---------------------------
Title: Privacy policy per i siti web: cosa deve contenere, esempio e modello (GDPR 2026)
URL: https://www.cookiebot.com/it/privacy-policy-sito-web/
---------------------------

# Privacy policy per i siti web: cosa deve contenere, esempio e modello (GDPR 2026)

## In breve

- La privacy policy (o informativa privacy) è obbligatoria per ogni sito web che raccoglie dati personali tramite formulari, newsletter, analytics e/o cookie.
- L'art. 13 GDPR ne definisce il contenuto minimo: titolare, finalità, basi giuridiche, destinatari, conservazione, diritti degli interessati.
- Privacy policy e cookie policy sono documenti diversi: la seconda copre solo cookie e tecnologie di tracciamento.
- Copiare la privacy policy di un altro sito è uno degli errori più gravi che si possano fare: questa deve riflettere concretamente come la tua attività tratta i dati degli utenti.
- Le violazioni degli obblighi di trasparenza rientrano nella fascia massima di sanzioni GDPR: fino a 20 milioni di euro o il 4% del fatturato annuo globale.
- Un privacy policy generator ti permette di creare informative personalizzate in pochi minuti, da tenere aggiornate nel tempo.

Se il tuo sito web raccoglie dati personali, e lo fa quasi sicuramente, anche solo con un modulo di contatto o uno strumento di analytics, la privacy policy non è un optional: è un obbligo di legge previsto dagli articoli 12, 13 e 14 del GDPR. In questa guida vediamo cosa deve contenere una privacy policy, come si differenzia dalla cookie policy, un esempio commentato sezione per sezione e scopriamo come generarne una conforme alle normative in pochi minuti.

## Privacy policy, informativa privacy, cookie policy: le differenze

Prima di tutto, chiariamo i termini, perché in Italia si usano spesso come sinonimi ma non lo sono del tutto.

Privacy policy e informativa privacy indicano nella pratica lo stesso documento. “Informativa sul trattamento dei dati personali” (o informativa sulla privacy) è il termine giuridico italiano, usato dal GDPR e dal Garante per la protezione dei dati personali; “privacy policy” è la denominazione inglese, ormai lo standard di fatto sul web. In entrambi i casi si tratta del documento con cui il titolare del trattamento informa gli utenti su come raccoglie, utilizza e protegge i loro dati personali, ai sensi degli articoli 13 e 14 del GDPR.

La cookie policy, invece, è un documento più specifico: descrive esclusivamente i cookie e le altre tecnologie di tracciamento attive sul sito, le loro finalità, la durata e il modo in cui l'utente può gestire o revocare il consenso. Si può trattare di una pagina separata o una sezione della privacy policy, ma le linee guida cookie del Garante richiedono che le informazioni sui cookie siano complete e sempre accessibili.

Nota: privacy policy e cookie policy si completano a vicenda ma non si sostituiscono. Se il tuo sito usa cookie non tecnici, ti servono entrambe. Approfondisci questo tema nella nostra guida alla cookie policy conforme al GDPR.

## Quando è obbligatoria una privacy policy per un sito web

Praticamente sempre. L'informativa è necessaria ogni volta che vengono trattati dati personali, e va fornita prima o al più tardi al momento della raccolta dei dati.

**Il tuo sito web raccoglie dati personali se ha anche solo uno di questi elementi:**

- **Formulari di contatto o richiesta preventivo**: nome, e-mail, telefono sono dati personali.
- **Iscrizione alla newsletter**: l'indirizzo e-mail è un dato personale e l'invio richiede una base giuridica (di norma il consenso).
- **Strumenti di analytics**: Google Analytics e simili trattano identificatori online e indirizzi IP, che il GDPR considera dati personali.
- **Cookie di profilazione o marketing**: pixel pubblicitari, retargeting, social plugin.
- **Account utente o e-commerce**: dati anagrafici, indirizzi di spedizione, dati di pagamento.
- **Commenti, chat, recensioni**: qualsiasi funzione che registri dati riconducibili a una persona.

L'unico caso in cui la privacy policy potrebbe non essere obbligatoria per legge è un sito puramente statico che non raccoglie alcun dato, nemmeno tramite log o cookie: uno scenario ormai rarissimo.

Attenzione: non sai quali cookie e tracker sono attivi sul tuo sito? Molti vengono installati da servizi di terze parti senza che tu ne sia consapevole. Fai una scansione gratuita con il cookie checker di Cookiebot™.

## Cosa deve contenere la privacy policy secondo

Il GDPR elenca le informazioni minime che l'informativa deve fornire quando i dati sono raccolti direttamente presso l'interessato (cioè l'utente del sito).

