Privacy policy e cookie policy per sito web: modello GDPR e Linee guida cookie

La privacy policy è l'informativa sul trattamento dei dati personali: un atto con cui il titolare comunica agli interessati chi tratta i loro dati, per quali finalità, su quale base giuridica, a chi li trasmette, per quanto tempo li conserva e quali diritti possono esercitare. Non è un contratto e non va firmata: è un obbligo di trasparenza che scatta già alla prima visita, perché il server registra l'indirizzo IP. La cookie policy riguarda gli strumenti che leggono o scrivono informazioni sul dispositivo del visitatore, dai cookie ai pixel ai contenuti incorporati.

Nella pratica le due parti convivono, in un'unica pagina raggiungibile dal footer di ogni pagina del sito. È diversa dalle condizioni generali di vendita, che regolano il contratto con il cliente e che un e-commerce deve pubblicare a parte, come nel nostro modello di condizioni generali di vendita B2B e B2C. È diversa anche dal banner dei cookie, che è uno strumento tecnico di raccolta del consenso: l'informativa descrive il banner, ma non lo sostituisce.

La base è il Regolamento (UE) 2016/679 (GDPR). L'art. 13 elenca le informazioni da fornire quando i dati sono raccolti presso l'interessato: identità e contatti del titolare, finalità e base giuridica, destinatari, trasferimenti verso Paesi terzi, periodo di conservazione, diritti, reclamo e, se esistono, decisioni automatizzate con la relativa logica. L'art. 14 aggiunge la fonte dei dati raccolti presso terzi. L'art. 21, par. 4, impone di presentare il diritto di opposizione in modo chiaro e separato dalle altre informazioni, e il modello lo isola in un paragrafo dedicato.

Sul piano nazionale si applica il D.Lgs. 30 giugno 2003, n. 196 (Codice privacy). L'art. 122 consente di archiviare informazioni sul dispositivo dell'utente solo con il suo consenso, salvo i cookie strettamente necessari. L'art. 130 richiede il consenso per le comunicazioni promozionali via e-mail; il comma 4 fa eccezione per l'indirizzo fornito dal cliente nel contesto di una vendita, usato per promuovere prodotti o servizi analoghi. L'art. 2-quinquies fissa a quattordici anni l'età del consenso ai servizi della società dell'informazione, mentre l'art. 111-bis esonera dal consenso il trattamento dei curriculum inviati spontaneamente.

Per i cookie il riferimento operativo sono le Linee guida del Garante sui cookie e sugli altri strumenti di tracciamento del 10 giugno 2021: banner con il comando «X» che chiude senza prestare il consenso, nessuna nuova richiesta prima di sei mesi salvo cambiamenti rilevanti o impossibilità di sapere se la scelta è stata registrata, scrolling che non vale come consenso, cookie analitici assimilati ai tecnici solo a condizioni precise (IP mascherato, statistiche aggregate, nessun uso proprio da parte del fornitore). I trasferimenti verso gli Stati Uniti si appoggiano alla decisione di esecuzione (UE) 2023/1795 per i destinatari certificati nel Data Privacy Framework e, negli altri casi, alle clausole contrattuali tipo della decisione di esecuzione (UE) 2021/914.

Il caso più frequente è il sito vetrina di una piccola impresa o di uno studio professionale con modulo di contatto e Google Analytics. Molti titolari pensano che un sito senza vendite online non tratti dati, ma tratta almeno gli indirizzi IP, i messaggi del modulo e le statistiche di visita. Il secondo scenario è l'e-commerce, dove si aggiungono ordini, pagamenti, spedizioni, account cliente, recensioni e spesso un pixel di remarketing: qui l'informativa deve separare i dati del contratto da quelli del marketing.

Le associazioni sono un caso a parte, spesso trascurato. Un'APS o un'ASD che raccoglie iscrizioni o donazioni online tratta codici fiscali e dati dei versamenti, e deve dirlo con la stessa precisione di un'impresa; chi sta ancora definendo l'ente può partire dal modello di statuto APS conforme al RUNTS e pubblicare l'informativa appena il sito va online. Un caso limite da segnalare: il modello non copre i siti rivolti ai minori di quattordici anni né i dati sanitari dei pazienti di un medico o di uno psicologo, che richiedono un'informativa specifica.

