L’informativa privacy è uno dei pochi documenti che il GDPR impone senza margini di interpretazione. Chi tratta dati personali — e li tratta chiunque abbia un modulo di contatto, un log di accesso o un cookie — deve informare.
Meno chiaro, di solito, è chi controlla in Italia e cosa succede concretamente quando l’informativa manca o non descrive la realtà. È di questo che parliamo qui.
Chi vigila, in Italia
L’autorità competente è il Garante per la protezione dei dati personali. È l’unico interlocutore per un sito italiano: non l’autorità di un altro Stato membro, che ha competenza sui titolari stabiliti sul proprio territorio.
Il riferimento normativo è duplice: il GDPR e il Codice Privacy (D.lgs. 196/2003, come modificato dal D.lgs. 101/2018), che adatta il regolamento europeo all’ordinamento italiano.
Cosa deve contenere l’informativa
Gli articoli 13 e 14 del GDPR elencano le informazioni obbligatorie:
- In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:
— GDPR, articolo 13
- identità e contatti del titolare del trattamento, e del responsabile della protezione dei dati se nominato;
- finalità e base giuridica di ogni trattamento — consenso, contratto, obbligo legale, interesse legittimo;
- destinatari o categorie di destinatari: hosting, gestore dei pagamenti, strumento di newsletter, servizio di analisi;
- trasferimenti extra-UE e la garanzia su cui si fondano;
- periodo di conservazione, o i criteri per determinarlo;
- diritti dell’interessato: accesso, rettifica, cancellazione, limitazione, opposizione, portabilità, revoca del consenso;
- diritto di reclamo al Garante.
L’articolo 12 aggiunge un requisito di forma spesso trascurato: informazioni «concise, trasparenti, intelligibili e facilmente accessibili, con un linguaggio semplice e chiaro». Un’informativa che contiene tutto ma è illeggibile non assolve l’obbligo.
Per sapere se la tua attività rientra nel perimetro, vedi chi è veramente coinvolto dal GDPR.
Cosa succede davvero quando manca
La distanza tra il massimale teorico e la pratica è ampia, e conviene conoscerla.
L’articolo 83 del GDPR prevede fino a 20 milioni di euro o il 4% del fatturato mondiale. Quel tetto è parametrato a gravità, durata, intenzionalità, categorie di dati e fatturato: riguarda i casi gravi, non l’informativa incompleta di una piccola impresa.
Per un sito di dimensioni ordinarie il percorso tipico è un altro. Un reclamo — di un visitatore, di un ex collaboratore, talvolta di un concorrente — apre il procedimento. Il Garante invia una richiesta di informazioni con un termine. Da lì: archiviazione, ingiunzione ad adeguarsi, o sanzione.
⚠️ Il rischio reale, quindi, non è quasi mai la multa: è il tempo. Ricostruire i propri trattamenti, documentarli e adeguarsi entro un termine costa settimane a chi parte da zero.
Per la portata concreta, vedi la classifica delle 15 sanzioni più alte del Garante in Italia.
I quattro errori più frequenti
- L’informativa non nomina strumenti che il sito carica. Uno script di analisi, un widget di chat, una mappa incorporata. La contraddizione tra il documento e il codice sorgente è essa stessa il rilievo — e si verifica dall’esterno in pochi secondi.
- Manca la base giuridica per ciascun trattamento. «Trattiamo i tuoi dati con cura» non è una base giuridica: l’articolo 6 ne richiede una nominata.
- Nessun periodo di conservazione, né un criterio per determinarlo.
- Trasferimenti extra-UE senza garanzia indicata. Chi usa uno strumento statunitense deve dire su quale meccanismo si fonda il trasferimento.
Non confondere informativa e cookie
Sono due obblighi distinti, con fondamenti diversi.
L’informativa privacy discende dagli artt. 13-14 GDPR e riguarda tutti i trattamenti. Il consenso ai cookie discende dalla direttiva ePrivacy e dalle linee guida del Garante: per i cookie non necessari serve un consenso preventivo, indipendentemente da quanto scritto nell’informativa.
Un banner non sostituisce l’informativa, e un’informativa non sostituisce il banner. Il dettaglio è nella politica dei cookie: regole e sanzioni.
Come metterti in regola
Un modello gratuito mostra la struttura attesa, il che ha un valore reale per capire cosa ci si aspetta da te. Non conosce però i tuoi strumenti, i tuoi fornitori né i tuoi tempi di conservazione — cioè esattamente le informazioni che contano.
Il generatore di documenti legali WebLegal produce un’informativa allineata agli strumenti che usi davvero e coerente con la cookie policy e le condizioni di vendita, come acquisto una tantum a partire da 19,90 €. Prima, lo scanner gratuito ti dice cosa manca: legge quali script partono sul tuo sito e li confronta con quanto dichiari.
L’elenco completo dei documenti necessari è nei 4 documenti legali obbligatori, e la procedura passo passo in Garante Privacy: metti in regola il tuo sito.
Domande frequenti
Serve un’informativa anche per un semplice sito vetrina?
Sì. I log del server registrano indirizzi IP, e questo è già un trattamento di dati personali. Un modulo di contatto o un font caricato da un server terzo lo confermano.
Basta un’informativa in inglese?
No, se il sito si rivolge a un pubblico italiano. L’articolo 12 richiede un linguaggio comprensibile, e comprensibile significa nella lingua di chi legge.
Ogni quanto va aggiornata?
Ogni volta che cambia un trattamento: nuovo strumento, nuovo fornitore, nuova funzionalità. In assenza di cambiamenti, una verifica annuale è ragionevole — e di solito rivela che qualcosa è cambiato comunque.
Posso riutilizzare l’informativa di un altro sito?
È la scorciatoia più rischiosa. Descrive i trattamenti di qualcun altro, e spesso promette più di quanto tu possa mantenere: un responsabile della protezione dei dati che non hai nominato, tempi di risposta che non puoi rispettare.
Rischio subito 20 milioni di euro?
No. È il massimale dell’articolo 83, riservato ai casi gravi. Per un’informativa incompleta di una piccola impresa il procedimento comincia quasi sempre con una richiesta di informazioni e un termine per adeguarsi.
Conclusione
L’informativa privacy non è un modulo da spuntare: è la descrizione di ciò che il tuo sito fa davvero con i dati. Quando le due cose divergono — perché hai aggiunto uno strumento senza toccare il documento, o perché l’hai copiato da un altro — la divergenza è visibile dall’esterno, e viene notata prima che tu te ne accorga.
Parti dal confronto: scansiona il tuo sito e verifica se quello che dichiari corrisponde a quello che carichi.