- **Identità e dati di contatto del titolare del trattamento** — Chi decide finalità e mezzi del trattamento: nome o ragione sociale, sede, e-mail o altri canali di contatto. Attenzione a non confondere il titolare del trattamento con il responsabile del trattamento, ovvero colui che tratta i dati per conto del titolare.
- **Dati di contatto del DPO (se presente)** — Se hai nominato un responsabile della protezione dei dati (Data Protection Officer, DPO), i suoi contatti vanno indicati. La nomina è obbligatoria solo in casi specifici (art. 37 GDPR), come il monitoraggio sistematico su larga scala.
- **Finalità del trattamento e basi giuridiche** — Per ogni finalità (es. rispondere alle richieste, inviare la newsletter, fare analisi statistiche, marketing) devi indicare la base giuridica corrispondente. Questo è uno dei punti che il Garante contesta più spesso.
- **Categorie di dati trattati** — Quali dati raccogli: dati anagrafici, di contatto, di navigazione, di pagamento. Eventuali categorie particolari di dati (es. dati sanitari) vanno segnalate separatamente, con le relative garanzie.
- **Destinatari o categorie di destinatari** — A chi comunichi i dati: fornitori di hosting, piattaforme di e-mail marketing, processori di pagamento, network pubblicitari, strumenti di analytics.
- **Trasferimenti extra-UE** — Se i dati vengono trasferiti fuori dallo Spazio Economico Europeo devi indicarlo, insieme alle garanzie adottate: decisione di adeguatezza, clausole contrattuali standard o altri strumenti dell'art. 46 GDPR.
- **Periodo di conservazione** — Per quanto tempo conservi i dati, o almeno i criteri per determinarlo (principio di limitazione della conservazione, art. 5 GDPR).
- **Diritti dell'interessato** — Accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso in qualsiasi momento, con le istruzioni pratiche per esercitarli.
- **Diritto di reclamo al Garante** — L'utente deve sapere che può proporre reclamo all'autorità di controllo, in Italia il Garante per la protezione dei dati personali.
- **Natura del conferimento e conseguenze del rifiuto** — Indica se fornire i dati è obbligatorio o facoltativo e cosa succede se l'utente non li fornisce (es. impossibilità di rispondere alla richiesta).
- **Eventuali processi decisionali automatizzati** — Se usi profilazione o decisioni automatizzate con effetti significativi, devi dichiararlo e spiegarne la logica.

In Italia, il quadro è completato dal Codice privacy e dai provvedimenti del Garante. Per una panoramica generale sul regolamento, leggi la nostra [guida al GDPR](https://www.cookiebot.com/it/gdpr/).

## Esempio commentato di privacy policy (sezione per sezione)

Vediamo ora un esempio di privacy policy per un sito web tipo (un sito aziendale con modulo di contatto, newsletter e Google Analytics) commentato sezione per sezione. Puoi usarlo come modello di partenza.

- **Sezione 1 — Titolare del trattamento** — “Il titolare del trattamento è Rossi S.r.l., con sede in Via Esempio 1, 20100 Milano, email: privacy@rossisrl.it.”
👉 Commento: la sezione identifica chiaramente l'azienda e offre un canale di contatto diretto per le questioni privacy. Se hai un DPO, aggiungi qui i suoi recapiti.
- **Sezione 2 — Tipologie di dati raccolti** — “Raccogliamo i dati che ci fornisci tramite il modulo di contatto (nome, e-mail, contenuto del messaggio), i dati di iscrizione alla newsletter (e-mail) e i dati di navigazione raccolti tramite cookie e strumenti di analytics (indirizzo IP, identificatori online, pagine visitate).”
👉 Commento: distingue i dati forniti attivamente dall'utente da quelli raccolti passivamente. Nessuna formulazione vaga come “eventuali altri dati”: elenca ciò che raccogli davvero.
- **Sezione 3 — Finalità e basi giuridiche** — “Trattiamo i tuoi dati per: (a) rispondere alle tue richieste — base giuridica: misure precontrattuali; (b) inviarti la newsletter — base giuridica: consenso; (c) analizzare l'uso del sito — base giuridica: consenso espresso tramite il banner cookie.”
👉 Commento: ogni finalità è abbinata alla sua base giuridica. Questa è la struttura che il Garante si aspetta e uno dei punti dove i modelli gratuiti generici falliscono più spesso.
- **Sezione 4 — Destinatari e trasferimenti extra-UE** — “I dati possono essere comunicati a fornitori che agiscono come responsabili del trattamento: provider di hosting, piattaforma di invio newsletter, Google LLC per il servizio Google Analytics. Alcuni fornitori hanno sede negli Stati Uniti: il trasferimento si basa sul Data Privacy Framework UE-USA o sulle clausole contrattuali standard.”
👉 Commento: nomina le categorie di fornitori e copre i trasferimenti extra-UE con le garanzie adottate.
- **Sezione 5 — Periodo di conservazione** — “Conserviamo i dati dei formulari di contatto per 24 mesi dall'ultima interazione; i dati della newsletter fino alla revoca del consenso; i dati di navigazione per i periodi indicati nella cookie policy.”
👉 Commento: tempi concreti o criteri chiari, per ogni categoria di dati. “Per il tempo necessario” da solo non basta.
- **Sezione 6 — Diritti dell'interessato e reclamo** — “Puoi esercitare in qualsiasi momento i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione scrivendo a privacy@rossisrl.it. Se ritieni che il trattamento violi il GDPR, puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).”
👉 Commento: elenca i diritti, spiega come esercitarli e chiude con il riferimento esplicito al Garante, come richiesto dal GDPR.
- **Sezione 7 — Cookie** — “Per informazioni dettagliate sui cookie utilizzati e su come gestire le tue preferenze, consulta la nostra cookie policy, sempre accessibile dal footer del sito.”
👉 Commento: la privacy policy rimanda alla cookie policy dedicata, che deve restare aggiornata man mano che cambiano i servizi attivi sul sito. Per saperne di più, consulta ho bisogno di una cookie policy conforme?

