire il ruolo della prima, ma non è detto che lo faccia e non lo fa in automatico.

Il nome, la denominazione commerciale registrata o il marchio registrato di quell'operatore, insieme ai recapiti postale ed elettronico, devono comparire sul prodotto, sul suo imballaggio, sul collo o su un documento di accompagnamento. Recapito elettronico non è un'espressione decorativa: indica una forma di comunicazione diretta, un indirizzo di posta o un modulo di contatto, attraverso cui una persona possa scrivere e sapere che qualcuno leggerà.

La conseguenza pratica conviene dirla senza attenuanti. Un catalogo composto interamente da merce che arriva da fuori Europa, senza che nessuno in Europa se ne assuma la responsabilità, non è un catalogo che può stare online. Chi vende in dropshipping da fornitori extraeuropei si trova davanti alla scelta più netta di tutta la materia: assumere il ruolo in proprio, con quello che comporta, oppure pretendere dal fornitore un responsabile stabilito che esista davvero e che accetti per iscritto quel mandato. La terza via, sperare che il tema non emerga, ha smesso di essere praticabile nel momento in cui i marketplace hanno reso quel dato un campo obbligatorio.

Che cosa deve comparire nell'offerta, prima dell'acquisto

L'articolo 19 è la parte del regolamento che tocca direttamente il lavoro di chi costruisce un ecommerce, perché non parla del prodotto ma della sua rappresentazione. Quando i prodotti sono messi a disposizione online o attraverso altri mezzi di vendita a distanza, l'offerta deve indicare in modo chiaro e visibile almeno quattro informazioni.

Il nome del fabbricante, la sua denominazione commerciale registrata o il suo marchio registrato, insieme all'indirizzo postale e a quello elettronico ai quali può essere contattato. Se il fabbricante non è stabilito nell'Unione, accanto vanno il nome e i recapiti postale ed elettronico del responsabile di cui si è appena detto. Poi le informazioni che permettono di identificare il prodotto, compresa un'immagine, il tipo e ogni altro identificativo. Infine le avvertenze e le informazioni di sicurezza, apposte in una lingua facilmente comprensibile per i consumatori, che è lo Stato membro a determinare.

Il principio sotto le quattro righe si dice in una frase: chi compra online deve poter vedere, prima di pagare, le stesse informazioni che leggerebbe sulla confezione se avesse il prodotto in mano in un negozio. Detta così sembra ovvia, e invece è la disposizione che ha costretto migliaia di schede prodotto italiane a crescere di tre campi, perché per vent'anni la scheda è stata pensata come uno strumento di persuasione e non come un documento.

Sul piano tecnico questo è il punto in cui la conformità smette di essere un problema legale e diventa un problema di modello dati. Il nome e i recapiti del fabbricante, quelli del responsabile nell'Unione, il tipo, il lotto e le avvertenze non sono testo descrittivo: sono attributi, e vanno trattati come tali, con campi propri, alimentati dalla fonte in cui l'informazione nasce e resi da un template che li mostra sempre nello stesso posto. Chi scrive un'avvertenza a mano dentro la descrizione di duemila schede ha costruito un debito che nessuno aggiornerà, e il giorno in cui un fornitore cambia sede la scheda mentirà su tutte e duemila. È una decisione di architettura, e cade esattamente dove cadono tutte le altre decisioni su come funziona un ecommerce quando il catalogo smette di essere piccolo.

Tracciabilità e documentazione tecnica

Accanto alle informazioni dell'offerta ci sono quelle che devono viaggiare con il prodotto. Il regolamento chiede che i prodotti immessi sul mercato portino gli elementi che ne consentono l'identificazione e la tracciabilità, a partire dall'identità del fabbricante e da un riferimento del prodotto, il tipo, il numero di lotto o di serie o un altro elemento equivalente. La documentazione tecnica, quella che raccoglie l'analisi dei rischi e le misure adottate per governarli, resta a disposizione delle autorità per dieci anni.

Vale la pena notare a chi giova davvero questo impianto, perché il beneficio non è astratto: senza un identificativo che leghi un pezzo a un lotto, un richiamo non si può circoscrivere, e un richiamo che non si può circoscrivere si allarga a tutta la referenza. La tracciabilità costa a monte e fa risparmiare a valle, ed è una delle poche parti del regolamento in cui l'interesse di chi vende e quello di chi compra coincidono senza sforzo.

Quando qualcosa va storto: incidenti, richiami, Safety Gate

La parte del regolamento che si occupa dei guasti è quella che i nomi hanno reso più confusa, perché nel passaggio dalla direttiva al regolamento il sistema europeo si è articolato in tre strumenti distinti che quasi tutti chiamano con lo stesso nome. Distinguerli serve, perché a ciascuno si accede da una porta diversa e per una ragione diversa.

