Guida completa alla privacy dei siti web

La conformità di un sito web alle normative sulla privacy non è soltanto un obbligo giuridico, ma rappresenta un elemento essenziale di serietà e affidabilità nei confronti degli utenti, infatti la mancata osservanza delle regole può comportare sanzioni amministrative significative e, ancor prima, un danno reputazionale che mina la fiducia degli utenti.

Al contrario, un sito in regola comunica attenzione, professionalità e rispetto per la protezione dei dati, aspetti che oggi incidono direttamente sulla percezione del brand e sulla relazione con i clienti.

Con l’applicazione del Regolamento (UE) 2016/679 – GDPR e con le disposizioni del Codice della Privacy italiano, ogni titolare di sito è tenuto a garantire che la raccolta e il trattamento dei dati personali avvengano in modo trasparente, sicuro e conforme alla legge.

Le figure coinvolte nella gestione della privacy: Titolare del trattamento, responsabile e DPO

Quando si parla di gestione dei dati personali all’interno di un sito web, è importante distinguere bene i ruoli coinvolti.

Il titolare del trattamento è chi gestisce il sito e decide in autonomia come e perché raccogliere i dati degli utenti Nel contesto di un sito web, il titolare del trattamento coincide di fatto con il proprietario del sito, ossia colui che lo gestisce e ne trae beneficio.

Se il sito appartiene a un’azienda, il titolare è l’azienda stessa; se è di un professionista, è il professionista con la propria partita IVA; se invece è gestito da un privato, anche quest’ultimo diventa titolare.

In altre parole, chi possiede e amministra il sito e decide come vengono utilizzati i dati raccolti dagli utenti.

Questo è responsabile in prima persona di quel trattamento.

Il responsabile del trattamento, invece, non decide in autonomia le finalità, ma tratta i dati per conto del titolare seguendo le sue istruzioni ed è quindi scelto dal titolare. Nel caso di un sito, rientrano in questa categoria il provider che ospita i dati sul server, la piattaforma che gestisce l’invio delle newsletter, il corriere che utilizza indirizzi e recapiti per consegnare gli ordini. In alcuni casi il responsabile può essere anche interno all’organizzazione, ad esempio un reparto IT che si occupa della gestione tecnica dei dati.

Il DPO (Data Protection Officer) ha un ruolo diverso e complementare. Non prende decisioni operative sui dati, ma ha il compito di vigilare che il sito e l’organizzazione rispettino la normativa sulla privacy. Può essere un consulente esterno oppure una figura interna con competenze specifiche, purché indipendente e senza conflitti d’interesse. È il punto di riferimento per gli utenti che vogliono chiarimenti e per il Garante in caso di controlli.

Informativa Privacy

Ogni sito web che raccoglie dati personali – anche solo attraverso un modulo di contatto o tramite strumenti di analisi – è obbligato a fornire agli utenti una Privacy Policy chiara, completa e sempre accessibile.

Si tratta di un documento che ha lo scopo di informare in modo trasparente sul trattamento dei dati personali, permettendo all’utente di comprendere quali informazioni vengono raccolte, con quali finalità e quali diritti può esercitare.

Contenuti minimi dell’informativa

Il Regolamento Europeo (GDPR) stabilisce che una corretta informativa deve includere almeno:

• Dati del titolare del trattamento, con i relativi contatti, e se nominato quelli del DPO (Data Protection Officer);
• Tipologia di dati raccolti, ad esempio dati anagrafici, recapiti, dati di navigazione o cookie;
• Finalità del trattamento, ossia il motivo per cui vengono utilizzati i dati (richiesta di contatto, invio newsletter, adempimenti contrattuali, analisi statistica, ecc.);
• Base giuridica del trattamento, come il consenso dell’utente, un obbligo legale o un contratto;
• Modalità di trattamento e misure di sicurezza adottate per proteggere i dati;
• Tempi di conservazione o criteri utilizzati per stabilirli;
• Soggetti terzi ai quali i dati possono essere comunicati (es. fornitori di servizi, partner commerciali, enti pubblici);
• Trasferimenti di dati verso Paesi extra UE, con indicazione delle garanzie adottate;
• Diritti riconosciuti all’utente (accesso, rettifica, cancellazione, portabilità, opposizione, limitazione del trattamento);
• Modalità per esercitare i diritti, di norma tramite un indirizzo email dedicato o un modulo online;
• Eventuale presenza di processi decisionali automatizzati, inclusa la profilazione.

