Privacy Policy GDPR per Siti Web: Guida Aggiornata al 2026

Qualsiasi sito web che raccoglie dati personali — un indirizzo email, un numero di telefono, l'indirizzo IP di un visitatore — è soggetto al Regolamento UE 2016/679, comunemente noto come GDPR. Eppure, nel 2026, la privacy policy GDPR rimane uno dei documenti più sottovalutati e, spesso, più mal redatti dell'intero ecosistema digitale italiano. Il Garante per la Protezione dei Dati Personali ha intensificato i controlli e le sanzioni comminate a siti web italiani si contano ormai a decine ogni anno, anche per violazioni apparentemente formali.

Questa guida è pensata per avvocati, consulenti e titolari di attività digitali che vogliono capire esattamente cosa deve contenere un'informativa privacy conforme, quali sono gli errori più comuni e come produrre un documento che regga a un'ispezione del Garante.

Che Cos'è la Privacy Policy GDPR e Chi è Obbligato ad Averla

L'informativa privacy — o privacy policy — è il documento con cui il titolare del trattamento adempie all'obbligo di trasparenza sancito dall'art. 13 del GDPR, applicabile ogni volta che i dati vengono raccolti direttamente presso l'interessato. Se invece i dati provengono da terzi, si applica l'art. 14.

L'obbligo riguarda chiunque gestisca un sito web accessibile a utenti europei e raccolga dati personali, anche in modo non intenzionale. Rientrano in questa categoria:

• siti con moduli di contatto o newsletter
• e-commerce di qualsiasi dimensione
• blog con sistema di commenti o registrazione utenti
• siti che utilizzano Google Analytics, Meta Pixel o strumenti analoghi
• piattaforme SaaS e applicazioni web

La nazionalità del gestore è irrilevante: un'azienda americana con utenti italiani deve rispettare il GDPR ai sensi dell'art. 3, par. 2, che estende il campo di applicazione territoriale del regolamento.

La Differenza tra Privacy Policy e Cookie Policy

I due documenti vengono spesso confusi o, peggio, sovrapposti in un unico testo. La privacy policy descrive tutti i trattamenti di dati effettuati dal titolare. La cookie policy — la cui disciplina in Italia è integrata dal Provvedimento del Garante dell'8 maggio 2014 e dalle Linee Guida del 10 giugno 2021 — si concentra specificamente sull'uso dei cookie e tecnologie di tracciamento. Mantenerli separati è una scelta redazionale corretta e rende più semplice la gestione degli aggiornamenti.

Cosa Deve Contenere un'Informativa Privacy Conforme al GDPR

L'art. 13 del GDPR elenca in modo tassativo le informazioni che il titolare deve fornire. Non si tratta di un elenco orientativo: l'omissione anche di uno solo di questi elementi costituisce una violazione del principio di trasparenza.

Identità e Dati di Contatto del Titolare

L'informativa deve indicare nome o denominazione sociale, indirizzo fisico, email e, se nominato, i dati del Responsabile della Protezione dei Dati (DPO). Il DPO è obbligatorio per enti pubblici, soggetti che effettuano trattamenti su larga scala di categorie particolari di dati (art. 9 GDPR) o che monitorano sistematicamente gli interessati su larga scala.

Finalità e Base Giuridica del Trattamento

Ogni finalità di trattamento deve essere descritta con specificità sufficiente e abbinata alla propria base giuridica tra quelle elencate all'art. 6 GDPR:

• esecuzione di un contratto (art. 6, par. 1, lett. b)
• adempimento di un obbligo legale (art. 6, par. 1, lett. c)
• legittimo interesse del titolare (art. 6, par. 1, lett. f)
• consenso dell'interessato (art. 6, par. 1, lett. a)

Uno degli errori più frequenti rilevati dal Garante è la genericità delle finalità dichiarate — espressioni come "migliorare i servizi" o "finalità di marketing" senza ulteriori specificazioni non soddisfano il requisito di trasparenza.