## Non partire da zero: genera la tua privacy policy personalizzata

Il Privacy Policy Generator di Cookiebot™ crea un'informativa su misura per le pratiche di trattamento del tuo sito web, in pochi passaggi.

[Genera la tua privacy policy](https://www.cookiebot.com/it/privacy-policy-generator/)

## Errori comuni da evitare

**Questi sono gli errori che il Garante e i consulenti privacy riscontrano più spesso nelle privacy policy dei siti web italiani:**

- **Copia-incolla da un altro sito**: l'informativa descrive trattamenti altrui, cita il titolare sbagliato e non riflette la tua realtà. Può costituire violazione del diritto d'autore.
- **Basi giuridiche assenti o generiche**: elencare le finalità senza indicare la base giuridica di ciascuna è una delle carenze più contestate.
- **Cookie e tracker non dichiarati**: il sito usa pixel, analytics o plugin social che non compaiono né nella privacy policy né nella cookie policy. Succede spesso perché i tracker cambiano nel tempo senza che nessuno se ne accorga.
- **Linguaggio giuridico incomprensibile**: l'art. 12 GDPR impone un linguaggio semplice e chiaro. Un'informativa illeggibile non è trasparente.
- **Informativa nascosta**: raggiungibile solo dopo lunghe ricerche nei menu. Deve essere facilmente accessibile da ogni pagina.
- **Informativa mai aggiornata**: ferma al modello scaricato anni fa, mentre i trattamenti del sito sono cambiati.

Le violazioni degli obblighi di trasparenza (artt. 12–14 GDPR) rientrano nella fascia più alta delle sanzioni: fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, se superiore.

## Dove pubblicarla e come tenerla aggiornata

**La privacy policy deve essere facilmente accessibile. Le posizioni standard sono:**

- **Footer del sito**: il link deve comparire su ogni pagina, con un'etichetta chiara (“Privacy policy” o “Informativa privacy”).
- **Form e checkout**: un link all'informativa accanto a ogni punto di raccolta dati (form di contatto, registrazione, iscrizione newsletter, pagamento).
- **Banner cookie**: il banner di consenso deve linkare l'informativa estesa, come previsto dalle Linee guida cookie del Garante.

Quanto all'aggiornamento: rivedi la privacy policy almeno una volta all'anno e ogni volta che cambiano i trattamenti, i fornitori o le norme applicabili. Aggiungere un nuovo strumento di marketing, cambiare provider di newsletter o attivare una chat sono tutti eventi che richiedono un aggiornamento dell'informativa (e spesso anche della cookie policy).

## Come generare una privacy policy in pochi minuti

Elaborare una privacy policy da zero richiede tempo e attenzione: bisogna mappare i trattamenti, abbinare le basi giuridiche, coprire i trasferimenti extra-UE e mantenere tutto aggiornato. Un privacy policy generator semplifica il lavoro.

Il [Privacy Policy Generator di Cookiebot™ by Usercentrics](https://www.cookiebot.com/it/privacy-policy-generator/) genera privacy policy personalizzate in base alle pratiche di trattamento del tuo sito: inserisci i dettagli del sito o dell'app e ottieni un documento su misura, allineato ai requisiti del GDPR, da rifinire e pubblicare.

