In sintesi. La privacy policy è l’informativa prevista dagli articoli 13 e 14 del GDPR ed è dovuta da quasi ogni sito: bastano un modulo di contatto, una newsletter o i log del server che registrano gli indirizzi IP. Il lavoro vero non è ricopiare l’elenco dell’art. 13, ma descrivere ogni strumento presente sul sito — modulo, newsletter, hosting, statistiche, video e mappe incorporati, area clienti, chat — con finalità, base giuridica, fornitore e tempi di conservazione. Va raggiunta da un link nel footer e richiamata in ogni punto di raccolta dei dati.
Quasi ogni sito raccoglie dati personali, anche quando ciò non risulta evidente. È sufficiente un modulo di contatto, l’iscrizione a una newsletter o i semplici file di registro del server per far sorgere un obbligo preciso: informare gli utenti sulle modalità di trattamento dei loro dati. È questo l’oggetto della privacy policy. Conviene chiarire in che cosa consista, perché sia di fatto obbligatoria, quale debba esserne il contenuto alla luce del GDPR, dove vada collocata e quali errori convenga evitare.
Cos’è la privacy policy (e perché è quasi sempre necessaria)
Con «privacy policy» si designa comunemente l’informativa sul trattamento dei dati personali. Il suo fondamento normativo risiede negli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR): l’art. 13 trova applicazione quando i dati sono raccolti direttamente presso l’interessato, l’art. 14 quando provengono da altre fonti. Il principio sotteso è quello di trasparenza: chi tratta dati è tenuto a rendere noto, in forma chiara, la propria identità, le finalità perseguite e i diritti spettanti all’interessato.
Da ciò discende l’equivoco più ricorrente, secondo cui l’informativa sarebbe richiesta soltanto a chi venda online o gestisca ingenti quantità di dati. Così non è. Vi sono tenuti anche i siti all’apparenza «statici»: un modulo «Contattaci» raccoglie nome e indirizzo e-mail; un modulo di iscrizione alla newsletter acquisisce un recapito e un consenso; finanche i log tecnici del server registrano indirizzi IP, i quali costituiscono dati personali. In tutte tali ipotesi l’informativa è dovuta. Possono prescinderne, in concreto, soltanto i siti puramente vetrina, che non raccolgano alcun dato né si avvalgano di strumenti che lo facciano per loro conto.
L’art. 12 del Regolamento prescrive, inoltre, un requisito di forma: l’informativa deve risultare concisa, trasparente, intelligibile e facilmente accessibile, redatta con linguaggio chiaro e semplice. Un testo corretto nel contenuto ma incomprensibile non assolve l’obbligo.
Privacy policy e cookie policy non coincidono
Si tratta di profilo sovente confuso. La privacy policy concerne la totalità dei trattamenti di dati personali effettuati per il tramite del sito (moduli, iscrizioni, log e così via). La cookie policy attiene, invece, in modo specifico all’impiego dei cookie e degli strumenti di tracciamento, e si raccorda alla gestione del consenso mediante il relativo banner. Sono documenti distinti, con basi normative in parte diverse, da mantenere separati: ricondurre i cookie nella privacy policy, o viceversa, costituisce errore frequente. Sul funzionamento del banner e sui presupposti del consenso si rinvia all’approfondimento dedicato al banner dei cookie.
Gli elementi obbligatori, in breve
L’art. 13 elenca ciò che l’informativa deve dire: chi è il titolare (e l’eventuale DPO) e come contattarlo; per quali finalità e su quale base giuridica dell’art. 6 si trattano i dati; a chi vengono comunicati; se escono dall’Unione europea e con quali garanzie; per quanto tempo si conservano; quali diritti ha l’utente, compresa la revoca del consenso (art. 7, par. 3) e il reclamo al Garante (art. 77); se il conferimento è obbligatorio e cosa succede se manca. L’elenco commentato, valido per qualsiasi informativa — clienti, dipendenti, fornitori — è nell’approfondimento su cosa deve contenere l’informativa privacy.
Per un sito, però, la difficoltà non è conoscere l’elenco: è sapere che cosa scriverci, cioè quali trattamenti il sito svolge davvero. È lì che si sbaglia.
