Informativa Privacy Sito Web: Guida Completa 2026

Ogni sito web che raccoglie dati personali — anche solo indirizzi email o cookie di analytics — deve avere un'informativa privacy conforme al GDPR. Senza di essa rischi sanzioni fino a 10 milioni di euro. Ecco cosa deve contenere, dove pubblicarla e come mantenerla aggiornata.

Molti titolari di siti web italiani pensano che l'informativa privacy sia un documento burocratico secondario — un testo standard da copiare e incollare da qualche parte nel footer. È un errore costoso: il Garante per la Protezione dei Dati Personali ha intensificato i controlli negli ultimi anni, sanzionando anche piccole PMI e liberi professionisti. Un'informativa assente, incompleta o non aggiornata è sufficiente ad aprire un'istruttoria.

Chi è obbligato ad averla

L'obbligo nasce dall'art. 13 del GDPR (Regolamento UE 2016/679) e si applica a chiunque sia titolare del trattamento e raccolga dati personali di utenti europei tramite il proprio sito web. In pratica: quasi tutti.

Sei obbligato se il tuo sito:

• Ha un modulo di contatto (raccoglie nome ed email)
• Usa Google Analytics o qualsiasi strumento di analytics (raccoglie IP e comportamenti)
• Ha una newsletter o un sistema di iscrizione
• Vende prodotti o servizi online (raccoglie dati di acquisto)
• Ha un'area riservata con login
• Usa cookie non strettamente tecnici

Praticamente l'unica eccezione è un sito completamente statico, senza form, senza analytics e senza cookie — una rarità nel 2026.

Cosa deve contenere obbligatoriamente

L'art. 13 GDPR elenca gli elementi obbligatori. Nessuno può essere omesso:

1. Identità e dati di contatto del titolare

Nome (o ragione sociale), indirizzo, email e — se nominato — i dati del Responsabile della Protezione dei Dati (DPO). Il DPO è obbligatorio per enti pubblici, aziende che trattano dati su larga scala o dati sensibili in modo sistematico.

2. Finalità e base giuridica del trattamento

Per ogni categoria di dati raccolti, devi indicare perché li raccogli e su quale base giuridica ti fondi. Le basi giuridiche ammesse dal GDPR sono sei:

• Consenso dell'interessato (es. iscrizione newsletter)
• Esecuzione di un contratto (es. dati per spedizione ordine)
• Obbligo legale (es. conservazione fatture)
• Interessi vitali dell'interessato o di terzi
• Interesse pubblico
• Legittimo interesse del titolare (es. analytics, sicurezza informatica)

Indicare "legittimo interesse" come base giuridica richiede una valutazione di bilanciamento documentata — non è una formula magica per evitare il consenso.

3. Destinatari dei dati

Chi riceve i dati oltre al titolare? Indica categorie di destinatari: fornitori di servizi cloud, piattaforme di email marketing, sistemi di pagamento, consulenti esterni. Non è necessario elencare ogni singola azienda, ma le categorie devono essere chiare.

4. Trasferimenti extra-UE

Se i dati vengono trasferiti fuori dall'Unione Europea (es. server negli USA, uso di Google Analytics, Mailchimp, Stripe), devi indicarlo e specificare le garanzie adottate: clausole contrattuali standard, decisioni di adeguatezza, o altri meccanismi previsti dagli artt. 46-49 GDPR.

5. Periodo di conservazione

Per quanto tempo conservi i dati? Deve essere specificato per ogni finalità di trattamento. Non è accettabile scrivere "per il tempo necessario": indica periodi concreti (es. "dati di contatto: 2 anni dall'ultimo contatto", "dati fiscali: 10 anni per obbligo di legge").

6. Diritti dell'interessato

Gli utenti hanno diritto a: accesso, rettifica, cancellazione ("diritto all'oblio"), limitazione del trattamento, portabilità dei dati, opposizione. Devi indicare come esercitarli (tipicamente via email al titolare) e il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali.

7. Profilazione e decisioni automatizzate

Se il sito effettua profilazione degli utenti o decisioni automatizzate con effetti significativi (es. scoring, personalizzazione avanzata), devi indicarlo con logica, importanza e conseguenze previste.

