Guida alla Privacy Policy conforme GDPR: scrivere l’informativa

1. Il quadro normativo: articoli 13 e 14 del GDPR

L’obbligo di pubblicare un’informativa sulla privacy è stabilito dagli articoli 13 e 14 del GDPR. L’articolo 13 si applica quando i dati vengono raccolti direttamente dall’utente (moduli di contatto, registrazioni, acquisti). L’articolo 14 si applica quando i dati provengono da fonti terze.

In entrambi i casi, l’informativa deve essere concisa, trasparente, scritta in linguaggio semplice e facilmente accessibile (articolo 12). Un documento in linguaggio legale incomprensibile non soddisfa questi requisiti, anche se contiene tutte le informazioni previste.

2. Struttura obbligatoria dell’informativa

Una privacy policy conforme deve contenere: identità e contatti del titolare del trattamento (e del DPO, se nominato), categorie di dati raccolti, finalità e base giuridica per ogni trattamento, destinatari dei dati, eventuale trasferimento verso paesi extra UE con le relative garanzie, periodo di conservazione per ogni categoria di dati, diritti dell’interessato (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso), diritto di reclamo al Garante Privacy, eventuale uso di processi decisionali automatizzati.

Ogni voce deve essere specifica. Formulazioni vaghe come “i dati vengono conservati per il tempo necessario” non sono sufficienti: servono termini concreti (ad esempio “24 mesi dall’ultimo contatto” o “10 anni per obblighi fiscali”).

3. Template commentato: le sezioni chiave

Titolare del trattamento. Denominazione, sede, P.IVA, email. Se presente, contatti del DPO.

Dati raccolti. Elencare per fonte: dati forniti dall’utente (nome, email, telefono), dati di navigazione (IP, browser, pagine visitate), dati di acquisto (indirizzo, metodo di pagamento).

Finalità e base giuridica. Associare ogni finalità alla base giuridica corrispondente: consenso per il marketing, esecuzione del contratto per gli ordini, obbligo di legge per la fatturazione, legittimo interesse per la sicurezza del sito.

Destinatari. Indicare le categorie: fornitori tecnici (hosting, manutenzione), servizi di pagamento, servizi di email marketing, strumenti di analytics, autorità pubbliche.

Trasferimenti extra UE. Se si utilizzano servizi con server fuori dallo Spazio Economico Europeo (Google, Mailchimp, Stripe), indicare le garanzie adottate (Clausole Contrattuali Standard, Data Privacy Framework UE-USA).

Conservazione. Tempi specifici per ogni categoria di dati.

Diritti. Elenco completo dei diritti (artt. 15-22 GDPR), modalità di esercizio (email dedicata) e diritto di reclamo al Garante.

Cookie. Rimando alla cookie policy separata oppure sezione integrata con l’elenco completo dei cookie.

Modifiche, dati dei minori, misure di sicurezza. Indicare come vengono comunicate le modifiche, la politica sui minori e le misure di protezione adottate (crittografia, backup, accessi limitati).

Data di ultimo aggiornamento. Sempre visibile nel documento.

4. Errori comuni

Privacy policy generica copiata da un altro sito, senza personalizzazione. Assenza di base giuridica per ogni finalità. Tempi di conservazione vaghi o assenti. Mancata indicazione dei trasferimenti extra UE (frequente con Google Analytics, Mailchimp, Cloudflare). Documento non aggiornato (ad esempio ancora con riferimenti al Privacy Shield, invalidato nel 2020). Linguaggio troppo tecnico o legale. Privacy policy nascosta, raggiungibile solo dopo più clic. Confusione tra privacy policy e cookie policy: sono documenti distinti.

5. Personalizzazione per settore

E-commerce: aggiungere dati di spedizione, fatturazione, gateway di pagamento, sistemi di recensioni e remarketing. Professionisti e studi: indicare il trattamento di categorie particolari di dati (salute, dati giudiziari) con le relative basi giuridiche specifiche (art. 9 GDPR). SaaS: chiarire il ruolo titolare/responsabile del trattamento, descrivere i dati generati dall’uso della piattaforma. Blog e siti editoriali: coprire commenti, newsletter, eventuale pubblicità programmatica. PA e siti istituzionali: DPO obbligatorio, base giuridica del compito di interesse pubblico, conformità AGID sull’accessibilità.

6. Genera la tua privacy policy conforme

Permissor include un generatore di informativa privacy personalizzato per il tuo sito, il tuo settore e i servizi che utilizzi. Il documento viene aggiornato automaticamente quando cambiano i requisiti normativi. Prezzo fisso, supporto italiano, installazione in pochi minuti. Se il tuo sito cresce, il prezzo non cambia.

Hai dubbi sulla tua privacy policy? Contattaci.