Modalità di pubblicazione

Per essere efficace e conforme, l’informativa deve essere:

• Facilmente raggiungibile da qualunque pagina del sito, solitamente tramite link nel footer;
• Scritta in linguaggio chiaro e comprensibile, evitando eccessivi tecnicismi giuridici che possano disorientare l’utente;
• Personalizzata in base al sito, poiché ogni progetto web raccoglie e tratta dati in modo diverso.

Differenze in base al tipo di sito

• Nei siti vetrina l’informativa si limita alla gestione dei dati di navigazione e degli eventuali moduli di contatto.
• Nei blog o portali con registrazione/commenti, occorre aggiungere informazioni sulla gestione degli account e dei contenuti inseriti dagli utenti.
• Negli e-commerce la Privacy Policy deve essere più articolata, includendo dati fiscali e bancari, modalità di pagamento, fatturazione e conservazione documentale.

Cookie e strumenti di tracciamento

I cookie, piccoli file che un sito web salva sul computer o sul telefono di chi lo visita, e gli strumenti di tracciamento come Google Analytics, servono a raccogliere informazioni mentre si usa un sito web.

Alcuni cookie sono tecnici e indispensabili per farlo funzionare, altri invece, come quelli di profilazione o di terze parti, seguono l’utente per scopi pubblicitari o statistici.

Per questi ultimi la legge richiede che l’utente dia un consenso chiaro e consapevole prima che vengano attivati.

Tipologie di cookie

• Cookie tecnici: indispensabili per il funzionamento del sito (es. gestione sessioni, preferenze di lingua, carrello e-commerce). Non richiedono consenso, ma devono essere indicati nell’informativa.
• Cookie analitici: servono a raccogliere statistiche sull’utilizzo del sito. Se anonimizzati (es. IP mascherato in Google Analytics 4) possono essere equiparati ai tecnici; in caso contrario richiedono consenso.
• Cookie di profilazione: monitorano la navigazione per creare profili personalizzati e mostrare pubblicità mirata. Sono soggetti a consenso preventivo.
• Cookie di terze parti: installati da servizi esterni (es. social network, piattaforme pubblicitarie). Anche questi richiedono consenso.

Cookie banner e gestione del consenso

Per essere in regola, il sito deve integrare un cookie banner conforme al GDPR che:

• venga mostrato al primo accesso, senza preimpostare l’accettazione;
• permetta all’utente di scegliere tra accettare, rifiutare o personalizzare i cookie;
• registri e conservi la scelta dell’utente (con possibilità di modificarla in qualsiasi momento);
• blocchi preventivamente i cookie non tecnici finché non viene dato consenso.

Cookie Policy dedicata

Oltre al banner, è necessario predisporre una Cookie Policy separata, collegata dall’informativa privacy, che descriva nel dettaglio:

• le tipologie di cookie utilizzati dal sito;
• la finalità e la durata di ciascun cookie;
• i soggetti terzi che potrebbero accedere ai dati;
• le modalità per revocare o modificare il consenso.

Strumenti di tracciamento più comuni

• Google Analytics e altri software di analisi statistica;
• Meta Pixel e strumenti pubblicitari;
• Plugin social (Facebook, Instagram, LinkedIn, YouTube);
• Tag Manager per la gestione centralizzata dei codici di tracciamento.

Tutti questi strumenti devono essere configurati in modo da rispettare le scelte dell’utente, evitando che vengano attivati senza consenso.

Moduli di contatto e raccolta dati

Ogni volta che un sito raccoglie informazioni tramite moduli online – che si tratti di un semplice form di contatto, di un’iscrizione a una newsletter o della creazione di un account – entra in gioco il tema della protezione dei dati personali. Questi strumenti devono essere configurati in modo da rispettare i principi di trasparenza, liceità e minimizzazione previsti dal GDPR.

Consenso esplicito e finalità

• I moduli devono contenere un’informativa breve che indichi chiaramente le finalità del trattamento (ad esempio: “i dati saranno utilizzati esclusivamente per rispondere alla richiesta”).
• Deve essere presente una casella di spunta non preselezionata per il consenso, distinta da eventuali altre finalità (es. marketing o newsletter).
• In caso di raccolta multipla (richiesta informazioni + iscrizione alla mailing list), è necessario separare i consensi.

Newsletter e comunicazioni commerciali

• Per l’iscrizione a newsletter o mailing list è raccomandato l’uso del double opt-in, ovvero la conferma tramite email, che garantisce maggiore trasparenza e tracciabilità del consenso.
• È obbligatorio fornire all’utente la possibilità di revocare il consenso in qualsiasi momento, ad esempio tramite link di disiscrizione presente in ogni comunicazione.

