Tutti gli articoli del nostro blog

Privacy policy per i siti web: cosa deve contenere, esempio e modello (GDPR 2026)

Close
Tempo di lettura
8 min
Pubblicato
Ott 8, 2026
Condividi
  • La privacy policy (o informativa privacy) è obbligatoria per ogni sito web che raccoglie dati personali tramite formulari, newsletter, analytics e/o cookie.
  • L'art. 13 GDPR ne definisce il contenuto minimo: titolare, finalità, basi giuridiche, destinatari, conservazione, diritti degli interessati.
  • Privacy policy e cookie policy sono documenti diversi: la seconda copre solo cookie e tecnologie di tracciamento.
  • Copiare la privacy policy di un altro sito è uno degli errori più gravi che si possano fare: questa deve riflettere concretamente come la tua attività tratta i dati degli utenti.
  • Le violazioni degli obblighi di trasparenza rientrano nella fascia massima di sanzioni GDPR: fino a 20 milioni di euro o il 4% del fatturato annuo globale.
  • Un privacy policy generator ti permette di creare informative personalizzate in pochi minuti, da tenere aggiornate nel tempo.

Se il tuo sito web raccoglie dati personali, e lo fa quasi sicuramente, anche solo con un modulo di contatto o uno strumento di analytics, la privacy policy non è un optional: è un obbligo di legge previsto dagli articoli 12, 13 e 14 del GDPR. In questa guida vediamo cosa deve contenere una privacy policy, come si differenzia dalla cookie policy, un esempio commentato sezione per sezione e scopriamo come generarne una conforme alle normative in pochi minuti.

Prima di tutto, chiariamo i termini, perché in Italia si usano spesso come sinonimi ma non lo sono del tutto.

Privacy policy e informativa privacy indicano nella pratica lo stesso documento. “Informativa sul trattamento dei dati personali” (o informativa sulla privacy) è il termine giuridico italiano, usato dal GDPR e dal Garante per la protezione dei dati personali; “privacy policy” è la denominazione inglese, ormai lo standard di fatto sul web. In entrambi i casi si tratta del documento con cui il titolare del trattamento informa gli utenti su come raccoglie, utilizza e protegge i loro dati personali, ai sensi degli articoli 13 e 14 del GDPR.

La cookie policy, invece, è un documento più specifico: descrive esclusivamente i cookie e le altre tecnologie di tracciamento attive sul sito, le loro finalità, la durata e il modo in cui l'utente può gestire o revocare il consenso. Si può trattare di una pagina separata o una sezione della privacy policy, ma le linee guida cookie del Garante richiedono che le informazioni sui cookie siano complete e sempre accessibili.

Nota: privacy policy e cookie policy si completano a vicenda ma non si sostituiscono. Se il tuo sito usa cookie non tecnici, ti servono entrambe. Approfondisci questo tema nella nostra guida allacookie policy conforme al GDPR.

Quando è obbligatoria una privacy policy per un sito web

Praticamente sempre. L'informativa è necessaria ogni volta che vengono trattati dati personali, e va fornita prima o al più tardi al momento della raccolta dei dati.

Il tuo sito web raccoglie dati personali se ha anche solo uno di questi elementi:

  • Formulari di contatto o richiesta preventivo: nome, e-mail, telefono sono dati personali.
  • Iscrizione alla newsletter: l'indirizzo e-mail è un dato personale e l'invio richiede una base giuridica (di norma il consenso).
  • Strumenti di analytics: Google Analytics e simili trattano identificatori online e indirizzi IP, che il GDPR considera dati personali.
  • Cookie di profilazione o marketing: pixel pubblicitari, retargeting, social plugin.
  • Account utente o e-commerce: dati anagrafici, indirizzi di spedizione, dati di pagamento.
  • Commenti, chat, recensioni: qualsiasi funzione che registri dati riconducibili a una persona.

L'unico caso in cui la privacy policy potrebbe non essere obbligatoria per legge è un sito puramente statico che non raccoglie alcun dato, nemmeno tramite log o cookie: uno scenario ormai rarissimo.

Attenzione: non sai quali cookie e tracker sono attivi sul tuo sito? Molti vengono installati da servizi di terze parti senza che tu ne sia consapevole. Fai una scansione gratuita con ilcookie checker di Cookiebot™.

Cosa deve contenere la privacy policy secondo

Il GDPR elenca le informazioni minime che l'informativa deve fornire quando i dati sono raccolti direttamente presso l'interessato (cioè l'utente del sito). 

1

Identità e dati di contatto del titolare del trattamento

Chi decide finalità e mezzi del trattamento: nome o ragione sociale, sede, e-mail o altri canali di contatto. Attenzione a non confondere il titolare del trattamento con il responsabile del trattamento, ovvero colui che tratta i dati per conto del titolare.

2

Dati di contatto del DPO (se presente)

Se hai nominato un responsabile della protezione dei dati (Data Protection Officer, DPO), i suoi contatti vanno indicati. La nomina è obbligatoria solo in casi specifici (art. 37 GDPR), come il monitoraggio sistematico su larga scala.

