Cos’è la privacy policy di un sito internet?
La privacy policy è l’informativa sul trattamento dei dati personali che il titolare del sito mette a disposizione degli utenti ai sensi degli articoli 13 e 14 del Regolamento UE 2016/679 (GDPR). Ha lo scopo di spiegare, in modo chiaro e accessibile, come vengono trattati i dati raccolti attraverso il sito.
I termini privacy policy e l’informativa sul trattamento dei dati personali indicano, nella pratica, lo stesso documento: il primo è di uso comune sul web, il secondo è la definizione normativa. In entrambi i casi si tratta del documento informativo che il titolare deve fornire prima o al momento della raccolta dei dati.
La privacy policy di un sito web va pubblicata in un punto facilmente raggiungibile, di solito tramite un link presente nel footer di tutte le pagine e richiamato nei moduli di raccolta dati. Deve essere scritta in un linguaggio semplice e comprensibile.
Consiglio dell’esperto
Evita di limitarti a copiare un modello generico: la privacy policy deve rispecchiare i trattamenti realmente effettuati dal tuo sito. Un’informativa che descrive finalità o strumenti diversi da quelli effettivamente usati non solo è inutile, ma può essere considerata essa stessa una violazione, perché non informa correttamente gli utenti.
Quando è obbligatoria la privacy policy?
La privacy policy è obbligatoria ogni volta che il sito tratta dati personali degli utenti. Vediamo le situazioni più frequenti in cui non può mancare.
1. Quando il sito raccoglie dati personali
L’obbligo di informativa scatta ogni volta che il sito raccoglie dati personali, cioè qualsiasi informazione che identifichi o renda identificabile una persona. Anche dati apparentemente banali, come un indirizzo e-mail o un indirizzo IP, sono dati personali.
Poiché quasi tutti i siti raccolgono almeno alcuni dati, nella pratica la privacy policy è un documento pressoché indispensabile per qualsiasi sito internet.
2. In presenza di modulo di contatto o newsletter
Quando il sito prevede un modulo di contatto, un modulo di richiesta o l’iscrizione a una newsletter, raccoglie dati come nome ed e-mail e deve informare l’utente su come verranno trattati. Nel caso della newsletter serve anche una base giuridica adeguata, di norma il consenso dell’interessato.
L’informativa va richiamata direttamente nel modulo, così che l’utente possa prenderne visione prima di inviare i propri dati.
3. In caso di e-commerce
Un sito di e-commerce tratta numerosi dati personali: dati anagrafici, di pagamento, di spedizione e cronologia degli acquisti. In questi casi la privacy policy deve essere particolarmente dettagliata, indicando finalità, destinatari dei dati e periodi di conservazione.
Vanno spesso considerati anche i trasferimenti di dati a fornitori di servizi (ad esempio per pagamenti, logistica o marketing) e, se del caso, verso Paesi terzi.
4. In presenza di cookie e strumenti di tracciamento
Se il sito utilizza cookie o altri strumenti di tracciamento, anche di terze parti come gli strumenti di analisi statistica o i social plugin, occorre informare gli utenti e, per i cookie non tecnici, raccoglierne il consenso tramite un apposito banner.
In questi casi alla privacy policy si affianca una cookie policy dedicata, che descrive nel dettaglio i cookie utilizzati e le modalità per gestire le preferenze.
Differenza tra privacy policy, informativa e cookie policy
I tre documenti sono collegati ma non coincidono. Comprendere la differenza aiuta a organizzare correttamente la conformità del sito.
1. L’informativa sul trattamento dei dati personali ai sensi del GDPR
L’informativa sul trattamento dei dati personali, o privacy policy, è il documento previsto dagli articoli 13 e 14 del GDPR che descrive tutti i trattamenti di dati personali effettuati tramite il sito: chi è il titolare, quali dati raccoglie, per quali finalità, su quale base giuridica e per quanto tempo li conserva.
È il documento principale in materia di protezione dei dati e ha una portata generale, che comprende ogni trattamento realizzato attraverso il sito.
2. La cookie policy
La cookie policy è un documento specifico dedicato ai cookie e agli altri strumenti di tracciamento. Descrive quali cookie il sito utilizza, la loro finalità (tecnica, statistica o di profilazione), la durata e le modalità con cui l’utente può gestire o revocare il consenso.
La cookie policy attua, in particolare, le indicazioni delle linee guida del Garante in materia di cookie, che disciplinano il banner e la raccolta del consenso per i cookie non tecnici.
3. Il rapporto con i consensi
Informativa e consenso sono due cose diverse: l’informativa serve a informare, il consenso è una delle possibili basi giuridiche del trattamento. Non tutti i trattamenti richiedono il consenso: alcuni si fondano sul contratto, sull’obbligo di legge o sul legittimo interesse.
Il consenso è invece necessario, ad esempio, per l’invio di newsletter promozionali e per i cookie di profilazione, e deve essere libero, specifico, informato e revocabile.
4. Come organizzare i documenti sul sito
In pratica, un sito ben strutturato pubblica una privacy policy generale, una cookie policy dedicata e, dove necessario, informative specifiche dedicate a singoli servizi (ad esempio la newsletter o l’area riservata). Tutti i documenti devono essere facilmente accessibili.
