Articolo 13
Dati raccolti dall’interessato
È il caso normale di un sito: modulo di contatto, iscrizione alla newsletter, registrazione, ordine. I dati te li dà direttamente la persona.
Risorse · Esempi e template
Privacy policy:
esempio e template GDPR
La struttura completa prevista dagli articoli 13 e 14 del Regolamento, blocco per blocco, con il testo pronto da copiare e le note su cosa personalizzare. È il documento che ogni sito deve avere nel momento in cui raccoglie anche solo un indirizzo email da un modulo di contatto.
Documento editabile · Articoli 13 e 14 coperti · Varianti per settore incluse
La struttura obbligatoria
Due articoli, due situazioni
Il GDPR distingue in base a dove arrivano i dati. Quasi tutti i siti ricadono nel primo caso, ma basta una lista acquistata per entrare anche nel secondo.
Articolo 14
Dati da altre fonti
Liste acquistate, banche dati pubbliche, partner commerciali. Richiede due informazioni in più: da dove provengono i dati e quali categorie sono state ottenute.
L'articolo 12 aggiunge una condizione che vale per entrambi i casi e che viene spesso ignorata: l'informativa deve essere concisa, trasparente, intelligibile e scritta in un linguaggio semplice. Un'informativa corretta ma incomprensibile non è conforme.
Gli elementi obbligatori
Dieci voci, nessuna facoltativa
| # | Elemento | Nota rapida |
|---|---|---|
| 1 | Identità e contatti del titolare | Ragione sociale, sede, partita IVA, email |
| 2 | Contatti del DPO | Solo se è stato nominato davvero |
| 3 | Finalità e base giuridica | Una sola base giuridica per ogni finalità |
| 4 | Legittimo interesse invocato | Se lo usi, va dichiarato quale |
| 5 | Destinatari dei dati | Categorie di fornitori, nominati responsabili ex art. 28 |
| 6 | Trasferimenti extra UE | Con la garanzia concreta adottata |
| 7 | Periodo di conservazione | Un termine o un criterio verificabile |
| 8 | Diritti dell’interessato | Compresi revoca del consenso e reclamo al Garante |
| 9 | Natura del conferimento | Obbligatorio o facoltativo, con le conseguenze del rifiuto |
| 10 | Decisioni automatizzate e profilazione | Se ci sono, con la logica applicata |
Il template commentato
Blocco per blocco, testo e nota
Il testo tra parentesi quadre va sostituito. Le note spiegano cosa succede se il blocco è scritto male.
«Il titolare del trattamento è [ragione sociale], con sede in [indirizzo], partita IVA [numero], indirizzo email [email]. Il Responsabile della Protezione dei Dati è contattabile all’indirizzo [email DPO].»
Nota: la riga sul DPO va inserita solo se il DPO esiste. Indicarlo senza averlo nominato equivale a dichiarare il falso in un documento pubblico.
«Trattiamo i dati che ci fornisci direttamente attraverso i moduli presenti nel sito, tra cui [nome, cognome, email, telefono, ragione sociale], e i dati raccolti automaticamente durante la navigazione, tra cui indirizzo IP, tipo di browser e pagine visitate.»
Nota: elenca solo i campi che raccogli davvero. Un modulo che chiede il telefono mentre l’informativa non lo cita è la prima incoerenza che salta all’occhio.
Una tabella con una riga per ogni finalità, con la relativa base giuridica e il periodo di conservazione. Esempio: «Rispondere alle richieste ricevute dal modulo di contatto. Base giuridica: misure precontrattuali su richiesta dell’interessato, articolo 6, paragrafo 1, lettera b. Conservazione: 24 mesi dall’ultimo contatto.»
Nota: è il blocco che il Garante legge con più attenzione. Ogni finalità deve avere una sola base giuridica, chiara e coerente con quello che fai.
«I dati possono essere comunicati ai fornitori che ci supportano nell’erogazione del servizio, nominati responsabili del trattamento ai sensi dell’articolo 28 del GDPR: [hosting, piattaforma email, CRM, gestionale, consulenti].»
Nota: indicare le categorie è sufficiente, ma devono corrispondere ai fornitori reali. E ognuno di loro deve avere un contratto di nomina a responsabile.
«Alcuni fornitori trattano i dati al di fuori dello Spazio Economico Europeo. I trasferimenti avvengono sulla base di [decisione di adeguatezza / clausole contrattuali tipo / adesione del fornitore al Data Privacy Framework]. Puoi richiedere copia delle garanzie adottate scrivendo a [email].»