Il Safety Gate Rapid Alert System è il sistema di allerta rapida con cui le autorità nazionali si scambiano informazioni sulle misure prese contro i prodotti pericolosi non alimentari, ed è l'erede di quello che per anni si è chiamato RAPEX. Il Safety Gate Portal è la faccia pubblica: chiunque può leggere le allerte pubblicate dalle autorità dei trentuno Paesi partecipanti, e da lì passa anche il canale con cui un consumatore segnala. Il Safety Business Gateway è invece la porta delle imprese, il portale attraverso cui un operatore economico notifica alle autorità un incidente causato da un prodotto o la presenza di un prodotto pericoloso.

Chi cerca RAPEX trova ancora qualcosa, e non è un errore di ricerca, è un nome che sopravvive nei documenti e negli articoli scritti prima del cambio. Il nome corrente del sistema è Safety Gate, e il portale da cui un'impresa notifica non è quello da cui un consumatore legge: confonderli significa mandare una notifica dove nessuna autorità la raccoglierà.

L'incidente si notifica, e senza indebito ritardo

L'obbligo è preciso. Il fabbricante deve assicurare che un incidente causato da un prodotto immesso o messo a disposizione sul mercato sia notificato senza indebito ritardo, attraverso il Safety Business Gateway, alle autorità competenti dello Stato membro in cui l'incidente si è verificato, indicando il tipo e il numero identificativo del prodotto e le circostanze dell'incidente, se conosciute. Non è una segnalazione facoltativa da valutare con l'ufficio legale a bocce ferme: è un adempimento con un termine indeterminato nella forma e strettissimo nella sostanza.

Il richiamo, e le parole che non si possono più usare

Il richiamo ha ora un modulo. Il regolamento di esecuzione (UE) 2024/1435 del 24 maggio 2024 stabilisce il modello dell'avviso di richiamo, si applica dal 13 dicembre 2024 ed è pubblicato sul Safety Gate Portal in un formato che permette agli operatori di generarlo. Un modello unico serve a una cosa sola, e la dichiara: rendere un avviso di richiamo riconoscibile a colpo d'occhio, ovunque compaia e chiunque lo scriva.

C'è poi la disposizione che merita di essere riletta due volte, perché descrive con precisione clinica il modo in cui i richiami sono stati scritti per vent'anni. L'avviso non deve contenere elementi che riducano la percezione del rischio da parte del consumatore, e vengono nominati per esteso i termini da evitare: volontario, precauzionale, discrezionale, in situazioni rare o specifiche, e le formule che segnalano che non sono stati riportati incidenti. Sono esattamente le parole con cui un ufficio comunicazione, in perfetta buona fede, prova a non spaventare nessuno; ed è la ragione per cui il legislatore le ha messe nero su bianco, perché non spaventare nessuno, in un richiamo, significa che il prodotto resta nelle case.

Che cosa può chiedere chi ha comprato

Il rimedio dovuto al consumatore deve essere efficace, gratuito e tempestivo, e non deve comportare per lui inconvenienti significativi. L'operatore economico deve offrirgli la scelta fra almeno due rimedi fra riparazione, sostituzione e rimborso adeguato, e può fermarsi a uno solo quando gli altri sarebbero impossibili o comporterebbero costi sproporzionati, valutando tutte le circostanze del caso.

Due dettagli meritano attenzione perché ribaltano abitudini consolidate. La riparazione eseguita dal consumatore vale come rimedio efficace soltanto se può essere effettuata facilmente e in sicurezza e se l'avviso di richiamo la prevede, e in quel caso vanno forniti le istruzioni, i pezzi di ricambio gratuiti o gli aggiornamenti software necessari. E il rimborso è comunque dovuto quando l'operatore non ha completato la riparazione o la sostituzione in tempi ragionevoli e senza inconvenienti significativi: il cliente non resta appeso a un'assistenza che non arriva.

La legge e il contratto: due elenchi che non coincidono

Su che cosa sia lecito mettere a catalogo agiscono due strati, e vengono confusi con una regolarità che costa tempo. Il primo è la legge, e il GPSR ne è oggi il pezzo più ampio per i beni di consumo: dice quali prodotti non possono stare sul mercato e a quali condizioni gli altri possono starci. Il secondo è contrattuale, ed è la politica della piattaforma su cui si vende e del fornitore di pagamento che incassa, che può essere e spesso è più restrittiva della legge.

I due elenchi si sovrappongono e non coincidono, e la non coincidenza va in tutte e due le direzioni. Ci sono prodotti perfettamente legali in Italia che un fornitore di pagamento non processa, e la casistica delle categorie bloccate e delle zone grigie merita di essere conosciuta prima di una migrazione e non dopo, come abbiamo raccontato parlando dei prodotti proibiti su Shopify. E ci sono prodotti che nessuna piattaforma vieta e che la legge non lascia comunque mettere online senza adempimenti: il GPSR sta tutto da questa parte.

