Informativa Privacy GDPR (Clienti e Sito Web)

L'Informativa Privacy GDPR (Clienti e Sito Web) in Italia è l'atto disciplinato da Reg. UE 2016/679 artt. 12–14, 6, 15–22; D.Lgs. 196/2003 (Codice Privacy).

L'Informativa Privacy GDPR in Italia si distingue dall'informativa pre-GDPR per la maggiore analiticità richiesta: non è sufficiente indicare le finalità del trattamento in termini generali, ma è necessario specificare la base giuridica per ciascuna finalità tra le sei elencate nell'art. 6 GDPR (consenso, contratto, obbligo legale, legittimo interesse, interesse vitale, compito di interesse pubblico), i periodi di conservazione specifici per ciascuna categoria di dati o i criteri per determinarli, i diritti spettanti all'interessato (artt. 15–22 GDPR — accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) e le modalità concrete di esercizio, l'identità e i recapiti del Data Protection Officer (DPO) se nominato ai sensi dell'art. 37 GDPR, le informazioni sui trasferimenti di dati verso paesi terzi con l'indicazione della garanzia adottata (Clausole Contrattuali Standard, Data Privacy Framework, Decisione di adeguatezza). Il Garante per la protezione dei dati personali, nell'ambito della propria attività di accertamento e ispezione, verifica puntualmente la presenza e la completezza dell'informativa privacy, con particolare attenzione alle basi giuridiche indicate, alla chiarezza del linguaggio, all'effettiva accessibilità del documento e alla corrispondenza tra quanto dichiarato nell'informativa e le attività di trattamento concretamente svolte dal titolare. L'AI Act (Regolamento UE 2024/1689), applicabile progressivamente dal 2025, introduce ulteriori obblighi di trasparenza per i sistemi di intelligenza artificiale ad alto rischio che trattano dati personali, e richiede aggiornamenti dell'informativa privacy per i titolari che li utilizzano.

L'Informativa Privacy GDPR in Italia è obbligatoria per qualsiasi soggetto che tratti dati personali di persone fisiche nell'ambito di un'attività professionale o commerciale, indipendentemente dalle dimensioni dell'organizzazione. Non vi è alcuna soglia minima di fatturato, di numero di dipendenti o di volume di dati trattati che esima dall'obbligo: anche un libero professionista con partita IVA che raccoglie i dati dei propri clienti deve fornire l'informativa ex art. 13 Reg. UE 2016/679. Le situazioni più frequenti in cui è necessaria la redazione di un'informativa privacy aggiornata e conforme: apertura o restyling di un sito web con form di contatto, newsletter, sistema di prenotazione o acquisto online; avvio di attività di marketing diretto (email marketing, SMS, telefonate commerciali); instaurazione di rapporti contrattuali con clienti o fornitori; assunzione del primo dipendente; installazione di telecamere di videosorveglianza; utilizzo di sistemi di tracciamento comportamentale degli utenti (Google Analytics, CRM, sistemi di lead scoring); avvio di un'app mobile che raccoglie dati di geolocalizzazione, contatti o biometrici.

Un'informativa privacy aggiornata è necessaria anche dopo significative modifiche al trattamento: introduzione di nuove finalità di trattamento non previste nell'informativa originaria; aggiunta di nuovi destinatari ai quali vengono comunicati i dati; avvio di trasferimenti verso paesi terzi non coperti da decisione di adeguatezza della Commissione Europea (es. trasferimento di dati a un nuovo fornitore SaaS con server negli USA, India o Cina); utilizzo di nuovi strumenti software che trattano dati degli interessati (CRM, ERP, piattaforme cloud, strumenti di intelligenza artificiale che processano dati personali). L'aggiornamento dell'informativa deve essere comunicato agli interessati con un nuovo avviso diretto (email, SMS, notifica in-app) se i trattamenti aggiuntivi richiedono il consenso, o con una notifica sul sito in evidenza se si tratta di modifiche ai destinatari o ai periodi di conservazione basate su legittimo interesse o obbligo legale.

L'informativa privacy è necessaria anche in specifici contesti di settore: studi medici e cliniche che trattano dati di salute (categorie particolari ex art. 9 GDPR, che richiedono base giuridica specifica art. 9.2 lett. a o h); istituti di credito e intermediari finanziari sottoposti alla vigilanza della Banca d'Italia; piattaforme che trattano dati di minori (per gli under 14 in Italia è richiesto il consenso del genitore o tutore ex art. 8 GDPR e art. 2-quinquies D.Lgs. 196/2003); aziende che effettuano profilazione automatizzata o prendono decisioni automatizzate con effetti giuridici sugli interessati (art. 22 GDPR). Il Garante per la protezione dei dati personali pubblica sul sito garanteprivacy.it le FAQ e i provvedimenti su casi specifici che costituiscono guida operativa per la redazione dell'informativa nei diversi settori.