Differenza tra informativa privacy e cookie policy

Sono due documenti distinti con finalità diverse:

• Informativa privacy: descrive tutti i trattamenti di dati personali effettuati tramite il sito (form, analytics, pagamenti, ecc.)
• Cookie policy: documento specifico sui cookie e tecnologie di tracciamento, richiesto dalle Linee Guida del Garante del 2021

In Italia il Garante richiede che la cookie policy sia accessibile direttamente dal banner cookie. I due documenti possono essere integrati in un unico testo o separati — l'importante è che entrambi siano presenti e accessibili.

Leggi anche: Cookie Policy: Guida Completa per Siti Web Italiani

Dove e come pubblicarla

L'informativa deve essere facilmente accessibile prima che i dati vengano raccolti:

• Footer del sito: link visibile su ogni pagina con testo "Privacy Policy" o "Informativa Privacy"
• Moduli di contatto: link all'informativa direttamente nel form, con checkbox di consenso se necessario
• Iscrizione newsletter: link obbligatorio prima del tasto "Iscriviti", con consenso esplicito separato da altre finalità
• Checkout e-commerce: link visibile prima della conferma dell'ordine
• App mobile: accessibile nelle impostazioni e prima della registrazione

Le sanzioni del Garante: casi reali

Le sanzioni previste dal GDPR sono:

• Violazioni minori (es. informativa incompleta): fino a 10 milioni di euro o 2% del fatturato annuo globale
• Violazioni gravi (es. trattamento illecito, mancanza di base giuridica): fino a 20 milioni di euro o 4% del fatturato annuo globale

Negli ultimi anni il Garante ha sanzionato anche realtà di piccole dimensioni: studi professionali, e-commerce, PMI. Gli importi per le realtà minori si attestano tipicamente tra i 5.000 e i 50.000 euro, ma il danno reputazionale spesso supera quello economico.

Quando aggiornarla

L'informativa va aggiornata ogni volta che cambia qualcosa nel trattamento dei dati:

• Installi un nuovo plugin analytics, CRM o strumento di marketing
• Aggiungi un nuovo modulo di raccolta dati
• Cambi provider di hosting o email marketing
• Inizi a trasferire dati verso nuovi paesi terzi
• Cambia la normativa di riferimento

È buona prassi revisionarla almeno una volta all'anno e tenere un registro delle versioni con la data di ogni modifica. Ogni aggiornamento sostanziale deve essere comunicato agli utenti che hanno già fornito il consenso.

Errori frequenti da evitare

• Copiare l'informativa di un altro sito: ogni sito ha trattamenti specifici — un testo generico non copre la tua situazione reale e non è conforme
• Periodo di conservazione generico: "per il tempo necessario" non è accettabile — indica periodi specifici per ogni finalità
• Base giuridica non indicata: omettere la base giuridica per ogni finalità è una delle violazioni più contestate dal Garante
• Trasferimenti extra-UE non dichiarati: usare Google Analytics, Mailchimp o Stripe senza dichiararlo è una violazione frequente
• Informativa non aggiornata: aggiungere nuovi strumenti senza aggiornare il documento
• Link nel footer non visibile: testo troppo piccolo o nascosto tra decine di altri link non soddisfa il requisito di accessibilità

Conclusione

L'informativa privacy non è un optional burocratico: è un documento legale che definisce il rapporto tra il tuo sito e i suoi utenti. Un'informativa completa e aggiornata protegge sia gli utenti che il titolare del sito, costruisce fiducia e previene sanzioni che per una PMI o un freelance possono essere economicamente devastanti.

Con LegalDocAI.it puoi generare un'informativa privacy personalizzata per il tuo sito web, conforme al GDPR e alle linee guida del Garante italiano, in pochi minuti. Crea la tua informativa privacy →

Hai già l'informativa ma non sai se i tuoi cookie sono a norma? Leggi la nostra guida completa alla cookie policy. Per una panoramica completa degli obblighi GDPR per la tua azienda, consulta la guida GDPR per PMI italiane.