Voce per voce: i trattamenti tipici di un sito
Ogni strumento presente sul sito è un trattamento da descrivere. La tabella riassume i casi più comuni; la base giuridica e i tempi vanno poi verificati sul caso concreto.
| Sul sito c’è… | Dati trattati | Finalità e base giuridica | Da indicare in particolare |
|---|---|---|---|
| Modulo di contatto | Nome, e-mail, testo del messaggio | Rispondere alla richiesta: misure precontrattuali su richiesta dell’interessato (art. 6, par. 1, lett. b) se si chiede un servizio; altrimenti legittimo interesse (lett. f) | Il servizio che gestisce i moduli e la casella e-mail, quali campi sono obbligatori, per quanto si conservano i messaggi |
| Newsletter | E-mail, eventuale nome, dati di apertura dei messaggi | Invio di comunicazioni promozionali: consenso (art. 6, par. 1, lett. a e art. 130 Codice privacy); per i clienti, il cosiddetto soft spam dell’art. 130, comma 4, con diritto di opposizione | La piattaforma di invio, spesso extra-UE (trasferimento e garanzie), come disiscriversi, conservazione fino alla revoca |
| Log del server e sicurezza | Indirizzo IP, data e ora, pagine richieste | Funzionamento e protezione del sito: legittimo interesse (lett. f) | Il fornitore di hosting come responsabile del trattamento (art. 28), tempi di conservazione brevi e definiti |
| Statistiche di visita | Dati di navigazione, identificativi del dispositivo | Misurare l’uso del sito: consenso, salvo strumenti configurati in modo da essere equiparati ai cookie tecnici | Lo strumento usato e il rinvio alla cookie policy per la parte cookie |
| Video, mappe, font o widget di terzi | Indirizzo IP e dati di navigazione inviati al fornitore al caricamento della pagina | Dipende dallo strumento: se traccia l’utente serve il consenso, raccolto con il banner | Il fornitore terzo: per la raccolta e la trasmissione dei dati il gestore del sito può esserne contitolare (Corte di giustizia UE, 29 luglio 2019, C-40/17, Fashion ID) |
| Area clienti, ordini, pagamenti | Anagrafica, indirizzo, storico ordini | Esecuzione del contratto (lett. b) e obblighi fiscali (lett. c) | Piattaforma e-commerce, corrieri, gestori dei pagamenti; conservazione decennale delle scritture contabili (art. 2220 c.c.) |
| Pulsante WhatsApp o chat | Numero di telefono, contenuto dei messaggi | Rispondere a chi scrive: come per il modulo di contatto | Il fornitore della chat e l’eventuale trasferimento extra-UE |
Se uno strumento non compare nella privacy policy, per l’utente quel trattamento è invisibile: è proprio l’omissione che il Garante ha sanzionato nei casi riportati più avanti.
Quando rileva anche l’art. 14
L’art. 13 disciplina l’ipotesi ordinaria: i dati pervengono direttamente dalla persona che compila un modulo o si iscrive. L’art. 14 viene in rilievo quando i dati non siano raccolti presso l’interessato, ma ottenuti aliunde: un elenco acquistato, un partner commerciale, una fonte pubblica. In tali casi l’informativa deve indicare anche la fonte di provenienza e le categorie di dati trattati, ed essere resa entro i termini di legge. Per molti siti l’art. 14 non rileva, ma assume centralità per chi gestisca banche dati o riceva contatti da terzi.
Dove va collocata
Non è sufficiente disporre di una buona privacy policy: essa deve risultare agevolmente reperibile. La prassi corretta impone due accorgimenti. In primo luogo, un collegamento accessibile da ogni pagina, di regola nel footer, così che l’utente possa consultarla in ogni momento. In secondo luogo, un richiamo all’informativa nel punto stesso di raccolta dei dati, ossia in corrispondenza di ciascun modulo, anteriormente all’invio: chi compila un form di contatto deve poter prendere visione dell’informativa prima di inoltrarlo, non rinvenirla successivamente.
Come scriverla: un metodo in quattro passi
- Fare l’inventario del sito. Moduli, plugin, script, contenuti incorporati, strumenti di statistica e di marketing: tutto ciò che raccoglie dati o li fa raccogliere a terzi. Gli strumenti per sviluppatori del browser mostrano a quali domini esterni si collega la pagina, e spesso rivelano servizi che nessuno ricordava di aver installato.
- Associare a ogni strumento finalità, base giuridica e fornitore, come nella tabella sopra. Chi tiene un registro dei trattamenti ha già buona parte del lavoro fatto.
- Verificare i fornitori. Chi tratta dati per conto del titolare va designato responsabile del trattamento con un accordo scritto (art. 28); per i servizi extra-UE vanno individuate le garanzie del capo V del Regolamento.
- Scrivere per l’utente. Frasi brevi, una sezione per trattamento, un’informativa breve nel punto di raccolta e il testo completo a un clic: è l’approccio «a più livelli» raccomandato dalle Linee guida sulla trasparenza del Gruppo di lavoro Articolo 29 (WP260 rev.01), fatte proprie dal Comitato europeo per la protezione dei dati.