Conservazione e gestione dei dati

• I dati raccolti devono essere conservati solo per il tempo necessario a soddisfare la finalità dichiarata.
• È importante limitare la raccolta alle sole informazioni necessarie (principio di minimizzazione). Ad esempio, per un modulo di contatto, nome ed email sono sufficienti: chiedere dati superflui può rendere il trattamento non conforme.
• I dati devono essere archiviati in maniera sicura, con sistemi di protezione adeguati e accessibili solo al personale autorizzato.

Aspetti pratici da implementare

• Inserire nei moduli un link diretto alla Privacy Policy completa;
• Prevedere il log dei consensi raccolti, utile in caso di verifiche o contestazioni;
• Utilizzare plugin o sistemi che rispettino la normativa, evitando soluzioni che memorizzino i dati senza protezioni adeguate.

E-commerce e gestione clienti

Un sito di e-commerce comporta trattamenti di dati personali più complessi rispetto a un semplice sito vetrina. Oltre ai dati di navigazione e ai moduli di contatto, infatti, vengono gestite informazioni sensibili come dati anagrafici, indirizzi di spedizione, dati fiscali e dati di pagamento. Questo rende necessario un livello di conformità ancora più accurato.

Privacy Policy dedicata

Nel caso di un e-commerce, la Privacy Policy deve includere in modo esplicito:

• i dati raccolti durante il processo di registrazione e di acquisto (nome, cognome, indirizzo, telefono, email, dati di fatturazione e spedizione);
• le finalità del trattamento, tra cui evasione ordini, gestione spedizioni, assistenza clienti, adempimenti fiscali;
• la base giuridica (esecuzione del contratto e adempimenti legali, oltre al consenso per attività di marketing);
• i tempi di conservazione dei dati, che devono tenere conto anche degli obblighi contabili e fiscali.

Termini e condizioni di vendita

Oltre alla Privacy Policy, è necessario predisporre un documento separato con i Termini e Condizioni di Vendita, che regolano gli aspetti contrattuali (modalità di acquisto, diritto di recesso, garanzie, responsabilità). Questo documento deve essere facilmente consultabile e accettato dall’utente in fase di acquisto.

Sicurezza dei pagamenti

• È obbligatorio utilizzare un certificato SSL/HTTPS, che assicura la trasmissione cifrata dei dati.
• I pagamenti devono essere gestiti tramite gateway certificati (es. PayPal, Stripe, Nexi), evitando di memorizzare direttamente i dati delle carte di credito sul sito.

Conservazione dei dati e responsabilità

• I dati relativi agli ordini devono essere conservati per il periodo stabilito dalla normativa fiscale.
• I fornitori coinvolti nel processo (corrieri, piattaforme di pagamento, CRM, software di fatturazione) devono essere designati come Responsabili del trattamento mediante accordi specifici (DPA – Data Processing Agreement).
• L’utente deve essere informato in modo trasparente su eventuali trasferimenti di dati a soggetti terzi.

Sicurezza del sito

La protezione dei dati personali non può prescindere da un’adeguata sicurezza informatica. Il GDPR richiede l’adozione di misure tecniche e organizzative per ridurre i rischi e tutelare il titolare in caso di data breach, ossia una violazione dei dati personali dovuta a accessi non autorizzati, perdita, furto o diffusione indebita di informazioni. Se il titolare non è in grado di dimostrare di aver adottato le misure di sicurezza necessarie, può essere ritenuto direttamente responsabile dal Garante.

Certificato SSL/HTTPS

• L’uso del protocollo HTTPS tramite certificato SSL è ormai obbligatorio: garantisce la cifratura delle comunicazioni tra server e utente, proteggendo dati sensibili come credenziali e informazioni di pagamento.
• I browser moderni segnalano come “non sicuri” i siti privi di HTTPS, con conseguenze negative anche in termini di reputazione e SEO.

Aggiornamenti e manutenzione

• È fondamentale mantenere sempre aggiornati il CMS, i plugin e i temi utilizzati. Le versioni obsolete possono contenere vulnerabilità facilmente sfruttabili.
• Occorre programmare una manutenzione periodica per monitorare log, prestazioni e integrità del sistema.

Backup e continuità operativa

• Devono essere previsti backup regolari e sicuri, possibilmente su server esterni o in cloud certificati.
• I backup devono essere cifrati e testati periodicamente per garantire la possibilità di ripristino in caso di incidenti.

