Privacy policy, cookie policy, banner, consensi: per molti titolari di piccole attività sono un argomento che mette ansia, tra sigle, regolamenti e sanzioni di cui si sente parlare. Eppure le regole di base sono abbastanza chiare, e metterle in pratica sul sito non richiede di diventare esperti di diritto.
In questo articolo vediamo cosa deve avere il sito di una piccola attività per rispettare le norme sulla privacy e sui cookie: quali pagine servono, come deve essere il cookie banner, cosa fare con i moduli di contatto e gli strumenti esterni. È una guida pratica e generale: per i casi specifici, è sempre bene confrontarsi con un professionista.
Il quadro di riferimento, in breve
Le regole principali che riguardano un sito web in Italia sono:
- il GDPR, il Regolamento europeo sulla protezione dei dati personali, che si applica ogni volta che raccogli dati di persone fisiche (nome, email, telefono, indirizzo IP);
- il Codice privacy italiano, che integra il GDPR;
- le linee guida del Garante per la protezione dei dati personali sui cookie, che spiegano come chiedere e gestire il consenso.
Il principio di fondo è semplice: chi visita il sito deve sapere quali dati raccogli, perché, per quanto tempo e con chi li condividi, e deve poter scegliere quando la legge lo prevede.
1. La privacy policy
È la pagina che informa i visitatori su come tratti i loro dati personali. Deve essere facile da trovare (di solito con un link nel piè di pagina di ogni pagina) e scritta in modo comprensibile. Al suo interno devono comparire, tra le altre cose:
- chi è il titolare del trattamento, con i dati di contatto;
- quali dati raccogli (ad esempio quelli inseriti nel modulo contatti, i dati di navigazione, i dati degli ordini);
- per quali finalità li usi (rispondere alle richieste, gestire gli ordini, inviare comunicazioni commerciali se c’è il consenso);
- la base giuridica di ciascun trattamento (contratto, obbligo di legge, consenso, legittimo interesse);
- per quanto tempo li conservi;
- a chi li comunichi (hosting, servizi di pagamento, commercialista, fornitori di email) e se finiscono fuori dall’Unione Europea;
- i diritti dell’interessato e come esercitarli.
Un errore frequente è copiare una privacy policy da un altro sito o usare un modello generico senza adattarlo: la privacy policy deve descrivere quello che fa il tuo sito, non quello di qualcun altro.
2. La cookie policy
I cookie sono piccoli file che il sito salva sul dispositivo del visitatore. Alcuni sono indispensabili al funzionamento del sito, altri servono a raccogliere statistiche o a mostrare pubblicità mirata. La cookie policy (che può essere una pagina a sé o una sezione della privacy policy) spiega:
- quali cookie e strumenti simili usa il sito;
- a cosa servono;
- chi li installa (il sito stesso o servizi esterni);
- quanto durano;
- come il visitatore può accettarli, rifiutarli o modificarne la scelta.
3. I tipi di cookie, e cosa richiede ciascuno
Cookie tecnici
Sono necessari al funzionamento del sito: mantenere la sessione, ricordare il carrello, salvare la scelta della lingua o delle preferenze sui cookie. Non richiedono il consenso, ma vanno indicati nell’informativa.
Cookie analitici
Servono a raccogliere statistiche sulle visite. Secondo le indicazioni del Garante, possono essere trattati come tecnici (quindi senza consenso) solo a certe condizioni, ad esempio se i dati sono resi anonimi o comunque non permettono di identificare il visitatore e non vengono incrociati con altre informazioni. Altrimenti, serve il consenso. Con strumenti di terze parti molto diffusi, come Google Analytics, conviene valutare con attenzione la configurazione o chiedere il consenso.
Cookie di profilazione e marketing
Sono quelli usati per pubblicità mirata, remarketing, monitoraggio tra siti diversi. Richiedono sempre il consenso preventivo: non possono essere attivati prima che il visitatore abbia accettato.
4. Il cookie banner: come deve essere
Se il sito usa cookie che richiedono il consenso, al primo accesso deve comparire un banner. Le caratteristiche principali indicate dal Garante sono:
- deve spiegare brevemente che il sito usa cookie, anche di terze parti, e per quali scopi, con un link alla cookie policy;
- deve permettere di accettare tutti i cookie;
- deve permettere di rifiutare: la chiusura del banner con la “X” deve equivalere a mantenere solo i cookie tecnici, senza installare gli altri;
- deve offrire la possibilità di scegliere quali categorie di cookie accettare;
- lo scorrimento della pagina non vale come consenso;
- la scelta deve poter essere modificata in qualsiasi momento, ad esempio con un link “Preferenze cookie” sempre disponibile;
- il banner non deve ricomparire a ogni visita: la scelta va ricordata e richiesta di nuovo solo in casi specifici o dopo un certo periodo.