Gli errori più frequenti
Nella prassi ricorrono con regolarità alcuni errori:
- L’adozione di un modello generico. Un’informativa scaricata e trasposta, non calibrata sui trattamenti effettivamente svolti, risulta quasi sempre incompleta o inesatta.
- Affidarsi del tutto a un generatore automatico. I generatori online sono un’impalcatura utile, ma descrivono solo ciò che si dichiara: se un plugin o un fornitore non viene indicato, la policy lo ignora.
- L’omesso aggiornamento. La privacy policy va riveduta al mutare dei trattamenti: un nuovo strumento, una nuova finalità, un nuovo fornitore. Un’informativa cristallizzata nel tempo non rispecchia la realtà.
- La mancata indicazione dei fornitori e dei responsabili del trattamento. Hosting, piattaforma di newsletter, gestore dei moduli e altri servizi esterni vanno annoverati tra i destinatari. È tra gli errori che il Garante ha effettivamente contestato (infra). La corretta indicazione di tali soggetti risulta peraltro agevolata dalla tenuta di un registro delle attività di trattamento aggiornato.
- La confusione con la cookie policy. Come osservato, si tratta di documenti distinti.
- La trascuratezza delle basi giuridiche. Indicare le finalità senza la corretta base giuridica rende l’informativa formalmente carente.
Cosa dice la giurisprudenza
I provvedimenti del Garante attestano che la completezza e la trasparenza dell’informativa non costituiscono dettagli formali.
Con il provvedimento dell’11 gennaio 2023 (doc. web n. 9861941), nei confronti di una società esercente un sito di annunci, il Garante ha rilevato che l’informativa ometteva due partner ai quali i dati venivano comunicati per finalità promozionali, in violazione dell’art. 13, par. 1, lett. e) del Regolamento: l’omissione — ha osservato l’Autorità — preclude all’interessato la conoscenza degli effettivi destinatari e, con essa, il consapevole esercizio dei propri diritti. Il Garante ha adottato misure correttive: un ammonimento (art. 58, par. 2, lett. b) e l’ordine di conformare l’informativa, senza irrogare alcuna sanzione pecuniaria. L’indicazione che se ne trae è univoca: l’elenco dei destinatari va mantenuto completo e aggiornato.
In altra fattispecie — il provvedimento del 22 giugno 2023 (doc. web n. 9909702), relativo a un servizio di cashback — il Garante ha ritenuto l’informativa non adeguatamente formulata: essa identificava erroneamente il titolare del trattamento, indicando la società fornitrice del servizio anziché l’effettiva titolare, ed era stata omessa la designazione della fornitrice quale responsabile del trattamento, con violazione dei principi di correttezza e trasparenza (art. 5, par. 1, lett. a), dell’art. 13 e degli obblighi in materia di responsabili (art. 28). In tale ipotesi l’Autorità ha irrogato una sanzione di un milione di euro. Il profilo è sostanziale: l’utente deve poter conoscere con esattezza chi tratti i suoi dati.
Tali precedenti confermano una regola pratica: l’informativa deve rispecchiare fedelmente i trattamenti reali, indicare con precisione titolare e destinatari ed essere redatta in forma comprensibile. Predisporla in tal modo — o verificare la conformità di quella esistente — costituisce un segmento qualificante dell’adeguamento al GDPR di un sito. Offriamo supporto nella redazione e nella revisione delle informative nell’ambito della consulenza GDPR per aziende e professionisti.
Domande frequenti
La privacy policy va firmata dall’utente? No: è un’informativa, va resa — cioè messa a disposizione — non sottoscritta. Risponde a un obbligo di trasparenza, non a un vincolo contrattuale.
Posso copiare la privacy policy di un altro sito? No: l’informativa va calibrata sui trattamenti effettivamente svolti — finalità, basi giuridiche, dati raccolti, strumenti di terze parti. Un modello copiato è quasi sempre inesatto e, per ciò stesso, non conforme.
Dove va collocata sul sito? In un punto raggiungibile da ogni pagina, di norma con un link nel footer, e va richiamata nei punti di raccolta dei dati: modulo di contatto, iscrizione alla newsletter, area di acquisto.
Basta un generatore automatico? Può essere un punto di partenza, non un punto di arrivo: il risultato è corretto solo se l’elenco di strumenti e fornitori inserito è completo e se le basi giuridiche scelte corrispondono a come il sito usa davvero i dati.
Il presente approfondimento ha finalità informative e non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 28 ottobre 2026.