In sintesi. La privacy policy è l’informativa sul trattamento dei dati personali prevista dagli articoli 13 e 14 del GDPR, dovuta da quasi ogni sito: bastano un modulo di contatto, l’iscrizione a una newsletter o i log del server che registrano gli indirizzi IP. Deve indicare titolare (e, ove nominato, DPO), finalità con le rispettive basi giuridiche ex art. 6, destinatari — compresi hosting e altri fornitori —, eventuali trasferimenti extra-UE, tempi di conservazione, diritti di cui agli articoli da 15 a 22, revoca del consenso (art. 7, par. 3) e reclamo al Garante (art. 77). Va resa raggiungibile con un link nel footer e richiamata in ogni punto di raccolta dei dati.
Quasi ogni sito raccoglie dati personali, anche quando ciò non risulta evidente. È sufficiente un modulo di contatto, l’iscrizione a una newsletter o i semplici file di registro del server per far sorgere un obbligo preciso: informare gli utenti sulle modalità di trattamento dei loro dati. È questo l’oggetto della privacy policy. Conviene chiarire in che cosa consista, perché sia di fatto obbligatoria, quale debba esserne il contenuto alla luce del GDPR, dove vada collocata e quali errori convenga evitare.
Cos’è la privacy policy (e perché è quasi sempre necessaria)
Con «privacy policy» si designa comunemente l’informativa sul trattamento dei dati personali. Il suo fondamento normativo risiede negli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR): l’art. 13 trova applicazione quando i dati sono raccolti direttamente presso l’interessato, l’art. 14 quando provengono da altre fonti. Il principio sotteso è quello di trasparenza: chi tratta dati è tenuto a rendere noto, in forma chiara, la propria identità, le finalità perseguite e i diritti spettanti all’interessato.
Da ciò discende l’equivoco più ricorrente, secondo cui l’informativa sarebbe richiesta soltanto a chi venda online o gestisca ingenti quantità di dati. Così non è. Vi sono tenuti anche i siti all’apparenza «statici»: un modulo «Contattaci» raccoglie nome e indirizzo e-mail; un modulo di iscrizione alla newsletter acquisisce un recapito e un consenso; finanche i log tecnici del server registrano indirizzi IP, i quali costituiscono dati personali. In tutte tali ipotesi l’informativa è dovuta. Possono prescinderne, in concreto, soltanto i siti puramente vetrina, che non raccolgano alcun dato né si avvalgano di strumenti che lo facciano per loro conto.
L’art. 12 del Regolamento prescrive, inoltre, un requisito di forma: l’informativa deve risultare concisa, trasparente, intelligibile e facilmente accessibile, redatta con linguaggio chiaro e semplice. Un testo corretto nel contenuto ma incomprensibile non assolve l’obbligo.
Privacy policy e cookie policy non coincidono
Si tratta di profilo sovente confuso. La privacy policy concerne la totalità dei trattamenti di dati personali effettuati per il tramite del sito (moduli, iscrizioni, log e così via). La cookie policy attiene, invece, in modo specifico all’impiego dei cookie e degli strumenti di tracciamento, e si raccorda alla gestione del consenso mediante il relativo banner. Sono documenti distinti, con basi normative in parte diverse, da mantenere separati: ricondurre i cookie nella privacy policy, o viceversa, costituisce errore frequente. Sul funzionamento del banner e sui presupposti del consenso si rinvia all’approfondimento dedicato al banner dei cookie.
Il contenuto necessario della privacy policy
L’art. 13 enumera in modo puntuale le informazioni che l’informativa deve fornire all’interessato. In sintesi:
- L’identità e i dati di contatto del titolare del trattamento e, ove nominato, del responsabile della protezione dei dati (DPO): occorre indicare chi tratta i dati e come contattarlo.
- Le finalità del trattamento e le relative basi giuridiche. Per ciascuna finalità (dare riscontro a una richiesta, inviare la newsletter, gestire un ordine) va indicata la base giuridica ai sensi dell’art. 6: il consenso, l’esecuzione di un contratto, un obbligo di legge o il legittimo interesse del titolare.
- I destinatari o le categorie di destinatari dei dati: i soggetti cui i dati possono essere comunicati, ivi compresi i fornitori esterni designati responsabili del trattamento (a titolo esemplificativo il servizio di hosting, la piattaforma di e-mail marketing, il gestore dei moduli).
- Gli eventuali trasferimenti verso Paesi terzi od organizzazioni internazionali, con indicazione delle garanzie prestate ai sensi del capo V del Regolamento — profilo spesso rilevante in caso di ricorso a servizi extra-UE.
- Il periodo di conservazione dei dati, ovvero i criteri per determinarlo ove non sia possibile fissare un termine.
- I diritti dell’interessato. Vanno richiamati i diritti di cui agli articoli da 15 a 22: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Ove il trattamento si fondi sul consenso, va menzionato altresì il diritto di revocarlo in qualsiasi momento (art. 7, par. 3), senza pregiudizio per la liceità del trattamento anteriore alla revoca.
- Il diritto di proporre reclamo all’autorità di controllo, ossia al Garante per la protezione dei dati personali (art. 77).
- La natura obbligatoria o facoltativa del conferimento e le conseguenze del mancato conferimento: in un modulo di contatto, ad esempio, è opportuno precisare quali campi siano necessari al riscontro e quali no.
Ricorrendone i presupposti, vanno aggiunte ulteriori informazioni, quale l’esistenza di processi decisionali automatizzati. La regola pratica è netta: l’informativa deve consentire all’utente di comprendere la sorte dei propri dati prima che il trattamento abbia inizio.
