Privacy policy del sito web: cosa deve contenere secondo il GDPR

La privacy policy di un sito web è l'informativa prevista dall'articolo 13 del GDPR: un testo che spiega in modo chiaro chi raccoglie i dati delle persone che visitano il sito, per quali scopi e su quale base giuridica, a chi li comunica, se li trasferisce fuori dall'Unione Europea, per quanto tempo li conserva e quali diritti hanno gli interessati. Deve descrivere il tuo sito reale, con i moduli, i servizi e i fornitori che usi davvero: un testo copiato da un altro sito o generato senza verifiche è quasi sempre sbagliato.

Premessa doverosa: sono uno sviluppatore, non un avvocato. Quello che ti racconto viene dall'esperienza di chi costruisce siti e deve sapere esattamente quali dati passano, dove vanno e perché. La responsabilità del testo resta del titolare, ed è sensato farlo rivedere da un consulente privacy.

Quali informazioni deve contenere la privacy policy?

L'articolo 13 del GDPR elenca cosa va comunicato quando si raccolgono dati direttamente dalla persona. Tradotto per un sito aziendale:

1. Chi è il titolare del trattamento: ragione sociale, indirizzo, contatti. Se hai nominato un responsabile della protezione dei dati (DPO), anche i suoi contatti.
2. Le finalità: rispondere alle richieste, gestire ordini e spedizioni, inviare la newsletter, fare statistiche, mostrare pubblicità.
3. La base giuridica di ciascuna finalità: esecuzione di un contratto o di misure precontrattuali, obbligo di legge, consenso, legittimo interesse (spiegando qual è).
4. I destinatari: le categorie di soggetti che ricevono i dati, come hosting, servizio email, piattaforma di pagamento, corriere, consulente fiscale.
5. I trasferimenti fuori dall'Unione Europea, se ci sono, e su quali garanzie si basano.
6. Il periodo di conservazione, o almeno i criteri per stabilirlo.
7. I diritti dell'interessato: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, e come esercitarli.
8. Il diritto di revocare il consenso in qualsiasi momento, quando il trattamento si basa sul consenso.
9. Il diritto di proporre reclamo al Garante per la protezione dei dati personali.
10. Se fornire i dati è obbligatorio e cosa succede se non si forniscono.
11. L'eventuale esistenza di decisioni automatizzate, compresa la profilazione.

Il GDPR chiede inoltre che le informazioni siano concise, trasparenti, facilmente accessibili e scritte in un linguaggio semplice. Un muro di testo legale in carattere minuscolo non rispetta questo requisito, anche se contiene tutte le voci.

Come si comporta un modulo di contatto?

È il caso più comune, e anche quello dove vedo più confusione. Quando una persona ti scrive dal modulo per chiedere un preventivo, i suoi dati servono a rispondere alla sua richiesta: la base giuridica è l'esecuzione di misure precontrattuali, non il consenso. Non serve quindi una casella obbligatoria «acconsento al trattamento»; serve invece un rimando visibile all'informativa vicino al pulsante di invio.

Cambia tutto se vuoi usare quei dati anche per altro, ad esempio per inviare la newsletter. In quel caso serve un consenso separato, facoltativo e non preselezionato, e la richiesta deve poter essere inviata anche senza dare quel consenso.

Cosa cambia per un e-commerce o un'area clienti?

Un sito che vende o che gestisce account raccoglie molti più dati, e l'informativa deve descriverli tutti: dati di fatturazione e spedizione, storico degli ordini, dati di pagamento (che di solito tratta direttamente il fornitore del servizio di pagamento), comunicazioni sull'ordine, eventuali recensioni. Vanno indicati i tempi di conservazione legati agli obblighi fiscali e quelli, più brevi, dei dati usati per il marketing.

Quando costruisco un e-commerce o un portale per i clienti, la mappa dei dati la preparo insieme al progetto: quali campi servono davvero, dove vengono salvati, chi li vede, quando si cancellano. È molto più facile scrivere un'informativa corretta partendo da lì.

Cookie policy e privacy policy sono la stessa cosa?

Sono due informazioni diverse, che spesso vivono in due pagine distinte. La cookie policy descrive i cookie e gli strumenti di tracciamento del sito, le loro finalità e i fornitori coinvolti, e va collegata al banner. La privacy policy riguarda tutti i trattamenti di dati personali del sito. Si possono unire in un unico documento, purché sia chiaro e navigabile. Delle regole sul banner parlo nella guida al cookie banner secondo il Garante.

