Privacy policy del sito: le informazioni che servono prima di scriverla

Chi mette online un sito nuovo o aggiorna quello che ha già, a un certo punto riceve questa domanda da chi glielo costruisce: "mi mandi il testo per l'informativa privacy?" È il punto in cui il lavoro si ferma quasi sempre, non perché scrivere l'informativa sia difficile, ma perché nessuno ha ancora raccolto le informazioni che servono per scriverla. L'informativa privacy di un sito non si inventa e non si copia da un altro: descrive esattamente cosa fa quel sito, con quei moduli, quei fornitori e quei tempi di conservazione, e quelle informazioni le ha solo chi gestisce l'attività.

Cosa deve contenere, secondo il GDPR

L'articolo 13 del Regolamento (UE) 2016/679 (GDPR) si applica quando un sito raccoglie dati direttamente dalla persona, per esempio tramite un modulo di contatto o l'iscrizione a una newsletter: è il caso di quasi ogni sito aziendale. Elenca, punto per punto, cosa deve comparire nell'informativa: chi è il titolare del trattamento e come contattarlo; i contatti del responsabile della protezione dei dati (DPO), se ne è stato nominato uno; per quale scopo si raccolgono i dati e su quale base giuridica; se si trasferiscono dati fuori dall'Unione Europea; per quanto tempo si conservano, o con quale criterio si decide; quali diritti ha chi ha fornito i dati, incluso quello di reclamo al Garante; se fornire quei dati è obbligatorio per usare il servizio, e cosa succede se non li fornisce; se esistono decisioni automatizzate basate sui dati, come la profilazione (fonte: Regolamento UE 2016/679, articolo 13, consultato il 16 ottobre 2026).

Se invece i dati non arrivano direttamente dalla persona, perché per esempio si acquista o si riceve da un partner una lista di contatti, si applica l'articolo 14, che richiede le stesse informazioni più due aggiunte specifiche: le categorie di dati raccolti e la fonte da cui provengono, con tempi diversi per informare la persona (al massimo un mese, o comunque al primo contatto). Per la maggior parte dei siti di piccole attività, che raccolgono dati solo tramite i propri moduli, è l'articolo 13 quello che conta davvero.

Perché il lavoro si blocca sempre nello stesso punto

Chi scrive l'informativa, sia un consulente legale, sia chi costruisce il sito, può occuparsi della forma: la struttura del testo, il linguaggio, dove va pubblicata. Non può inventare il contenuto, perché ogni singolo punto dell'articolo 13 richiede un dato di fatto che solo chi gestisce l'attività conosce con certezza:

• quali moduli ha il sito (contatto, newsletter, prenotazione, creazione di un account) e quali dati chiede ciascuno;
• se quei dati passano a strumenti di terzi, per esempio uno strumento di statistiche o una piattaforma esterna per l'invio delle email;
• per quanto tempo restano quei dati, e se esiste già un criterio scritto o va deciso adesso;
• se è stato nominato un responsabile della protezione dei dati, o se l'attività ritiene di non doverlo fare.

Senza queste risposte, chi scrive il testo può solo produrre un'informativa generica, che descrive un sito ipotetico e non il sito reale. È proprio questo scollamento, più che la difficoltà del testo in sé, a far slittare la pubblicazione di settimane.

Serve un responsabile della protezione dei dati (DPO)?

Per la maggior parte delle piccole attività, no. L'obbligo di nominare un DPO, previsto dall'articolo 37 del GDPR, riguarda le autorità pubbliche e chi effettua un monitoraggio regolare e sistematico su larga scala delle persone, oppure tratta su larga scala dati sensibili o giudiziari come attività principale. Il Garante per la protezione dei dati personali, nelle proprie FAQ sul responsabile della protezione dei dati in ambito privato, chiarisce che un'attività privata che si limita alla gestione corrente dei rapporti con fornitori e clienti, al di fuori di questi casi, non è tenuta alla nomina (fonte: garanteprivacy.it, consultato il 16 ottobre 2026). Un sito con un modulo di contatto, una newsletter e uno strumento di statistiche, nella grande maggioranza dei casi, resta fuori da questo obbligo. Vale comunque la pena verificarlo con chi segue gli aspetti legali dell'attività, perché il criterio dipende dalla natura e dalla scala del trattamento, non dal numero di dipendenti.

Cosa chiede il Garante sui cookie

Se il sito usa cookie o altri strumenti di tracciamento, si aggiunge un secondo livello di informazione, distinto dall'informativa generale. Le linee guida del Garante del 10 giugno 2021 chiedono una struttura su due livelli: un banner minimo che avvisa dell'uso dei cookie, e un testo più esteso raggiungibile con un clic, con link stabile nel footer di ogni pagina del sito. Le stesse linee guida chiedono di distinguere, nel testo, i cookie tecnici da quelli di statistica e da quelli di profilazione (fonte: Garante per la protezione dei dati personali, Provvedimento n. 231 del 10 giugno 2021, consultato il 16 ottobre 2026). È un altro punto che richiede un dato di fatto preciso: quali cookie installa davvero il sito, non un elenco generico copiato da un altro progetto.

Da dove partire

Prima di chiedere a chi cura il sito di scrivere l'informativa, vale la pena arrivare già con una lista: i moduli presenti sul sito e cosa chiedono, gli strumenti terzi collegati (statistiche, invio email, pagamenti), il tempo di conservazione dei dati o l'intenzione di deciderlo, e la scelta fatta sul DPO. È lo stesso lavoro preliminare che serve, per esempio, per impostare correttamente il modulo di iscrizione a una newsletter: il consenso raccolto lì deve comparire, con lo stesso criterio, nell'informativa generale del sito. Se vuoi fare il punto su questo insieme al resto dell'impianto digitale della tua attività, se ne può parlare dentro il check-up digitale; altrimenti scrivimi, con l'elenco dei moduli che ha il tuo sito è già un buon punto di partenza.