Privacy policy del sito web: cosa deve contenere e quando va aggiornata

In breve: avere una privacy policy non basta se è incompleta o nascosta. La privacy policy del sito web deve indicare chi tratta i dati, quali raccoglie, perché, su quali basi giuridiche, a chi li comunica e per quanto tempo li conserva, con un linguaggio comprensibile e un accesso immediato da ogni pagina. Va inoltre rivista a ogni restyling, nuovo plugin o integrazione (analytics, newsletter, chatbot AI). HalloCorp cura l’implementazione tecnica; la validazione giuridica, quando necessaria, resta in capo a un consulente privacy.

Perché una privacy policy generica non basta

Nella sua attività di vigilanza il Garante per la protezione dei dati personali torna spesso su un punto: l’informativa non è un adempimento formale da spuntare, ma uno strumento di trasparenza verso l’utente. Una privacy policy sito web copiata da un template, incompleta o difficile da trovare espone l’azienda a contestazioni e mina la fiducia di chi visita le tue pagine.

Le informazioni devono essere chiare, complete e facilmente accessibili, raggiungibili da qualunque pagina (tipicamente dal footer) e scritte in modo che un utente non specialista capisca cosa accade ai propri dati. Vediamo, in concreto, cosa deve contenere la privacy policy di un sito aziendale.

Privacy policy e cookie policy: qual è la differenza

La differenza tra privacy policy e cookie policy è una delle confusioni più frequenti. La privacy policy è l’informativa generale sul trattamento dei dati personali (moduli di contatto, newsletter, candidature, gestione clienti). La cookie policy è l’informativa specifica sui cookie e sulle tecnologie di tracciamento, collegata al banner di consenso.

• Privacy policy: spiega chi sei come titolare, quali dati raccogli e per quali finalità.
• Cookie policy: elenca i cookie usati, la loro natura (tecnici, analitici, di profilazione) e come gestire le preferenze.
• Banner cookie: raccoglie il consenso preventivo per i cookie non tecnici, prima dell’attivazione degli script.

Attenzione: avere solo la privacy policy senza una cookie policy aggiornata e un banner conforme è uno degli errori più comuni nei siti aziendali. Sono due documenti distinti, entrambi necessari per un sito web conforme GDPR.

Dati raccolti dai moduli di contatto

Quasi ogni sito ha un form di contatto, di preventivo o di prenotazione. L’informativa privacy del modulo di contatti deve indicare con precisione quali campi vengono raccolti (nome, email, telefono, messaggio) e cosa accade a quei dati dopo l’invio. Se il form salva i dati in WordPress, li inoltra via email e li sincronizza con un CRM, vanno menzionati tutti questi passaggi.

Una buona pratica è inserire un richiamo sintetico all’informativa accanto al modulo stesso, con il link alla privacy policy completa, così l’utente sa cosa sta condividendo nel momento esatto in cui lo fa. È un dettaglio che cura sia la conformità sia la fiducia di chi compila il form, ad esempio per una richiesta di preventivo.

Finalità e basi giuridiche del trattamento

Per ogni tipo di dato raccolto la policy deve spiegare perché lo tratti (la finalità) e su quale fondamento giuridico. Le basi più comuni per un sito aziendale sono:

• Consenso: per newsletter, marketing e cookie di profilazione.
• Esecuzione di un contratto o misure precontrattuali: per richieste di preventivo e gestione dell’ordine.
• Legittimo interesse: per esigenze come la sicurezza del sito, sempre bilanciato con i diritti dell’utente.
• Obbligo legale: per adempimenti fiscali e amministrativi.

Indicare la finalità senza la base giuridica, o viceversa, rende l’informativa incompleta. Il collegamento tra i due elementi è ciò che rende il documento davvero trasparente.

Servizi esterni, destinatari e tempi di conservazione

I siti moderni si appoggiano a numerosi servizi di terze parti: hosting, provider email, piattaforme di newsletter, gestionali, sistemi di pagamento. Tutti questi soggetti possono qualificarsi come destinatari o responsabili del trattamento e vanno menzionati, indicando anche eventuali trasferimenti di dati verso paesi extra-UE e le relative garanzie. Le scelte di hosting e infrastruttura cloud incidono direttamente su questo elenco.

Sul fronte della conservazione, il GDPR impone il principio di limitazione: i dati non si tengono “per sempre”. La policy deve indicare per quanto tempo (o secondo quali criteri) i dati vengono conservati: ad esempio i messaggi del form per il tempo necessario a gestire la richiesta, i dati contrattuali per gli anni richiesti dalle norme fiscali.

Newsletter, analytics, pixel e advertising

Se raccogli iscritti a una newsletter, l’informativa deve chiarire che il trattamento è basato sul consenso, che l’iscrizione è revocabile in qualsiasi momento e quale piattaforma usi per l’invio. Per analytics, pixel pubblicitari e strumenti di advertising servono attenzioni ulteriori:

• Analytics: dichiara lo strumento, se i dati sono pseudonimizzati e se è attivo solo dopo il consenso.
• Pixel social e advertising: tipicamente richiedono consenso, perché abilitano profilazione e retargeting.
• Coerenza con il banner: ciò che dichiari nella policy deve corrispondere a ciò che il banner attiva o blocca.

Strumenti AI e chatbot: il nuovo capitolo dell’informativa

Sempre più siti integrano chatbot e assistenti basati su intelligenza artificiale. Se il tuo sito usa un chatbot AI per rispondere ai visitatori o qualificare le richieste, l’utente deve sapere che sta interagendo con un sistema automatizzato, quali dati vengono raccolti durante la conversazione e se i contenuti transitano verso fornitori esterni di servizi AI.

È un’area in rapida evoluzione: l’integrazione di strumenti di intelligenza artificiale sul sito va sempre accompagnata da un aggiornamento dell’informativa e da scelte tecniche trasparenti. HalloCorp implementa questi strumenti progettando fin dall’inizio cosa viene tracciato e come.

Esercizio dei diritti dell’utente

La policy deve spiegare come l’utente può esercitare i propri diritti: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. Servono un canale di contatto chiaro (di norma un indirizzo email del titolare) e l’indicazione della possibilità di rivolgersi al Garante. Rendere questi diritti concretamente esercitabili, e non solo elencati, è parte della trasparenza richiesta.

Quando aggiornare la privacy policy

La privacy policy non è un documento “una tantum”. Va rivista ogni volta che cambia il trattamento dei dati. In particolare dopo:

1. Un restyling del sito che introduce nuove pagine, form o funzionalità.
2. L’installazione di nuovi plugin (form builder, CRM, chat, e-commerce) che raccolgono o inviano dati.
3. Nuove integrazioni con servizi esterni, analytics, advertising o strumenti AI.
4. Il cambio di hosting o di fornitori che modifica i destinatari dei dati.

Da ricordare: HalloCorp cura la parte tecnica — implementazione corretta di policy, banner cookie, mappatura degli script e dei servizi attivi sul sito. La validazione giuridica dei contenuti, quando necessaria, va affidata a un consulente privacy o a un legale: il nostro lavoro tecnico e la consulenza legale sono complementari, non alternativi.