Il collegamento tipico prevede link nel footer del sito e richiami puntuali nei moduli di raccolta dati e nel banner dei cookie, così da fornire l’informazione nel momento in cui i dati vengono raccolti.
Come si redige la privacy policy di un sito?
La redazione richiede di individuare correttamente titolare, finalità e basi giuridiche del trattamento e di descrivere i diritti degli utenti. Ecco i passaggi fondamentali.
1. Identificare il titolare del trattamento
Il primo elemento è l’identità del titolare del trattamento, cioè il soggetto (persona fisica, azienda o ente) che determina finalità e modalità del trattamento dei dati. Vanno indicati denominazione, sede e recapiti, incluso un contatto per l’esercizio dei diritti.
Se è stato nominato un Responsabile della protezione dei dati (DPO), obbligatorio solo in determinati casi, vanno riportati anche i suoi dati di contatto.
2. Indicare finalità e base giuridica del trattamento
La privacy policy deve indicare, per ciascun trattamento, la finalità (ad esempio rispondere a una richiesta, gestire un ordine, inviare una newsletter) e la relativa base giuridica prevista dall’articolo 6 del GDPR: consenso, esecuzione di un contratto, obbligo legale o legittimo interesse.
Collegare ogni finalità alla sua base giuridica è essenziale per la conformità: è ciò che rende trasparente il motivo per cui il sito tratta determinati dati e a quale titolo.
3. Descrivere i diritti dell’interessato
L’informativa deve illustrare i diritti riconosciuti all’utente dal GDPR: accesso, rettifica, cancellazione (diritto all’oblio), limitazione, portabilità e opposizione al trattamento, oltre alla possibilità di revocare il consenso in qualsiasi momento.
Va indicato anche il diritto di proporre reclamo all’autorità di controllo, ossia il Garante per la protezione dei dati personali, e le modalità per esercitare concretamente i propri diritti.
4. Indicare conservazione, destinatari e trasferimenti
La privacy policy deve specificare per quanto tempo i dati sono conservati (o i criteri per determinarlo), a quali categorie di destinatari possono essere comunicati (ad esempio ai fornitori che agiscono come responsabili del trattamento) e se sono trasferiti verso Paesi terzi.
In caso di trasferimento al di fuori dell’Unione europea occorre indicare le garanzie adottate, come le decisioni di adeguatezza o le clausole contrattuali standard.
Consiglio dell’esperto
Tieni la privacy policy allineata ai trattamenti reali del sito e aggiornala ogni volta che introduci un nuovo strumento, servizio o fornitore: un nuovo sistema di analytics, una chat o un gestore di newsletter possono comportare nuovi trattamenti. Una policy statica, mai aggiornata, finisce quasi sempre per non rispecchiare più ciò che il sito fa davvero.
Cosa deve contenere la privacy policy?
Una privacy policy conforme al GDPR deve includere una serie di informazioni essenziali. Di seguito sono riportate quelle imprescindibili.
- Dati del titolare e del DPO: identità e recapiti del titolare del trattamento e, se nominato, del Responsabile della protezione dei dati.
- Tipologie di dati raccolti e finalità: categorie di dati personali trattati e finalità per cui vengono raccolti e utilizzati.
- Base giuridica del trattamento: fondamento giuridico di ciascun trattamento: consenso, contratto, obbligo legale o legittimo interesse.
- Destinatari e trasferimenti dei dati: soggetti a cui i dati possono essere comunicati ed eventuali trasferimenti verso Paesi terzi, con le relative garanzie.
- Periodo di conservazione: tempo di conservazione dei dati o i criteri utilizzati per determinarlo.
- Diritti dell’interessato e reclamo: diritti riconosciuti all’utente, modalità di esercizio e diritto di reclamo al Garante per la protezione dei dati personali.
Consiglio dell’esperto
Predisponi un contatto dedicato e facilmente reperibile per l’esercizio dei diritti degli utenti (ad esempio un indirizzo e-mail o un modulo apposito) e assicurati di gestire le richieste nei tempi previsti dal GDPR. Una policy ben scritta, ma priva di un canale efficace per accesso, cancellazione e revoca del consenso, resta solo formale.
Conclusioni
La privacy policy di un sito internet è l’informativa con cui il titolare spiega agli utenti quali dati personali raccoglie, per quali finalità e su quali basi giuridiche li tratta, e quali diritti possono esercitare. È un obbligo previsto dal GDPR e un elemento chiave della conformità di qualsiasi sito web.
Va tenuta distinta, ma coordinata, con la cookie policy e con la gestione dei consensi: l’informativa informa, il consenso è solo una delle possibili basi del trattamento. Per i cookie non tecnici e per le comunicazioni promozionali resta invece indispensabile un consenso valido.
Redigere una privacy policy aderente ai trattamenti effettivi, completa degli elementi richiesti dal GDPR e costantemente aggiornata è il modo migliore per informare correttamente gli utenti ed evitare sanzioni.