Quando rileva anche l’art. 14
L’art. 13 disciplina l’ipotesi ordinaria: i dati pervengono direttamente dalla persona che compila un modulo o si iscrive. L’art. 14 viene in rilievo quando i dati non siano raccolti presso l’interessato, ma ottenuti aliunde: un elenco acquistato, un partner commerciale, una fonte pubblica. In tali casi l’informativa deve indicare anche la fonte di provenienza e le categorie di dati trattati, ed essere resa entro i termini di legge. Per molti siti l’art. 14 non rileva, ma assume centralità per chi gestisca banche dati o riceva contatti da terzi.
Dove va collocata
Non è sufficiente disporre di una buona privacy policy: essa deve risultare agevolmente reperibile. La prassi corretta impone due accorgimenti. In primo luogo, un collegamento accessibile da ogni pagina, di regola nel footer, così che l’utente possa consultarla in ogni momento. In secondo luogo, un richiamo all’informativa nel punto stesso di raccolta dei dati, ossia in corrispondenza di ciascun modulo, anteriormente all’invio: chi compila un form di contatto deve poter prendere visione dell’informativa prima di inoltrarlo, non rinvenirla successivamente.
Gli errori più frequenti
Nella prassi ricorrono con regolarità alcuni errori:
- L’adozione di un modello generico. Un’informativa scaricata e trasposta, non calibrata sui trattamenti effettivamente svolti, risulta quasi sempre incompleta o inesatta.
- L’omesso aggiornamento. La privacy policy va riveduta al mutare dei trattamenti: un nuovo strumento, una nuova finalità, un nuovo fornitore. Un’informativa cristallizzata nel tempo non rispecchia la realtà.
- La mancata indicazione dei fornitori e dei responsabili del trattamento. Hosting, piattaforma di newsletter, gestore dei moduli e altri servizi esterni vanno annoverati tra i destinatari. È tra gli errori che il Garante ha effettivamente contestato (infra). La corretta indicazione di tali soggetti risulta peraltro agevolata dalla tenuta di un registro delle attività di trattamento aggiornato.
- La confusione con la cookie policy. Come osservato, si tratta di documenti distinti.
- La trascuratezza delle basi giuridiche. Indicare le finalità senza la corretta base giuridica rende l’informativa formalmente carente.
Cosa dice la giurisprudenza
I provvedimenti del Garante attestano che la completezza e la trasparenza dell’informativa non costituiscono dettagli formali.
Con il provvedimento dell’11 gennaio 2023 (doc. web n. 9861941), nei confronti di una società esercente un sito di annunci, il Garante ha rilevato che l’informativa ometteva due partner ai quali i dati venivano comunicati per finalità promozionali, in violazione dell’art. 13, par. 1, lett. e) del Regolamento: l’omissione — ha osservato l’Autorità — preclude all’interessato la conoscenza degli effettivi destinatari e, con essa, il consapevole esercizio dei propri diritti. Il Garante ha adottato misure correttive: un ammonimento (art. 58, par. 2, lett. b) e l’ordine di conformare l’informativa, senza irrogare alcuna sanzione pecuniaria. L’indicazione che se ne trae è univoca: l’elenco dei destinatari va mantenuto completo e aggiornato.
In altra fattispecie — il provvedimento del 22 giugno 2023 (doc. web n. 9909702), relativo a un servizio di cashback — il Garante ha ritenuto l’informativa non adeguatamente formulata: essa identificava erroneamente il titolare del trattamento, indicando la società fornitrice del servizio anziché l’effettiva titolare, ed era stata omessa la designazione della fornitrice quale responsabile del trattamento, con violazione dei principi di correttezza e trasparenza (art. 5, par. 1, lett. a), dell’art. 13 e degli obblighi in materia di responsabili (art. 28). In tale ipotesi l’Autorità ha irrogato una sanzione di un milione di euro. Il profilo è sostanziale: l’utente deve poter conoscere con esattezza chi tratti i suoi dati.
Tali precedenti confermano una regola pratica: l’informativa deve rispecchiare fedelmente i trattamenti reali, indicare con precisione titolare e destinatari ed essere redatta in forma comprensibile. Predisporla in tal modo — o verificare la conformità di quella esistente — costituisce un segmento qualificante dell’adeguamento al GDPR di un sito. Offriamo supporto nella redazione e nella revisione delle informative nell’ambito della consulenza GDPR per aziende e professionisti.
Domande frequenti
La privacy policy va firmata dall’utente? No: è un’informativa, va resa — cioè messa a disposizione — non sottoscritta. Risponde a un obbligo di trasparenza, non a un vincolo contrattuale.
Posso copiare la privacy policy di un altro sito? No: l’informativa va calibrata sui trattamenti effettivamente svolti — finalità, basi giuridiche, dati raccolti, strumenti di terze parti. Un modello copiato è quasi sempre inesatto e, per ciò stesso, non conforme.
Dove va collocata sul sito? In un punto raggiungibile da ogni pagina, di norma con un link nel footer, e va richiamata nei punti di raccolta dei dati: modulo di contatto, iscrizione alla newsletter, area di acquisto.
Il presente approfondimento ha finalità informative e non sostituisce una valutazione del caso concreto.
Questo approfondimento ha finalità informative e divulgative e non costituisce un parere legale sul caso concreto. Contenuto verificato dal Dott. Giuseppe Foti, consulente legale — ultima verifica: 15 luglio 2026.