Destinatari e Trasferimento Internazionale dei Dati

Se i dati vengono condivisi con terzi — fornitori di hosting, piattaforme email, servizi analitici — il titolare deve indicare le categorie di destinatari. Nel caso di trasferimenti verso paesi extra-UE, è necessario specificare le garanzie adottate: decisioni di adeguatezza della Commissione europea, clausole contrattuali standard (SCC) aggiornate dalla Decisione di esecuzione 2021/914/UE, o altre basi dell'art. 46 GDPR.

L'uso di Google Analytics con dati trasmessi verso server statunitensi ha già portato a provvedimenti sanzionatori in Austria, Francia e Italia. Nel 2026, dopo anni di incertezza post-Schrems II, il Data Privacy Framework UE-USA è operativo, ma la sua applicazione concreta richiede comunque una verifica specifica per ogni fornitore.

Periodo di Conservazione dei Dati

L'art. 13, par. 2, lett. a, impone di indicare il periodo di conservazione o, se non determinabile a priori, i criteri per stabilirlo. Scrivere "i dati saranno conservati per il tempo necessario" non è sufficiente. Occorre invece specificare, ad esempio, che i dati dei clienti sono conservati per dieci anni in adempimento degli obblighi fiscali di cui al D.P.R. 600/1973, o che i dati degli iscritti alla newsletter vengono cancellati entro trenta giorni dalla revoca del consenso.

Diritti degli Interessati

L'informativa deve elencare i diritti riconosciuti dal GDPR:

• diritto di accesso (art. 15)
• diritto di rettifica (art. 16)
• diritto alla cancellazione (art. 17)
• diritto di limitazione del trattamento (art. 18)
• diritto alla portabilità (art. 20, applicabile solo ai trattamenti basati su consenso o contratto)
• diritto di opposizione (art. 21)
• diritto di revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente
• diritto di proporre reclamo all'autorità di controllo competente — per l'Italia, il Garante per la Protezione dei Dati Personali

Con IUS AI puoi generare la tua privacy policy GDPR in pochi minuti. La piattaforma analizza le caratteristiche del tuo sito, le finalità di trattamento e i destinatari dei dati, producendo un'informativa strutturata secondo i requisiti degli artt. 13 e 14 del GDPR. Puoi personalizzare ogni sezione e aggiornare il documento ogni volta che cambiano i trattamenti. Prova IUS AI gratuitamente — nessuna carta di credito richiesta.

Gli Errori Più Comuni nelle Privacy Policy dei Siti Italiani

Attraverso l'analisi dei provvedimenti sanzionatori del Garante degli ultimi tre anni emerge un quadro abbastanza uniforme degli errori ricorrenti.

Il primo è l'utilizzo di template generici scaricati da internet, spesso in lingua inglese e non adattati alla normativa italiana, con riferimenti a leggi inesistenti o basi giuridiche errate. Un documento del genere non solo non protegge il titolare, ma può aggravare la sua posizione in caso di ispezione.

Il secondo errore riguarda la mancata corrispondenza tra i trattamenti dichiarati e quelli effettivamente eseguiti. Se il sito installa cookie di profilazione di terze parti ma l'informativa non li menziona, la violazione è doppia: sia dell'obbligo informativo che del principio di minimizzazione dei dati.

Il terzo problema è l'inaccessibilità del documento. Il GDPR non prescrive un formato specifico, ma le Linee Guida del Comitato Europeo per la Protezione dei Dati (EDPB) sottolineano che l'informativa deve essere facilmente reperibile, leggibile e comprensibile. Un documento sepolto nel footer con un link dal contrasto visivo insufficiente non soddisfa questo requisito.

Come Aggiornare la Privacy Policy

L'informativa non è un documento statico. Ogni volta che il titolare introduce un nuovo strumento — un CRM, una piattaforma di email marketing, un chatbot — o modifica le finalità di trattamento, deve aggiornare l'informativa e, se necessario, raccogliere nuovamente il consenso degli interessati. Una buona prassi è includere nell'informativa la data dell'ultima revisione e mantenere uno storico delle versioni precedenti.