Il punto più importante, e spesso trascurato, è che i cookie non tecnici devono bloccarsi davvero finché il visitatore non accetta. Un banner che mostra il messaggio ma intanto lascia caricare tutto non è a norma.
Se il tuo sito usa solo cookie tecnici e strumenti statistici configurati in forma anonima, il banner potrebbe non essere necessario: resta comunque obbligatoria l’informativa.
5. I servizi esterni: video, mappe, caratteri, social
Molti siti incorporano servizi di terze parti senza rendersene conto:
- video di YouTube o Vimeo;
- mappe di Google Maps;
- caratteri caricati da servizi esterni;
- pulsanti e contenuti dei social;
- chat e assistenti;
- pixel pubblicitari.
Molti di questi strumenti possono installare cookie o trasmettere dati, come l’indirizzo IP, al fornitore del servizio. Vanno indicati nell’informativa e, quando servono a scopi non tecnici, gestiti attraverso il consenso. Soluzioni come mostrare un’anteprima del video o della mappa che si attiva solo al clic aiutano sia la privacy sia la velocità del sito.
6. I moduli di contatto
Il modulo contatti raccoglie dati personali, quindi:
- deve esserci un link all’informativa privacy vicino al modulo;
- devi chiedere solo i dati necessari (nome, email o telefono, messaggio);
- se vuoi usare l’email anche per inviare newsletter o promozioni, serve un consenso separato e facoltativo, con una casella non preselezionata;
- i dati devono essere conservati in modo sicuro e solo per il tempo necessario.
Per rispondere a una richiesta del cliente non serve il consenso, perché il trattamento si basa sulla sua stessa richiesta; molti siti inseriscono comunque una casella per confermare di aver letto l’informativa.
7. Se vendi online
Un e-commerce tratta più dati (indirizzi, ordini, pagamenti) e ha obblighi aggiuntivi: condizioni di vendita, informazioni sul diritto di recesso, dati dell’azienda ben visibili. La privacy policy deve descrivere anche questi trattamenti e i fornitori coinvolti (pagamenti, spedizioni).
Gli errori più comuni
- Privacy policy copiata da un altro sito, con dati e servizi che non corrispondono.
- Banner “finto”, che non blocca davvero i cookie prima del consenso.
- Solo il pulsante “Accetta”, senza possibilità di rifiutare.
- Caselle già spuntate per il consenso al marketing.
- Strumenti aggiunti nel tempo (video, mappe, pixel) senza aggiornare l’informativa.
- Informativa scritta in un linguaggio incomprensibile.
Un piccolo controllo da fare oggi
Apri il tuo sito da una finestra di navigazione in incognito e verifica:
- compare un banner? Ha i pulsanti per accettare, rifiutare e scegliere?
- se chiudi con la “X”, il sito continua a funzionare?
- nel piè di pagina ci sono i link a privacy policy e cookie policy?
- vicino al modulo contatti c’è il link all’informativa?
- le informative citano davvero i servizi che il sito usa (hosting, statistiche, video, mappe)?
Se una di queste risposte è no, è il momento di intervenire.
Domande frequenti
Un sito senza cookie di marketing ha bisogno del banner?
Se usa solo cookie tecnici e statistiche configurate in modo anonimo, il banner potrebbe non servire. L’informativa sui cookie resta comunque necessaria. Ogni servizio esterno aggiunto va valutato.
Posso usare un generatore automatico di privacy policy?
Può essere un buon punto di partenza, purché tu lo compili con attenzione e descriva davvero i trattamenti del tuo sito. Nei casi più complessi è meglio farsi seguire da un professionista.
Cosa rischio se il sito non è a norma?
Il Garante può intervenire con richieste di adeguamento e, nei casi più gravi, con sanzioni. Ma, al di là del rischio, un sito trasparente comunica serietà e rispetto verso i clienti.
In sintesi
Il sito di una piccola attività deve avere una privacy policy che descriva davvero i trattamenti, una cookie policy, un banner che permetta di accettare, rifiutare e scegliere (bloccando davvero i cookie non tecnici), moduli con il link all’informativa e consensi separati per il marketing. Non è burocrazia fine a se stessa: è un segno di rispetto per chi ti visita.
Ogni sito di Officina 19 nasce con le basi per la privacy e i cookie già impostate, e la manutenzione lo tiene aggiornato nel tempo. Guarda i pacchetti o scrivici. Questo articolo ha uno scopo informativo e non sostituisce una consulenza legale.