L'Informativa Privacy GDPR per clienti e sito web in Italia deve contenere le informazioni indicate negli artt. 13 e 14 del Reg. UE 2016/679, organizzate in sezioni chiare, accessibili e strutturate in modo da rispondere alle domande concrete che l'interessato si pone sul proprio trattamento. La prima sezione identifica il titolare del trattamento: denominazione sociale o nome del titolare, sede legale, partita IVA, indirizzo email privacy, indirizzo PEC, numero di telefono. La seconda sezione riporta i dati del Responsabile della Protezione dei Dati (DPO) se nominato: obbligatorio per enti pubblici, organismi di sorveglianza, e per tutti i soggetti che effettuano trattamenti su larga scala di categorie particolari di dati ai sensi dell'art. 37 GDPR.

La terza sezione — la più importante — descrive le finalità del trattamento e le relative basi giuridiche. Ogni finalità deve essere indicata separatamente con la corrispondente base giuridica dell'art. 6 GDPR (contratto, obbligo legale, consenso, legittimo interesse, interesse vitale, compito di interesse pubblico). La quarta sezione riguarda i dati trattati: categorie di dati personali (anagrafici, di contatto, di pagamento, di navigazione, di geolocalizzazione) e — se applicabili — categorie particolari ex art. 9 GDPR (salute, orientamento sessuale, opinioni politiche, dati biometrici) che richiedono consenso esplicito. La quinta sezione elenca i destinatari e i responsabili del trattamento: fornitori di servizi IT (hosting, email, CRM), istituti bancari, commercialisti, studi legali, e ogni altro soggetto esterno che tratti dati per conto del titolare — ciascuno deve aver ricevuto la nomina a Responsabile del Trattamento ex art. 28 GDPR. Forms-legal.com offre template separati per la nomina a responsabile del trattamento. La sesta sezione indica i periodi di conservazione per ciascuna categoria di dati. La settima sezione illustra i diritti degli interessati (artt. 15–22 GDPR) e le modalità di esercizio (indirizzo email o PEC dedicato, tempi di risposta di 30 giorni). La sezione finale riporta il diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) e le eventuali informazioni sui trasferimenti extra-UE.

Per compilare correttamente l'Informativa Privacy GDPR per clienti e sito web in Italia è necessario partire da una mappatura operativa dei trattamenti effettivamente svolti, non da un testo standard da adattare superficialmente. Prima di scrivere l'informativa, il titolare deve rispondere a queste domande fondamentali: Quali dati personali raccoglio? Da chi li raccoglio (direttamente dall'interessato o da terzi)? Per quale scopo specifico (finalità)? Con quale base giuridica tra le sei dell'art. 6 GDPR? Per quanto tempo li conservo (termine specifico per categoria)? A chi li comunico o trasmetto? Trasferisco dati fuori dall'UE e verso quale paese?

Nella sezione titolare del trattamento indicare tutti i dati identificativi richiesti dall'art. 13.1.a) GDPR: denominazione, sede, partita IVA, PEC, email privacy. Se è stato nominato un DPO, indicarne nome e contatti. Nella sezione finalità e basi giuridiche, per ciascuna attività di trattamento (es. 'gestione degli ordini online', 'invio newsletter', 'risposta alle richieste di contatto', 'fatturazione e adempimenti fiscali') indicare: finalità specifica, base giuridica tra le sei dell'art. 6 GDPR, dati trattati, periodo di conservazione. È consigliata la presentazione in forma tabellare. Nella sezione destinatari elencare per categoria (non necessariamente per nome) tutti i soggetti a cui vengono comunicati i dati: fornitori di servizi informatici (hosting, email marketing, CRM), istituti di credito, studi professionali, corrieri, agenzie di marketing. Per i fornitori che trattano dati come responsabili ex art. 28 GDPR, indicare che è stata stipulata apposita nomina. Per i trasferimenti extra-UE specificare il paese di destinazione e la garanzia adottata (Decisione di adeguatezza della Commissione Europea, Clausole Contrattuali Standard SCC, Data Privacy Framework). Concludere con i diritti degli interessati (artt. 15–22 GDPR), le modalità di esercizio (email [email protected] o PEC), i tempi di risposta (30 giorni, prorogabili di altri 60 in casi complessi), e il diritto di reclamo al Garante (garanteprivacy.it, Piazza Venezia 11, 00187 Roma).

