Privacy Policy per siti web: cosa prevede il GDPR nel 2026
Il Regolamento (UE) 2016/679 (GDPR) è ormai in vigore da sette anni, ma molti siti web italiani continuano a presentare informative sulla privacy carenti o non conformi. Il Garante per la protezione dei dati personali ha intensificato l'attività di controllo, comminando sanzioni significative anche alle PMI.
A chi si applica il GDPR
Il GDPR si applica a qualsiasi soggetto — persona fisica o giuridica, pubblica o privata — che tratti dati personali di individui residenti nell'UE, indipendentemente da dove sia stabilito il titolare del trattamento.
Questo significa che ogni sito web che raccoglie dati (anche solo un indirizzo email tramite form contatti) deve essere conforme.
Cosa deve contenere la Privacy Policy
Ai sensi dell'art. 13 GDPR, l'informativa deve includere:
- ✦Identità del titolare del trattamento: nome, indirizzo, email di contatto
- ✦Finalità e basi giuridiche: per ogni categoria di dati trattati
- ✦Destinatari: chi riceve i dati (es. fornitori cloud, sistemi di pagamento)
- ✦Trasferimenti extra-UE: con le relative garanzie (SCCs, BCRs)
- ✦Periodo di conservazione: per ogni categoria di dati
- ✦Diritti dell'interessato: accesso, rettifica, cancellazione, portabilità, opposizione
- ✦Diritto di reclamo: al Garante (www.garanteprivacy.it)
Cookie e consenso: le regole del Garante
Il provvedimento del Garante del 10 giugno 2021 ha ridefinito le regole sui cookie:
- ✦I cookie tecnici non richiedono consenso
- ✦I cookie analitici di terze parti richiedono consenso
- ✦Il cookie banner deve avere pari evidenza per accettare e rifiutare
- ✦Non è consentito il "scrolling = consenso"
- ✦Il consenso deve essere libero, specifico, informato e inequivocabile
Registro dei trattamenti
L'art. 30 GDPR impone la tenuta di un Registro delle attività di trattamento a tutti i titolari con più di 250 dipendenti, ma anche a chi tratta dati sensibili o dati relativi a condanne penali. In pratica, quasi tutte le imprese che trattano dati in modo non occasionale dovrebbero mantenerlo.
Le sanzioni
Le sanzioni per violazione del GDPR possono arrivare fino a:
- ✦20 milioni di euro o il 4% del fatturato mondiale annuo (per le violazioni più gravi)
- ✦10 milioni di euro o il 2% del fatturato (per violazioni meno gravi)
Il Garante italiano ha già sanzionato più volte aziende italiane, incluse PMI, per cookie banner non conformi e informative incomplete.
Come tutelarsi
Il modo più efficace per essere conformi è dotarsi di una Privacy Policy completa e aggiornata, redatta da professionisti del settore. I Template StipuLab per la privacy includono tutte le sezioni obbligatorie previste dall'art. 13 GDPR, con riferimenti normativi aggiornati e pronta personalizzazione.