La prima parte identifica il titolare in base alla sua forma (società, impresa individuale o professionista, associazione), riporta l'e-mail e, se c'è, la PEC per le richieste e, se nominato, il responsabile della protezione dei dati con i suoi recapiti, come vuole l'art. 37, par. 7, GDPR. Segue una scheda per ogni trattamento attivato, dai dati di navigazione al modulo di contatto, dagli ordini alla newsletter, fino a candidature, recensioni e chat. Ogni scheda indica dati raccolti, finalità, base giuridica dell'art. 6 e conseguenze del mancato conferimento; per la newsletter il modello distingue il consenso dal soft spam dell'art. 130, comma 4, e dichiara se le e-mail misurano aperture e clic.

Dopo le schede vengono le categorie di destinatari, con i responsabili del trattamento indicati per tipologia, i trasferimenti fuori dallo Spazio economico europeo con i Paesi e i fornitori indicati da Lei, i tempi di conservazione (con il richiamo all'art. 2220 c.c. per le scritture delle imprese), la profilazione e le eventuali decisioni automatizzate, con logica, base giuridica e diritto all'intervento umano. Chiudono questa parte la sezione sui minori, i diritti degli artt. 15-22 GDPR e il reclamo al Garante, presentato come alternativa al ricorso al giudice secondo l'art. 140-bis del Codice privacy.

Nella seconda parte, la cookie policy spiega le categorie, descrive i cookie tecnici, analitici, di marketing e i contenuti di terzi effettivamente presenti, il funzionamento del banner e la gestione delle preferenze, e riporta l'elenco dei cookie compilato da Lei. Ogni funzione del sito corrisponde a una risposta del questionario: quelle che il sito non offre non compaiono nel testo. Lo stesso approccio, con clausole calibrate sul caso concreto, è quello degli altri modelli per la gestione d'impresa.

Si parte dall'indirizzo del sito e dalla data di aggiornamento, scelta dal calendario. Poi il questionario chiede chi è il titolare: per una società bastano denominazione con forma giuridica, sede legale e partita IVA, per un professionista il nome, la ditta o la professione, l'indirizzo dell'attività e la partita IVA, per un ente denominazione, sede legale e codice fiscale. Dopo l'e-mail dedicata alle richieste privacy, l'eventuale PEC e la domanda sul DPO, arriva la scelta più importante: le funzioni del sito, da spuntare una per una. Ogni casella attiva i paragrafi corrispondenti in tutte le sezioni.

Le domande sui cookie seguono la logica delle Linee guida. Per le statistiche si sceglie tra nessuno strumento, strumento minimizzato senza consenso o strumento con consenso; marketing e contenuti incorporati sono due domande separate, e se almeno uno richiede il consenso il testo descrive il banner e chiede dove l'utente può modificare le preferenze. Gli ultimi passaggi riguardano l'elenco dei cookie, i trasferimenti fuori dal SEE e le decisioni automatizzate. L'anteprima a destra si aggiorna a ogni risposta.

L'errore che vediamo più spesso è l'informativa copiata da un altro sito. Cita strumenti che il sito non usa e indica il consenso come base giuridica di tutto, anche dei trattamenti necessari al contratto. Il secondo errore è presentare Google Analytics come cookie tecnico: l'esonero dal consenso vale solo se lo strumento rispetta tutte le condizioni delle Linee guida (IP mascherato, statistiche aggregate sul solo sito, nessun uso dei dati da parte del fornitore), e Google Analytics 4 nella configurazione standard non le soddisfa. Negli altri casi serve il consenso preventivo, e il banner deve bloccare lo strumento fino alla scelta dell'utente. Il terzo riguarda il banner: il solo «Accetta», senza comando «X» né scelta per categorie, contraddice le Linee guida.

Altri problemi nascono dalla dimenticanza: si aggiunge un pixel pubblicitario o si passa a una newsletter con server negli Stati Uniti, e l'informativa resta quella vecchia. Poi c'è la newsletter inviata a chi ha solo chiesto un preventivo, scambiando il soft spam per una regola generale: l'eccezione dell'art. 130, comma 4, vale solo per chi ha acquistato. Infine, la casella e-mail per le richieste privacy che nessuno controlla: il termine di risposta di un mese decorre comunque, anche se il messaggio resta non letto. Se condivide informazioni riservate con fornitori e consulenti, un accordo di riservatezza tra imprese fissa gli obblighi di ciascuno, ma non sostituisce l'accordo dell'art. 28 GDPR con chi tratta dati per Suo conto.