La conseguenza operativa è che i due controlli sono separati e si fanno entrambi. Essere in regola con il GPSR non mette al riparo dalla sospensione di un account per violazione delle condizioni d'uso, e rispettare in modo scrupoloso le regole di una piattaforma non dice assolutamente nulla sulla conformità di legge di ciò che si vende. Chi si accontenta del fatto che il prodotto sia pubblicato e gli ordini passino sta usando il permesso di un fornitore come prova di legalità, che è il ragionamento più comodo e meno difendibile di tutta la materia.

Sopra i due strati, in alcuni comparti, se ne appoggia un terzo, e non sostituisce gli altri, ci si somma. Un catalogo di farmacia online è il caso limite: i medicinali sono espressamente esclusi dal GPSR perché hanno una disciplina propria e assai più stringente, mentre cosmetici, dispositivi medici, integratori e prodotti per l'infanzia che stanno sugli stessi scaffali seguono ciascuno regole diverse, e alcuni di essi ricadono anche sotto il regolamento sulla sicurezza generale. Nello stesso ordine possono convivere quattro regimi giuridici, ed è per questo che nei verticali regolati la mappatura del catalogo si fa prima di scegliere il tema del sito.

Le sanzioni in Italia, e il decreto legislativo 78 del 2026

Il regolamento lascia agli Stati membri il compito di stabilire il regime sanzionatorio, e l'Italia lo ha definito con il decreto legislativo 8 aprile 2026, numero 78, pubblicato nella Gazzetta Ufficiale numero 111 del 15 maggio 2026 ed entrato in vigore il giorno successivo. Il decreto adegua la normativa nazionale alle disposizioni del regolamento (UE) 2023/988 e interviene sul Codice del consumo, cioè colloca la disciplina esattamente dove chi la cerca si aspetta di trovarla.

La sanzione più pesante colpisce il comportamento più grave. All'operatore economico che immette o mette a disposizione sul mercato prodotti pericolosi in violazione dell'obbligo generale di sicurezza si applicano l'arresto da sei mesi a un anno e l'ammenda da 10.000 a 100.000 euro, e la pena pecuniaria è aumentata fino alla metà quando il prodotto presenta un rischio grave. È una sanzione penale, non amministrativa, ed è la differenza che rende questa materia diversa da molte altre voci di conformità di un ecommerce.

Accanto a quella, il decreto presidia con sanzioni amministrative pecuniarie le violazioni degli obblighi degli operatori e il mancato adeguamento alle misure disposte dalle autorità di vigilanza del mercato, con importi differenziati per tipo di violazione. Gli importi puntuali e l'individuazione delle autorità competenti si leggono nel testo pubblicato in Gazzetta Ufficiale, che resta la fonte da consultare prima di qualunque valutazione su un caso concreto.

Da dove si comincia, se si comincia adesso

Il primo passo non è legale, è di inventario. Bisogna sapere, referenza per referenza, chi è il fabbricante, dove ha sede, da chi si è acquistato e se quell'acquisto ha attraversato o no il confine dell'Unione. È un lavoro noioso e nessuno lo evita: senza quella tabella non si può dire quale ruolo tocchi all'azienda, e senza sapere il ruolo ogni discorso sugli obblighi resta teoria.

Il secondo passo è la domanda sul responsabile stabilito. Per ogni prodotto che viene da fuori Unione va accertato chi lo è, con nome e recapiti verificabili, e se la risposta è che non lo è nessuno, la risposta è che quel prodotto oggi non può essere immesso sul mercato. È il punto in cui alcune forniture si rivelano insostenibili, ed è meglio scoprirlo mentre si costruisce il catalogo che mentre si risponde a un'autorità.

Il terzo passo è tecnico e riguarda il sito. Le informazioni dell'articolo 19 vanno in campi, i campi vanno in un template, il template vale per tutte le schede, e i valori arrivano dalla fonte in cui il dato nasce, che nelle aziende strutturate è il sistema che governa le informazioni di prodotto. Il quarto è organizzativo: sapere in anticipo chi notifica un incidente e da quale portale, chi scrive un avviso di richiamo e con quale modello, chi risponde entro quanto a una richiesta di un'autorità. Sono procedure che si scrivono da fermi, perché nel giorno in cui servono non c'è tempo per inventarle.

Vale infine la pena ricordare che il GPSR è una tessera e non il quadro. Convive con la disciplina delle informazioni precontrattuali, con il diritto di recesso, con le garanzie di conformità, con le regole sui prezzi e sulle recensioni, e ciascuna di queste ha un impianto suo: la mappa completa degli obblighi per vendere online serve a capire dove questo pezzo si incastra e quali altri restano da guardare.