L'Informativa Privacy GDPR in Italia deve rispettare le disposizioni del Reg. UE 2016/679 e del D.Lgs. 196/2003. L'art. 12 GDPR stabilisce i requisiti formali dell'informativa: forma concisa, trasparente, intelligibile e facilmente accessibile; linguaggio chiaro e semplice, in particolare per informazioni destinate ai minori di 14 anni (art. 8 GDPR — in Italia la soglia è fissata a 14 anni dall'art. 2-quinquies D.Lgs. 196/2003). L'art. 13 disciplina l'informativa per dati raccolti direttamente presso l'interessato (sito web, moduli cartacei, contratti), mentre l'art. 14 si applica quando i dati sono raccolti presso terzi (liste acquistate, dati pubblici, partner commerciali, social network). L'informativa ex art. 14 deve essere fornita entro un termine ragionevole dalla raccolta, e comunque entro un mese; oppure prima della prima comunicazione all'interessato se i dati sono usati per contattarlo; oppure prima di comunicarli ad altri soggetti.

L'art. 83 par. 4 GDPR sanziona la violazione degli obblighi di informativa con sanzioni fino a € 10.000.000 o al 2% del fatturato mondiale annuo totale. L'art. 83 par. 5 GDPR prevede sanzioni fino a € 20.000.000 o al 4% del fatturato mondiale per le violazioni più gravi (mancanza di base giuridica, violazione dei principi fondamentali del GDPR). Il D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018, introduce disposizioni nazionali aggiuntive: in materia di trattamento dei dati dei dipendenti (art. 4 Statuto dei Lavoratori L. 300/1970 per il controllo a distanza e l'uso dei dispositivi informatici, che richiede accordo sindacale o autorizzazione dell'Ispettorato del Lavoro); di marketing telefonico e telematico (Registro Pubblico delle Opposizioni, Reg. DPR 178/2010 e D.Lgs. 196/2003 art. 130); di videosorveglianza (Provv. Garante 8/4/2010 e sue linee guida); di dati biometrici (accertamento del Garante caso per caso). Il Regolamento (UE) 2021/1119 (European Climate Law) e la Direttiva NIS2 (Direttiva (UE) 2022/2555), recepita in Italia con D.Lgs. 138/2024, impongono ulteriori requisiti di sicurezza e notifica alle aziende nei settori critici. Le linee guida dell'EDPB (European Data Protection Board), pur non avendo forza di legge propria, costituiscono interpretazione autorevole del GDPR che le autorità di controllo nazionali, incluso il Garante italiano, seguono nella propria attività sanzionatoria.

Tra gli errori più frequenti nella redazione dell'Informativa Privacy GDPR in Italia vi è il ricorso a template generici scaricati da internet senza personalizzazione: un'informativa che indica finalità, destinatari o periodi di conservazione non corrispondenti all'attività reale del titolare è considerata dal Garante equivalente a un'informativa assente. Un secondo errore comune è indicare il consenso come base giuridica di tutti i trattamenti: il consenso ex art. 6.1.a GDPR è inappropriato per i trattamenti necessari all'esecuzione di un contratto (es. elaborazione dell'ordine — base corretta: art. 6.1.b), agli adempimenti fiscali (es. fatturazione — base corretta: art. 6.1.c obbligo legale), o ai legittimi interessi del titolare (es. sicurezza informatica — base corretta: art. 6.1.f). L'uso improprio del consenso come base giuridica omnibus rende ogni trattamento vulnerabile alla revoca e espone il titolare a contestazioni da parte del Garante e degli interessati che revocano il consenso.

Altre insidie ricorrenti: omettere le informazioni sui trasferimenti extra-UE (l'uso di Google Analytics 4, AWS, Mailchimp, Salesforce, HubSpot, Slack, Microsoft 365 comporta trasferimenti verso gli USA che devono essere indicati con la garanzia adottata — Data Privacy Framework se il provider è certificato, SCC altrimenti); non aggiornare l'informativa dopo aver introdotto nuovi strumenti software o nuove finalità di trattamento; non indicare periodi di conservazione specifici per ciascuna categoria di dati o i criteri per determinarli (indicare 'per il tempo strettamente necessario' senza specificare la durata viola il principio di trasparenza dell'art. 5.1.a GDPR e il requisito dell'art. 13.2.a); non indicare il diritto di proporre reclamo al Garante per la protezione dei dati personali con i relativi recapiti (garanteprivacy.it, Piazza Venezia 11, 00187 Roma); fornire l'informativa solo in inglese su siti rivolti a utenti italiani (violazione dell'art. 12 GDPR che richiede linguaggio chiaro e comprensibile nella lingua dell'interessato). L'aggiornamento periodico dell'informativa privacy — almeno annuale o in occasione di ogni modifica significativa al trattamento — è una best practice formalmente riconosciuta dal Garante nelle proprie linee guida e nei provvedimenti sanzionatori, che considerano l'informativa aggiornata come prova concreta del rispetto del principio di trasparenza.