Protezione dagli accessi non autorizzati

• Implementare misure di sicurezza come firewall, sistemi anti-malware, limitazione dei tentativi di login e autenticazione a due fattori (2FA) per gli amministratori.
• È consigliabile definire ruoli e permessi in modo accurato, evitando che utenti non autorizzati abbiano accesso ad aree sensibili del sito.

Monitoraggio e rilevazione

• Utilizzare sistemi di logging e monitoraggio che permettano di rilevare comportamenti anomali o accessi sospetti.
• In caso di violazione dei dati (data breach), il GDPR impone l’obbligo di notifica al Garante per la protezione dei dati personali entro 72 ore.

Nomina dei responsabili esterni

Un sito web raramente gestisce i dati in completa autonomia: quasi sempre si appoggia a fornitori terzi per l’hosting, l’invio di newsletter, i sistemi di pagamento o i servizi cloud.

Quando questi soggetti trattano dati personali per conto del titolare del sito, devono essere formalmente riconosciuti come Responsabili esterni del trattamento, come stabilito dall’art. 28 del GDPR.

Nella pratica, non è necessario inviare una lettera a mano o inventarsi un documento: i grandi provider (come Aruba, Register, Google, AWS, Mailchimp e simili) mettono già a disposizione un Data Processing Agreement (DPA) o una sezione dedicata nei loro contratti.

Spesso l’accettazione avviene direttamente online, al momento della sottoscrizione del servizio o tramite il pannello clienti.

Questo documento serve a fissare i limiti e le regole con cui il fornitore può trattare i dati, oltre alle misure di sicurezza che è tenuto a rispettare.

Chi deve essere nominato responsabile esterno

Rientrano in questa categoria, a titolo di esempio:

• provider di hosting e manutentori del sito;

• piattaforme di email marketing (es. Mailchimp, Sendinblue, MailUp);

• gateway di pagamento e servizi bancari online;

• fornitori di servizi cloud e CRM;

• società di logistica e spedizionieri, nel caso di e-commerce;

• consulenti informatici o agenzie che gestiscono i dati per conto del titolare.

Data Processing Agreement (DPA)

Il rapporto con questi fornitori deve essere regolato da un contratto scritto, detto Data Processing Agreement (DPA), che deve contenere almeno:

• le istruzioni del titolare sul trattamento dei dati;
• le misure di sicurezza adottate dal fornitore;
• i limiti di utilizzo dei dati (non possono essere usati per finalità proprie del responsabile);
• l’obbligo di assistenza in caso di richieste degli interessati o data breach.

Verifiche sui fornitori

Il titolare ha la responsabilità di scegliere fornitori che garantiscano adeguati standard di sicurezza e conformità al GDPR. È quindi importante:

• verificare la sede legale del fornitore (in caso di soggetti extra UE, accertare la presenza di clausole contrattuali standard o altri meccanismi di trasferimento dati validi);
• controllare che dispongano di certificazioni o policy interne aggiornate;
• aggiornare periodicamente gli accordi contrattuali.

Registro dei trattamenti

Il Registro dei trattamenti dei dati personali è uno strumento previsto dall’art. 30 del GDPR e rappresenta un documento operativo fondamentale per dimostrare la conformità normativa. Si tratta di una sorta di “mappa” che descrive in modo dettagliato come vengono raccolti, utilizzati, conservati e protetti i dati personali all’interno di un’organizzazione.

Quando è obbligatorio

Il registro è obbligatorio per:

• aziende e professionisti che trattano dati in maniera non occasionale;
• chi tratta dati particolari (es. sanitari, giudiziari, biometrici);
• realtà con più di 250 dipendenti.

Tuttavia, anche quando non strettamente obbligatorio, mantenerlo aggiornato è fortemente consigliato: costituisce una best practice e una prova di accountability in caso di controlli.

Contenuti del registro

Il registro deve riportare almeno:

• i dati identificativi del titolare del trattamento e, se presenti, dei contitolari e del DPO;
• le categorie di dati personali trattati (es. dati anagrafici, contabili, di navigazione);
• le finalità del trattamento (gestione clienti, fatturazione, marketing, assistenza tecnica, ecc.);
• le categorie di interessati (utenti, clienti, fornitori, dipendenti);
• i soggetti ai quali i dati possono essere comunicati (responsabili esterni, enti pubblici, ecc.);
• i tempi di conservazione;
• le misure di sicurezza adottate.

Vantaggi del registro

Oltre a essere un adempimento normativo, il registro consente di:

• avere una visione chiara e organizzata dei flussi di dati;
• individuare eventuali criticità o trattamenti ridondanti;
• predisporre più facilmente informative e policy aggiornate;
• agevolare audit interni o controlli del Garante.