Domande frequenti

Che cos'è il GPSR e da quando si applica?

GPSR è l'acronimo di General Product Safety Regulation e indica il regolamento (UE) 2023/988 sulla sicurezza generale dei prodotti, adottato il 10 maggio 2023, in vigore dal 12 giugno 2023 e applicabile dal 13 dicembre 2024. Ha sostituito la direttiva 2001/95/CE e riguarda i prodotti di consumo non alimentari venduti nell'Unione, sia nei negozi sia online.

Il GPSR è la stessa cosa del GDPR?

No, e la somiglianza dei due acronimi genera parecchia confusione, al punto che la stessa pagina dei risultati di Google mescola le due materie. Il GDPR è il regolamento (UE) 2016/679 e riguarda il trattamento dei dati personali. Il GPSR è il regolamento (UE) 2023/988 e riguarda la sicurezza fisica dei prodotti di consumo. Un ecommerce deve rispettare entrambi, ma non hanno né lo stesso oggetto né le stesse autorità di controllo.

Chi deve garantire la sicurezza dei prodotti venduti online?

Ogni operatore economico della catena, secondo il ruolo che ricopre: il fabbricante progetta il prodotto sicuro, svolge l'analisi dei rischi e conserva la documentazione tecnica; l'importatore verifica che il fabbricante lo abbia fatto e aggiunge i propri dati; il distributore controlla le informazioni e non mette a disposizione ciò che sa pericoloso. In più, per ogni prodotto deve esistere un operatore stabilito nell'Unione che ne risponda, e i fornitori di mercati online hanno obblighi propri sulle offerte che ospitano.

Quando un negozio online diventa importatore?

Nel momento in cui acquista un prodotto direttamente da un fornitore stabilito fuori dall'Unione europea e lo immette sul mercato dell'Unione. Non dipende dai volumi né dalla forma giuridica: chi compra da un grossista europeo è distributore, chi ordina la stessa merce da un fornitore extraeuropeo è importatore, e assume obblighi molto più vicini a quelli del fabbricante, compresa la conservazione della documentazione tecnica per dieci anni.

Quali prodotti sono esclusi dal GPSR?

Restano fuori le categorie con un regime proprio: medicinali per uso umano e veterinario, alimenti e mangimi, piante e animali vivi, prodotti fitosanitari, e le opere d'arte, gli oggetti da collezione e gli oggetti d'antiquariato. Attenzione però al verso opposto: un prodotto coperto da una normativa di armonizzazione, come un giocattolo o un apparecchio elettrico, ricade comunque sotto il GPSR per i tipi di rischio che quella normativa non contempla.

Che cosa rischia chi non rispetta il GPSR in Italia?

Il decreto legislativo 8 aprile 2026, numero 78, ha adeguato il Codice del consumo al regolamento. Per chi immette o mette a disposizione sul mercato prodotti pericolosi in violazione dell'obbligo generale di sicurezza sono previsti l'arresto da sei mesi a un anno e l'ammenda da 10.000 a 100.000 euro, aumentabile fino alla metà se il rischio è grave; le altre violazioni sono presidiate da sanzioni amministrative pecuniarie. Il testo integrale è pubblicato in Gazzetta Ufficiale.

Il punto

Letto dalla parte di chi vende, il GPSR è una lista di adempimenti che allunga il tempo fra la decisione di mettere a catalogo un prodotto e il momento in cui quel prodotto è online. Letto dalla parte per cui è stato scritto, è la risposta a una domanda semplice: se l'oggetto che ho comprato con due clic prende fuoco sul comodino, chi risponde, e in che lingua posso scrivergli. Per vent'anni, su una fetta crescente della merce che entra in Europa, quella domanda non aveva una risposta scritta da nessuna parte.

Che poi da questo discenda un vantaggio anche per chi vende bene, è vero, ed è un effetto e non la ragione: un mercato in cui l'identificazione del responsabile è obbligatoria è un mercato in cui chi ha investito in fornitori seri, documentazione e tracciabilità smette di competere ad armi impari con chi non ha investito in niente. Ma la tesi del regolamento resta l'altra, e conviene tenerla ferma anche quando si progetta il lavoro tecnico che ne discende, perché è quella che spiega perché certe regole siano scritte in modo così poco negoziabile.

Sul piano operativo, quasi tutto quello che il GPSR chiede a un ecommerce si risolve in un modello dati coerente, in un template che mostra sempre gli stessi campi e in due o tre procedure decise prima che servano. Non è un lavoro affascinante e non si vede in home page, ma è esattamente il tipo di lavoro che distingue un catalogo che regge un controllo da uno che regge finché nessuno guarda. Per le fonti e gli aggiornamenti restano il testo del regolamento e la pagina del Mimit dedicata al GPSR, con le sue risposte alle domande frequenti.