3

Finalità del trattamento e basi giuridiche

Per ogni finalità (es. rispondere alle richieste, inviare la newsletter, fare analisi statistiche, marketing) devi indicare la base giuridica corrispondente. Questo è uno dei punti che il Garante contesta più spesso.

4

Categorie di dati trattati

Quali dati raccogli: dati anagrafici, di contatto, di navigazione, di pagamento. Eventuali categorie particolari di dati (es. dati sanitari) vanno segnalate separatamente, con le relative garanzie.

5

Destinatari o categorie di destinatari

A chi comunichi i dati: fornitori di hosting, piattaforme di e-mail marketing, processori di pagamento, network pubblicitari, strumenti di analytics.

6

Trasferimenti extra-UE

Se i dati vengono trasferiti fuori dallo Spazio Economico Europeo devi indicarlo, insieme alle garanzie adottate: decisione di adeguatezza, clausole contrattuali standard o altri strumenti dell'art. 46 GDPR.

7

Periodo di conservazione

Per quanto tempo conservi i dati, o almeno i criteri per determinarlo (principio di limitazione della conservazione, art. 5 GDPR).

8

Diritti dell'interessato

Accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso in qualsiasi momento, con le istruzioni pratiche per esercitarli.

9

Diritto di reclamo al Garante

L'utente deve sapere che può proporre reclamo all'autorità di controllo, in Italia il Garante per la protezione dei dati personali.

10

Natura del conferimento e conseguenze del rifiuto

Indica se fornire i dati è obbligatorio o facoltativo e cosa succede se l'utente non li fornisce (es. impossibilità di rispondere alla richiesta).

11

Eventuali processi decisionali automatizzati

Se usi profilazione o decisioni automatizzate con effetti significativi, devi dichiararlo e spiegarne la logica.

In Italia, il quadro è completato dal Codice privacy e dai provvedimenti del Garante. Per una panoramica generale sul regolamento, leggi la nostra guida al GDPR.

Esempio commentato di privacy policy (sezione per sezione)

Vediamo ora un esempio di privacy policy per un sito web tipo (un sito aziendale con modulo di contatto, newsletter e Google Analytics) commentato sezione per sezione. Puoi usarlo come modello di partenza.

1

Sezione 1 — Titolare del trattamento

“Il titolare del trattamento è Rossi S.r.l., con sede in Via Esempio 1, 20100 Milano, email: [email protected].”

👉 Commento: la sezione identifica chiaramente l'azienda e offre un canale di contatto diretto per le questioni privacy. Se hai un DPO, aggiungi qui i suoi recapiti.

2

Sezione 2 — Tipologie di dati raccolti

“Raccogliamo i dati che ci fornisci tramite il modulo di contatto (nome, e-mail, contenuto del messaggio), i dati di iscrizione alla newsletter (e-mail) e i dati di navigazione raccolti tramite cookie e strumenti di analytics (indirizzo IP, identificatori online, pagine visitate).”

👉 Commento: distingue i dati forniti attivamente dall'utente da quelli raccolti passivamente. Nessuna formulazione vaga come “eventuali altri dati”: elenca ciò che raccogli davvero.

3

Sezione 3 — Finalità e basi giuridiche

“Trattiamo i tuoi dati per: (a) rispondere alle tue richieste — base giuridica: misure precontrattuali; (b) inviarti la newsletter — base giuridica: consenso; (c) analizzare l'uso del sito — base giuridica: consenso espresso tramite il banner cookie.”

👉 Commento: ogni finalità è abbinata alla sua base giuridica. Questa è la struttura che il Garante si aspetta e uno dei punti dove i modelli gratuiti generici falliscono più spesso.

4

Sezione 4 — Destinatari e trasferimenti extra-UE

“I dati possono essere comunicati a fornitori che agiscono come responsabili del trattamento: provider di hosting, piattaforma di invio newsletter, Google LLC per il servizio Google Analytics. Alcuni fornitori hanno sede negli Stati Uniti: il trasferimento si basa sul Data Privacy Framework UE-USA o sulle clausole contrattuali standard.”

👉 Commento: nomina le categorie di fornitori e copre i trasferimenti extra-UE con le garanzie adottate.

5

Sezione 5 — Periodo di conservazione

“Conserviamo i dati dei formulari di contatto per 24 mesi dall'ultima interazione; i dati della newsletter fino alla revoca del consenso; i dati di navigazione per i periodi indicati nella cookie policy.”

👉 Commento: tempi concreti o criteri chiari, per ogni categoria di dati. “Per il tempo necessario” da solo non basta.

6

Sezione 6 — Diritti dell'interessato e reclamo

“Puoi esercitare in qualsiasi momento i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione scrivendo a [email protected]. Se ritieni che il trattamento violi il GDPR, puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).”

👉 Commento: elenca i diritti, spiega come esercitarli e chiude con il riferimento esplicito al Garante, come richiesto dal GDPR.