Nota: se usi strumenti di email marketing, analisi o pubblicità statunitensi, questo blocco serve quasi sicuramente.
«I dati sono conservati per il tempo indicato in corrispondenza di ciascuna finalità. I dati contabili e fiscali sono conservati per dieci anni, come previsto dalla normativa civilistica e tributaria.»
Nota: la formula «per il tempo strettamente necessario» da sola non basta. Servono un termine o un criterio verificabile.
«Puoi esercitare in qualsiasi momento i diritti previsti dagli articoli da 15 a 22 del GDPR: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Se il trattamento si basa sul consenso, puoi revocarlo in qualsiasi momento senza che ciò pregiudichi la liceità del trattamento effettuato prima della revoca. Puoi inoltre proporre reclamo al Garante per la protezione dei dati personali. Per esercitare i tuoi diritti scrivi a [email].»
Nota: la revoca del consenso e il reclamo al Garante sono i due elementi che mancano più spesso nelle informative copiate.
«Il conferimento dei dati contrassegnati come obbligatori è necessario per [dare seguito alla richiesta / concludere il contratto]. Il mancato conferimento comporta l’impossibilità di [ottenere una risposta / completare l’ordine].»
«[Non effettuiamo processi decisionali automatizzati o attività di profilazione. / Effettuiamo attività di profilazione per [finalità], con la seguente logica: [descrizione].]»
Nota: dichiarare l’assenza di profilazione mentre il sito installa cookie pubblicitari è una contraddizione che il Garante rileva confrontando i due documenti.
«Per il dettaglio dei cookie utilizzati e per modificare le tue scelte, consulta la Cookie policy.»
«Ultimo aggiornamento: [data].»
Nota: privacy policy e cookie policy restano due documenti distinti, collegati tra loro. Unirli rende entrambi meno leggibili.
Le varianti per settore
Tre situazioni, tre basi giuridiche diverse
La differenza non è nel testo, è nella base giuridica. Sbagliarla è l’errore che costa di più.
Sito vetrina e servizi B2B
I trattamenti si riducono al modulo di contatto e alla corrispondenza commerciale. La base giuridica è l’esecuzione di misure precontrattuali, non il consenso: chiedere una spunta per rispondere a una richiesta è un errore, perché quel consenso non sarebbe libero.
Negozi online
Si aggiungono i dati di ordine, spedizione e pagamento, con base contrattuale, e gli obblighi fiscali, con conservazione decennale. Per le comunicazioni ai clienti su prodotti analoghi a quelli già acquistati si può usare la deroga dell’articolo 130 del Codice Privacy, purché ogni messaggio offra un’opposizione semplice.
Newsletter e marketing
La base giuridica è il consenso, che va raccolto separatamente dalle altre finalità e conservato come prova. Il doppio opt-in non è imposto dalla norma, ma è il modo più solido per dimostrare che il consenso è stato prestato davvero. In ogni email serve il link di disiscrizione.
Errori comuni
Sei modi per rendere inutile una buona informativa
**Copiare l’informativa di un altro sito.** Restano dentro nomi di società altrui, strumenti che non usi e finalità che non ti riguardano: l’incoerenza è immediatamente visibile.
**Chiedere il consenso quando la base giuridica è un’altra.** Se tratti i dati per eseguire un contratto o per un obbligo di legge, il consenso non serve e chiederlo indebolisce la tua posizione.
- Scrivere «per il tempo necessario» senza indicare criteri o termini
- Dimenticare il diritto di revoca del consenso e il reclamo al Garante
- Non aggiornare l’informativa quando entra un nuovo strumento: un CRM, una chat o una piattaforma di email marketing portano nuovi destinatari e a volte nuovi trasferimenti extra UE
- Rendere l’informativa difficile da trovare: deve stare nel footer di ogni pagina e accanto a ogni modulo che raccoglie dati
Scarica il template
Il modello completo, in formato editabile
Tutti i blocchi commentati e le tre varianti già predisposte. Ti chiediamo solo un indirizzo email, senza registrazione al servizio.
Il limite di ogni modello
Un template descrive il giorno in cui lo compili.
Permissor genera la privacy policy e la cookie policy del tuo sito, le mantiene aggiornate quando cambiano gli strumenti utilizzati e conserva la prova dei consensi raccolti.
Prezzo fisso · Supporto italiano · Installazione in pochi minuti