Puoi approfondire le regole sulla gestione documentale nel contesto legale anche visitando la sezione dedicata al generatore di contratti di IUS AI, che consente di produrre e archiviare documenti legali in modo strutturato.

Sanzioni GDPR: Quanto Costa Non Avere una Privacy Policy Conforme

Il sistema sanzionatorio del GDPR è articolato su due soglie ai sensi dell'art. 83. Le violazioni degli obblighi informativi rientrano nella fascia più elevata: fino a 20 milioni di euro o il 4% del fatturato mondiale annuo, se superiore.

Nel contesto italiano, le sanzioni irrogate dal Garante a siti web di medie dimensioni si attestano tipicamente tra i 10.000 e i 200.000 euro, ma non mancano casi con importi superiori. Il Garante può anche disporre la limitazione o il blocco del trattamento, con conseguenze operative potenzialmente più gravi della sanzione economica.

La normativa di riferimento è consultabile direttamente sul testo consolidato disponibile su EUR-Lex.

FAQ sulla Privacy Policy GDPR

Un sito web statico che non raccoglie dati è obbligato ad avere una privacy policy?

Dipende. Se il sito non raccoglie alcun dato personale — nemmeno tramite log del server o strumenti analitici — l'obbligo di cui all'art. 13 GDPR non si attiva formalmente. Nella pratica, quasi tutti i siti web moderni raccolgono almeno l'indirizzo IP dei visitatori tramite i log del server di hosting, il che li rende soggetti all'obbligo informativo. La valutazione deve essere fatta caso per caso.

Il consenso è sempre necessario per il trattamento dei dati su un sito web?

No. Il consenso è solo una delle sei basi giuridiche previste dall'art. 6 GDPR. Per i dati raccolti ai fini dell'esecuzione di un contratto — ad esempio, un ordine su un e-commerce — la base è l'art. 6, par. 1, lett. b, e il consenso non è né richiesto né opportuno. Raccogliere consensi superflui crea obblighi di gestione senza vantaggi e rischia di invalidare trattamenti che avrebbero basi giuridiche più solide.

Ogni quanto va aggiornata la privacy policy di un sito web?

Non esiste una cadenza fissa stabilita dalla legge. L'aggiornamento è necessario ogni volta che cambia un elemento materiale del trattamento: nuovi fornitori, nuove finalità, trasferimenti internazionali non precedentemente dichiarati, o modifiche normative rilevanti. Come buona prassi, una revisione annuale strutturata — eventualmente in occasione del rinnovo della mappatura dei trattamenti prevista dal registro ex art. 30 GDPR — garantisce il mantenimento della conformità nel tempo.

Una privacy policy copiata da un altro sito è valida?

Giuridicamente, nessuna norma vieta di ispirarsi a documenti altrui, ma nella pratica un'informativa copiata raramente riflette i trattamenti effettivi del titolare che la adotta. Questo crea una divergenza tra documento e realtà operativa che, in caso di ispezione, aggrava la posizione del titolare. Ogni informativa deve essere specifica per il sito e per i trattamenti concretamente effettuati.

Redigi la Tua Privacy Policy con IUS AI

La conformità al GDPR non è un adempimento una tantum: richiede un approccio sistematico alla gestione dei dati e documenti che evolvono insieme all'organizzazione. Produrre un'informativa privacy aggiornata, completa e leggibile è il primo passo — e con gli strumenti giusti richiede molto meno tempo di quanto si pensi.

IUS AI consente di generare informative privacy personalizzate in pochi minuti, con la possibilità di aggiornare i documenti ogni volta che cambiano le condizioni del trattamento e di archiviarli in modo strutturato nel proprio spazio di lavoro digitale. Un approccio concreto alla compliance, pensato per professionisti che non possono permettersi di lasciare nulla al caso.