Chi sono i fornitori che trattano i dati per mio conto?

Ogni servizio esterno che tratta dati personali per conto tuo è, nel linguaggio del GDPR, un responsabile del trattamento: l'hosting, il servizio di posta, il gestionale in cloud, il CRM, la piattaforma della newsletter, chi ti fa la manutenzione del sito. Con ciascuno serve un accordo sul trattamento dei dati (l'articolo 28 del GDPR indica cosa deve contenere). I grandi fornitori lo includono nelle condizioni di servizio; con i fornitori più piccoli va firmato.

Nell'informativa basta indicare le categorie di destinatari, ma per aggiornarla bene devi sapere esattamente chi sono. Una delle prime cose che preparo per un cliente è proprio l'elenco dei servizi esterni collegati al sito, con cosa ricevono.

I dati che finiscono negli Stati Uniti sono un problema?

Dipende dal fornitore e dalle garanzie. Dal 10 luglio 2023 è in vigore la decisione di adeguatezza della Commissione Europea sul Data Privacy Framework UE-USA: i trasferimenti verso aziende statunitensi aderenti al programma sono considerati adeguati. Il 3 settembre 2025 il Tribunale dell'Unione Europea ha respinto un ricorso contro questa decisione; contro la sentenza è stato presentato appello alla Corte di giustizia, quindi il quadro potrebbe cambiare ancora.

In pratica: verifica se i tuoi fornitori americani aderiscono al Data Privacy Framework (l'elenco è pubblico), indicalo nell'informativa e, quando hai alternative equivalenti con server e società in Europa, valutale seriamente.

Quali errori vedo più spesso nelle privacy policy?

• testi copiati da altri siti, con nomi di fornitori e servizi che non c'entrano;
• titolare indicato in modo incompleto o con una vecchia ragione sociale;
• caselle di consenso obbligatorie per inviare una semplice richiesta;
• consenso alla newsletter preselezionato o accorpato ad altro;
• nessuna indicazione sui tempi di conservazione;
• informativa mai aggiornata dopo l'aggiunta di una chat, di una mappa o di un nuovo strumento di statistica;
• pagina dell'informativa raggiungibile solo cercandola.

Oltre all'informativa, quali documenti servono?

L'informativa è la parte visibile, ma il GDPR chiede di saper dimostrare come tratti i dati, non solo di dichiararlo. Per una piccola impresa i documenti di base sono:

• il registro delle attività di trattamento, previsto dall'articolo 30. Esiste un'esenzione per chi ha meno di 250 dipendenti, ma non vale quando il trattamento non è occasionale, e trattare i dati dei clienti di solito non lo è: in pratica conviene tenerlo comunque;
• gli accordi con i responsabili del trattamento, cioè i fornitori;
• le autorizzazioni e istruzioni per chi in azienda tratta i dati;
• il registro delle violazioni, anche se vuoto;
• la descrizione delle misure di sicurezza adottate, che per il sito comprendono aggiornamenti, backup e controllo degli accessi.

Non serve una montagna di carta: serve che queste informazioni esistano, siano vere e vengano aggiornate quando cambia qualcosa. Molte di esse, peraltro, si ricavano dalla stessa mappa dei dati che serve per scrivere l'informativa.

Ogni quanto va aggiornata?

Ogni volta che cambia qualcosa nei trattamenti: un nuovo modulo, un nuovo fornitore, una nuova finalità, un servizio di intelligenza artificiale che legge le richieste dei clienti. Consiglio di rileggerla almeno una volta l'anno insieme a chi gestisce il sito, controllando che quello che c'è scritto corrisponda a quello che il sito fa davvero.

Ne parliamo?

Se vuoi sapere quali dati raccoglie davvero il tuo sito e dove finiscono, scrivimi dalla pagina contatti. Preparo la mappa tecnica dei trattamenti, ripulisco ciò che non serve e la consegno a te e al tuo consulente privacy come base per un'informativa corretta; se il sito va rifatto, progettiamo un sito web aziendale che raccoglie solo i dati che servono.

Fonti

• Regolamento (UE) 2016/679 (GDPR), testo su EUR-Lex
• Data Privacy Framework UE-USA, elenco delle organizzazioni aderenti

Crediti delle immagini

• Copertina: foto di Romain Dancre su Unsplash