Modalità di gestione

Il registro può essere tenuto in formato elettronico o cartaceo, purché sia costantemente aggiornato. Molte aziende preferiscono gestirlo tramite software dedicati o fogli di calcolo strutturati, che rendono più semplice la manutenzione e la condivisione.

Diritti degli utenti

Uno degli aspetti centrali del GDPR è il riconoscimento agli interessati di una serie di diritti sui propri dati personali. Un sito web deve garantire in modo chiaro e concreto la possibilità di esercitare questi diritti, prevedendo canali di comunicazione semplici e tempi di risposta certi.

Principali diritti previsti dal GDPR

• Diritto di accesso: l’utente può chiedere conferma che sia in corso un trattamento di dati che lo riguarda e riceverne copia.
• Diritto di rettifica: possibilità di ottenere la correzione di dati inesatti o l’integrazione di quelli incompleti.
• Diritto alla cancellazione (diritto all’oblio): l’interessato può chiedere che i propri dati vengano eliminati quando non più necessari, quando ha revocato il consenso o quando il trattamento è illecito.
• Diritto di limitazione del trattamento: facoltà di bloccare temporaneamente l’uso dei dati in attesa di verifica o contestazione.
• Diritto alla portabilità dei dati: possibilità di ricevere i dati personali in un formato strutturato e leggibile da dispositivo automatico, e di trasmetterli a un altro titolare.
• Diritto di opposizione: l’utente può opporsi al trattamento dei dati basato su legittimo interesse o finalità di marketing diretto.
• Diritto di non essere sottoposto a processi decisionali automatizzati, inclusa la profilazione, che producano effetti giuridici o significativi sulla persona.

Obblighi del titolare del sito

• Deve predisporre canali chiari e accessibili per l’esercizio dei diritti, ad esempio un indirizzo email dedicato o un modulo online.
• Ha l’obbligo di rispondere entro un mese dalla ricezione della richiesta, prorogabile solo in casi particolarmente complessi.
• Non può richiedere alcun costo all’utente, salvo richieste manifestamente infondate o eccessive.
• Deve mantenere una tracciabilità delle richieste e delle risposte fornite, per dimostrare la conformità in caso di verifiche.

Conclusione e best practice

Mettere in regola un sito web rispetto alla normativa sulla privacy non significa solo evitare sanzioni: è un vero e proprio investimento in credibilità e fiducia. Un sito conforme comunica professionalità, trasparenza e attenzione verso i propri utenti, elementi che oggi incidono in maniera determinante sul rapporto con i clienti e sull’immagine aziendale.

Riepilogo delle azioni fondamentali

• Redigere e mantenere aggiornata una Privacy Policy completa;
• Implementare un cookie banner conforme e una Cookie Policy dettagliata;
• Garantire la raccolta dati tramite consensi espliciti e separati;
• Tutelare gli utenti negli acquisti online con procedure sicure e documentazione chiara;
• Adottare misure tecniche di sicurezza come HTTPS, backup e aggiornamenti costanti;
• Stipulare accordi con i responsabili esterni per i servizi che trattano dati;
• Tenere un registro dei trattamenti accurato e aggiornato;
• Assicurare l’effettivo esercizio dei diritti degli utenti.

Best practice consigliate

• Effettuare periodicamente un audit interno (un’attività di controllo svolta all’interno di un’organizzazione per verificare che i processi, le procedure e le misure adottate siano conformi a leggi, regolamenti) sulla gestione della privacy e della sicurezza del sito.
• Monitorare aggiornamenti normativi e linee guida del Garante;
• Formare il personale o i collaboratori che hanno accesso ai dati;
• Affidarsi a un consulente esperto in materia GDPR per personalizzare gli adempimenti in base al tipo di sito e di attività e a una figura tecnica, un consulente informatico, capace di implementare in concreto le misure di sicurezza necessarie.

In definitiva, mettere in regola un sito web dal punto di vista della privacy non significa applicare un’unica ricetta valida per tutti.

Un piccolo sito vetrina, che raccoglie solo dati di contatto tramite un form, ha esigenze molto più semplici rispetto a un e-commerce internazionale che gestisce pagamenti, profilazione e grandi volumi di dati personali.

In entrambi i casi però il principio è lo stesso: valutare quali dati vengono trattati, adottare le misure di sicurezza adeguate e garantire la trasparenza verso gli utenti.

La differenza sta nella complessità e nel livello di protezione richiesto, che deve sempre essere proporzionato al tipo di attività svolta.