E per la parte cookie, Cookiebot CMP scansiona automaticamente il tuo sito, rileva cookie e tracker attivi, raccoglie e documenta i consensi e mantiene aggiornata la dichiarazione cookie nel tempo: la combinazione ideale per tenere privacy policy e cookie policy allineate alla realtà del sito.

## Scopri come Cookiebot CMP supporta la tua conformità alle normative

Prova Cookiebot CMP gratis per 14 giorni: scansione automatica di cookie e tracker, gestione del consenso e dichiarazione cookie sempre aggiornata. Nessuna carta di credito richiesta.

[Inizia gratis](https://admin.cookiebot.com/signup)

Disclaimer: Questi contenuti non costituiscono consulenza legale. Ti consigliamo di rivolgerti sempre a un consulente legale qualificato o a uno specialista di privacy per questioni di protezione dei dati.

## Preamble

La privacy policy è obbligatoria per quasi ogni sito web. Ecco cosa deve contenere secondo il GDPR, con un esempio commentato e un modello.

## Summary

La privacy policy è obbligatoria per quasi ogni sito web. Ecco cosa deve contenere secondo il GDPR, con un esempio commentato e un modello.

---

## Footer

### Prodotti
- [Soluzione per il consenso Cookiebot™](https://www.cookiebot.com/it/soluzione-consenso-cookie/)
- [Audience Survey](https://www.cookiebot.com/it/audience-survey/)
- [Cookiebot™ for Wix by Usercentrics](https://www.cookiebot.com/it/cookiebot-for-wix-by-usercentrics-app/)
- [Plugin Usercentrics Cookiebot per WordPress](https://www.cookiebot.com/it/new-wp-cookie-plugin/)
- [Cookie Checker](https://www.cookiebot.com/it/controllo-dei-cookie/)
- [Prodotti Usercentrics](https://usercentrics.com/it/)
- [Prezzi](https://www.cookiebot.com/it/pricing/)

### Normative
- [DMA (Europa)](https://www.cookiebot.com/it/digital-markets-act-dma/)
- [GDPR (Europa)](https://www.cookiebot.com/it/gdpr/)
- [CCPA/CPRA (California)](https://www.cookiebot.com/it/ccpa/)
- [VCDPA (Virginia)](/en/virginia-vcdpa/)
- [LGPD (Brasile)](/en/lgpd/)
- [TCF v2.4 (IAB)](/en/tcf/)
- [Google Consent Mode (Europa)](https://www.cookiebot.com/it/cookiebot-cmp-google-consent-mode/)
- [Microsoft UET Consent Mode](https://www.cookiebot.com/it/microsoft-consent-mode-cmp/)

### Partner
- [Diventa affiliato](https://www.cookiebot.com/it/affiliates/)
- [Login affiliati](https://app.impact.com/login.user)
- [Diventa un partner](https://www.cookiebot.com/it/resellers/)
- [Trova un partner](https://www.cookiebot.com/it/cookiebot-reseller/)

### Risorse
- [Blog](https://www.cookiebot.com/it/blog/)
- [Elenco clienti](https://www.cookiebot.com/it/cookiebot-elenco-clienti/)
- [Normativa sui mercati digitali (DMA)](https://www.cookiebot.com/it/risorse-digital-markets-act-dma/)
- [Modalità di Consenso di Google](https://www.cookiebot.com/it/risorse-google-consent-mode/)

### L'azienda
- [Chi siamo](https://www.cookiebot.com/it/about/)
- [Carriera](https://usercentrics.com/career/)
- [Assistenza](https://support.cookiebot.com/hc/en-us/)
- [Documentazione per gli sviluppatori](https://www.cookiebot.com/it/developer/)

©2026 Cookiebot. Tutti i diritti riservati. Cookiebot è un marchio di Usercentrics A/S. Usercentrics A/S è registrato in Danimarca. N. di registrazione d'impresa: 34624607.  Non vendere o condividere le     mie informazioni personaliRichieste degli interessatiGestisci le tue preferenze

[Informativa sulla privacy](https://www.cookiebot.com/it/privacy-policy/) · [Termini di servizio](/en/terms-of-service/) · [Dichiarazione dei cookie](https://www.cookiebot.com/it/cookie-declaration/) · [Accordo per il trattamento dei dati](/it/data-processing-agreement/) · [Note legali](https://www.cookiebot.com/it/legal-notice/) · [Dichiarazione di accessibilità](/en/accessibility-statement-wcag-compliance/)