7

Sezione 7 — Cookie

“Per informazioni dettagliate sui cookie utilizzati e su come gestire le tue preferenze, consulta la nostra cookie policy, sempre accessibile dal footer del sito.”

👉 Commento: la privacy policy rimanda alla cookie policy dedicata, che deve restare aggiornata man mano che cambiano i servizi attivi sul sito. Per saperne di più, consultaho bisogno di una cookie policy conforme?

Genera la tua privacy policy

Errori comuni da evitare

Questi sono gli errori che il Garante e i consulenti privacy riscontrano più spesso nelle privacy policy dei siti web italiani:

  • Copia-incolla da un altro sito: l'informativa descrive trattamenti altrui, cita il titolare sbagliato e non riflette la tua realtà. Può costituire violazione del diritto d'autore.
  • Basi giuridiche assenti o generiche: elencare le finalità senza indicare la base giuridica di ciascuna è una delle carenze più contestate.
  • Cookie e tracker non dichiarati: il sito usa pixel, analytics o plugin social che non compaiono né nella privacy policy né nella cookie policy. Succede spesso perché i tracker cambiano nel tempo senza che nessuno se ne accorga.
  • Linguaggio giuridico incomprensibile: l'art. 12 GDPR impone un linguaggio semplice e chiaro. Un'informativa illeggibile non è trasparente.
  • Informativa nascosta: raggiungibile solo dopo lunghe ricerche nei menu. Deve essere facilmente accessibile da ogni pagina.
  • Informativa mai aggiornata: ferma al modello scaricato anni fa, mentre i trattamenti del sito sono cambiati.

Le violazioni degli obblighi di trasparenza (artt. 12–14 GDPR) rientrano nella fascia più alta delle sanzioni: fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore.

Dove pubblicarla e come tenerla aggiornata

La privacy policy deve essere facilmente accessibile. Le posizioni standard sono:

  • Footer del sito: il link deve comparire su ogni pagina, con un'etichetta chiara (“Privacy policy” o “Informativa privacy”).
  • Form e checkout: un link all'informativa accanto a ogni punto di raccolta dati (form di contatto, registrazione, iscrizione newsletter, pagamento).
  • Banner cookie: il banner di consenso deve linkare l'informativa estesa, come previsto dalle Linee guida cookie del Garante.

Quanto all'aggiornamento: rivedi la privacy policy almeno una volta all'anno e ogni volta che cambiano i trattamenti, i fornitori o le norme applicabili. Aggiungere un nuovo strumento di marketing, cambiare provider di newsletter o attivare una chat sono tutti eventi che richiedono un aggiornamento dell'informativa (e spesso anche della cookie policy).

Come generare una privacy policy in pochi minuti

Elaborare una privacy policy da zero richiede tempo e attenzione: bisogna mappare i trattamenti, abbinare le basi giuridiche, coprire i trasferimenti extra-UE e mantenere tutto aggiornato. Un privacy policy generator semplifica il lavoro.

Il Privacy Policy Generator di Cookiebot™ by Usercentrics genera privacy policy personalizzate in base alle pratiche di trattamento del tuo sito: inserisci i dettagli del sito o dell'app e ottieni un documento su misura, allineato ai requisiti del GDPR, da rifinire e pubblicare.

E per la parte cookie, Cookiebot CMP scansiona automaticamente il tuo sito, rileva cookie e tracker attivi, raccoglie e documenta i consensi e mantiene aggiornata la dichiarazione cookie nel tempo: la combinazione ideale per tenere privacy policy e cookie policy allineate alla realtà del sito.

Inizia gratis

Disclaimer: Questi contenuti non costituiscono consulenza legale. Ti consigliamo di rivolgerti sempre a un consulente legale qualificato o a uno specialista di privacy per questioni di protezione dei dati.

Domande frequenti

No, non è obbligatorio: puoi partire da un modello o usare un privacy policy generator. Una revisione legale è però consigliata quando tratti dati sensibili, operi in settori regolamentati o hai flussi di dati complessi. In questi casi il supporto di un legale o di un DPO aiuta a coprire tutti i requisiti applicabili.

Una privacy policy deve descrivere esattamente i dati che raccogli, le finalità, le basi giuridiche e i fornitori reali del tuo sito. Utilizzare modelli predefiniti senza adattarli alla realtà del proprio sito web espone a possibili sanzioni.

Sì. Google Analytics tratta dati personali (indirizzi IP, identificatori online), quindi va indicato tra i destinatari, con la relativa finalità statistica, la base giuridica (il consenso, raccolto tramite il banner cookie) e informazioni sull'eventuale trasferimento extra-UE. Inoltre, vanno menzionati i cookie di Analytics.

Il GDPR non fissa una scadenza precisa, ma l'informativa deve sempre riflettere i trattamenti reali. La buona pratica è una revisione almeno annuale e un aggiornamento immediato ogni volta che cambiano trattamenti, strumenti, fornitori o normativa. Una scansione periodica del sito aiuta a intercettare nuovi cookie e tracker da dichiarare.