Privacy Policy

Quando serve l'informativa privacy, cosa deve contenere ai sensi dell'art. 13 GDPR e dove va collegata nel sito.

L’informativa privacy è la pagina legale più trasversale: serve ogni volta che il sito raccoglie un dato personale, anche solo un indirizzo email da un form o un indirizzo IP tramite un servizio di terze parti.

Cosa dice la norma

L’art. 13 del Reg. UE 2016/679 (GDPR) impone di informare l’interessato prima del trattamento. L’informativa deve indicare:

• identità e contatti del titolare (ed eventuale rappresentante nell’UE);
• contatti del DPO, se nominato;
• finalità di ciascun trattamento e relativa base giuridica;
• se la base è l’interesse legittimo, qual è tale interesse;
• eventuali destinatari o categorie di destinatari;
• eventuali trasferimenti extra-UE e le garanzie adottate (Capo V);
• periodo di conservazione o i criteri per determinarlo;
• diritti dell’interessato (artt. 15–22) e diritto di reclamo al Garante;
• se il conferimento è obbligatorio o facoltativo, e le conseguenze del rifiuto;
• esistenza di eventuali decisioni automatizzate, inclusa la profilazione.

Requisiti di forma

L’art. 12 richiede che l’informativa sia in forma concisa, trasparente, intelligibile e facilmente accessibile, con linguaggio semplice.

Ne discendono conseguenze tecniche concrete:

• deve essere leggibile: non testo grigio chiaro a 10px, non un PDF scaricabile come unica forma;
• deve essere accessibile secondo le WCAG, come il resto del sito;
• deve essere raggiungibile senza ostacoli, non dietro un login;
• una struttura con titoli e sommario aiuta l’intelligibilità, e non è solo estetica.

Errori frequenti

• Informativa copiata da un altro sito, che descrive trattamenti inesistenti (o omette quelli reali). È il caso più comune e il più rischioso: dichiara il falso.
• Elenco dei destinatari generico (“potremmo condividere i dati con partner selezionati”) senza indicare le categorie.
• Periodo di conservazione assente o indicato come “per il tempo necessario”, senza criteri.
• Base giuridica sbagliata: consenso dove serve il contratto, o viceversa. Vedi form e consensi.
• Informativa non aggiornata dopo l’introduzione di un nuovo servizio (un chatbot, un pixel, un CRM).

Dove va collegata

L’informativa deve essere raggiungibile dal footer globale e linkata in ogni punto di raccolta dati: form di contatto, newsletter, registrazione, checkout. Vedi informative e link nei form.

Attenzione. Non serve una checkbox “accetto l’informativa”: l’informativa si fornisce, non si fa accettare. È l’errore più diffuso in assoluto: vedi form e consensi GDPR.

Versionamento

Conviene indicare in fondo la data di ultimo aggiornamento e conservare le versioni precedenti. Se raccogli consensi, devi poter dimostrare quale versione dell’informativa era vigente quando un utente ha acconsentito (accountability).

Cosa verificare

• L’informativa descrive i trattamenti reali del sito, non un modello generico.
• Ogni finalità ha una base giuridica indicata.
• Sono indicati i destinatari, i tempi di conservazione e i diritti.
• È raggiungibile dal footer e da ogni form.
• È leggibile, accessibile e non è un PDF.
• Riporta una data di aggiornamento.